エンタープライズネットワーキングで最も困難な問題の一つは、同一デバイス上の異なるネットワークドメインを安全にアドレス競合なく管理することです。MSP、政府、金融、医療、マルチテナント環境では、すべてのテナントが独自のIPプランを持ち込む可能性があります。同じCIDRブロックを異なる顧客間で再利用することは一般的です。
クラシックなルート分離は通常、ルーティングテーブルのみを分離します。しかし真の分離にはルートだけでなく、インターフェース、ARP、ファイアウォール、ソケット、接続の動作もすべて分離する必要があります。それなしでは、テナントAの`10.0.0.5`とテナントBの`10.0.0.5`が同一デバイス上で運用上およびセキュリティ上のリスクになります。
2つ目の問題はサービスが異なるネットワークドメインに留まる必要がある場合に生じます。VIPはDMZ側でリッスンし、バックエンドは内部ネットワークに留まり、管理トラフィックは独自のルートテーブルに限定され、または移行中に古いネットワークと新しいネットワークが共存する必要があります。これらのドメインを強制的に統合するとセキュリティのセグメンテーションと運用の秩序が崩壊します。
正しいアプローチは各ネットワークドメインを独自のルートテーブル内に分離し、vServiceレベルで制御されたクロスを提供することです。vServiceは複数のルートテーブルでリッスンし、異なるルートテーブルにあるバックエンドにトラフィックを転送できるべきです。
TR7クロスNSルーティングはこのニーズを満たします：単一デバイス上に分離されたネットワークドメインを作成し、重複するIPプランを分離し、vServiceをルートテーブル間の制御されたトラフィックブリッジに変換します。
TR7はルートテーブルの分離、クロスドメインルーティング、テーブルごとのプロセス管理、UIドリブンのライフサイクルによりマルチネットワークドメインアーキテクチャを実装します。
各ルートテーブルは独自のルーティング、インターフェース、ARP、ファイアウォール、ソケットネームスペースを持ちます。テナント、サービスゾーン、テスト環境は互いに干渉することなく同じデバイス上で実行できます。
単一のvServiceは複数のルートテーブルでVIPをリッスンし、異なるルートテーブルにあるバックエンドにトラフィックを転送できます。ネットワークを統合せずに制御されたサービスの受け渡しが実現します。
TR7は各ルートテーブルに対して個別のネットワーク監視・管理プロセスを実行できます。リンク状態、IPアドレス、ルート、統計、サービスヘルスがすべてのネットワークドメインに対して独立して収集されます。
オペレーターはルートテーブルを作成、削除、命名し、DNSとhostsの設定を構成できます。インターフェースがどのルートテーブルに属するかも管理コンソールから変更できます。
マルチネームスペースアーキテクチャはテナント分離からクロスサービスルーティングまで、単一のADC上で異なるネットワークドメインを管理可能にします。
TR7ルートテーブルは単なるルートの別リストではありません。インターフェース、ARP、ファイアウォール、ソケット、接続の動作がすべてドメイン内で独立して動作します。一方のテナントのネットワーク動作がもう一方に漏れることはありません。オペレーションチームは同じデバイス上で複数のネットワークドメインをより安全で読みやすい方法で管理します。
マルチテナント環境では異なる顧客が同じプライベートIPブロックを使用する場合があります。TR7ルートテーブルはこれらの重複するアドレスプランを別々のネットワークドメインに保持します。テナントAの`10.0.0.5`とテナントBの`10.0.0.5`は同じデバイス上で別個の意味を持ちます。これによりMSPとソブリンクラウドのアーキテクチャに大幅なIPプランの柔軟性が提供されます。
vServiceのフロントエンドは単一のネットワークドメインに限定されていません。同じサービスはprod、DMZ、管理またはテナントのルートテーブル上で異なるVIPでリッスンできます。クライアントがどのルートテーブルから来るかに応じて異なるポリシーまたはバックエンド選択が適用できます。このモデルはサービスインスタンスを複製することなくマルチネットワーク公開シナリオを簡素化します。
TR7は1つのルートテーブルに到着するトラフィックを別のルートテーブルにあるバックエンドに転送できます。VIPはDMZに留まりながらバックエンドは内部ネットワークに存在できます。テナントネットワークは分離されたまま共有サービスネットワークは独自のルートテーブルに存在できます。許可されたサービスフローのみがTR7を通過し、ネットワークは統合されません。セグメンテーションが保持されながらアプリケーションアクセスが簡素化されます。
物理または仮想インターフェースがどのルートテーブルに属するかはTR7から管理できます。これは移行、テナントの移動、テストから本番への移行時に実用的です。インターフェースを移動する際のルート、IP、サービスへの影響を総合的に評価する必要があります。オペレーションチームはネットワークドメインを静的で不変の構造として扱う必要はありません。
V-ETH(peer)ペアを使用して2つの異なるルートテーブル間に制御された仮想接続を作成できます。これは完全に分離されたドメイン間で特定の定義されたトラフィックパスのみを通す必要がある場合に価値があります。テスト、移行、サービス共有、テナントの共有サービスアクセスに適用できます。接続はTR7のポリシーとファイアウォールルールによって引き続き管理されます。
