しかしVLANはレイヤ2の技術である。レイヤ2ネットワークを広域に拡張する手法は存在するが、VLANはブロードキャストドメインなのである。ブロードキャストドメインの実効スループットは、ドメイン内のノード数が増えるのに伴い、またトラフィックが増大するのに伴って低下する。大規模なVLANの場合、管理可能な状態を維持するためには、レイヤ3のルーティングプロトコルを使ってVLANを複数のセグメントに分割しなければならない。

VRF対応ルータは仮想ネットワークを分割する

　VRFは、ルータあるいはレイヤ3スイッチを複数の独立した仮想デバイスに分割する。各仮想ルータは1つの仮想ネットワークをサポートする。

　仮想ルータは、OSPFやBGPといった標準のルーティングプロトコルをサポートする。各仮想ルータのルーティングプロトコルの動作は、同じ物理デバイス内のほかの仮想ルータのルーティング動作から独立している。それぞれの仮想ルータは、独立したルーティング／転送テーブルを保持しているため、すべての仮想ルータが同じルーティングプロトコルセットをサポートする必要はない。

　個々の仮想ネットワークは完全に独立しているため、NAT（Network Address Translation）やファイアウォールなどの機能は、各仮想ネットワークごとに独立して動作しなければならない。VRF搭載ルータでは、NATとファイアウォール機能は仮想ルータ内で動作する。このため、各仮想ネットワークは独自のファイアウォールポリシーを使用し、独立したIPアドレス空間を保持できる。

VRF対応ルータはMPLSへのゲートウェイを提供する

　MPLS（Multi-Protocol Label Switching）ネットワークは一般に、拠点間の広域リンクを提供する。MPLSでは、提供される帯域幅とQoS（Quality of Service）をネットワーク管理者が指定できる。各拠点にある1台または複数のCE（カスタマーエッジ）ルータは、1台または複数のPE（プロバイダーエッジ）ルータを介してMPLSネットワークに接続する。CEルータとPEルータの両方がVRFをサポートしていなければならない。

　最も単純な構成は、複数のCEルータを使用し、それぞれのルータが1つの仮想ネットワークをサポートするというものだ。しかしこの構成では、仮想ネットワーク間で帯域幅をやりとりすることができない。

　帯域幅をやりとりできるようにするには、1台のCEルータが1つの物理リンクを通じて1台のPEルータに接続するようにすればよい。こうすれば、すべての仮想ネットワークがこのリンクを通過するため、負荷要求に応じてリンク上の帯域幅割り当てを変更できる。個々の仮想ネットワークは、各ルータ上の1つのインタフェース内のサブインタフェースとして構成される。

　一般的には、帯域幅のやりとりを可能にし、リンク障害の発生に備えるために、複数のCEルータが複数のPEルータに接続する構成となる。この場合、すべてのCEルータとPEルータがすべての仮想ネットワークをサポートする。VRFはリンク技術のタイプに依存しない。要求される総スループットをサポートするリンク技術であれば、どれを選んでも構わないのである。

VRFとMPLSのダイアグラム

IPトンネルの接続

　IPsecなどのトンネリングプロトコルは、VLAN環境よりも、暗号化や認証が要求される状況に適している。例えば、人事部のスタッフの1人が遠隔地のオフィスに勤務しているという場合を考えてみよう。このスタッフはその拠点において、本社の人事データベースにアクセスできる唯一の従業員かもしれない。このデータベースの情報はその性質上、セキュアなアクセスを必要とする。

　IPsecトンネルは、この人事スタッフのワークステーションからのトラフィックをVRF搭載ルータに送る。VLANの場合と同様、このトンネルはルータ上のサブインタフェースとして構成される。トラフィックは次に、WANを経由して、VRFをサポートするもう1台のルータに送信され、最終的に人事データベースに接続されたリンクに到達する。

構内ネットワークにおけるVRF

　レイヤ3スイッチのVRF機能は、構内のVLAN同士をリンクするために利用できる。構内仮想ネットワークの規模が拡大して、ブロードキャストドメインを1つに維持することができなくなれば、ドメインを分割しなければならない。VRFをサポートするレイヤ3スイッチを利用すれば、仮想ネットワークを管理可能な規模の独立したVLANに分割できる。

　管理者が経験を重ねるのに伴い、仮想システムが成長して多数のサーバやストレージが含まれるようになり、コンポーネントが広域に分散するだろう。VRFは、仮想サーバをストレージに接続する仮想ネットワークを分割するための基盤技術なのである。

本稿筆者のデビッド・B・ジェイコブズ氏はThe Jacobs Groupに勤務し、ネットワーキング業界で20年以上の経験を持つ。フォーチュン500企業ならびにソフトウェア分野の新興企業を顧客として、最先端のソフトウェア開発プロジェクトの管理やコンサルティングを手掛けてきた。