データセンター内でトラフィックを振り分ける場合、具体的にはクライアントデバイスのインターネット接続時に発生する全てのトラフィックをADCで受けます。ドメイン名（URLに含まれる、人が理解しやすい文字列）を基に、インターネット回線に直接中継する接続先と、既存のプロキシサーバに中継する接続先を事前にADCに登録しておきます。Microsoftのオフィススイート「Microsoft 365」（旧「Office 365」）であれば、「Office 365 の URL と IP アドレスの範囲」（日本マイクロソフト）を公開しています。こうしたドメイン名と、クライアントデバイスから送られてくるドメイン名を突合し、プロキシサーバを迂回するかどうかを判別します。これによってクラウドサービスの利用で発生する大量のセッション（通信の開始から終わりまでの接続単位）をプロキシサーバやファイアウォールに処理させないようにすることが可能です。セッション処理が滞ることで生じるアプリケーションの動作遅延を阻止します。

　ADCは大規模なWebサービスの運用などアクセスが集中する場合のサーバ負荷を分散させるために開発された製品です。そのため企業が利用する一般的なプロキシサーバよりも、多くのセッション数を同時に処理できます。クラウドサービスのトラフィックを扱ってもボトルネックになりにくいのです。

　ネットワークの回線容量（帯域幅）を十分確保するために、クラウドサービスに接続するための専用のインターネット回線を増設することもあるでしょう。その場合にもADCを利用し、トラフィックに応じてどの回線を利用するかを判別することが有効です。

　トラフィック制御にIPアドレスを用いるのではなく、ドメイン名を用いることもADCの利点です。通常、エンドユーザーがクラウドサービスを利用する場合はドメイン名を入力しますが、ルーターなどの一般的なネットワーク機器はIPアドレスを用いてトラフィックを制御します。クラウドサービスのIPアドレスは頻繁に変更される傾向にあるため、一般的なルーターを利用してトラフィックの振り分けをする場合、IPアドレスが変更されるたびにルーターの設定を変更しなければなりません。

　ドメイン名はIPアドレスほど頻繁には変更されないため、ADCを使用すれば設定変更による運用負荷の増大を抑えることができます。ドメイン名が変更になることもありますが、Office 365のようにADC向けにドメイン名の自動更新の方法を提供している場合は、手作業で設定を変更する必要はありません。

　ADCによるトラフィックの振り分けは、音声や映像などのデータ伝送に用いられる通信プロトコル「UDP」（User Datagram Protocol）のトラフィックにも利用できます。企業のプロキシサーバやファイアウォールはUDPのトラフィックに制限を掛けている場合があります。Web会議のようにリアルタイム性が必要なアプリケーションを利用する場合は、ADCを使ってプロキシサーバやファイアウォールを迂回させてUDPのトラフィックを専用の回線に振り分ければ、アプリケーションの動作を正常に維持することが可能です。

企業拠点からのローカルブレークアウト

　インターネットへの出口があるデータセンターと、ユーザー企業の各拠点を接続するWANが通信のボトルネックになり、クラウドサービスとの通信に遅延が生じることがあります。この対策として、データセンターと拠点を接続するWANを経由するのではなく、クラウドサービスとの通信だけを拠点から直接インターネットに送出する「ローカルブレークアウト」（インターネットブレークアウト）という方法があります（図2）。

　ローカルブレークアウトを実現するには、例えばADCやファイアウォール、UTM（Unified Threat Management：統合脅威管理）機器を拠点に配置して、トラフィックを直接インターネットへ振り分ける方法があります。拠点数が多い場合は、ソフトウェアでトラフィックを制御できる「SD-WAN」（ソフトウェア定義WAN）製品を利用することも有効です。

図2　拠点からのローカルブレークアウト《クリックで拡大》

　SD-WAN製品は、物理的なネットワークに仮想的なネットワーク層を構築することで、複数のWANをコンソールで一元的に管理できるようにします。「IPsec」などのセキュリティプロトコルを利用してトラフィックを暗号化する製品が一般的です。パケットロスや遅延が発生していないかどうかなど回線の状態を判別し、適切な回線を選択して通信する機能もあります。

　主要なSD-WAN製品が備える重要な機能の一つが「DPI」（Deep Packet Inspection）です。適切なネットワーク経路を選択するために、パケットのデータ部分からアプリケーションの種類を識別する役割を持ちます。この機能を利用することでローカルブレークアウトが可能になります。

　DPIを使ってローカルブレークアウトを実現する際は、拠点とデータセンターを接続するWANに加えて、インターネットに直接接続するWANを敷設することが一般的です。その上で、例えばOffice 365と通信する場合は拠点から直接インターネットに接続したり、それ以外の通信は拠点間をつなぐ従来のWANや、SD-WANによって確立した拠点間をつなぐ仮想的なWANに振り分けたりします。

　ローカルブレークアウトをしないインターネットとの通信は、従来通りデータセンターからインターネットに接続できます。プロキシサーバを使う場合は「プロキシ自動設定ファイル」（PACファイル）など、クライアントデバイスが使用するプロキシサーバを自動的に選択する仕組みが必要になることがあります。SD-WAN製品による機能の違いはありますが、DPIは数千～1万種類のアプリケーションのトラフィックを識別できることが一般的です。

　次回はクラウドサービスを利用する際のネットワークの対策について、本稿とは異なる視点からその方法を紹介します。