SD-WANによる拠点接続

SD-WAN（Software-Defined Wide Area Network）は、拠点間を結ぶWANの経路制御とトンネル構成を、各拠点の機器を個別に設定するのではなく、集中管理の仕組みから一括して行う技術である。複数の回線を束ねて拠点間の通信経路を状況に応じて選ぶことで、設定作業を行いやすくするとともに、WANの冗長化も同時に実現する点が特徴である。本社、データセンター及び支店を結ぶ構成では、通常時と障害時のそれぞれで通信がどの経路を通るかを正しく追跡できることが設計の基本となる。

集中制御と拠点間トンネルの仕組み

SD-WANでは、コントローラーが各拠点のエッジ機器に対して、経路情報やトンネルの接続関係などの制御情報を配布する。各拠点の機器は、受け取った情報に従って拠点間に暗号化トンネルを張り、業務の通信を転送する。そのため、拠点を追加する場合には既存の機器を一台ずつ書き換えるのではなく、コントローラーに新しい拠点の情報を登録して設定を配布する形で作業が進む。試験では、コントローラーから機器へどのような情報が送られるかが問われることがあるため、経路とトンネルの両面から整理しておく必要がある。

障害検知と経路の切替え

SD-WANの冗長化は、拠点間トンネルの死活監視によって支えられる。トンネルインタフェースにBFDを設定すると、一定の間隔で送られる確認パケットへの応答が途絶えたときに障害を素早く検知し、別の回線を使う経路へ切り替えることができる。IPsecの機能だけでは障害の検知が遅れる場合があるため、BFDを併用して切替えを早めることが設計上の狙いである。 通常時に本社のPCから支店のPCへの通信が通る経路と、支店のL社VPN接続回線に障害が発生したときに通る経路は同じとは限らない。このため、障害の前後で経路がどのように変わるかを図中の機器を順にたどって確認することが求められる。

経路制御の設計上の注意

経路フィルターは、本来広告すべきでない経路を相手に伝えないための仕組みである。不要な経路の伝播による迂回やルーティングループを防ぎ、障害の拡大を抑える役割を持つ。 複数の拠点がBGPで同じAS番号を使う構成では、eBGPのループ防止機能によって経路が受け入れられない問題が生じる。as-overrideは、経路情報のAS_PATHに含まれる相手側のAS番号を自拠点側の番号に置き換えることで、この問題を回避する設定である。 OSPFでは、LSAの種類によって拠点間に通知される情報の範囲が異なるため、経路を見る際にはタイプごとの役割を区別する必要がある。