ネットワークにも仮想化の波【第2回】

基幹ルータからUTMまで　仮想化を推し進めるネットワーク機器たち

サーバやストレージのみならず、ネットワーク機器にも仮想化の波が訪れ、ネットワークの構築・運用面で大きなメリットをもたらしている。今回は、仮想化機能を備えたネットワーク機器の具体像に迫る。

公開 2009年03月12日 08時00分

更新 2012年09月04日 18時15分

[井上猛雄]

印刷する

キャリア向け中心の「分離型」にもエンタープライズ向けが登場

　ここ1、2年で、仮想化機能を備えたネットワーク機器が数多く登場している。一口にネットワーク機器といっても、スイッチ／ルータから、ファイアウォール、アプリケーションスイッチ（ロードバランサ）、IDS／IPS（侵入検知／防御）、各種セキュリティ機能をまとめたUTM（統合脅威管理）など種類が豊富だ。そこで、ここでは仮想化をサポートするネットワーク機器を分類して紹介したい。前回「『ネットワークの仮想化』で何ができるか」で説明したように、ネットワーク仮想化の一般的なアプローチは、1つの物理リソースを論理的に分割して複数の小さなリソースに見せる「分離（分割）型」と、複数の物理リソースを1つの大きなリソースにまとめる「統合型」に大別できる。

　まずコアスイッチについては、分離型の仮想化ネットワークを実現するデータセンターや通信事業者サービス向け製品と、エンタープライズ向け製品がある。前者はシスコシステムズのデータセンター向けスイッチ「Nexusシリーズ」や、「ACE（Application Control Engine）module」および「FWSM（Fire Wall Services Module）」などが代表例として挙げられるだろう。

シスコのデータセンター向けスイッチ「Nexusシリーズ」。OSの機能により1台で最大4台の仮想スイッチに分割できる

　Nexusは、ソフトウェア実行環境を論理分割できる仮想化技術を採用した新OS「Nexus Operating System 4.0」（NX-OS4.0）を実装し、スイッチングニーズの異なる複数の管理者によってシステムの供用が可能だ。NX-OS4.0では、1台で最大4台の仮想スイッチに分割できる（ただし別途ライセンスが必要）。一方ACE moduleは、同社のコアスイッチ「Catalyst 6500シリーズ」やコアルータ「Cisco 7600シリーズ」に統合可能なモジュールで、可用性、アクセラレーション、セキュリティを高められる。またFWSMは、高性能なステートフルインスペクションファイアウォール（パケットの中身を精査する機能）モジュールで、ACE moduleと同様にCatalyst 6500シリーズやCisco 7600シリーズに搭載できる。いずれのモジュールも1台で最大250台の仮想アプリケーションスイッチに分割が可能だ。

　コアルータの仮想化には、数年前から「ロジカルルータ」という技術があった。これは文字通り、1台の物理的なルータを論理的に複数のルータとして動作させる技術である。ロジカルルータのほか「バーチャルルータ」など機能面から幾つかの名称があり、ベンダーごとに実装が異なる。一般的にロジカルルータは、ルータの設定・管理を行う「コントロールプレーン」を含めて完全に独立した仮想化を実現するもので、運用ポリシーの異なる複数ネットワークの共存が可能だ。バーチャルルータの方はコントロールプレーンまでは仮想化できないが、ルーティングは個別に管理される。

ジュニパーネットワークスのハイエンドコアルータ「Tシリーズ」。通信事業者内の各種ルータを1台に集約できる

　ロジカルルータ機能をサポートする製品は、ジュニパーネットワークスのハイエンドコアルータ「Tシリーズ」（独立制御システム・JCS1200シャーシによる併用）や、シスコのコアルータ「CRS-1」が代表的。ロジカルルータ機能によって、従来まで通信事業者内でコア／インターネット／ゲートウェイ／ピアリング／アグリゲーションなど機能単位で分けていたルータを1台に集約できるようになった。

　ところで、前述のようなデータセンターや通信事業者向けのハイエンドなコアスイッチ／ルータは、一般企業でのネットワーク仮想化という観点では性能的にオーバースペックなものが多い。そこでエンタープライズ向けにターゲットを絞った製品も登場している。例えば、アラクサラネットワークスのマルチレイヤースイッチ「AX6700Sシリーズ」などがそれに該当する。同社は仮想的に複数のスイッチ／ルータを動作させるVRF（Virtual/VPN Routing and Forwarding）とVLAN（Virtual LAN）の技術を併用し、論理的に仕切られた「ネットワーク・パーティション」によって、シンプルなネットワークを構築する手法を提案している。これは、高性能なVRFコアスイッチを中心として、ネットワークの足回りに安価なレイヤー2エッジスイッチを採用するソリューションだ。

