SD-WANとは ― 拠点間通信をソフトで制御する仕組み

SD-WAN（Software-Defined WAN）は、拠点をつなぐ複数の回線を束ね、通信の種類ごとに使う回線をソフトウェアで制御する技術です。回線そのものを新しくするのではなく、今ある回線の使い方を変えます。

拠点の通信が本社を経由してインターネットに出る会社では、Web会議やクラウドサービスが遅いという苦情が拠点から届きます。その対策として名前が挙がるのがSD-WANです。拠点から直接クラウドへ出せるようになれば、本社の出口に通信が集まらなくなります。

回線を使い分ける仕組み、閉域網・VPN・SDNとの違い、導入の前に確かめることを順に説明します。

多くの会社は、拠点どうしをWANでつないでいます。よく使うのは、IP-VPNのような通信事業者の閉域網です。閉域網は契約者以外とつながらない事業者の網で、インターネットを通らないので品質を契約で決めやすい一方、インターネット回線より費用がかかります。

次の問題は通信の経路です。従来の構成では、拠点からインターネットへの通信も、いったん本社やデータセンターへ運びます。業務システムが本社にあったころは、この構成で問題ありませんでした。今はWeb会議やクラウドサービスの通信が増え、遠回りの遅延や、閉域網と本社の出口の混雑が目立ちます。

最後は設定の手間です。拠点のルータは1台ずつ設定するので、拠点が100か所あれば、ルールを1つ変えるだけで100台分の作業が発生します。

SD-WANでは、各拠点にエッジ機器を置き、複数の回線をつなぎます。エッジ機器どうしは、回線ごとにトンネルで接続します。トンネルの仕組みはVPNと同じで、元のパケットを別のヘッダで包んで運びます。

回線の上にトンネルで作った論理的なネットワークをオーバーレイ、土台となる閉域網やインターネットをアンダーレイと呼びます。社内の端末から回線の違いは見えず、どの回線を通すかはエッジ機器が決めます。

設定は管理画面で1回変更すれば、コントローラが各拠点のエッジ機器へ配ります。管理画面を含む設定と監視の部分を、オーケストレータと呼ぶ製品もあります。

拠点を増やすときも、事前に機器を登録しておけば、電源と回線をつなぐだけで機器が設定を取得するようにできます。これをゼロタッチプロビジョニングと呼びます。

コントローラは決まりを配るだけで、実際の通信はエッジ機器どうしが直接運びます。Ciscoの設計ガイドによると、コントローラとの接続が切れても、エッジ機器は最後に受け取った情報で動き続けます。その時間の既定値は12時間です。

SD-WANの特徴は、宛先だけでなくアプリケーションを見て回線を変えられることです。普通のルーティングは宛先のIPアドレスで経路を決めるので、同じ宛先なら同じ経路です。

エッジ機器は、IPアドレス・ポート番号・アプリケーション名などで通信を見分けます。そのうえで「基幹システムは閉域網」「一般のWebサイトはインターネット」のように、決まりに沿って送り出します。この決まりをポリシーと呼びます。

回線を選ぶ基準は、通信の種類だけではありません。エッジ機器はトンネルごとに試験用のパケットを流し続け、パケットロス・遅延・ジッタを測ります。Ciscoの製品では、BFDというプロトコルが既定で1秒ごとにこのパケットを送ります。

音声なら遅延は何ミリ秒までというように、通信ごとの基準も決めておきます。測定値が基準を外れると、エッジ機器は通信を別の回線へ移します。どの回線も基準を満たさないときに、予備の経路へ流すか通信を捨てるかも、設定で決めます。

QoSと似ていますが、働く場所が違います。QoSは混雑した1本の回線の中で送る順番や帯域を調整し、SD-WANは複数の回線の中から通す回線を選びます。

次の図で通信の種類と回線の状態を選ぶと、使う回線とその理由が表示されます。振り分けは設定の一例で、実際の決まりは会社ごとに作ります。

ローカルブレイクアウトは、選んだ通信を拠点のインターネット回線から直接外へ出す転送方法です。インターネットブレイクアウトとも呼びます。Web会議が遅いという拠点の苦情に効くのは、主にこの機能です。

本社までの遠回りがなくなるので、遅延が減ります。閉域網と本社の出口を通る通信も減るので、ほかの通信に使える帯域が増えます。Ciscoのガイドは、効果として帯域の消費・遅延・WAN回線の費用の削減を挙げています。

