この記事は、 「ネットワーク上級編｜要件定義・設計・クラウド・自動化へ進む」 の第27回です。
第3章では、BGP、冗長化、QoS、マルチキャストなど、 企業ネットワークやWAN設計で使われる高度な技術を学びます。
MPLS・閉域網とは？仕組み・IP-VPN・インターネットVPNとの違いを解説
本社と支店、データセンターなどを接続する企業WANでは、 インターネットVPNだけでなく、通信事業者が提供する閉域網が利用されます。 その基盤技術として広く知られているのがMPLSです。 この記事では、MPLSのラベル転送からCE・PE・Pルーター、 MPLS IP-VPN、VRF、閉域網の特徴、WAN方式の選定ポイントまで順番に解説します。
「閉域網なので安全です」 「MPLSなのでインターネットを通りません」 といった説明を聞いたことがあるかもしれません。
しかし、設計担当者としては、 MPLSという転送技術と、閉域網というサービスの考え方を分けて理解する 必要があります。
また、閉域網で通信が論理的に分離されていても、 それだけで通信内容が暗号化されるわけではありません。 セキュリティ要件によっては、閉域網上でもIPsecなどを追加する判断が必要です。
この記事を読み終えるとできること
- MPLSの役割を説明できる
- Push・Swap・Popの意味を説明できる
- CE・PE・Pルーターの役割を区別できる
- VRFを使った顧客ネットワーク分離を説明できる
- 閉域網とインターネットVPNを比較できる
- 閉域網が必ず暗号化されるわけではない理由を説明できる
- WAN方式の選定基準を整理できる
- 顧客へ閉域網のメリットと制約を説明できる
MPLS・閉域網とは何か
MPLSとは、パケットへ付与した「ラベル」を利用して、 ネットワーク内の転送処理を行う仕組みです。
MPLSは Multiprotocol Label Switching の略です。
通常のIPルーティングでは、 ルーターがパケットの宛先IPアドレスを確認し、 ルーティングテーブルを参照して次の転送先を決めます。
MPLSでは、MPLSネットワークへ入る際にパケットへラベルを付与し、 MPLS網内では、そのラベルを利用して転送します。
MPLSと閉域網は同じ意味ではありません。
MPLSはネットワーク内部で使用する転送技術です。 一方の閉域網は、不特定多数が利用するインターネットとは分離された形で、 契約者向けに通信を提供するネットワークサービスの考え方です。
通信事業者の閉域サービスでMPLSが使われることがありますが、 「閉域網なら必ずMPLS」とは限りません。
MPLSが企業ネットワークで登場する場面
企業ネットワークでは、通信事業者が提供する IP-VPNなどのWANサービスを利用するときに MPLSという言葉を目にすることがあります。
企業側
- 本社
- 支店
- 営業所
- データセンター
- クラウド接続拠点
通信事業者側
- 複数顧客のネットワークを収容
- 顧客ごとに経路を分離
- 拠点間通信を中継
- QoSなどのサービスを提供
- WAN基盤を運用・監視
まずMPLS閉域網の全体構成を理解する
MPLS IP-VPNなどを理解するときは、 最初に企業拠点と通信事業者ネットワークの境界を整理します。
MPLSを利用した拠点間WANの基本イメージ
企業のネットワークエンジニアがMPLSサービスを利用する場合、 MPLSコア内部の細かなラベル設定まで自社で行うケースは一般的ではありません。
重要なのは、 自社のCEと通信事業者のPEの間で、どのように経路を交換し、 WANサービスとしてどのような性能・冗長化・QoS・監視が提供されるのか を理解することです。
MPLSはラベルを使ってパケットを転送する
MPLSの中心となる考え方が ラベルです。
MPLSネットワークへ入ったパケットにはラベルが付与され、 MPLS対応ルーターはラベルを確認して転送処理を行います。
ラベルスタックエントリーの基本
| フィールド | 役割 |
|---|---|
| Label | 転送処理で利用するラベル値 |
| TC | トラフィッククラスなどの情報に利用される |
| S | ラベルスタックの最後であるかを示す |
| TTL | ループなどによるパケットの無限転送を防ぐために利用される |
