ネットワークにも仮想化の波【第1回】

「ネットワークの仮想化」で何ができるか

サーバやストレージに続き、最近はネットワーク機器でも仮想化の技術が採用され始めている。ネットワーク機器を仮想化すると、構築・運用などでどのようなメリットがあるのだろうか。

[井上猛雄]

　ここのところ仮想化の技術を導入する企業が増えてきている。仮想化は、システムを構成するリソースを物理的な構成によらず、論理的に分割したり統合したりするために大いに役立つ技術だが、最近ではサーバやストレージだけでなくネットワーク機器にも仮想化技術が適用されるようになってきた。その背景には、ネットワーク機器自体のパフォーマンスが大幅に向上したことが挙げられるが、多様化するユーザーニーズによるところも大きい。広帯域化やセキュリティの強化によってネットワーク自体が複雑になり、それに伴う機器運用の負担やコスト増大を抑えたいという要求が高まってきた事情があるのだ。

ルータ／スイッチの仮想化で柔軟な構成変更やリソース最適化

　仮想化の一般的なアプローチは前述の通り2つに大別できる。1つの物理リソースを複数の小さなリソースに見せる「分離型」と、複数の物理リソースを1つの大きなリソースに見せる「統合型」である。

　ネットワーク機器を仮想化する大きなメリットは、これらのアプローチによってネットワーク環境を物理的な制約から解放し、リソース配分を最適化できること。企業合併や組織変更などに伴うネットワークの構成変更も、機器の物理的な配置を変えることなく論理的に設定できるため、急激な事業やサービスの変化にも迅速に対応できる。もちろん、システム構成の最適化によるメリットとして、運用効率の向上、初期費用や保守・運用コストの削減、省電力化が可能なグリーンITの実現、機器の削減による省スペース化といった効果もある。

　例えば分離型では、図1のように1台のネットワーク機器で論理的に同一機能を複数用意し、それぞれをドメイン単位で割り当てる。これにより運用ルールを変更せずにネットワーク機器の台数を削減しながら、異なるポリシーを混在させることができるようになる。ここではネットワーク機器として、コアルータ／スイッチなどが主な対象になる。

　一方、統合型では、図2のように複数のネットワーク機器を1つに束ねている。これは従来用いられていたネットワーク機器の物理的なスタッキングを、仮想化技術によって論理的に実現するものだ。物理的に隣接するネットワーク機器を1つに見せることで、運用・管理の負担を軽減することができる。対象となる主なネットワーク機器は同一種類のフロアスイッチだ。

図1●ネットワークの仮想化による機能分離。1つの物理リソースを複数の小さなリソースに見せる

図2●ネットワークの仮想化による機能統合。複数の物理リソースを1つの大きなリソースに見せる

広がる仮想化技術、L7スイッチやUTMにも適用

　ネットワーク機器の仮想化は、スイッチ／ルータだけに限られるわけではない。例えば、アプリケーションスイッチ（ロードバランサ）やレイヤー4-7（L4-7）スイッチ（特集記事「負荷分散だけじゃない、Web高速化装置の魅力」）でも仮想化技術が搭載されるようになってきた。アプリケーションスイッチでは、無停止での機能拡張を可能にする仮想化技術が盛り込まれた機器も登場している。複数のアプリケーションスイッチを論理的に1台として扱えれば、サービスを止めることなく冗長構成時のハードウェア増強も容易になる。

　また、複数のネットワーク機器の統合化という意味では、複数の機能をあらかじめまとめて提供するセキュリティゲートウェイ機器もある。中堅・中小企業を中心によく利用されるようになったUTM（Unified Threat Management）がそれだ。UTMはファイアウォール、ロードバランサ、VPN、IDS／IPS（侵入検知／防御システム）、アンチウイルス／アンチスパム、Webコンテンツフィルタリングなどの機能をワンボックスで提供するアプライアンスだが、実はこのUTMにも仮想化技術が盛り込まれるようになってきた。

　UTMの仮想化技術では、多数のファイアウォール／VPNアプライアンスを1台に統合したり、あらかじめ用意された複数のゲートウェイ機能を論理的に分割して取捨選択し、部門・組織ごとに個別のセキュリティポリシーで運用したりできる（図3）。これにより、セキュリティの一元管理に加えてセキュリティゲートウェイ導入時のライセンス費用も抑えられ、イニシャルコストの削減にもつながるわけだ。

図3●UTMの仮想化技術。UTMの各機能の組み合わせを仮想的に生成し、セキュリティポリシーの異なる部門・組織ごとに運用管理する。管理インタフェースは同一のものを利用できる

ネットワークの仮想化をマルチベンダーへ適用する動きも

　従来、これら仮想化技術によるネットワーク機器の分割・統合は、単一ベンダーの機器を通して提供されるものだった。つまり同じベンダー製品間でしか利用できないのだが、例えばノーテルネットワークスが提供する「Nortel Virtual Service Switch 5000」のように、サードパーティー製品も含めて利用する動きもある。

ノーテルネットワークスのユニークなL7スイッチ。アプリケーションスイッチとセキュリティ機能を統合化し、仮想化技術によって1台の機器を論理領域に分割することができる。サードパーティー製品の取り込みも計画されている

　この製品はアプリケーションスイッチとセキュリティ機能を統合化したL7スイッチで、UTMと同様の機能を提供するものだが、ネットワークアプリケーションを開発・実行する環境をサードパーティーに公開し、マルチベンダーによる機能統合を実現しようとしている。仮想化技術としては、1台の機器を「仮想ラック」と呼ばれる論理領域に分割し、それぞれの仮想ラック内で個別のネットワークサービス環境を構築して運用することが可能だ。こちらはエンタープライズ向けのホスティングサービスを提供する通信サービスプロバイダーや、ネットワーク機器を集約したいグループ企業の仮想化技術として利用できそうだ。

　次回は、スイッチ、ルータ、そしてファイアウォール・ロードバランサ・IDSなどをまとめたセキュリティゲートウェイなど、仮想化機能を搭載する具体的なネットワーク機器をタイプ別に紹介していこう。