SD-WANとは何か？

ソフトウェア定義WAN（SD-WAN）は、ネットワーク制御と基盤となる物理的な伝送層を分離し、一元化されたポリシーとアプリケーション認識型ルーティングを活用して、暗号化された仮想オーバーレイを介し、インターネット、MPLS、LTEリンク間でトラフィックを動的に誘導します。これにより、手動でプロビジョニングされる柔軟性に欠けるWAN回線を、リアルタイムで選択されるソフトウェア定義の経路に置き換えます。

主なポイント

• SD-WANは、リアルタイムのパフォーマンスに基づいて、各リンク間のトラフィックを振り分けます。
• 一元化されたポリシーにより、ルーターごとの個別の設定が不要になります。
• トラフィックは、基盤となるトランスポートとは独立した暗号化されたオーバーレイ上を伝送されます。
• アプリケーション認識型ルーティングは、リンクごとではなく、アプリケーションごとに最適な経路を選択します。
• インターネットへの直接接続により、各支店はバックホールせずにローカルでネットワークを分離できるようになります。

このページの内容： その重要性 ・ 仕組み ・ 種類 ・ SD-WAN とVersa · よくある質問

SD-WANはなぜ重要なのでしょうか？

アプリケーションはクラウドに移行し、トラフィックの流れもデータセンター向けからインターネット向けへと変化しましたが、ほとんどのWANは依然として、高価で静的にプロビジョニングされたMPLS回線を基盤とし、各機器ごとにCLIによる設定が行われていました。SD-WANが重要視される理由は、ルーティング機能と伝送機能を分離している点にあります。中央のコントローラーがすべての拠点にポリシーを配信し、各拠点は固定のルーティングテーブルではなく、リアルタイムの経路品質に基づいて、利用可能なあらゆるリンクを介してトラフィックを動的に誘導するのです。

そのメリットは、柔軟性とコスト面にあります。各拠点ごとに高価なMPLS回線を導入する代わりに、各チームは、SLAに基づく経路選択を通じてアプリケーションのパフォーマンスを保証するSD-WANポリシーと、より安価なブロードバンド回線を組み合わせています。この抽象化により、支店でのインターネットへの直接アクセスや、遅延に敏感なトラフィックに対するアプリケーション認識型ルーティングが可能となり、これがSASE がその後構築してきた基盤となっています。

SD-WANとは何か？

SD-WANは、1つまたは複数の物理WAN伝送経路にわたって暗号化された仮想オーバーレイを構築するため、その瞬間にどのアンダーレイリンクがトラフィックを伝送しているかに関係なく、アプリケーションからは安定した、ポリシーによって制御されたネットワークとして認識されます。 これを可能にする要素は2つあります。1つは、オーバーレイトンネル（通常はIPsec、すでに信頼されている通信経路の場合は平文トンネルとなることもあります）によって、各サイトが到達する必要のある他のすべてのサイトやハブに接続されることです。もう1つは、各ルーターを手作業で設定する代わりに、一元化されたオーケストレーション層がポリシーを一度定義し、それをすべての場所に適用することです。

また、SD-WANは各経路の遅延、ジッター、パケットロス、可用性を測定し、アプリケーションごとにトラフィックを最適に誘導します。たとえば、音声通話には遅延が最も少ない経路が、大容量のバックアップにはコストが最も低い経路が割り当てられ、経路がSLAの要件を満たさなくなった場合は自動的に迂回されます。これにより、SD-WANネットワークはインターネット、MPLS、LTEの各リンクを柔軟に組み合わせて利用することが可能になります。

SD-WANの種類

SD-WANの導入では、サイト間の通信ニーズに応じて、各サイトごとに選択されるいくつかのオーバーレイトポロジーに落ち着く傾向があります。ハブ・アンド・スポーク方式では、支店間のトラフィックが中央のハブを経由して分岐します。これはセキュリティ確保や検査が最も容易ですが、その代償として支店間の遅延が増加します。フルメッシュ方式では、すべての支店間に直接トンネルを構築するため、遅延は最小限に抑えられますが、ネットワークが拡大するにつれてトンネルの数が倍増します。リージョナルメッシュは、その中間の形態です。つまり、同一リージョン内ではフルメッシュを採用し、リージョン間ではハブ・アンド・スポークを採用します。マルチVRF（マルチテナント）展開では、テナントごとに1つずつ、相互に隔離されたルーティングドメインを同じエッジデバイスおよびオーバーレイ上に階層化し、それぞれに独自のトポロジーとポリシーを設定します。実稼働ネットワークの多くは、単一のパターンを選択するのではなく、これらのパターンを組み合わせています。