MPLSでは、複数のラベルを積み重ねる ラベルスタック も利用できます。
Push・Swap・Pop
MPLS網へ入る際などに、 パケットへ新しいラベルを付与します。
MPLS網内で、 受信したラベルを次のラベルへ置き換えて転送します。
MPLS網から出る際などに、 不要になったラベルを取り外します。
簡単な転送例
MPLSラベルが変化するイメージ
ここで示したラベル番号は説明用の例です。
MPLSラベルは単純に「拠点ごとの固定番号」と考えるものではありません。 実際にはFECやLSP、ラベル配布方式などと関連して動作します。
FECとは
MPLSでは、 同じ転送処理を行うパケットの集合を FEC（Forwarding Equivalence Class） として扱います。
入口となるルーターが、 「このパケットはどの転送クラスとして扱うか」を判断し、 対応するラベルを付与します。
その後のMPLSコアでは、 ラベルに基づいて次の転送先を決めていきます。
LSPとは
MPLSでラベル付きパケットが通過する経路を LSP（Label Switched Path） と呼びます。
MPLSを理解するときは、 「ラベルを付ける」 →「ラベルを交換しながら転送する」 →「出口で取り外す」 という流れを最初に覚えると整理しやすくなります。
CE・PE・Pルーターの役割
MPLSベースの企業向けVPNでは、 CE・PE・Pという用語が頻繁に登場します。
| 名称 | 正式名称 | 主な役割 | 主な管理者 |
|---|---|---|---|
| CE | Customer Edge | 企業LANと通信事業者網を接続する | 企業または通信事業者 |
| PE | Provider Edge | 顧客を収容し、VPN・経路情報を管理する | 通信事業者 |
| P | Provider Router | 通信事業者のコアでMPLSパケットを転送する | 通信事業者 |
CEルーター
CEは企業側ネットワークと 通信事業者ネットワークの接続点です。
CEとPEの間では、 サービス仕様に応じて次のような方法で経路情報を交換できます。
- スタティックルート
- BGP
- OSPFなどの動的ルーティング
実際に利用できる方式は 通信事業者や契約サービスによって異なります。
PEルーター
PEは通信事業者ネットワークの端に配置され、 顧客のCEを収容します。
BGP/MPLS IP-VPNでは、 PEが顧客ごとのルーティング情報を分離して管理し、 他のPEへVPNの経路情報を伝えます。
Pルーター
Pルーターは通信事業者ネットワーク内部で MPLSパケットを転送します。
MPLS L3VPNでは、 顧客ごとのVPN経路を主にPE側で管理し、 コアのPルーターはラベル転送に集中できる構造を取れます。
企業側で特に重要なのはCEとPEの境界です。
障害発生時には、 「自社LANの問題か」 「CEの問題か」 「アクセス回線か」 「通信事業者網内か」 を責任分界点と合わせて切り分けます。
MPLS IP-VPNはどのように拠点を分離するのか
通信事業者のバックボーンには、 1社だけではなく多数の企業が接続します。
そのため、 顧客Aの経路と顧客Bの経路を混在させない仕組み が必要です。
MPLS L3VPNでは、 PEルーター上で顧客ごとにルーティング情報を分離し、 VPN単位で経路情報を扱います。
1つの通信事業者網で複数企業を分離するイメージ
企業A
東京拠点
10.1.0.0/16
↓
VRF-A
通信事業者MPLS網
同じ物理バックボーンを利用していても、 VPNごとの経路・ラベルによって 論理的に通信を分離します。
企業B
東京拠点
10.1.0.0/16
↓
VRF-B
重要なのは、 異なる顧客が同じプライベートIPアドレスを使用している場合でも、 VPNごとの情報を分離して扱えることです。
拠点間通信の大まかな流れ
- 本社CEからPEへパケットが届く PEは、どの顧客・どのVRFから受信した通信なのかを判断します。
- PEがVPN経路を確認する 宛先拠点へ到達するためのVPN経路を確認します。
- MPLSラベルを付与する MPLSバックボーンを通過するために必要なラベルを付与します。
- Pルーターがラベルを使って転送する 事業者コア内ではラベルを利用して次のノードへ転送します。
