ヴイエムウェアのSDNはどう進化するか：VMware NSXを2013年中に提供開始

ヴイエムウェアは旧Niciraのネットワーク仮想化製品「NVP」などの技術を継承したSoftware Defined Networking製品、「VMware NSX」を2013年中に提供開始する。ネットワーク仮想化をベースに、これまでにできなかった機能を実現するプラットフォームに進化していく。

» 2013年08月29日 16時43分公開

[三木泉，＠IT]

　米ヴイエムウェアは8月最終週、同社の買収した米Niciraのネットワーク仮想化製品「NVP」と、ヴイエムウェアの既存仮想ネットワークサービス構築製品「vCloud Networking and Secuirty（vCNS）」に基づく新製品、「VMware NSX」（以下、NSX）を2013年第4四半期に提供開始すると発表した。

　NSXは分散トンネリングによるネットワーク仮想化をベースとし、多様なネットワーク／セキュリティ機能が段階的に追加されていく、プラットフォームのような製品だ。閉じた技術ではなく、他社製品との連携も可能で、その意味でもプラットフォームとしての性格が強い。複数のハイパーバイザ、複数のクラウド運用基盤に対応するというのが、基本的な設計思想だ（VMware NSXに関する最初の発表の内容については、こちらの記事をご覧ください）。

マルチハイパーバイザでマルチクラウドプラットフォームに対応するのが基本的な設計思想

　今回の発表では、NSXはNVPとvCNSを完全に統合した1つの製品であるかのような書き方がなされている。だが、ヴイエムウェアのネットワークCTOであるマーチン・カサド（Martin Casado）氏が以前、インタビューで話していたように、2つのエディションに分かれることになる。また、NSXを提供開始後も、vCNSは提供され続ける。

ネットワーク仮想化はテナント分割だけではない

　NSXのベースとなっているNVPおよびvCNSは、もともとレイヤ2をレイヤ3にカプセル化する分散トンネリング機能を備えている。この分散トンネリング機能が「ネットワーク仮想化」と呼ばれ、OpenFlowによるトラフィックステアリングと並んでSoftware Defined Networking（SDN）の代表的技術となっている。

　分散トンネリングはマルチテナントデータセンターにおける、各テナント（各ユーザー組織）を分離するための技術として語られることが多い。このため、「これまでのスイッチのVLANの代わりができるだけでないか」と思い込みがちだ。だが、ヴイエムウェアは各テナントの論理ネットワークセグメントをさらに細かく論理分割できることが、新たな価値を生むとしている。

　まず、クラウドサービス事業者のデータセンターに、ユーザー企業単位だけでなく、例えば単一企業内の事業部単位で論理ネットワークセグメントを構成できる。事業部が増えても減っても、これに対応するためのネットワーク関連の変更作業はソフトウェア設定を変更するだけなので、容易かつ迅速だ。また、公開セグメント／DMZ／非公開セグメントなど、数階層で構成される複雑なトポロジーも簡単に構築できる。HIPPAなど、特定の法規制に対応しやすいネットワーク構成があれば、それをテンプレートとして用意しておき、ソフトウェアだけの作業で適用できる。

　さらに、単一のアプリケーションに専用の論理ネットワークセグメントを割り当て、このアプリケーションをほかと隔離することができる。こうした細かな分割を行ったうえで、NSXが備えるセキュリティやQoS関連の機能を、この論理ネットワークセグメントに適用すれば、このアプリケーション専用の、きめ細かでより確実な、セキュリティやサービスレベルの制御が実現できる。これは、ネットワークに、よりアプリケーションを認識した振る舞いをさせられることを意味する。

　まとめると、ネットワーク仮想化では、サーバ仮想化と同じように、物理ネットワークおよびそれを構成する機器にはまったく変更を加えずに、ソフトウェアだけでその中を自在に設計し、構成することができる。このため、新しい業務アプリケーションの立ち上げなどの際に必要となるネットワーク関連の作業は、自動化を進めることで迅速化とヒューマンエラーの防止ができる。さらに従来は実現が困難だったような、特定アプリケーションなどを対象とする粒度の高い、場合によってはより高度なネットワーク関連機能を適用できる。これにより、ネットワーキング自体のサービス化を進められる、というのがヴイエムウェアのメッセージだ。

