アンダーレイ・ネットワークとは何ですか？

アンダーレイネットワークとは、SD-WANオーバーレイの暗号化されたトンネルを伝送する、物理的なネットワークまたはプロバイダーが提供する伝送手段（MPLS回線、ブロードバンドインターネット回線、LTE/5Gなど）のことです。アンダーレイはパケットを伝送し、オーバーレイはそれを1つの論理ファブリックとして抽象化し、その上でポリシーやアプリケーションが動作します。

主なポイント

• アンダーレイはパケットを転送し、オーバーレイはその上に論理ファブリックを構築します。
• 一般的な基盤通信方式としては、MPLS、ブロードバンドインターネット、LTE/5Gなどが挙げられます。
• サイトは、1つのアンダーレイを共有することも、別々の、互いに独立したアンダーレイを実行することもできます。
• SD-WANゲートウェイは、アンダーレイが接続されていない支店同士を橋渡しします。
• WANリンクにおける暗号化は、多くの場合、その下位層が信頼できるかどうかによって決まります。

このページの内容： その重要性 ・ 仕組み ・ 種類 ・ アンダーレイネットワークとVersa · よくある質問

アンダーレイネットワークはなぜ重要なのでしょうか？

SD-WANの導入はすべて、それが稼働するアンダーレイに依存するため、設計上の決定はそこから始まります。共有トランスポートを採用するか、あるいは複数の独立したトランスポートを採用するかという選択によって、各拠点の冗長性の程度や、コントローラーがその拠点に直接アクセスできるかどうかが決まります。単一のアンダーレイ経由で接続された支店も機能はしますが、複数のトランスポートドメインをまたいでコントローラーにアクセスできる場合に得られる自動フェイルオーバー機能は利用できなくなります。

アンダーレイの種類も、セキュリティ上の判断に影響を与えます。プライベートMPLS回線は従来、セキュリティが確保されているものとみなされるため、そのトラフィックは平文のオーバーレイトンネルを使用し、IPsecによるオーバーヘッドを回避できますが、インターネットのアンダーレイではそのような前提は成り立ちません。トポロジーもスケーラビリティの観点で重要です。複数のアンダーレイを用いたフルメッシュ設計では、単一のアンダーレイ上のハブ・アンド・スポーク方式に比べて、SLA監視トラフィックがはるかに多く発生します。

アンダーレイネットワークとは何ですか？

アンダーレイとは、実際にパケットを転送する物理ネットワークまたはプロバイダーのネットワークのことです。これには、MPLS回線、ブロードバンドインターネット接続、LTE/5G、あるいはプライベートレイヤー2サービスなどが含まれます。SD-WANはこれを純粋にトランスポートとして扱い、テナント、アプリケーション、ポリシーについては一切認識しません。その上に、SD-WANはオーバーレイを構築します。具体的には、データトラフィック用の暗号化されたIPsecトンネルと、デフォルトでは、2つ目の平文のVXLANベースのオーバーレイです。

2つのサイトが共通のトランスポートによって直接接続されている場合（たとえば、両サイトが同じインターネットプロバイダーを利用している場合など）、それらのサイトはアンダーレイを共有します。一方、共有されるトランスポートが存在しない場合（一方のサイトはインターネットのみ、もう一方のサイトはMPLSのみを利用している場合など）、それらのサイトは分離されたアンダーレイを持ちます。分離されたアンダーレイは、NATトラバーサルに失敗した後やMPLS移行中に頻繁に発生しますが、SD-WANゲートウェイが存在する理由はまさにここにあります。

アンダーレイネットワークの種類

共有アンダーレイ– すべてのサイトが、共通のインターネットプロバイダやMPLSサービスなどの同一の伝送経路を介して相互に接続されます。最もシンプルな設計であり、ゲートウェイを必要としません。

分離されたアンダーレイ– 2つのサイト間で共通の通信経路がないため、3つ目のデバイスがSD-WANゲートウェイとして機能し、一方のアンダーレイのVRFからルートをインポートして、もう一方のアンダーレイに再エクスポートします。

