VMware NSX とは何ですか?

VMware NSXは、ネットワーク仮想化およびセキュリティプラットフォームであり、ITチームは物理的なスイッチ、ルーター、ファイアウォールでネットワークを接続する代わりに、ソフトウェア上でネットワークを構築、実行、保護することができます。 

これは、VMwareのvCloud Networking and Security製品とNiciraのNetwork Virtualization Platformから発展したもので、現在ではVMware Cloud Foundation（VCF）内のネットワーク層として機能しています。

この記事では、NSXがどのような構成要素から成り立っているのか、どのように動作するのか、ネットワークを手動で配線する場合とどのように異なるのか、そしてVMwareの現在の製品ラインナップの中でどのような位置づけにあるのかを解説します。

ネットワーク仮想化とは何ですか？

ネットワーク仮想化とは、物理ハードウェアとソフトウェアのネットワークリソースを統合し、ソフトウェアベースの仮想ネットワークを構築するプロセスです。スイッチング、ルーティング、ファイアウォールといったネットワーク機能を、従来は物理ハードウェアが担っていた役割から分離し、ソフトウェアとして実行できるようにします。 

ハイパーバイザが複数の 仮想マシン ネットワーク仮想化により、1台の物理サーバーを共有する代わりに、複数の独立した仮想ネットワークが同じ物理スイッチやルーターを共有できるようになります。物理ネットワーク自体は存在し、トラフィックを伝送しますが、単なるトランスポート層として機能するようになります。 

例えば、病院では、患者記録、請求処理、ゲスト用Wi-Fiを同じ物理スイッチ上で運用している場合があります。ネットワーク仮想化を利用すれば、これらのそれぞれに独自のルーティングルールとファイアウォールルールを備えた独立した仮想ネットワークを構築でき、新たなケーブルやスイッチを追加する必要はありません。もし次の四半期に新しい部署が独自のネットワークを必要とする場合、管理者は新しいハードウェアを発注するのではなく、ソフトウェアを使って設定できます。

VMware NSXはどのように動作するのですか？

VMware NSX は、 ネットワークトラフィック 物理ネットワークハードウェアが既に理解しているプロトコル（最も一般的なのはVXLAN（仮想拡張LAN））内で通信を行い、ソフトウェアを使用してそのトラフィックのスイッチング、ルーティング、フィルタリングを管理します。物理ネットワークでは、ホスト間を移動する標準IPパケットが認識されます。NSXは仮想化プラットフォームであり、ソフトウェアでこれらのパケットが何を表しているのか、そしてどこへ送信できるのかを決定します。

NSXは、この処理を3つのプレーンに分割します。これは従来のネットワークハードウェアでも一般的な構造ですが、ここでは異なる方法で実装されています。

• 管理プレーンNSX Managerは、管理者と自動化ツールがポリシーを定義する場所です。つまり、どの論理ネットワークが存在するか、どのファイアウォールルールが適用されるか、どのワークロードがどこに属するかを定義します。
• コントロールプレーンNSXコントローラークラスタは、そのポリシー情報を必要とするホストに配布し、ワークロードの移動や拡張に関わらず、仮想ネットワークの状態を一貫して維持します。
• データプレーンNSX Virtual SwitchとNSX Edgeは、コントロールプレーンからプッシュされたポリシーに基づいて、トラフィックの転送、ルーティング、フィルタリングを実際に行います。

そのロジックは固定ハードウェア構成ではなくソフトウェア定義ネットワーク（SDN）によって実現されるため、NSXはその機能をAPIを通じて公開します。これは2つの点で重要です。 

• 自動化ツールとインフラストラクチャ・アズ・コード・パイプラインは、仮想マシンをプロビジョニングするのと同じ方法でネットワークをプロビジョニングまたは変更できます。
• NSXは、人がデバイスコンソールにログインする必要なく、オーケストレーションツールやCI/CDツールによって直接操作できます。

例： 時 DevOpsチーム 新しい3層アプリケーションを起動する際、ネットワーク管理者はVLAN、ルーター、ファイアウォールルールセットを手動で設定する必要はありません。代わりに、自動化スクリプトがNSX APIを呼び出し、各層用の論理スイッチ、層間の分散ルーター、Web層とアプリケーション層のみが通信できるファイアウォールポリシーを作成します。仮想マシンの起動時間内に、ネットワーク全体がプロビジョニングされます。

