2. レイヤ 2 Ethernet ベースの VPN

Ethernet は LAN 上の標準規格である

ご存じのように Ethernet は LAN (Local Area Networks) で使用されている技術です。Ethernet は複数のコンピュータを相互に接続するために大変便利で信頼性のある標準規格です。Ethernet を利用することにより、誰でもファイル共有、プリンタ共有、RDBMS (リレーショナルデータベースマネージメントシステム) を用いた大量のデータアクセスなどの数多くのネットワークプログラムを利用することができます。現代においてはオフィスで Ethernet を用いた LAN を保有していない会社などは存在しないでしょう。

Ethernet を用いたネットワークの標準形態はハブ・アンド・スポークモデルです。中央に HUB (Ethernet スイッチとして知られています) が設置されており、各コンピュータは HUB にケーブルで接続されています。このとき、すべてのコンピュータ間は相互に通信が可能になります。Ethernet はこのように簡単にネットワークを構築することができるという利点があります。これが、Ethernet が世界中で利用されるようになった理由に違いありません。自由に通信ができるようになった各コンピュータおよび HUB は、「Ethernet セグメント」を構成します。これは「レイヤ 2 セグメント」または「ブロードキャストドメイン」と呼ばれることがあります。

Ethernet には本来は離れた拠点間の接続に使用できない

しかしながら、Ethernet は異なるオフィス間またはビル間にある障壁をまたいで利用することができません。通常の状況においては、複数のコンピュータを 1 個の単一の室内またはビル内で接続することはできます。しかし、例えば異なる拠点 A と拠点 B の 2 拠点間にあるコンピュータ動作を Ethernet のみで接続して通信させることはできません。その理由は、Ethernet によってネットワークを構築するためには有線 Ethernet ネットワークケーブルをデバイス間に敷設する必要があるためです。ネットワークケーブルはビル内でのみ配線することができます。一般人には道路上にケーブルを敷設する能力や資格がないため、ネットワークケーブルを 2 箇所以上の離れたビルの間に敷設することはできません。また、Ethernet には最大通信可能距離の制限もあります。この距離制限は Ethernet を拡張するために最近発明された無線 LAN や光ファイバケーブルを用いたとしても終局的には解決することができません。

「Ethernet (イーサネット) 」は「インターネット」とは異なります。インターネットは多数のプライベートネットワークや ISP が相互接続したネットワークです。一般ユーザーは ISP に安価な接続料金を支払うだけでインターネットへの接続を利用することができます。たとえば、東京のオフィスと、北京のオフィスとの両方をインターネットに接続することはとても簡単です。そして両方の拠点にあるコンピュータは、インターネットにアクセスすることができるようになります。しかしたとえ両方の拠点をインターネットに接続したとしても、それだけでは LAN 上で利用することを目的に開発されたソフトウェアを両方の拠点間で使用することはできません。2 拠点を両方ともインターネットに接続すれば次のことが可能になるだけです: 例えば、メールの交換、Skype やメッセンジャーソフトウェアによるメッセージや音声の交換、および共有のグループウェアにアクセスしたスケジュール帳の交換などです。これらの通信は確かに複数の拠点をそれぞれインターネットに接続すれば拠点間で利用可能になります。しかし、これだけではファイル共有、プリンタ共有、データベースプロトコルの利用、CRM、ERP やその他の特定目的の業務アプリケーションの利用をインターネット越しに行うことはできません。繰り返すと、Ethernet とインターネットとは異なるものであり、インターネットは決して Ethernet の代替となることはできないのです。たとえ 2 箇所の拠点を両方ともインターネットに接続したとしても、2 拠点が単一の Ethernet セグメントを構成することは決してありません。もし LAN 用のアプリケーションを拠点間で利用したいのであれば、あなたは各拠点のすべてのコンピュータを含有する単一の Ethernet セグメントを構築しなければなりません。

