IP-VPN

読み：あいぴーぶいぴーえぬ　／　英語表記：IP Virtual Private Network

WAN・VPN

通信事業者の閉域IP網を使って、利用者の複数拠点を論理的に接続するVPNサービスである。代表的にはMPLSによって利用者ごとの通信を分離し、事業者網が拠点間のIPルーティングを提供する。

イマシルちゃんの解説

本社と支社のLANをつなぐ方法の一つがIP-VPNだよ。
通信事業者のネットワークの中に、契約した会社の拠点同士が通信できる論理的な網を作るんだ。
同じ設備を複数の会社で使っていても、それぞれの会社の通信が混ざらないように管理するの。
代表的にはMPLSという、パケットに識別用のラベルを付けて運ぶ仕組みを使うよ。
拠点側のルータを事業者側のルータへ接続すると、契約した範囲の経路を通じて別の拠点へ届けられるんだ。
ただし、通信を分離することと内容を暗号化することは別だよ。
内容を隠す必要があれば、IPsecなどの保護も組み合わせるんだ。

より深い解説

利用者側と通信事業者側の境界

IP-VPNでは、各拠点が持つIPネットワークを通信事業者の網へ接続する。BGP/MPLS IP VPNの代表的な構成では、機器を次のように区別する。

機器	位置	主な役割
CEルータ	利用者拠点の端	事業者の網へ拠点の通信を渡す
PEルータ	事業者網の端	利用者ごとの経路を管理し、網内の転送へ接続する
Pルータ	事業者網の内部	MPLSラベルに従い中継する

CEのCはCustomer、PEのPはProviderを表し、EはどちらもEdgeである。CEは通常、事業者内部のMPLSラベル処理を担当しない。PEが利用者ごとのVRFで経路を分けるため、別の利用者が同じプライベートIPアドレスを使っていても分離して扱える。

事業者網の内部を通る仕組み

入口のPEはCEからIPパケットを受け取ると、宛先のVPNや出口に対応するラベルを付ける。内部のPルータは外側のラベルを見て中継し、出口側でラベルを取り除いて相手拠点のCEへ渡す。途中でラベルを付け替えることや、出口の一つ手前で外側のラベルを外すPHPもある。

MPLSはRFC 3031で基本構成が定められた転送技術である。VPNで利用者を分ける仕組みには、ラベルだけでなくVRFや経路の配布・取込みの制御も関わる。単に同じラベルを使わないようにすればVPNが完成するわけではない。

拠点同士のつなぎ方

本社を中心とし、支社同士の通信も本社を経由させる構成をハブアンドスポークという。中心の拠点がハブ、そこにつながる拠点がスポークになる。一方、全拠点が別の利用者拠点を経由せず相互に通信できる論理構成をフルメッシュという。

フルメッシュだからといって、各支社間に専用の物理回線を一本ずつ引くとは限らない。事業者網の中継機器や設備を共有しながら、論理的には各拠点間へ直接経路を提供できる。実際に許可される通信範囲は、サービスと経路設定によって決まる。

通信の分離と保護、帯域の保証

観点	確認すること
通信の分離	契約したVPNへどの拠点を接続し、どの経路を配るか
内容の秘匿	IPsecなどによる暗号化を追加するか
通信品質	帯域保証・帯域確保などの契約条件があるか

IP-VPNという名称だけで暗号化や通信速度の保証が決まるわけではない。閉域であること、相互に通信できること、一定の帯域を使えることは、それぞれ確認する必要がある。

参考資料

実際の試験ではここに出る！全4問

ネットワークスペシャリスト

午後Ⅰ

午後Ⅱ

R1秋問1