- 宛先側PEへ到達する 宛先側PEが適切なVPN・VRFを判断します。
- 支店側CEへパケットを渡す CEから支店LANへ通常のIPパケットとして転送されます。
VRF・RD・RTの役割
MPLS L3VPNを理解するときに、 VRF、RD、RTという3つの用語が登場します。
最初から詳細を暗記する必要はありません。 まず役割の違いを整理します。
VRF
1台のルーター内に 複数の独立したルーティングテーブルを持たせる考え方です。
RD
Route Distinguisher。 同じIPv4プレフィックスを VPNごとに区別できるようにするために利用します。
RT
Route Target。 どのVPN経路を どのVRFへ取り込むかなどのポリシーに利用します。
VRFのイメージ
| VRF | 所属企業 | 保持する経路例 |
|---|---|---|
| VRF-A | 企業A | 10.1.0.0/16、10.2.0.0/16 |
| VRF-B | 企業B | 10.1.0.0/16、10.3.0.0/16 |
企業Aと企業Bが 同じ10.1.0.0/16を利用していても、 VRFが異なるため別のルーティング空間として扱えます。
RDとRTは役割が違います。
RDは主に重複するVPN経路を一意に区別するための情報です。 RTは経路をどのVRFへインポート・エクスポートするかという VPNメンバーシップや経路ポリシーに関係します。
閉域網とは何か
閉域網とは、一般のインターネットから分離された形で、 契約した拠点・利用者などに通信を提供するネットワークです。
企業向けWANでは、 本社・支店・データセンターなどを接続するために 通信事業者の閉域サービスを利用することがあります。
インターネットとの違い
| 観点 | インターネット | 閉域網 |
|---|---|---|
| 利用範囲 | 世界中のネットワークと接続 | 契約したネットワーク内を中心に接続 |
| 到達性 | 公開された宛先へ広く到達可能 | 契約・設計された拠点などへ限定 |
| アドレス | インターネットではグローバルIPが必要になる場面がある | プライベートIPを利用した拠点間接続も可能 |
| 性能 | 経路や混雑状況の影響を受ける | 契約サービスに応じた帯域・品質条件を選べる場合がある |
| QoS | エンドツーエンドでの保証は難しい | サービスとしてQoSクラスを提供する場合がある |
重要：閉域網は暗号化と同じではない
「閉域網だから通信内容も暗号化されている」 と判断してはいけません。
論理的・サービス上の通信分離と、 パケットの内容を暗号化することは別のセキュリティ対策です。
たとえば、 機密性の高いデータを拠点間で送信する場合には、 閉域サービスを使用していても IPsecなどによる暗号化が必要かを検討します。
判断時には、 自社のセキュリティポリシー、 扱うデータ、 業界基準、 契約サービスの仕様などを確認します。
インターネットVPN・閉域網・専用線の違い
WAN設計では、 「閉域網の方が上位だから採用する」 という考え方ではなく、 要件に応じて方式を比較します。
| 項目 | インターネットVPN | MPLS/IP-VPNなどの閉域網 | 専用線 |
|---|---|---|---|
| 基本構成 | インターネット上にVPNを構成 | 通信事業者の閉域サービスを利用 | 特定地点間の専用回線 |
| 暗号化 | IPsecなどで実施することが多い | 閉域であることと暗号化は別。必要に応じ追加 | 回線仕様とセキュリティ要件に応じて判断 |
| 通信品質 | インターネット状況の影響を受ける | サービス仕様に応じて品質クラス等を利用できる場合がある | 契約した回線特性を把握しやすい |
| QoS | インターネット全体を通した制御は難しい | 事業者サービスとして提供される場合がある | 利用帯域を自社通信で占有しやすい |
| コスト | 比較的抑えやすい | サービス・帯域・拠点数により増加 | 一般に高くなりやすい |
| 多拠点化 | 設計方式による | 多拠点WANとして利用しやすい | 拠点増加に伴い回線構成が複雑になりやすい |
| 運用 | VPN装置やトンネル管理が必要 | 事業者がWAN基盤を管理する範囲が大きい | 回線単位での管理が中心 |