アラクサラネットワークスの企業向けマルチレイヤースイッチ「AX6700Sシリーズ」。論理パーティショニング技術により、シンプルなネットワーク構築を提案する製品だ

ネットワーク仮想化をBCに役立てる

　一方、一般的な統合型の仮想化では、従来のスイッチで用いられてきたハードウェアによるスタッキング技術を進化させ、散在するスイッチを仮想化技術で論理的に1つにまとめて扱えるようにするものが多い。ジュニパーネットワークスの「Virtual chassis」（バーチャルシャーシ）機能を搭載したイーサネットスイッチ「EX4200」は、複数のスイッチを接続し、仮想的に1台の高密度スイッチとしてシャーシ型と同様のパフォーマンスを引き出す。各スイッチに専用端子があり、それを接続することで最大10台のスイッチをまとめることが可能だ。拡張ツールを利用すると、付近のスイッチだけでなく光ファイバーを利用した遠距離接続のバーチャルシャーシも構成できる。

ジュニパーネットワークスのイーサネットスイッチ「EX4200」。バーチャルシャーシ機能で最大10台のスイッチをまとめられる

　また自然災害などが発生した場合に、企業の事業継続性（BC）を実現するFT（Fault Tolerant：耐障害）ネットワークにおける仮想化の利用も考えられる。前述のAX6700Sシリーズでは1台の装置に2台分の機能を搭載したFTスイッチをコアとして使用し、万が一障害が起きても内部に張ったクロスコネクション（複数の信号の入出力間の経路設定）を高速に切り替えることで、無停止復旧を実現する。従来の冗長化構成での複雑さを解消し、機能をまとめることで設置面積も削減しているため、管理やトラブルシュートも容易になる。

　シスコシステムズもレイヤー3スイッチ「Cisco Catalyst 6500」向けの仮想化モジュール「VSS1440」（Virtual Switching System）を開発している。こちらは、クラスタ構成の2台のCatalyst 6500を「Virtual Switch Link」という特殊なプロトコルで結び、仮想的に1台のスイッチとして運用する。両者間で同期を取ることで、もし片方のCatalyst 6500に障害が発生してもネットワーク機能を維持できる。従来の冗長化では一方のスイッチが待機系となり、実稼働しなくても電力は消費されたが、VSS1440ではアクティブ－アクティブ構成によって2台分の処理能力を同時に活用できる。また運用管理の負荷が軽減されるだけでなく、従来冗長性確保のために用いられてきたSTP（Spanning Tree Protocol）、VRRP（Virtual Router Redundancy Protocol）、HSRP（Hot Standby Routing Protocol）などの技術が不要になり、経路の冗長化をプロトコルレスで設計することができる点もメリットだ。

　似たような機能は、同社以外のベンダーでも開発されている。例えば、ノーテルネットワークスでは「Split Multi-Link Trunking」（SMLT）、エクストリームネットワークスでは「Summit Stack」、アライドテレシスでは「Virtual Chassis Stack」（VCS）といった技術を持っている。

ロードバランサやセキュリティ機器にも仮想化の波

　分離型の仮想化という観点では、ネットワークに仮想のパスを張って通信を分離するVPNも仮想化技術のカテゴリーに入るだろう。インフラ部の装置を供用し、通信のみを分離することで設備投資の最適化が図れる。例えばジュニパーネットワークスのSSL VPNアプライアンス「SAシリーズ」は、1台の装置を利用して複数のSSL VPNを動作させる機能として「IVS」（Instant Virtual System）を搭載し、通信事業者側でサービスを提供する際にユーザーごとのドメインで運用できる。

　また仮想化技術は、アプリケーションスイッチ（ロードバランサ）などにも利用されるようになってきた。F5ネットワークスのアプリケーションスイッチ「VIPRION」は、柔軟にスケールアップが可能なシャーシ型プラットフォームだ。拡張時にブレード（最大4枚）を搭載すると、仮想化技術によって1つのデバイスとして論理的に動作し、無停止のまま自動的にトラフィックを振り分けることが可能だ。事業の成長に伴う急激なトラフィックの増加に対し、ネットワークの構成変更や装置の設定を変更せず即座にシステムを拡張でき、一方で管理者からは単一デバイスとして扱えるため、管理の負荷も小さくなる。

