SD-WANによる拠点接続

読み：えすでぃーわんによるきょてんせつぞく　／　英語表記：SD-WAN branch connectivity design

複数の拠点をつなぐWANにSD-WANを導入し、経路制御と設定の集中管理を行うための設計である。既存のルーティング、トンネルを運ぶ回線、通信の分離、障害検知を組み合わせ、利用する回線を方針に従って選べるようにする。

イマシルちゃんの解説

支店が増えるたびにルータを個別に設定すると、接続先や予備回線の管理が複雑になっていくんだ。
SD-WANは、複数の拠点を結ぶ通信をソフトウェアでまとめて制御する技術だよ。
各拠点の装置へ必要な情報を配り、専用のVPNサービスやインターネット回線を組み合わせて使えるようにするんだ。
例えば普段は優先する回線を使い、障害を検出したら別の回線へ切り替える。
ただし管理画面で一括設定できても、装置同士が実際に通信できる経路は必要だよ。
通信を運ぶ土台と、その上でどの通信をどこへ送るかを分けて設計するのが大切なんだ。

より深い解説

既存の拠点間接続を整理する

SD-WANの導入前に、各拠点のネットワークとWANの境界を確認する。通信事業者のMPLS VPNを利用する構成では、企業側のCE（Customer Edge）ルータと、事業者側のPE（Provider Edge）ルータが接続する。CEはカスタマーエッジ、PEはプロバイダエッジを意味し、企業側と事業者網側のどちらに位置する装置かを区別できる。

拠点内でOSPF、CEとPEの間でBGPを使う場合、接続しただけでは両プロトコルの経路情報は相互に伝わらない。境界で再配布を行い、拠点内の経路をWANへ、WANから学んだ経路を拠点内へ渡す必要がある。

ここで先に決めたいのは、宛先ごとの到達経路である。例えばインターネット接続をデータセンターのプロキシへ集約するなら、各端末からそのプロキシへの経路が必要になる。拠点にインターネット回線を追加した場合も、業務端末の通信をそこから出すとは限らない。

同じAS番号を複数の拠点で使う場合

異なるASの間で行うBGPの経路交換をeBGP、同一ASの内部で行う交換をiBGPという。企業内だけで使うプライベートAS番号は、複数の拠点に同じ番号を割り当てる設計もある。ただしBGPは通常、受信したAS_PATHに自分のAS番号がある経路をループの疑いがあるとして受け入れない。

独自の例として、企業の二つの拠点がどちらもAS 65020を使い、事業者のAS 64501を経由して接続する場合を考える。相手拠点からの経路には65020が残るため、受信側も自分の番号を見つけてしまう。

as-overrideは、PE側で顧客のAS番号を自分のAS番号へ置き換えて広告する機能である。顧客側のルータのAS番号そのものを変更する機能ではない。ループ検出の条件を変えるため、同じ拠点へ経路を戻さないためのフィルタなども含めて設計する。

経路を別のプロトコルへ渡す

再配布は、学習済みの経路を別のルーティングプロトコルへ取り込む処理である。双方向に無条件で再配布すると、元の経路が別経路を回って戻り、障害時に誤った経路を選ぶ原因になる。必要なプレフィックスだけを許可し、必要に応じて経路タグで出所を識別して再流入を防ぐ。

OSPFでは、BGPなどから取り込んだ外部経路をASBRがLSAとして広告する。通常のエリアへ再配布する場合はType 5 LSAを用いる。NSSAなどには別の規則があるため、エリアの種類も確認する。

離れた拠点同士でOSPFとBGPを使う場合、出発側のOSPFのLSAが、そのままBGPの中を通り抜けて相手拠点へ届くわけではない。相手拠点でBGPからOSPFへ再配布するルータが、新たな外部LSAを生成する。「最初にネットワークを知った装置」と「今見ているLSAを生成した装置」を分けて考える。

通信の土台と論理的な接続を分ける

SD-WANでは、実際にパケットを運ぶアンダーレイネットワークと、その上に構築するオーバーレイネットワークを分ける。本記事ではMPLS VPNとインターネットを土台とし、IPsecトンネルで拠点間を結ぶ構成を考える。SD-WAN全般の実装や制御プロトコルが一つに決まっているわけではない。