| 向いている例 | コスト重視、インターネット利用中心 | 複数拠点、業務通信、QoS・運用性重視 | 特定2地点間で専用性を重視 |
上の比較は一般的な考え方です。
「閉域網」「IP-VPN」「広域Ethernet」などの名称や 性能・可用性・QoS・暗号化・SLAの条件は、 通信事業者やサービスによって異なります。 実際の設計では必ずサービス仕様を確認します。
MPLS閉域網のメリットと注意点
メリット
多拠点を接続しやすい
本社・支店・データセンターなど、 複数拠点を事業者WANへ収容できます。
顧客ネットワークを分離できる
VRFなどを利用して、 同じ事業者ネットワーク上の他顧客と ルーティング空間を分離できます。
QoSを利用できる場合がある
音声・Web会議・基幹業務などを分類し、 サービスのQoSクラスを利用できる場合があります。
WAN基盤を事業者が運用する
MPLSバックボーン内部は通信事業者が管理するため、 企業側がコア全体を構築する必要はありません。
注意点・デメリット
コスト
インターネット回線のみを利用する構成と比較すると、 回線やサービス費用が高くなる場合があります。
開通までの期間
回線敷設やサービス開通に時間を要する場合があります。 移転・新拠点追加では納期確認が重要です。
事業者仕様への依存
利用可能なルーティング方式、QoS、 MTU、冗長化、監視方法などは サービス仕様の影響を受けます。
クラウド・SaaSとの相性
通信の多くがインターネット上のSaaSへ向かう環境では、 すべての通信を本社閉域網へ集約する設計が 最適とは限りません。
WAN方式は「どれが一番高性能か」ではなく、 現在の通信先と業務要件から選びます。
オンプレミス中心だった時代と、 Microsoft 365などのSaaSやクラウド利用が増えた環境では、 最適なWAN構成が変わる可能性があります。
MPLS・閉域網を設計するときに確認するポイント
WANサービスを選定するときは、 製品名・サービス名を先に決めるのではなく、 要件から必要条件を整理します。
- 接続する拠点数
- 現在と将来の拠点追加予定
- 各拠点の利用者数
- 平均・ピーク通信量
- 必要なアクセス回線帯域
- Web会議・音声通信の利用状況
- 許容遅延・ジッター
- 必要なQoSクラス
- 許容停止時間
- アクセス回線の冗長化要否
- CEルーターの冗長化要否
- 異キャリア冗長化の要否
- CE-PE間のルーティング方式
- デフォルトルートの扱い
- 経路集約の方針
- クラウド接続の有無
- インターネットブレイクアウトの有無
- 暗号化の要否
- 監視範囲と責任分界
- SLA・障害連絡体制
1．帯域だけでなく通信特性を見る
WAN設計では、 「100Mbpsあれば十分」のように 帯域だけを見て判断しないことが重要です。
Web会議や音声では、 帯域に余裕があっても 遅延・ジッター・パケットロスによって品質が低下することがあります。
2．アクセス回線の冗長性を確認する
通信事業者のコアが高可用性でも、 拠点からPEまでのアクセス回線が1本だけであれば、 その回線障害で拠点全体が切断される可能性があります。
「キャリア網が冗長だから拠点も冗長」とは限りません。
CE、アクセス回線、収容PE、局舎、物理ルートなど、 どこまで障害点を分離できているか確認します。
3．CE-PE間のルーティングを決める
拠点規模や経路数、冗長構成によって、 CEとPE間のルーティング方式を決定します。
| 方式 | 特徴 | 検討例 |
|---|---|---|
| スタティック | シンプル | 小規模拠点・経路が少ない環境 |
| BGP | 経路制御や冗長化に柔軟 | 複数回線・複数経路・大規模WAN |
| OSPF等 | 動的に経路交換できる | サービスが対応し、設計要件に適合する場合 |
4．インターネット出口を決める
閉域WANを利用する場合でも、 利用者はWebサイトやSaaSへアクセスします。
そのため、 インターネットへの出口をどこに置くかを設計します。
- 本社へ集約する
- データセンターへ集約する
- 各拠点から直接インターネットへ出る
- クラウド型セキュリティサービスを経由する
この考え方は、 次の記事で学ぶSD-WANや、 その後のSASEにもつながります。
