SD-WAN

読み：えすでぃーわん　／　英語表記：Software-Defined Wide Area Network

WAN・VPN
ルーティング・冗長化

WAN回線の上に論理的な接続を構築し、通信の種類や品質に応じて拠点間の経路を制御する技術である。複数の拠点の設定や経路情報をまとめて管理し、異なる回線サービスを組み合わせて利用できる。

イマシルちゃんの解説

会社の拠点を結ぶ回線が増えると、どの通信をどの回線へ流すか、故障したらどこへ切り替えるかを管理するのが大変になるんだ。
SD-WANは、拠点間の接続をソフトウェアでまとめて制御する技術だよ。
各拠点の装置が通信を運び、管理する側から接続先や経路の選び方を配るんだ。
例えば会議の音声には遅延の少ない回線を選び、別の転送にはほかの回線を使うようにできるよ。
回線を増やすだけでなく、業務に合った使い分けを共通の方針で設定できるのが特徴なんだ。

より深い解説

何をソフトウェアで制御するのか

SD-WANはSoftware-Defined Wide Area Networkの略である。各拠点の装置を個別に設定するだけの運用から、接続する拠点、経路、通信の扱いを共通のポリシーとして管理する運用へ移しやすくする。

土台にはMPLS VPN、インターネット回線、モバイル回線などを利用できる。これらをアンダーレイネットワークと呼び、その上に作る論理的な接続をオーバーレイネットワークという。土台の到達性と、業務通信をどの論理経路へ流すかを分けて設計する。

情報を配る装置とデータを運ぶ装置

構成要素	役割
拠点のエッジ装置	LANとWANを接続し、指定した経路やポリシーに従って業務データを転送する
SD-WANコントローラー	拠点や経路の情報を集め、各装置へ必要な制御情報を配布する
管理機能	設定、監視、機器の登録などをまとめて扱う

管理機能と制御機能を一つの装置へまとめるか、複数のサービスへ分けるかは製品による。コントローラーをクラウド上に置く構成もあるが、業務データまで必ずクラウドの制御装置を通るわけではない。

IPsecを使う構成では、エッジ装置間に暗号化トンネルを作る。制御側から配る経路や端点の情報を基に、装置同士がトンネルを利用する。例えば制御通信をTLSで保護する製品では、業務データを保護するIPsecとは接続先と目的が異なる。

経路の選択に使う情報

従来の宛先中心の経路選択に加えて、アプリケーションや送信元などの条件をポリシーへ取り込める。回線品質を監視し、条件を満たす経路を選択する製品もある。

判断材料	用途
通信の分類	業務アプリケーションや送信元に応じて、許可する経路と優先度を決める
遅延	目的地へ届くまでの時間を測り、応答性が必要な通信の経路を選ぶ
ジッタ	遅延のばらつきを調べ、音声や映像が途切れにくい経路を選ぶ
パケット損失	届かないパケットの割合を調べ、品質が低下した経路を避ける

これらを判断する機能は製品によって異なる。アプリケーションの識別、しきい値、測定方法、条件を満たす回線がない場合の動作まで確認する。優先制御をしても、元の回線の物理的な帯域が増えるわけではない。

障害検知と経路の切替え

IPsecトンネル上でBFDを利用すると、装置間の転送経路の障害を短時間で検知できる。物理インタフェースが動いていても、その先の網やトンネルで通信ができなくなる場合があるためである。

障害を検知する機能と、残った経路から転送先を選ぶ機能は別である。優先回線が使えなくなったら予備回線へ移す方針を定め、復旧時に戻す条件も設定する。切替え中の通信断や継続中のセッションへの影響は検証する必要がある。

導入と管理の自動化

機器を登録しておき、起動後に設定を取得させるゼロタッチプロビジョニングを備えた製品もある。拠点追加時の手作業を減らせる一方、初回に管理先へ到達できる回線、DNS、機器認証などの条件が必要になる。

管理機能がAPIを提供していれば、監視システムなどから設定変更を要求する自動化もできる。例えば不審な宛先IPアドレスを検出した際に、許可されたAPIでポリシーを更新し、対象の拠点装置へ配布して通信を遮断する。ただし、外部システムとの連携やパケットフィルタの機能は製品ごとに異なり、SD-WANという名称だけで備わるわけではない。

VRFで経路表を分離し、管理用と業務用、あるいは部門ごとの通信を独立して扱う構成もある。装置を共用していても、どの通信がどの経路表を使うかを明確にする。分離した領域間へ経路を渡す場合は、その許可範囲を設計する。

技術	SD-WANとの関係
IPsec VPN	IP層で通信を保護する技術であり、SD-WANのトンネルを構成する部品として利用できる
MPLS VPN	通信事業者が提供する拠点間接続サービスであり、SD-WANを運ぶ土台の一つになる
SDN	ネットワークをソフトウェアで制御する考え方であり、SD-WANはWANの接続と運用にその考え方を適用する
ローカルブレイクアウト	特定の通信を拠点から直接インターネットへ出す構成であり、SD-WANのポリシーで実現する方法もある

利用するときの注意点

複数の回線があっても、共通の装置や電源が故障すれば全て使えなくなる場合がある。回線を増やすことと装置を冗長化することを分け、守れる障害範囲を確認する。

監視対象も制御側と転送側に分ける。コントローラーとの接続が切れた後に既存の通信を続けられるか、新しい経路を配れるかは仕様による。MPLS VPNやOSPFを使う既存網から移行する際の経路設計は、SD-WANによる拠点接続で詳しく扱う。

参考資料

CiscoのSD-WAN設計ガイドで構成要素と制御・転送の実装例を確認できる。
RFC 5880で転送経路の障害を検知するプロトコルを確認できる。
Cisco SD-WAN Manager API：設定・ポリシー管理API

実際の試験ではここに出る！全2問

ネットワークスペシャリスト

午後Ⅰ