SD-WANとAWS Cloud WANネットワークセグメントデプロイメントガイド：難点の解析とコスト最適化戦略

本稿では、企業がオンプレミスのSD-WANネットワークのセグメンテーションをAWS Cloud WANに拡張する際に直面する技術的課題とコスト構造について深く分析します。記事では、GREトンネルとSASEベースの2つの主要なアーキテクチャモデルに基づく導入プロセスを体系的に紹介し、環境準備からコア設定、障害…

云雀SD-WAN

SD-WANとAWS Cloud WANネットワークセグメンテーション導入ガイド：難点解析とコスト最適化戦略

執行概要：マルチテナント環境、規制対象業界、または複数のビジネスユニットを運用する企業にとって、SD-WANとAWSクラウド間の厳格なネットワークセグメンテーションを維持することは、セキュリティ、コンプライアンス、運用要件を満たすための基盤です。オンプレミスのSD-WANの仮想ルーティングおよび転送（VRF）セグメンテーション機能をAWS Cloud WANへシームレスに拡張することで、これらのセグメント化された環境を単一のスケーラブルなグローバルネットワーク下に統合できます。本記事では、2つの主要な導入モデル（GREトンネルモデルとトンネルレスモデル）の実装難点、設定手順、コスト構成、ベストプラクティスを詳細に説明し、企業に実践可能で最適化可能な統合ソリューションを提供します。

前提条件：導入前の必須評価と準備

導入を開始する前に、以下の環境、ツール、知識が揃っていることを確認する必要があります。これはプロジェクト成功の前提条件です。

1. AWS環境要件：

  • 適切なIAM権限（VPC、Transit Gateway、Cloud WANなどのサービス権限を含む）を持つAWSアカウント。
  • 接続用のTransit VPCを計画し、事前作成します。このVPCにはSD-WAN仮想アプライアンス（Cisco CSR 1000v、Fortinet FortiGate-VM、Palo Alto VM-Seriesなど）をデプロイする必要があります。
  • AWSリージョンがAWS Cloud WANサービスをサポートしていることを確認し、グローバルネットワーク（Global Network）とコアネットワーク（Core Network）のCIDRアドレス計画を明確にします。

2. オンプレミスSD-WAN環境要件：

  • 完全に機能するSD-WANコントローラー（Cisco vManage、FortiManager、Palo Alto Panoramaなど）。
  • 計画されたVRFセグメンテーション戦略。例：VRF-PROD（プロダクショントラフィック用）、VRF-DEV（開発トラフィック用）。
  • AWSとのIPsecトンネルを確立できる至少1つのエッジデバイス（物理または仮想）。

3. ネットワークとルーティング知識：

  • BGP（ボーダーゲートウェイプロトコル）やOSPF（オープンショーテストパスファースト）などのルーティングプロトコルに精通していること。
  • VRF、GRE（Generic Routing Encapsulation）トンネル、VXLANなどのネットワーク仮想化技術を理解していること。
  • AWS Transit Gateway（TGW）およびCloud WANの基本概念と操作に精通していること。

4. ツールと権限：

  • AWS CLIまたはコンソールへのアクセス権限。
  • SD-WANコントローラー管理インターフェースの管理者権限。
  • 接続性検証用のネットワーク診断ツール（ping、traceroute、BGP表示コマンドなど）。

環境準備：AWS Cloud WANとSD-WANコントローラーの初期設定

このセクションでは、後続のセグメント接続確立の基盤となる、AWSおよびSD-WANコントローラー側での基本設定について説明します。

ステップ1：AWS Cloud WANグローバルネットワークとコアネットワークポリシーの作成

  1. AWSマネジメントコンソールにログインし、VPC > Cloud WANに移動します。
  2. 「グローバルネットワークの作成」をクリックし、名前（例：Global-Corp-Network）を入力して作成します。作成後、Global Network IDを記録します。
  3. 作成したグローバルネットワークに入り、「コアネットワーク」タブで「コアネットワークの作成」をクリックします。
  4. コアネットワークポリシードキュメントを設定します。ポリシーはネットワークセグメンテーション、ルーティングなどのロジックを定義します。ポリシーJSONの例は以下のとおりです： 
    { "version": "2021.12", "core-network-configuration": { "asn-ranges": ["65500-65550"], "edge-locations": ["us-east-1", "eu-west-1"], "vpn-ecmp-support": true }, "segments": [ { "name": "Production", "require-attachment-acceptance": false }, { "name": "Development", "require-attachment-acceptance": false } ], "segment-actions": [], "attachment-policies": [] }
  5. 確認し、コアネットワークを作成します。Core Network IDとCore Network Policy Versionを記録します。

期待される結果：ProductionとDevelopmentの2つのセグメントを含むコアネットワークがCloud WANで正常に作成され、状態がAvailableになります。

ステップ2：SD-WANコントローラーのWANインターフェースとゾーンの設定

汎用的な設定コマンドの例を示します（具体的なコマンドはベンダーにより異なります）：

  1. SD-WANコントローラーの管理インターフェースにログインします。
  2. インターフェース設定ページに移動し、AWS接続に使用する物理または論理インターフェース（例：ge0/0）を特定します。
  3. AWS接続用のWANゾーン（Zone）を作成または確認します。設定例のアイデア： 
    config system zone edit "AWS-Zone" set interface "ge0/0" next end
  4. このインターフェースに到達可能なIPアドレスとデフォルトルートが設定されており、インターネット経由でAWSのパブリックエンドポイントにアクセスできることを確認します。