すべての通信を直接出すわけではありません。宛先やアプリケーションを決まりに書いて、Web会議やクラウドサービスのように行き先の分かる通信を選びます。拠点にインターネット回線がないときや回線が切れたときは、別の拠点まで運んで、そこから外へ出します。

閉域網と拠点間VPNとSD-WANは、同じ種類のものではありません。閉域網は事業者から買う回線で、VPNは回線の上に作るトンネルです。SD-WANは、回線とトンネルをどう使うかを決める仕組みです。

「SD-WANとMPLSの違い」と聞かれることがよくあります。MPLSは、事業者のIP-VPNの中で使われる代表的な転送技術で、MPLS回線と言うと閉域網を指します。つまり、MPLSはSD-WANと並ぶ選択肢というより、SD-WANの下で使える回線の1つです。閉域網を残して組み合わせることも、インターネット回線だけで組むこともできます。

拠点間VPNとは、トンネルを使う点が同じです。インターネットを通るトンネルはIPsecで暗号化するのが一般的で、この点もインターネットVPNと変わりません。違うのは、回線ごとのトンネルを品質で使い分けることと、拠点が増えても一括で管理できることです。

SDNは、制御を機器から切り離し、1か所のソフトウェアに集める考え方です。SD-WANも、経路や決まりをコントローラに集めます。米国のNISTの資料も、SD-WANは制御とデータの機能を切り離し、ポリシーを集中して指定できると説明しています。

SDNはデータセンターや社内のネットワークも含む広い考え方で、SD-WANは拠点間の回線の使い分けに絞った技術です。SDNで使うOpenFlowを使うとは限らず、コントローラとエッジ機器の間のプロトコルはメーカーごとに違います。たとえばCiscoの製品では、OMPというプロトコルを使います。

回線の品質そのものは上がらない

SD-WANは、品質を測って良い方の回線を選ぶ仕組みです。どの回線も混んでいれば、選べる回線がありません。遅い原因が回線なのか、本社の出口なのか、クラウド側なのかを先に調べましょう。遅延の測り方はpingとtracerouteの記事で説明しています。

回線は別の経路で引く

2本の回線が同じ網を通っていると、網の障害で一緒に止まります。事業者や引き込みの経路が分かれているかを確かめます。

切り替えは一瞬ではない

品質の悪化に気づくまでの時間は、設定で変わります。Ciscoのガイドの既定値では、品質の計算は10分ごとです。短時間の品質低下では切り替わらないことがあるので、Web会議の音声が途切れても、すぐ別の回線へ移るとは限りません。

拠点ごとにセキュリティを考える

本社の出口にあるファイアウォールやプロキシでは、拠点から直接出す通信を検査できません。そこで、拠点の機器で検査するか、クラウドの検査サービスを通します。ネットワークとセキュリティの機能をまとめてクラウドから使う構成をSASEと呼びます。SASEはゼロトラストの記事でも紹介しています。

• MEF 70.2 SD-WAN Service Attributes and Service Framework（SD-WANの定義、回線・エッジ機器・トンネルの説明、インターネットブレイクアウト、暗号化と予備の回線の指定。MEF 70とMEF 70.1の後継）
• NIST SP 800-215 Guide to a Secure Enterprise Network Landscape（SD-WANの特徴と制御の分離、SASE）
• Cisco SD-WAN Terminology（オーバーレイ、アンダーレイ、コントローラ、OMP、BFD、DIAの用語）
• Cisco Catalyst SD-WAN Design Guide（トンネル、機器の自動の初期設定、コントローラと切れたときの動作）
• Cisco SD-WAN: Application-Aware Routing Deployment Guide（品質の測定、基準の決め方、基準を満たす回線がないときの扱い）
• Cisco SD-WAN: Enabling Direct Internet Access（本社へ戻す構成の問題と、拠点から直接出す効果）
• Cisco Secure Direct Internet Access for IOS-XE SD-WAN Devices Deployment Guide（拠点で動かすセキュリティ機能）
• Arista VeloCloud SD-WAN Overview（設定と監視を受け持つオーケストレータの説明）
• RFC 4364 BGP/MPLS IP Virtual Private Networks (VPNs)（MPLSを使うIP-VPN）