F5ネットワークスのアプリケーションスイッチ「VIPRION」。最大4枚のブレードで拡張し、無停止でトラフィックを振り分ける

　一方、セキュリティ関連機器にも仮想化の波が顕著に押し寄せている。当初、アプライアンス化が進んだVPN／ファイアウォール機器では、セグメントごとに仮想的なファイアウォールを用意し、それぞれに異なるポリシーを適用させて運用するケースが多く見られた。さらに最近では、VPN／ファイアウォールといった単一のセキュリティ機能のみならず、IDS／IPS、アンチウイルス／アンチスパム、コンテンツフィルタリングなどの機能を統合して提供するUTMの性能が大幅に向上した結果、UTMの仮想化機構自体もほとんどの大手ベンダーが提供するようになっている。

　例えば、UTM専業ベンダーのフォーティネットは、同社の「FortiGateシリーズ」全機種で「VDOM（Virtual Domain）」機能を業界に先駆けてサポートした。1台のFortiGate内に複数（10～250個）のFortiGateを仮想的に構築し、ポリシーの異なる部署でもセキュリティ機能をカスタマイズして運用できる。もちろん通信事業者では、各企業向けに個別のサービスを提供することが可能だ。

フォーティネットの「FortiGateシリーズ」は、最大250台分の運用が可能な仮想化機能をUTMとしていち早くサポートした

　同じような機能として、チェック・ポイント・ソフトウェア・テクノロジーズが「VPN-1 Power VSX NGX」などを提供している。仮想化されたファイアウォール、VPN、IPS機能のほか、ダイナミックルーティングなどの重要なネットワーク機能も搭載する。また、ジュニパーネットワークスのセキュリティOSである「ScreenOS」にも、マルチテナントサービスが可能な仮想化技術「VSYS（Virtual System）」が盛り込まれている。このVSYSは、あたかも複数のOSが同一装置上で稼働しているかのように見せる機能で、論理OSごとに個別のポリシーを設定することができる。

ネットワーク機器の仮想化からシステム全体の仮想化へ

　このように、ネットワークの仮想化はあらゆるレイヤーにわたって利用されるようになってきた。では今後、これらの仮想化技術によって、どのような展開が予想できるだろうか。そのヒントは、シスコが推進している「VFrame Data Center」や、ノーテルネットワークスが開発している「Nortel Virtual Services Switch 5000」にありそうだ。

　シスコでは、これまでの開発によって各コンポーネントレベルの仮想化は完了し、今後はシステム全体の仮想化へと舵を切ろうとしている。その中核を担うのが「VFrame Data Center」だ。これは、同社が培ってきたネットワーク仮想化技術とVMwareのサーバ仮想化技術などを組み合わせることで、サーバ、ストレージ、ネットワークインフラ、アプリケーションの各リソースを適切に統合し、システム全体でプロビジョニングを一括提供する管理プラットフォームとなるものである。オープンなAPIを介して、サードベンダーの管理アプリケーションや、サーバ、ストレージ、仮想化ソリューションとも統合できる。各リソースは“仮想プール”として管理され、トラフィックの急増やハードウェア障害などが起きても用途に応じて柔軟に振り分けられるため、データセンター全体での最適化が実現する。

シスコが推進する「VFrame Data Center」の仕組み。仮想化されたサーバ、ストレージ、ネットワークインフラ、アプリケーション（サービス）の各リソースを適切に統合し、システム全体でプロビジョニングを一括して行う

　また、前回の記事でも紹介したノーテルのVirtual Services Switch 5000は、前述のシスコ製品のようなハードウェアモジュールではなく、ソフトウェアによってネットワークサービスを実装する方向にある。例えば、ファイアウォール、VPN、IPS、ロードバランサ、SSLアクセラレータ、帯域制御などの機能を「仮想ラック」と呼ぶ論理装置として分割し、それぞれの仮想ラック内でユーザーごとのネットワークサービスを提供する。もしネットワーク構成に変更を加える必要があっても、機器の追加やケーブリングなど物理的な作業を行うことなく、柔軟に対応できる。同社では今後、ほかのベンダーとアライアンスを組んで、サードパーティーとのアプリケーション連携も進めていくという。

　このようにネットワークの仮想化は、あらゆるレイヤーにわたって利用され、システム全体の最適化へと向かっている。

印刷する