PacketiX VPN により Ethernet セグメントを距離に関わらず延長することができる

PacketiX VPN はインターネットを経由してトンネリング通信技術を用いることにより、1 個の Ethernet セグメントを 2 箇所またはそれ以上の複数の拠点間で構築することができるツールです。

あなたはすでに Ethernet の利点および Ethernet とインターネットとの違い、およびその違いから来る制約についてご理解いただけているかと思います。そしてあなたは恐らく、もし Ethernet セグメントが、ビル間の道路などをまたいでいかなる距離を超えてでも他の拠点に延長することができれば良いのではないかと思案されていることでしょう。もしそういうことが可能であれば、LAN 上で利用されることを目的として開発されたいかなるアプリケーションでも、拠点間で利用することができるようになるはずです。

あなたはいくつかの電話会社が「広域イーサネットサービス」と呼ばれる長距離通信サービスを提供していることについて聞いたことがあるかも知れません。広域イーサネットのようなサービスを利用すれば、2 箇所またはそれ以上のビル間で単一の Ethernet セグメントを構築することができます。しかしそのような専用線接続サービスはインターネットの接続コストと比較して極めて高価 (たとえば 100 倍以上) です。また、広域イーサネットはサービスエリアが限られており、当該サービスについていずれかの拠点がエリア圏外であれば利用することはできません。

そのため、他の解決策が必要なのです。幸運なことに、拠点をインターネットに接続するためのコストは現代社会ではとても安価になっています。2 箇所またはそれ以上の拠点をインターネットに常時接続することはとても簡単です。そこでもしあなたが PacketiX VPN を各拠点にインストールすれば、各拠点にある Ethernet セグメントは相互に接続され、単一の Ethernet セグメントを構築することができます。VPN 確立前においては各拠点の Ethernet セグメントはそれぞれ独立しており、互いに完全に分離されていました。ところが VPN 接続が確立された後は、各セグメントは 1 つに結合し、1 つのセグメントを構成するのです。この状態において、あなたはどのようなプロトコルであっても各拠点間で利用することができます。たとえ拠点間の物理的な距離が離れていても大丈夫です。この方法は、リモートアクセス接続および拠点間接続の両方に活用することができます。

Ethernet スイッチ、LAN カードおよび LAN ケーブルの仮想化

上記の目的を達成するため、PacketiX VPN は Ethernet スイッチ、LAN ケーブルおよび LAN カードを仮想化します。

Ethernet スイッチは HUB またはレイヤ 2 スイッチと呼ばれることもあります。Ethernet スイッチは Ethernet のホスト間でパケットを交換するためのデバイスです。スイッチには FDB (Forwarding Database) が搭載されており、あるポートに届いたパケットを転送すべき適切な出口のポートを決定することができます。この挙動は「スイッチング」と呼ばれ、Ethernet スイッチにおける重要な動作の 1 つとなっています。

Ethernet で使用される LAN ケーブル、たとえば Cat5e または Cat6 の銅線ケーブルは、Ethernet ではイス、すなわち Ethernet スイッチや LAN カードなどの間を接続するための設備です。LAN カードは NIC (Network Interface Card) と呼ばれることもあり、コンピュータに装着されています。現代のコンピュータは LAN カードをマザーボート上に搭載しています。これは「オンボード」と呼ばれます。必要に応じて、PCI または USB バス上に複数の LAN カードを増設することはご存じかと思います。

PacketiX VPN は Ethernet スイッチを仮想化し、エミュレーションします。仮想 Ethernet スイッチはソフトウェア内において「仮想 HUB」と呼ばれています。PacketiX VPN は LAN カードも仮想化しエミュレーションします。これはソフトウェア内において「仮想 LAN カード」と呼ばれています。PacketiX VPN は同様に LAN ケーブルの仮想化してエミュレーションします。これはソフトウェア内において「VPN セッション」または「VPN トンネル」と呼ばれています。