トンネルの端点はTE（Tunnel Endpoint）と呼ぶ。同じ二拠点間でも、MPLS VPNを通るトンネルとインターネットを通るトンネルは別になる。装置名が同じでも、どの回線に対応する端点を選ぶかまで確かめる必要がある。

土台の経路で相手の端点へ到達できなければ、上に作るトンネルも利用できない。反対に回線が正常でも、認証や鍵の不一致でトンネルが確立できない場合はある。確認する層を分けると障害を切り分けやすい。

管理・制御と業務データを分ける

SD-WANコントローラーは各拠点から情報を集め、経路やポリシーを配布する。IPsec型の構成では、トンネル端点のIPアドレスと鍵に関する情報など、トンネルを作るための情報も扱う。情報の配布方法や鍵交換の分担は製品によって異なる。

一方、業務データは選ばれたトンネルを通り、拠点の装置間で転送される。コントローラーが集中制御するからといって、利用者の全パケットがコントローラーを経由するわけではない。TLSなどで保護された制御通信の経路と、IPsecによるデータ通信の経路を分けて追う。

1台の装置で通信を分離するときは、VRFで独立した経路表と転送処理を持たせる。装置へ制御情報を届けるための通信と、利用者の業務通信を別のルーティングインスタンスで扱う設計がある。VRFで分離した相手へ通信する必要がある場合は、経路を渡す条件とアクセス制御を明示する。

どの通信をどの回線へ流すかを決める

通常のルーティングでは主に宛先IPアドレスに基づいて転送先を選ぶ。SD-WANではポリシーベースルーティングなどを利用し、送信元、通信種別、アプリケーションの識別結果といった条件も判断材料にできる。

例えば音声を遅延の少ない回線へ、通常のファイル転送を別回線へ向ける方針を定める。ただし、アプリケーションを識別する機能や通信品質に応じた切替え条件は製品の機能である。単にSD-WANを導入すれば全ての通信が適切に分類されると考えず、暗号化された通信を含めて分類精度を確かめる。

方針を評価するときは、優先回線が正常な場合と使えない場合の両方で、送信元から宛先まで到達できるかを確認する。戻りの通信についても必要な経路があることを確かめる。

トンネル内の障害を早く見つける

BFDは機器間の転送経路を監視し、通信できなくなったことを短時間で検知するプロトコルである。IPsecトンネル上で利用すれば、物理リンクの状態だけでは分からないトンネルの転送経路の障害を検出できる。鍵の交換や暗号化そのものを担当する機能ではない。

障害時の切替えでは、次の処理を区別する。

1. BFDなどでトンネルが使えないことを検出する。
2. そのトンネルを転送先の候補から外す。
3. 方針に従って利用可能な別トンネルを選ぶ。
4. 変更後の経路で業務通信が成立することを確認する。

監視間隔を短くすると検知は速くなるが、監視パケットや処理負荷が増える。輻輳や一時的な遅延を障害と誤判定しないように、検知のしきい値と復旧後の戻し方も設計する。切替え中の通信断や既存セッションへの影響は実際の通信で検証する。

冗長化できる範囲を確かめる

二つの回線を契約しても、両方が同じ拠点装置や同じ引込経路に依存していれば、そこは共通の故障点として残る。回線の冗長化、装置の冗長化、電源の冗長化を別々に確認する。

コントローラーへ接続できなくなった場合に既存の転送を継続できる時間や、新しいトンネルを作れるかも製品仕様に依存する。設定の配布経路が使えることと、業務データが流れることを別々に監視し、想定した障害ごとに検証する。

参考資料

• IPA「令和6年度春期」問題・解答例・採点講評のネットワークスペシャリスト午後Ⅰ問2。
• RFC 2328でOSPFの外部経路とLSAを確認できる。
• RFC 5880でBFDの監視対象と動作を確認できる。
• CiscoのSD-WAN設計ガイドでは、制御と転送の分担やトンネル構成の実装例を確認できる。
• CiscoのBGPコマンド資料ではas-overrideの処理を確認できる。

午後での問われ方

実際の試験ではここに出る！全1問

ネットワークスペシャリスト

午後Ⅰ

• R6春 問2

この用語が出てくる記事

• SD-WAN
• VPN