5．責任分界点を明確にする
障害対応では、 自社が確認する範囲と 通信事業者が確認する範囲を明確にします。
| 確認対象 | 主な確認例 |
|---|---|
| 企業LAN | VLAN、ルーティング、ACL、端末通信 |
| CE | インターフェース、経路、CPU、ログ |
| アクセス回線 | リンク状態、回線障害、光レベル等 |
| PE・MPLS網 | 通信事業者へ確認・調査依頼 |
| 対向拠点 | CE、LAN、経路、サーバー等 |
MPLS・閉域網でよくある勘違い
MPLSはラベルを利用した転送技術です。 閉域網は利用者を限定したネットワークサービスの考え方です。 MPLSは閉域サービスを実現する技術の一つとして利用されることがあります。
ネットワークが論理的に分離されていることと、 通信内容が暗号化されていることは別です。 機密性要件に応じて追加の暗号化を検討します。
MPLSを利用していても、 回線帯域不足、輻輳、機器障害、物理経路などの影響は存在します。 必要な性能は回線・QoS・SLAを含めて設計します。
拠点のアクセス回線やCEが単一構成なら、 その部分が単一障害点になります。
通信事業者のMPLSサービスを利用する企業では、 MPLSコア内部のラベル運用は通常サービス提供者側が管理します。
性能、可用性、セキュリティ、拠点数、 クラウド利用、コスト、運用負荷などを比較し、 適した方式を選定します。
顧客・上司へMPLS閉域網をどう説明するか
非エンジニアへ説明するときに、 「MPLSラベル」「MP-BGP」「RD」「RT」から話し始める必要はありません。
最初に、 業務上どのようなメリットがあるか を説明します。
説明例：
「本社と各支店を、通信事業者が管理する企業向けネットワークで接続します。 一般のインターネットとは分離された形で拠点間通信を行い、 サービスによっては音声やWeb会議などを優先するQoSも利用できます。 一方で、閉域網であることと暗号化は別なので、 扱うデータに応じて暗号化が必要かも確認します。」
技術を業務要件へ変換する
| 技術的な話 | 顧客へ伝える内容 |
|---|---|
| VRF | 他社ネットワークと経路を分離する |
| QoS | Web会議・電話など重要通信の品質を確保しやすくする |
| アクセス回線冗長化 | 1回線が故障しても業務継続できるようにする |
| BGP | 複数回線時の経路切り替えや経路制御を行う |
| IPsec追加 | 閉域網内でも機密データを暗号化する |
上級工程では、 技術名を説明できるだけでなく、 その技術が業務継続・性能・セキュリティ・コストにどう影響するか を説明できることが重要です。
MPLS・閉域網で使われる英語表現
| 英語 | 意味 |
|---|---|
| Multiprotocol Label Switching | MPLS |
| Label Switched Path | ラベルスイッチパス、LSP |
| Customer Edge | 顧客側エッジ、CE |
| Provider Edge | 通信事業者側エッジ、PE |
| Provider Router | 通信事業者コアルーター、P |
| Virtual Routing and Forwarding | VRF |
| Route Distinguisher | RD |
| Route Target | RT |
| Label Push | ラベルを付与する |
| Label Swap | ラベルを交換する |
| Label Pop | ラベルを取り外す |
| Service Provider | 通信事業者、サービスプロバイダー |
障害問い合わせで使える表現
理解度チェック
MPLSの用語暗記だけでなく、 MPLS・閉域網・暗号化・WAN方式の違いを説明できるか確認しましょう。
問題1．MPLSの説明として最も適切なものはどれですか。
- 通信内容を必ず暗号化する技術
- パケットへ付与したラベルを利用して転送する仕組み
- Wi-Fi通信を暗号化する技術
- DNSサーバーを冗長化する技術
解答を見る
MPLSはラベルを利用して転送処理を行う仕組みです。 暗号化そのものを目的とした技術ではありません。
問題2．通信事業者のエッジに配置され、 顧客CEを収容するルーターはどれですか。