複雑な構成のネットワーク設定も、ソフトウェアで設計し、ネットワークハードウェアへの設定変更なしに、即座に適用できる（VMware NSXの紹介ビデオより）

VMware NSXにおける進化のポイント

　分散トンネリングを活用する際の、物理ネットワークのアーキテクチャとして、ヴイエムウェアはリーフ／スパインのマルチパス構成を推奨している（必須というわけではない）。理由の1つは、ネットワークのどこからどこに対しても、均一な遅延特性を示すネットワークを構築できること。もう1つは、マルチパス構成であれば、局所的なトラフィックの急増が突然発生したとしても、スイッチ間の物理的な帯域幅不足による問題が発生しにくいからだ。

　ヴイエムウェアは2013年第4四半期に提供開始されるNSXで、通信環境をさらに効率化する新たな機能を搭載する。「分散ルータ」機能だ。これは、異なる論理レイヤ3空間に置かれている仮想マシン同士が、論理ルータを経由せずに、直接パケット通信できるというもの。結果として遅延の低減および帯域の効率的な利用が見込める。ヴイエムウェアはまた、NSXで豊富なAPIを提供すると発表した。NSX自体の機能拡張や、NSX以外の各種ネットワーク製品および管理ツール、クラウド運用基盤などとの連携を本質的にやりやすくするためだという。

　以上の、プラットフォームとしての機能をベースとして、NSXはレイヤ4から7にまたがる、付加価値ネットワーク機能を提供する。当初は分散ファイアウォール、負荷分散、拠点間VPNが主だが、今後さらに増えていくことになる。

他のネットワーク製品ベンダとの連携

　だが、自社ですべての付加価値機能を提供するわけではない。ヴイエムウェアは今回、NSXで多数のネットワーク／セキュリティ製品ベンダと連携していくことを併せて発表した。NSXによる分散トンネリングと既存のVLANの世界をつなぐゲートウェイ製品に加え、ファイアウォール、アプリケーションデリバリコントローラ、ウイルス対策／IDS／IPSの分野で、記事執筆時点では計14社がパートナーとなっている。これらのベンダはNSXのAPIを活用して、NSXとの直接的な連携を進めているという。

　以前、カサド氏がインタビューで説明していたが、物理ネットワークと、VXLANによる論理ネットワークの間のゲートウェイの役割を果たすスイッチとの連携には、OVSDBという技術が活用される。OVSDBは、以前からOpen vSwitchに実装されている技術で、各種の構成情報をローカルの小型データベースに書き込めるようになっている。また、また、Open vSwitchの持つ状態変化を、コントローラに対して非同期的に通知するためのプロトコルも規定されている。このOVSDBをスイッチベンダが実装することで、この製品がNSXによる論理ネットワークセグメントに参加し、自らの機能を提供できるようになる。製品自体の機能の設定は、別途その製品の管理ツールなどから行うことになる。

VMware NSXは当初は2種類が提供される

　本記事の冒頭に書いたように、2013年第4四半期に提供開始される時点で、NSXは2種類のエディションとして提供される。1つはvCNSをベースにしたもの。もう1つはNiciraのNVPから進化したものだ。

　vCNSをベースにしたものは「垂直統合版NSX」と表現できる。現在のvCNSのように、VMware vSphereとともに使うことを前提としたものだ。パッケージ的に、すぐに使えることが利点となっている。管理インターフェイスは「vCloud Director」「vCloud Automation Center」と統合される。仮想スイッチはVMware vSphereの仮想スイッチがベースになっているため、対応ハイパーバイザはESXiのみで、対応トンネリングプロトコルはVXLANのみ。このVXLAN実装は、VXLANの導入における課題の1つとなっているマルチキャストを使わないという（ここが継続提供されるvCNSと異なる点の1つ）。垂直統合版NSXには、負荷分散機能、分散ルータ機能、ESXカーネルレベルの分散ファイアウォールといった機能が新たに搭載される。

　NVPをベースとしたものは、「マルチベンダ版NSX」と表現できる。OpenStackなど、VMware vSphere／vCloud以外のクラウド運用管理基盤やユーザーの自社開発運用ツールと連携できる。仮想スイッチはOpen vSwitchがベースになっている。対応ハイパーバイザはXen、KVM、ESXiで、対応トンネリングプロトコルはSTT、VXLAN、GRE。こちらは負荷分散機能は搭載しない。

　既存のvCNSユーザーは継続提供されるvCNS、垂直統合版NSX、マルチベンダ版NSXのいずれかに移行、現NVPユーザーはマルチベンダ版NSX、垂直統合版NSXのいずれかに移行するだろうという。