マルチトランスポート（ハイブリッド）アンダーレイ– 1本の回線でMPLS、ブロードバンド、LTE/5Gを同時に伝送し、SD-WANポリシーによって、アプリケーションの遅延およびパケット損失の目標を満たすアンダーレイへトラフィックを誘導します。

制限付き（孤立型）アンダーレイ– 国境を越えたIPsec通信が遮断されている地域では、各支店は政府が承認したアンダーレイ上でSD-WANアイランドを形成し、直接接続するのではなく、ハブ・コントローラーノードを介して相互接続されます。

アンダーレイネットワークおよびVersa

Versa VOSエッジデバイスは、サイトが使用するあらゆるアンダーレイ伝送方式を横断して、SD-WANオーバーレイ（暗号化されたIPsecトンネル、およびオプションで平文のVXLANトンネル）を構築します。また、SLAモニタリングにより、各アンダーレイ経路の遅延、ジッター、パケット損失を測定し、トラフィックを最適な経路に誘導します。『統合SD-WAN設計ガイド』および『Versa SD-WAN設計ガイド』では、アンダーレイの信頼性に基づくオーバーレイのアドレス指定と暗号化について解説しています。

サイト間で共通のアンダーレイが存在しない場合、VersaのSD-WANソリューション（アーキテクチャ ）では、SD-WANゲートウェイについて次のように説明しています。これは、両方のアンダーレイネットワークにインターフェースを持つハブデバイスであり、ルートを再配布することで、互いに分離された支店間でも通信が可能になるようにします。

よくある質問

アンダーレイ・ネットワークとオーバーレイ・ネットワークの違いは何ですか？

アンダーレイとは、パケットを伝送する物理的な通信経路（MPLS、インターネット、LTE/5Gなど）のことです。オーバーレイとは、その上にSD-WANが構築する暗号化された論理ネットワークのことで、これにより、トラフィックがどの物理リンクを経由したかに関係なく、アプリケーションやポリシーからは一貫したファブリックとして認識されます。

SD-WANの導入において、複数のアンダーレイを使用することは可能ですか？

はい、実際、ほとんどの生産環境での導入ではそのように行われています。通常、1つのブランチではMPLS、ブロードバンド、LTE/5Gが同時に利用されており、それぞれが独立したアンダーレイを構成しています。SD-WANポリシーとSLAモニタリングは、リアルタイムの遅延、ジッター、パケット損失の測定値に基づいて、特定のフローをどのアンダーレイで転送するかを動的に決定します。

「不連続なアンダーレイネットワーク」とは何ですか？

2つの拠点間で共通の通信経路が存在しない場合、つまり一方の拠点にはインターネットのみ、もう一方の拠点にはMPLSのみが利用されている場合、アンダーレイが分離している状態となります。ゲートウェイがない場合、いずれかのリンクで障害が発生すると、その拠点は孤立してしまいます。両方のアンダーレイにインターフェースを持つSD-WANゲートウェイは、ルートを再配布することで、これらを橋渡しします。

Versa は、すべてのアンダーレイトラフィックを暗号化しますか？

デフォルトでは、その通りです。データは暗号化されたIPsecオーバーレイを経由します。管理者は、アンダーレイがMPLSなどの信頼できるプライベート回線である場合、IPsecのオーバーヘッドを回避するために、WANインターフェースを平文転送するように設定できます。また、SD-WANポリシーにより、フローごとにこの設定を上書きすることも可能です。

規制上の理由により、アンダーレイネットワークを分離することは可能ですか？

はい。国境を越える暗号化されたIPsecトラフィックが制限されている地域では、支社は政府が承認したプライベートアンダーレイ上でSD-WANアイランドを形成し、その地域外とは直接接続しないようにすることができます。ハブコントローラーノードが、この隔離されたアイランドのコントロールプレーンをネットワークの他の部分へと接続します。

Underlay Networkの詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

アンダーレイネットワークについて調べているなら、次はこれらをチェックしてみる価値があります。