- CE
- PE
- P
- AP
解答を見る
PEはProvider Edgeの略で、 通信事業者ネットワークのエッジで顧客を収容します。
問題3．MPLS網内で、 受信したラベルを別のラベルへ置き換える処理を何と呼びますか。
- Push
- Swap
- Pop
- Encrypt
解答を見る
Swapは受信ラベルを次のラベルへ交換して転送する処理です。
問題4． 「閉域網なので、通信内容は必ず暗号化されている」 という説明は正しいでしょうか。
解答を見る
ネットワークの分離と通信内容の暗号化は別の仕組みです。 暗号化要件がある場合は、 サービス仕様を確認したうえでIPsecなどを検討します。
問題5．VRFの主な役割として最も適切なものはどれですか。
- 1台のルーター上で複数のルーティング空間を分離する
- 通信データをAESで暗号化する
- IPアドレスをMACアドレスへ変換する
- DNS名をIPアドレスへ変換する
解答を見る
VRFを利用すると、 1台のルーター上で複数の独立したルーティングテーブルを扱えます。
問題6．閉域網のWANサービスを採用する前に確認すべき項目を 4つ挙げてください。
解答例を見る
- 必要帯域
- 可用性・冗長化要件
- QoS要件
- 暗号化要件
- 拠点数
- クラウド接続要件
- コスト
- SLA
- 開通納期
- 運用・責任分界
実践演習：3拠点企業のWAN方式を選定する
あなたは、 東京本社・大阪支店・福岡支店を持つ企業の WAN更改を担当することになりました。
顧客から聞いた内容
- 東京・大阪・福岡の3拠点を接続したい
- 基幹システムは東京本社にある
- 全拠点でWeb会議を利用する
- Web会議の音声品質低下が現在の課題
- WAN停止時は業務への影響が大きい
- 将来はクラウドサービスの利用を増やしたい
- 通信するデータには機密情報が含まれる
- コストも可能な限り抑えたい
課題1．追加で確認する情報を洗い出す
WAN方式を決める前に、 顧客へ確認すべき項目を10個考えてください。
2．＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿
3．＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿
4．＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿
5．＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿
6．＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿
7．＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿
8．＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿
9．＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿
10．＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿
課題1の解答例を見る
- 各拠点の平均・ピーク通信量はどの程度か
- Web会議の同時利用者数は何人か
- 基幹システムで許容できる遅延はどの程度か
- 回線停止時の許容停止時間はどの程度か
- 回線を二重化する必要があるか
- CEルーターも冗長化する必要があるか
- 必要なQoSクラスは何か
- 機密データに対する暗号化要件はあるか
- 将来利用するクラウド・SaaSは何か
- 回線費用の予算上限はいくらか
課題2．3つのWAN方式を比較する
次の表を埋め、 インターネットVPN・閉域網・専用線を比較してください。
| 評価項目 | インターネットVPN | 閉域網 | 専用線 |
|---|---|---|---|
| コスト | ＿＿＿＿ | ＿＿＿＿ | ＿＿＿＿ |
| 多拠点対応 | ＿＿＿＿ | ＿＿＿＿ | ＿＿＿＿ |
| QoS | ＿＿＿＿ | ＿＿＿＿ | ＿＿＿＿ |
| 暗号化 | ＿＿＿＿ | ＿＿＿＿ | ＿＿＿＿ |
| クラウド利用 | ＿＿＿＿ | ＿＿＿＿ | ＿＿＿＿ |
