Microsoftの仮想SDNコントロールプレーンには、相互に連携する専用コントローラーが含まれていると、Microsoftのパートナー開発担当マネジャーを務めるアルバート・グリーンバーグ氏は語った。「コントローラーは1つだけではない」と同氏。「アプリケーションごとにコントローラーがあり、それらは連携している。Northbound API経由で仮想ネットワークコントローラーやロードバランサコントローラーなどが利用できるようになっており、それらはそれぞれ異なる役割を担っている。コントローラーは小さなクラスタで動作し、リージョナルコントローラーがそれらを管理し、ネットワークを分割する」

　Microsoft AzureネットワークにおけるMicrosoftのフォワーディングプレーンアプローチは、OpenFlowに触発されている。「OpenFlowのフローテーブル（※）のアイデアは適切なものだ」とグリーンバーグ氏。

※　どのようなパケットをどのように処理するかを、マッチ条件ごとにアクションとして指定する複数のフローエントリを格納する。

　「われわれは、このフローテーブルのようにマッチ条件とアクションの組み合わせで処理方法を定義するテーブルを数種類作成した。コントローラーがこれらのテーブルをプログラミングする。仮想ネットワーク、ロードバランサ、NAT（ネットワークアドレス変換）、ACL（アクセス制御リスト）のためのテーブルがある。われわれは、ハードウェアに機能が全て組み込まれる場合にはうまくいかないやり方で、何百もの機能を作動させ、変更を実装することができる」（同氏）

　このデータフォワーディングプレーンは、MicrosoftのSDNコントローラーと直接にはやりとりしない。代わりに、Microsoftは仮想ネットワークエージェントを全てのハイパーバイザーホスト上に展開している。仮想ネットワークエージェントは、フローをvSwitchに送信する。vSwitchは、自身のマッチ条件／アクションテーブル内のマッチするフローエントリを見つけると、ホスト上の仮想マシン（VM）との必要なトランザクションを実行し、その結果のデータはサーバのNIC（ネットワークインタフェースカード）から送信される。仮想スイッチは、マッチするフローエントリが見つからない場合、マッピング要求をエージェントに送信する。エージェントはコントローラークラスタ内のマッピングサービスをクエリする。

　「Microsoft Azureのデータプレーンは、フローエントリごとのポリシーを何百万台ものVMに適用する必要がある」とグリーンバーグ氏。「どうやってそれを何十億ものフローに適用し、そしてパケット処理に変換するか。ホストは全てのパケット処理を自身の仮想マシン上で実行する。われわれは何百万台ものサーバの分散コンピューティング能力のほんの一部を使って、SDNの課題を解決している」

　「Microsoft AzureネットワークにおけるSouthbound SDNインタフェースは、エージェントと仮想スイッチの間のインタフェースだ」と、グリーンバーグ氏は述べた。そのおかげで、Microsoftはワイヤプロトコルではなく、ハイパフォーマンスなOSレベルのAPIを利用できる。ワイヤプロトコルは、コントローラー、エージェント、関連サービス間のシンプルで頻度の低いトランザクションのためのものだ。

　Microsoft Azureの仮想クラウドロードバランシングサービスは、この仮想SDNモデルが大規模クラウドでどのようにスケーリングを実現するかを示す一例だ。このサービスは、データセンター内の全サーバでホストされる。「われわれは、NATが仮想スイッチで実行されるようにしている。これにより、ロードバランサはステートレスになり、戻りパケットがクライアントに直接送られる。コントローラーがこれら全体にわたるポリシーをプログラミングする」とグリーンバーグ氏は説明した。

　一方、CPU使用率も重大な問題となっていた。Microsoftは、フローの最初のパケットを対象に全てのテーブル情報を調査することで、この問題を克服している。フローの残りのパケットは、「キャッシュを使って効率良く高速に処理される」（グリーンバーグ氏）

　この仮想SDNのコントロールプレーンは、セルフサービスオーケストレーションに使われるMicrosoft Azureのフロントエンドポータルだ。顧客はこのポータルで、自社の仮想ネットワークとポリシーを自社のアドレッシングスキームで定義できる。ポータルはNorthbound APIを介して、その仮想ネットワークモデルをMicrosoftのSDNコントローラークラスタに反映させ、このクラスタが仮想ネットワークをセットアップする。

　「仮想ネットワークは、顧客が定義したアドレス空間からプロバイダーのアドレスへ、さらには仮想マシンが配置されるホストへの一連のマッピングによって実現される」（グリーンバーグ氏）

　また、コントローラーは、「適切なポリシーを設計し、Microsoft Azureの仮想スイッチのノードにそれらを設定する。ポリシーは、顧客の施設内のVPNゲートウェイを介してオンプレミス環境にも適用できる」とグリーンバーグ氏は語った。

　Microsoft Azureの仮想SDNは、Microsoftの米ワシントン州レドモンド、カリフォルニア州マウンテンビュー、アイルランドのダブリンの各拠点の開発者およびネットワークエンジニア100人の4年間にわたる取り組みの成果だ。この仮想SDNは、パブリッククラウドのMicrosoft Azureに加え、「Microsoft Office365」「Bing」「Skype」「Microsoft OneDrive」「Xbox」など、Microsoftの他の全ての資産を支えている。