期待される結果：SD-WANコントローラーにAWSを指すWANゾーンとインターフェースが定義され、基本的なネットワーク接続性が準備完了となります。

主要操作：2つのセグメント拡張モデルの導入手順

企業は、ネットワークの複雑さ、パフォーマンスオーバーヘッド、運用能力への要求に基づいて、2つの主要モデルのいずれかを選択できます。以下で各モデルの手順を詳細に説明します。

モデル1：GREトンネルベースのConnectアタッチメントモデル（1対1マッピング）

このモデルは、各SD-WAN VRFに対してAWS TGW上で個別のGREトンネルとConnectアタッチメントを作成し、Cloud WANの個別セグメントにマッピングします。最も厳格なセグメント分離を提供しますが、設定がやや複雑です。

ステップ3.1：AWS TGW上に複数のConnectアタッチメントを作成

  1. Transit Gateway（TGW）が存在し、Transit VPCがアタッチされていると仮定します。TGWコンソールで、拡張が必要な各VRFに対してConnectアタッチメントを作成します。 
    # Production VRF用のConnectアタッチメント作成のAWS CLI例 aws ec2 create-transit-gateway-connect \ --transit-gateway-id tgw-0123456789abcdef0 \ --transport-transit-gateway-attachment-id tgw-attach-0123456789abcdef0 \ # VPCアタッチメントID --options '{"Protocol": "gre"}' --tag-specifications 'ResourceType=transit-gateway-connect,Tags=[{Key=Name,Value=TGW-Connect-Prod-VRF}]'
  2. Development VRFについても同様の操作を繰り返し、2つ目のConnectアタッチメントを作成します。

期待される結果：TGWコンソールのConnectタブに、プロダクションおよび開発トラフィック用にそれぞれAvailable状態の2つの接続が表示されます。

ステップ3.2：Cloud WANアタッチメントを設定し、Connectアタッチメントをセグメントに関連付け

  1. Cloud WAN > コアネットワーク > アタッチメントに移動し、「アタッチメントの作成」をクリックします。
  2. アタッチメントタイプとして「Connect」を選択します。
  3. 対応するコアネットワークID、セグメント（例：Production）、および事前に作成したTGW Connectアタッチメントを選択します。
  4. アタッチメントにラベル（例：Segment=Prod）を設定します。これはアタッチメントポリシーの自動化に使用できます。
  5. 上記の手順を繰り返し、DevelopmentのConnectアタッチメントをDevelopmentセグメントに関連付けます。

期待される結果：Cloud WANアタッチメントリストに、それぞれProductionおよびDevelopmentセグメントに属する2つのConnectアタッチメントが表示され、状態がAvailableになります。

ステップ3.3：SD-WANデバイスでGREトンネルとBGPピアリングを設定

このステップは、SD-WANエッジデバイス（仮想または物理）のCLIまたはコントローラーからプッシュされるテンプレートで実行されます。以下は、BGP over GREの一般的な設定例のアイデアです： 

! AWS TGW Connectエンドポイントを指すGREトンネルインターフェースを作成 interface Tunnel100 description GRE-Tunnel-to-AWS-Prod-VRF ip address 169.254.10.1 255.255.255.252 tunnel source <ローカル送出インターフェースIP> tunnel destination <AWS TGW ConnectエンドポイントIP> tunnel vrf <ローカルProd-VRF名> ! Cloud WANのAWS側エンドポイントとのBGPピアリングを設定 router bgp <ローカルASN> ! address-family ipv4 vrf <Prod-VRF名> neighbor 169.254.10.2 remote-as 64512 # AWS Cloud WANが使用するASN neighbor 169.254.10.2 activate neighbor 169.254.10.2 soft-reconfiguration inbound exit-address-family

期待される結果：show bgp vpnv4 unicast vrf <VRF名> summaryコマンドで確認すると、BGPネイバーの状態がEstablishedとなり、ルートプレフィックスが交換されていることが確認できます。

モデル2：トンネルレス複数VPC ENIモデル（1対多マッピング）

このモデルでは、TGW上にGREトンネルを作成するのを避け、代わりにAWS Cloud WANのVPCアタッチメントタイプと複数ENI機能を活用して、異なるVRFからのトラフィックを異なるENIにマッピングし、进而Cloud WANセグメントに関連付けます。アーキテクチャがより簡潔になり、GREのカプセル化オーバーヘッドが削減されます。

ステップ4.1：Transit VPC内に複数のENIを作成し、異なるセキュリティグループ/サブネットに関連付け

  1. Transit VPC内で、各VRF（Prod、Devなど）に対して、トラフィック分離を実現するための独立したサブネットとセキュリティグループを作成します。
  2. 各VRFの論理ネットワーク機能（ファイアウォール、ルーターなど）用に、独立したENIを作成します。 
    # Prod VRF機能用のENI作成AWS CLI例 aws ec2 create-network-interface \ --subnet-id subnet-0123456789abcdef0 \ # Prod専用サブネット --groups sg-0123456789abcdef0 \ # Prod専用セキュリティグループ --description "ENI for Prod VRF routing function" --tag-specifications 'ResourceType=network-interface,Tags=[{Key=Segment,Value=Production}]'

期待される結果：Transit VPC内に、異なるセキュリティ属性とサブネット関連付けを持つ2つのENIが存在し、それぞれProdおよびDev論理機能にサービスを提供します。

ステップ4.2：Cloud WANのVPCアタッチメントを作成し、複数ENIマッピングを有効化

  1. Cloud WANコンソールでVPCタイプのアタッチメントを作成します。
  2. Transit VPCを選択します。
  3. 「詳細設定」で、Appliance Modeを見つけて有効にします。これにより、同じ送信元IPからのトラフィックが常に同じENIに転送されるようになります。
  4. 重要なステップ：Subnet mappingで、各ENIが関連付けられるべきCloud WANセグメントを明示的に指定します。これは通常、ENIに