オーバーレイネットワーク
更新日:
用語解説
既存の物理・IPネットワークであるアンダーレイの到達性を利用し、その上にトンネルやカプセル化による論理的な接続・アドレス空間・トポロジを構成するネットワークです。物理配置から論理構成を分離し、拠点接続、仮想ネットワーク、テナント分離等を柔軟に実現します。
■ 試験で押さえるポイント
送信側のトンネル終端は元のパケット又はフレームを外側のヘッダで包み、アンダーレイは外側の宛先まで転送します。受信側終端が外側ヘッダを外して内側データを渡すため、中継網は原則として内側の論理アドレスを知らなくても構いません。
VPN、GRE、IPsecトンネル、VXLAN、SD-WAN及び一部のP2P網はオーバーレイの例です。ただし目的と機能は異なり、例えばVXLANはL2セグメントの仮想化、IPsecは暗号化されたIP通信、SD-WANは複数回線を横断した経路制御を主眼とします。
データプレーンは実際のカプセル化・転送を行い、コントロールプレーンはトンネル終端、論理識別子、到達先等の対応関係を配布します。静的設定、集中制御、EVPN等の方式があり、対応情報の不整合は通信断や誤配送につながります。
アンダーレイにはトンネル終端間のIP到達性、十分な帯域及び適切なMTUが必要です。カプセル化ヘッダの分だけ実効MTUが小さくなるため、MTU調整、Path MTU Discovery又はMSS調整が不適切だと断片化や特定サイズだけの通信失敗が起こります。
一つの物理網上に複数の論理網を重ねられるため、テナントや用途ごとの分離、アドレス重複の収容、仮想マシン移動への追従が容易になります。一方、論理識別子の設定誤りや制御装置の侵害は分離破りにつながるため、認証・認可と設定監査が必要です。
オーバーレイであること自体は暗号化を意味しません。VXLANやGREのみでは通常、機密性・完全性・相手認証を提供しないため、必要に応じてIPsec、TLS等を組み合わせ、鍵とトンネル終端を保護します。
障害解析では内側パケット、カプセル化処理、外側パケット、アンダーレイ経路及び制御情報を分けて確認します。論理上は隣接していても物理的には遠回りする場合があり、下位網の輻輳・障害は複数の論理網へ同時に波及します。
■ 過去問での着眼点
オーバーレイはアンダーレイの到達性の上に論理ネットワークを構成し、トンネル終端で元のデータをカプセル化・非カプセル化します。論理構成を物理網から分離できますが、下位網の到達性・MTU・帯域へ依存し、方式によっては暗号化を提供しません。オーバーレイであることと暗号化されていることは別であり、方式ごとの保証範囲を確認します。
例: 拠点Aと拠点Bのルータ間にGREトンネルを作ると、内側のプライベートIPパケットを外側の拠点間IPパケットで運べます。ただしGREだけでは盗聴や改ざんを防げないため、機密通信ならIPsec等を併用し、追加ヘッダを見込んでMTUも調整します。