SD-WAN およびVersa

Versa Secure SD-WAN SD-WANを、単一用途のアプライアンスとしてではなく、Versa オペレーティングシステム（VOS）上の統合ソフトウェア機能として実装しています。各VOSエッジデバイスは、コントローラーノードや他の支店に向けて、暗号化されたオーバーレイトンネル（デフォルトではIPsec、アンダーレイがすでに信頼されている場合は平文トンネル）を構築し、フルメッシュ、ハブ・アンド・スポーク、リージョナルメッシュ、またはマルチVRFトポロジーを形成します。 トラフィックステアリングは、転送プロファイルに紐付けられたSD-WANポリシーに基づいて実行されます。各プロファイルは、優先度とSLAの遵守状況に基づいて回線をランク付けするため、音声通話と大容量転送が、同じリンク上で異なる経路を通ることも可能です。

ヘッドエンド（オーケストレーション担当ディレクター、コントロールプレーン中継用コントローラー、テレメトリ分析担当）が、このポリシーを一元的に適用・監視する一方、ブランチはパスの品質低下に対してローカルで対応します。また、ブランチはローカルSaaSへの直接アクセスもサポートしており、LTEリンクはコスト管理されたバックアップとして、ホットスタンバイまたはコールドスタンバイとして運用可能です。詳細については、『統合SD-WAN設計ガイド』を参照してください。アーキテクチャ

よくある質問

SD-WANと従来のWANの違いは何ですか？

従来のWANでは、トラフィックは静的に設定された（多くの場合、単一のトランスポートリンク、典型的にはMPLS）経路を経由し、手動で機器ごとに設定が行われます。一方、SD-WANでは、複数のトランスポートを中央管理型のオーバーレイに抽象化し、各リンクのリアルタイムで測定されたパフォーマンスに基づいて、アプリケーションごとにトラフィックを動的に誘導します。

SD-WANとSASE の違いは何ですか？

SD-WANはネットワーク層であり、暗号化されたオーバーレイや、WANリンクを横断するアプリケーション認識型のトラフィックステアリングを実現します。SASE は、クラウド経由で提供されるセキュリティ（SWG、CASB、ZTNA、DLP）をその層と統合したものであり、したがってSD-WANはSASE アーキテクチャ の構成要素の一つであり、その代替となるものではありません。

SD-WANはMPLSを完全に置き換えるのでしょうか？

必ずしもそうとは限りません。SD-WANは、複数の伝送方式の一つとしてMPLS上で動作させることも、あるいはブロードバンドインターネットに完全に置き換えることも可能です。多くの企業では、遅延に敏感なトラフィック用にMPLSを維持しつつ、SD-WANの管理下でインターネットやLTE回線を追加しており、ブロードバンドのSLAに対する信頼性が高まるにつれて、MPLSからの移行を進めています。

SD-WANは、トラフィックをどの経路で送るかをどのように決定するのでしょうか？

SD-WANは、SLAプローブを通じて各経路の遅延、ジッター、パケットロス、可用性を測定し、転送プロファイルで定義されたポリシー（アプリケーション、ユーザー、または宛先別）に基づいてトラフィックを経路に割り当てます。SLAの要件を満たさなくなった経路は、自動的に次の優先順位の経路に切り替わります。

SD-WANはデフォルトで安全ですか？

SD-WANオーバーレイ上のトラフィックは通常、IPsecによってエンドツーエンドで暗号化されるため、トランスポート層自体は安全です。しかし、SD-WAN単体では、脅威の検知、Webフィルタリング、アクセス制御の機能は備わっていません。これらの機能を利用するには、統合型ファイアウォール、あるいはより広範なSASE アーキテクチャ をその上に重ねて導入する必要があります。

SD-WANに関する詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

SD-WANについてお読みになっているなら、次はこれらもぜひチェックしてみてください。