課題2の考え方を見る
インターネットVPNは比較的コストを抑えやすく、 インターネット・SaaSとの親和性がありますが、 公衆インターネット上の品質変動を考慮する必要があります。
閉域網は多拠点WANやQoSを重視する環境で候補になりますが、 契約費用・納期・サービス仕様を確認します。
専用線は特定地点間の接続では候補になりますが、 多拠点化した場合のコストや構成も評価する必要があります。
また、 どの方式でも「暗号化が必要か」は セキュリティ要件として別途確認します。
課題3．構成案を作る
あなたなら、 この企業にどのようなWAN構成を提案しますか。
選定理由：
＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿
＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿
冗長化方式：
＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿
セキュリティ：
＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿
構成案の一例を見る
一例： 基幹システム通信とWeb会議品質を重視するため、 QoSを利用できる閉域WANを主回線として検討する。
業務継続要件が高い場合は、 各拠点のアクセス回線またはCEを冗長化し、 バックアップ回線としてインターネットVPNを組み合わせる案も比較する。
機密情報については、 閉域網だから不要と判断せず、 自社セキュリティ要件に応じてIPsecなどの暗号化を検討する。
将来SaaS利用が増える場合は、 すべてのインターネット通信を本社へ戻す方式だけでなく、 ローカルブレイクアウトやSD-WAN・SASEへの拡張も検討する。
自分の言葉で説明する課題
顧客から次のように質問されました。
「MPLSの閉域網なら安全なんですよね？ VPNで暗号化しなくても大丈夫ですか？」
技術に詳しくない顧客へ、 1分程度で説明してください。
＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿
＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿
説明例を見る
「閉域網は、一般のインターネットとは分離された形で 契約拠点同士を接続できるネットワークです。 そのため、インターネットへ直接公開する構成とは異なります。 ただし、ネットワークが分離されていることと、 通信内容が暗号化されていることは別です。 機密情報を扱う場合は、社内のセキュリティ基準やサービス仕様を確認し、 必要であれば閉域網上でもIPsecなどによる暗号化を追加します。」
「閉域だから安全」で終わらず、 分離・暗号化・認証・可用性を別々の要件として説明できれば、 設計担当者として一段上の説明になります。
まとめ
- MPLSは、パケットへ付与したラベルを利用して 転送処理を行う仕組み
- MPLSではPush・Swap・Popによって ラベルを操作しながらパケットを転送する
- CEは顧客側、PEは通信事業者エッジ、 Pは通信事業者コアのルーター
- MPLS L3VPNでは、 VRFなどを利用して顧客ごとのルーティング情報を分離する
- RDは重複するVPN経路を区別するため、 RTはVPN経路のインポート・エクスポートポリシーなどに利用される
- MPLSと閉域網は同じ意味ではない
- 閉域網であることと通信内容が暗号化されることは別
- MPLS・閉域網だから必ず高品質・高可用性になるわけではなく、 回線・QoS・SLA・冗長構成を確認する
- WAN方式は、 性能・可用性・セキュリティ・拠点数・ クラウド利用・コスト・運用性から比較する
- SaaS・クラウド利用が増える環境では、 従来型の閉域WANだけでなく SD-WANなども比較対象になる
MPLSの仕組みを覚えることよりも、 「なぜこのWAN方式を採用するのか」を 顧客要件へ結びつけて説明できることが、 上級ネットワークエンジニアには重要です。
上級編では、 要件定義・基本設計から高度なネットワーク技術、 クラウド、セキュリティ、自動化、設計・提案までを順番に学びます。
コメント