上記の 3 つの要素は PacketiX VPN について理解する上で重要です。例えば、あなたが遠隔地から会社の LAN に対してリモートアクセス可能な VPN を構築したいと考える場合、会社の LAN 上にある VPN Server 上に仮想 HUB を 1 個作成することになります。当該仮想 HUB は 1 個の Ethernet セグメントを構成します。そして、仮想 HUB と、それが動作している VPN サーバーコンピュータ上にある物理的な LAN カードとの間を相互に接続します。すると仮想 HUB のセグメントと既存の物理的な LAN のセグメントとは結合され、一体となり、1 つの Ethernet セグメントを構成します。この状態で、VPN Client を遠隔地にあるノートパソコンなどのクライアントコンピュータにインストールします。VPN Client ソフトウェアはクライアント PC 上に仮想 LAN カードを作成することができます。そして VPN Client ソフトウェアの設定を行い、その仮想 LAN カードが、会社の VPN Server の仮想 HUB に対して接続されるように設定します。接続を開始する操作をすれば、仮想 LAN カードと仮想 HUB との間に新しい VPN セッションが確立されます。この状況は、物理的なスイッチング HUB と物理的な LAN カードとの間を LAN ケーブルで接続した状態ととても似ています。単に似ているだけではなく、これは Ethernet の挙動に関する論理的な側面と完全に一致しています。VPN 接続を確立した後は、Ethernet に対応した任意のプロトコルを送受信することができます。すべてのパケットは、VPN セッションまたは VPN トンネルと呼ばれる仮想的な LAN ケーブルの中を流れることになります。

上記によって PacketiX VPN における VPN 実現方法の仕組みを理解いただけたかと思います。あなたは PacketiX VPN の活用の幅として潜在的に存在する可能性がほとんど無限であることを理解されたかと思います。上記の例示においては 1 つのリモートアクセス VPN を確立するための方法を示したに過ぎませんが、同じ方法を他の形態の VPN にも適用することができます。拠点間接続を実現することも簡単にできます。リモートアクセス VPN との唯一の違いは、VPN Server 側から見た対向側のデバイスが VPN Client の代わりに VPN Bridge であることです。

仮想 HUB はソフトウェアで実装された Ethernet スイッチです。VPN デバイス間のパケット交換を行います。

PacketiX VPN Server 上に多数の仮想 HUB を作成できます。各仮想 HUB は互いに分離しています。

PacketiX VPN Client がインストールされたクライアント側 PC には、いくつも仮想 LAN カードを
作成できます。各仮想 LAN カードは「本物の」 LAN カードのように見えます。
 

仮想 HUB

仮想 HUB は物理的な世界における Ethernet スイッチの挙動をエミュレーションする目的で PacketiX VPN Server および VPN Bridge に実装されているコンポーネントです。仮想 HUB にはそれぞれ FDB (Forwarding Database) があります。多数の VPN セッションが 1 個の仮想 HUB に接続することもあります。すべての VPN セッションのエンドポイントは、任意の Ethernet パケットを送受信することができます。

仮想 HUB は、VPN Client からの接続を受付けることができるほか、他の仮想 HUB からの接続を受付けることもできます。VPN Client はユーザーのクライアントエンドポイント PC で動作しているソフトウェアプログラムです。

仮想 HUB は多数の VPN セッションを保持することができ、MAC アドレスを学習するための
Forwarding Database (FDB) も仮想 HUB 上に実装されています。

