ネットワーク仮想化とVRF

この単元で学ぶこと

ネットワーク仮想化は、共有するスイッチ・ルータ・サーバー・回線などの物理基盤の上に、複数の論理ネットワークを作って分離する考え方です。

この単元では、ネットワーク仮想化、仮想スイッチ、ハイパーバイザー、仮想マシン、コンテナ、仮想ネットワークインターフェース、VRF、VRFルーティングテーブル、ルートリーキング、テナント分離を学びます。

ネットワーク仮想化とは

ネットワーク仮想化は、共有する物理ネットワーク上に、用途・部門・顧客・環境ごとに分けた論理ネットワークを作る考え方です。同じ物理スイッチや回線を使っていても、VLAN、VRF、オーバーレイなどを組み合わせることで、通信範囲やルーティング情報を分離できます。

分離の目的は、セキュリティだけではありません。運用の独立性、アドレス設計の柔軟性、変更の影響範囲の縮小にも役立ちます。

仮想化基盤と仮想スイッチ

ハイパーバイザーは、一台の物理サーバー上で複数の仮想マシンを動かすための基盤です。仮想マシンは、CPU、メモリ、ストレージ、ネットワークインターフェースを仮想的に持つコンピュータとして動作します。

仮想スイッチは、仮想マシンやコンテナの仮想ネットワークインターフェースを接続する機能です。物理スイッチと同じように、仮想環境内の通信を収容し、VLANなどの設定を適用できます。

仮想マシンとコンテナ

仮想マシンは、各インスタンスが独自のOSを持つ形で動作します。コンテナは、ホストOSのカーネルを共有しながら、アプリケーションを隔離して実行する方式です。

どちらもネットワーク接続を必要とします。運用では、どの仮想マシンやコンテナがどの論理ネットワークへ接続されているかを把握します。

VRFとは

VRFはVirtual Routing and Forwardingの略で、一台のルータまたはL3スイッチ上に、複数の独立したルーティングと転送の情報を持たせる仕組みです。各VRFは、別々のルーティングテーブルとして扱われます。

同じ機器上でも、VRFが異なれば、ルートやインターフェースの所属を分離できます。そのため、部門・顧客・サービスごとにIPネットワークを分けたい場面で使われます。

VRFによる分離

通常のルーティングでは、一台の機器が一つの主なルーティングテーブルを使います。VRFを使うと、VRFごとに独立したルーティングテーブルを持つため、同じ宛先プレフィックスでも異なるVRFで別の経路として扱えます。

アドレス空間が重複する環境でも分離して扱える場合がありますが、設計・運用・トラブルシュートは複雑になります。VRF名、所属インターフェース、ルート、DNS、管理経路を明確にします。

ルートリーキング

ルートリーキングは、本来は分離されたVRF間で、必要な経路だけを意図的に共有する考え方です。たとえば、複数のVRFから共通のDNSサーバーやインターネット出口へアクセスさせる場合に検討します。

安易に全経路を共有すると分離の目的を損なうため、必要最小限のプレフィックス、方向、アクセス制御を設計します。

テナント分離と運用

テナント分離は、異なる組織、部門、顧客、開発環境などの通信や設定を論理的に分ける考え方です。VRFだけでなく、VLAN、ACL、ファイアウォール、認証、ログ監視を組み合わせます。

障害対応では、対象のVRF、所属するインターフェース、VRF内のルーティングテーブル、名前解決、出口経路を確認します。グローバルのルーティングテーブルだけを見ても、VRF内の問題は判断できません。

まず覚えたいポイント

ネットワーク仮想化は共有する物理基盤の上で論理的なネットワークを分ける考え方です。VRFは一台のL3機器上で複数の独立したルーティングテーブルを持たせ、通信と経路を分離します。