各ルートテーブルは独自のDNSとhostsレコードで動作できます。同じホスト名を異なるテナントのルートテーブルで異なるIPに解決したり、テスト環境が本番とは異なる名前解決を使用したりできます。この分離はマルチテナント環境と移行シナリオでのホスト名競合を削減します。オペレーターはDNS動作をグローバルではなくネットワークドメインレベルで管理します。
各動的ルートテーブルは独自のルーティングプロセスを実行できます。BGP、OSPF、または類似の動的ルーティング動作をテナントまたはネットワークドメインごとに分離できます。一方のテナントのドメインでのルート変更が他のテナントのルーティング平面に影響しません。これはMSPとマルチリージョンのエンタープライズアーキテクチャにおける重要なセキュリティと運用上の優位性です。
TR7は各ルートテーブルに対して個別のファイアウォール管理を適用できます。ルール、ipset、トラフィック許可は関連するネットワークドメイン内で動作します。一方のテナントのために開かれたポートまたは付与された許可が自動的に別のテナントのサービスに伝播することはありません。セキュリティチームはポリシースコープをより正確に定義できます。
リンク、IP、ルート、トラフィックの統計を各ルートテーブルに対して個別に収集できます。オペレーションチームはどのネットワークドメインのどのリンク、IP、ルートが問題を引き起こしているかを分離して確認できます。この可視性はマルチドメイン環境でのトラブルシューティング時間を削減します。単一デバイス上で稼働する環境が明確に分離されたビューで監視されます。
ヘルスチェックはバックエンドが稼働しているかどうかだけでなく、関連するルートテーブルから到達可能かどうかも検証できます。フロントエンドネットワークドメインから異なるルートテーブル上のバックエンドへのチェックは実際のトラフィックパスを検証します — サービスの可用性だけでなく、ルート、ARP、ファイアウォールのトラバーサルを検証します。これによりクロスネットワークルーティングのセットアップで重要な運用上の信頼性が提供されます。
マルチルートテーブルの動作はTR7のネットワークアーキテクチャのネイティブな部分です。オペレーターはテナントごとに個別の仮想デバイスをプロビジョニングする必要はありません。同じADC上での分離、ルーティング、サービスの受け渡しがすべて単一の管理平面内に留まります。これによりリソース消費と運用の複雑さが削減されます。
マルチルートテーブルアーキテクチャは完全なライフサイクル管理、インターフェース移行、プロセス回復、テーブルごとのDNS/hosts、クロスドメインの状態調整と一緒に運用されます。
オペレーターが新しいルートテーブルを作成すると、TR7はそのネットワークドメインのための別々の実行コンテキストを準備します。このドメインは独自のインターフェース、ルート、ファイアウォールの動作を持ちます。名前と説明のフィールドはオペレーションチームがテナントまたはサービスゾーンを区別するのに役立ちます。
まだインターフェースが割り当てられているルートテーブルを削除することは安全でないと見なされます。デフォルトの動作はインターフェースが移行されるまで削除をブロックします。必要であれば、インターフェースを最初にデフォルトドメインに戻し、削除を制御された明示的なものにできます。
ルートテーブルに対して実行している監視・管理プロセスが予期せず終了した場合、自動的に再起動できます。これによりマルチドメイン監視動作の継続性が保たれます。オペレーションチームは単一のプロセス失敗によってネットワークドメインの可視性を永続的に失うことはありません。
インターフェースを一方のルートテーブルから別のルートテーブルに移動する際は、IP、ルート、サービス、ファイアウォールルールへの影響を総合的に評価する必要があります。この操作は移行目的では強力ですが、本番環境では計画的に行うべきです。TR7はこの動作をUIで可視化し、意図しない移動のリスクを削減します。
メイン管理プロセスと各ルートテーブルプロセスの間にイベントベースのメッセージングを確立できます。リンク状態、IPの状態、GTM情報、サービスシグナルが各ネットワークドメインに個別に配信されます。これによりグローバル管理と分離されたネットワークドメイン間の制御された調整が提供されます。
各ルートテーブルにインデックス値を割り当てられます。このインデックスは動的ルーティングポート、仮想ルーターIDオフセット、サービスごとの補助プロセス識別子を導出するために使用されます。これにより複数のネットワークドメイン間でのポートとIDの競合が削減されます。
MSPは`10.0.0.0/8`アドレスブロックを使用する複数の顧客を単一のTR7 ADC上でそれぞれ独自のルートテーブルで実行できます。すべてのテナントはIPアドレスの競合なく独自のネットワークドメインに分離されます。
組織はVIPをDMZルートテーブルでリッスンさせながらバックエンドを内部ルートテーブルに保持できます。TR7は2つのドメインを統合することなく、許可されたサービストラフィックのみを転送します。
サービスが旧テナントネットワークから新しいルートテーブルに移動される際、vServiceトラフィックを制御された方法でリダイレクトできます。IPプランとサービスアクセスが移行全体を通じて一緒に管理されます。
テストルートテーブルは本番に近い設定で実行できますが、本番トラフィックへの直接アクセスはありません。オペレーションチームは必要に応じてクロスルートテーブルルーティングを通じて特定のサービスをテストしながら分離を保持します。
重複するIPプラン、DMZから内部ネットワークへのルーティング、マルチテナントルートテーブルアーキテクチャ。お客様自身の環境でライブセットアップをご案内します。