物理的な Ethernet スイッチ製品と同様に、
仮想 HUB は各 VPN セッションの MAC アドレスを自動的に学習します。

カスケード接続

PacketiX VPN Server 上では、好きなだけ仮想 HUB を作成することができます (最大 4,096 個まで作成可能)。すべての仮想 HUB は、それぞれ独自の Ethernet セグメントを構成し、たとえ同一の VPN Server コンピュータ上であっても他の仮想 HUB の Ethernet セグメントとは完全に隔離されています。これは、例えると 1 つの机の上に何個かの Ethernet スイッチが置いてあるのと同様の状況です。それぞれの Ethernet スイッチは他の Ethernet スイッチに相互に接続されている訳ではない場合は、各 Ethernet セグメントは独立しているということができます。しかし、この状態であなたがそれぞれの Ethernet スイッチのポート同士を相互に LAN ケーブルで接続すると、各 Ethernet セグメントは 1 つの Ethernet セグメントに結合することになるでしょう。これは同様に、あなたは同一の VPN Server 上にある複数の仮想 HUB 間にリンクを確立することができます。これは「カスケード接続」または単純に「カスケード」と呼ばれています。カスケードは Ethernet においてよく知られている技術用語です。カスケード接続が確立された場合は、それぞれの仮想 HUB の Ethernet セグメントは結合され、1 個のセグメントになります。

同様に、離れた場所にある VPN Server 動作でカスケード接続を作成することも可能です。たとえば東京と北京の 2 箇所に VPN Server があり、各 VPN Server には 1 個ずつ仮想 HUB が作成されているとします。この状態で 2 個の仮想 HUB の間にカスケード接続を作成することができます。すると、両方の HUB は単一のセグメントになります。そして、東京の仮想 HUB に接続されているコンピュータは北京の仮想 HUB と通信できるようになります。

1 個の仮想 HUB に 3 つ以上のカスケード接続を作成することもできます。

GUI を用いてカスケード接続を簡単に定義できます。とっても簡単です。

ローカルブリッジ

仮想 HUB、カスケード接続および VPN Client のみが存在する状況はあまり便利であるとは言えません。なぜならば、コンピュータの間で相互に通信ができるようにするためには、各コンピュータに VPN Client をインストールしてそれぞれが仮想 HUB に VPN 接続する必要があるためです。このような使用方法では、仮想 HUB のセグメントに接続されていないコンピュータは通信の仲間に入ることができません。この使用方法は、一応は利用可能ではあるものの、企業における VPN 利用形態としては適していません。

ローカルブリッジ機能を使用すると、仮想 HUB 内の Ethernet セグメントを、外側にある物理的な Ethernet セグメントに延長することができます。

ローカルブリッジは仮想的な Ethernet セグメントと物理的な Ethernet セグメントとを結合するための技術です。あなたの会社には、恐らく物理的な Ethernet スイッチがあり、既存の Ethernet セグメントがあると思います。もし便利なリモートアクセス VPN を構築したいのであれば、あなたは仮想 HUB 内の Ethernet セグメントと物理的な Ethernet スイッチとの間を何とかして接続しなければなりません。そのための解法がローカルブリッジです。ローカルブリッジを使用すると、これら 2 つのセグメントの間で Ethernet パケットを送受信することができるようになります。あなたがローカルブリッジを物理的な Ethernet セグメントと仮想 HUB によるセグメントとの間で構築すれば、仮想 HUB に接続されているすべてのコンピュータは、物理的な LAN に接続されているすべてのコンピュータと通信することができるようになります。実際には、ローカルブリッジは、仮想 HUB と、物理的な Ethernet スイッチに接続されている物理的な LAN カードとの間に作成されることになります。そのため、ローカルブリッジを使用するためには専用の LAN カードが 1 枚必要です。(実際には、LAN カードはその他の目的での使用と共有することもできます。たとえば、VPN セッションを維持するためにインターネットとの間で物理的な通信を行うための LAN カードをローカルブリッジのためにも使用することができます。しかしながら、パフォーマンス上の問題によりローカルブリッジ専用の LAN カードを用意することが強く推奨されています。)

このように、ローカルブリッジはリモートアクセスおよび拠点間 VPN 接続を実現するために必要な主要な機能の 1 つです。

ローカルブリッジは、仮想セグメントと物理セグメントとの間でリンクを確立する機能です。

ローカルブリッジとカスケード接続とを組み合わせることにより、広域の拠点間 VPN が構築できます。
世界中にある多数の拠点同士を接続できます。

ローカルブリッジを定義するために要する操作は、仮想 HUB および物理的な LAN カードを選択し、ボタンをクリックするだけです。