マルチクラウド環境におけるIPアドレス重複の解消

F5

プライベートIPアドレス指定は、このプロトコルの最も有用な機能の1つです。このアドレス空間は、インターネットに接続しない組織内など、ローカルな範囲で制約なく使用するために割り当てられており、大規模な内部ネットワークを自由に構築できるようになりました。

しかし、この柔軟性には代償も伴います。これまで分離されていた2つのプライベートIPネットワークを接続しようとすると、両方のネットワークで同じIPアドレスが使用されている場合があります。IPアドレスは各ネットワークまたはルーティングドメイン内で一意でなければならないため、重複する領域へのアクセスや、そこからのアクセスが不安定になります。影響を軽減する従来の回避策もありますが、F5 Volterraなら、この問題自体を回避できます。

重複が問題となる理由

ネットワーク内の異なる2つの領域が重複し、同じIPサブネットのアドレス範囲を使用している場合、主に2つの問題が発生します。第1に、どのデバイスも、そのアドレスがローカルエンドポイント宛てではないことを認識できないため、2つのサブネット間では一切通信できません。両方のサブネットがユーザーのみで構成されるクライアント専用サブネットであれば、この問題は簡単に解決できる可能性があります。しかし、一方のサブネットにネットワークサービスが含まれている場合、もう一方のサブネットからはそれらのサービスにまったくアクセスできません。さらに、IPアドレスの重複は、ネットワーク内の他の場所からそれらのサブネットに向かうすべてのトラフィックに影響します。ネットワーク内のルーターは情報を交換するため、両方のサブネットが異なる2つの場所からアドバタイズされます。その結果、正常に確立された接続であっても、いつでも誤った場所に転送される可能性があります。

現代におけるIPアドレス重複の急増

適切に管理されたネットワークでIPアドレスの重複が発生する最も一般的な原因は、それまで分離されていた2つのネットワークを接続または統合することです。特に、各組織のIT部門が、エンドポイントには10/8、インフラストラクチャには172.16/12を使用するなど、類似したアドレス割り当て規則を採用していた場合、2つの組織の合併時にこの状況が生じることは容易に想像できます。しかし、1つ以上のクラウドに接続する際にも、重複が発生するケースが増えています。最大規模の個別ネットワークは、パブリッククラウドプロバイダーなどのハイパースケーラーが運用しており、必然的にプライベートIPアドレスを使用しています。各サーバーで多数のVM、またはさらに多くのコンテナをホストする場合、1列のサーバーラックだけで/16ネットワーク全体を消費する可能性があります。クラウド需要の拡大に伴ってアクセス需要も増加し、クライアントサイトVPNからサイト間VPN、マルチクラウドネットワーキング製品、さらにはクラウドデータセンターへの直接WAN接続へと広がりました。サイト間VPNとWANリンクは、クラウドネットワークの一部を実質的にお客さまのネットワークへ接続します。多くのお客さまのネットワークもプライベートIPアドレスを基盤としているため、その結果としてIPアドレスの重複が増えています。

IP重複への応急処置と根本的な解決

分散型モダンアプリが普及するにつれ、ハイブリッドクラウド、クラウド間、エッジからクラウドなど、アプリ間の接続も増加します。スケーラブルなアーキテクチャには、容易に自動化できるIPアドレス重複への対処方法が必要です。多くのネットワーク管理者は、まずNATを利用します。NATは、プライベートIPアドレスからパブリックインターネットへの接続を可能にする仕組みだからです。しかし、NATは問題を解決するのではなく、単に別の場所へ移すだけです。この抽象化はサブネット内には適用されないため、同じサブネット範囲を持つリモートネットワークなどのエッジケースへの対応負担が、アプリケーションやサービスに転嫁されます。さらに、NATではサブネットの内外で収集されたイベントにずれが生じるため、可視性が損なわれます。NATによって継続的に発生する運用コストが正当化されるのは、IPアドレスの再割り当てなど、ほかの選択肢の方が望ましくない場合に限られます。

F5のVolterra VoltMeshは、IPアドレスの重複をすっきりと解決します。重複が問題になるのは接続がL3に依存する場合に限られるため、VoltMeshは、F5のお客さまが25年にわたり信頼してきたものと同じアプリケーションデリバリ手法を用いて、L3アドレスをL4またはL7のトランザクションから分離します。さらに、VoltMeshには独自の機能があります。機能が分散されているため、IT部門はメッシュ内の任意の場所にある任意のIPアドレスを選択してアプリケーションを配信できます。また、機能が統合されているため、ネットワーク、セキュリティ、さらにはアプリケーションに至るまで、エンドツーエンドの完全な可視性が維持されます。VoltMeshを使用すれば、実際のIPアドレスにかかわらず、リモートサービスをローカルIPアドレスでローカルサブネットに配信することも可能です。そのため、NAT、ファイアウォールのピンホール、ルーティングの変更など、ネットワークの変更は一切必要ありません。VoltMeshは、ネットワークを中断することなく完全な制御と可視性を提供し、IPアドレスの重複を可能な限りすっきりと解決します。

マルチクラウド時代では、プライベートIPアドレスの利用により、ネットワークの拡張と相互接続が進み続けています。そのため、従来型の接続性を重視する限り、IPアドレスの重複は引き続き問題となります。オンプレミスでもクラウド間でも、F5 Volterra VoltMeshは、アプリケーションをネットワーク層から分離し、直接接続せずに到達可能にするとともに、明確な分離によってプライベートネットワークのプライバシーを維持することで、サービスを安全に提供できます。

詳細については、F5のDevCentralで「マルチクラウドの課題への道のり」をご覧ください。また、F5で「包括的なマルチクラウド管理を実現」する方法もご確認ください。

著者について

F5

F5のその他のブログ記事