VMware NSXはどこから来たのか？

VMware NSXのルーツは、2007年に設立されたネットワーク仮想化スタートアップ企業であるNiciraに遡ります。Niciraは、ネットワークサービスを物理ハードウェアから分離するためのソフトウェアベースのプラットフォームをいち早く構築した企業の一つです。VMwareは2012年にNiciraを約12億6000万ドルで買収し、Niciraのネットワーク仮想化プラットフォームとVMware独自のvCloud Networking and Security製品を統合しました。この統合によってVMware NSXが誕生し、2013年にリリースされました。

その後数年間、VMwareは2つのNSX製品ラインを維持した後、統合しました。 NSX-T （「トランスポート」アーキテクチャ）は、vSphereにのみ依存するのではなく、複数のハイパーバイザー、コンテナ、クラウドネイティブワークロードをサポートするように構築されました。現在、「NSX」は通常、このNSX-Tの流れを汲むもので、現在は単にVMware NSXというブランド名で呼ばれています。

VMware NSXの主要コンポーネントは何ですか？

VMware NSXは4つの主要コンポーネントで構成されており、それぞれがプラットフォーム内で異なる機能（管理、制御、データ転送）を担っています。

VMware NSXは従来のネットワークと比べてどう違うのか？

根本的な違いは、構成管理の方法にある。従来のネットワークでは個々の物理デバイスを一つずつ構成するのに対し、NSXはポリシーを中央で構成し、それをすべてのホスト上で動作するソフトウェアに展開する。

例えば、従来のネットワーク環境で仮想マシンを新しいラックに移動すると、ファイアウォールルールやルーティングの変更が必要になる場合があります。一方、NSXでは、仮想マシンのネットワークポリシーとファイアウォールポリシーも一緒に移動するため、何も変更されません。

VMware NSXの主な機能は何ですか？

VMware NSXは、物理ネットワークが専用ハードウェアを通じて提供するネットワークおよびセキュリティサービスを、ハイパーバイザー層上で動作するソフトウェアサービスとして実装します。

• 論理スイッチングと分散ルーティング: NSXは、環境全体にわたってワークロードを分離するレイヤ2論理ネットワークを作成し、分散論理ルータ（DLR）がそれらの間のレイヤ3ルーティングを処理します。仮想分散スイッチはVXLANを使用して、基盤となるレイヤ3物理ファブリックを介してESXiホスト間のトラフィックをトンネル化するため、論理ネットワークは物理的なサブネット境界に制約されません。
• 負荷分散： NSXは受信トラフィックをバックエンドサーバー全体に分散させることで、トラフィックの急増時に単一のサーバーがリクエストの過大な割合を吸収することを防ぎます。
• VPN、分散ファイアウォール、およびゲートウェイファイアウォール： NSXは、データセンターをまたがるNSX Edgeデバイス間のレイヤー2およびレイヤー3 VPNトンネルをサポートします。分散ファイアウォールはホストレベルでワークロード間のトラフィックをフィルタリングし、ゲートウェイファイアウォールはネットワーク境界でトラフィックをフィルタリングするため、チームは同じプラットフォームからマイクロセグメンテーションと境界防御の両方を実現できます。
• ネットワーク機能仮想化（NFV）： NSXは、専用に構築されたネットワークアプライアンスを置き換えます。 仮想マシン 同じ機能を標準サーバー上で実行することで、各機能ごとに専用ハードウェアを購入するよりも一般的にコストを削減できます。
• コンテナと Kubernetes ネットワーキング： NSXは、論理スイッチング、ルーティング、ファイアウォールポリシーをKubernetesのポッドとネームスペースに拡張することで、コンテナ化されたワークロードが仮想マシンと同じネットワークセグメンテーションとセキュリティ制御を、同じポリシーレイヤーから管理できるようにします。

VMware NSXとVMware Cloud FoundationおよびvDefendとの関係は何ですか？

VMware NSXは、VMware Cloud Foundation（VCF）の組み込みネットワークコンポーネントとして含まれています。BroadcomがVMwareを買収する以前のように、完全に独立した製品ラインとして販売されることはなくなりました。VCF以外でNSXを利用したいチームは、引き続きスタンドアロンのサブスクリプションとして購入できます。ライセンスはコア単位で課金されます。

分散ファイアウォール、ゲートウェイファイアウォール、高度な脅威防御など、以前はNSXに直接バンドルされていたセキュリティ機能は、現在VMware vDefendとして別途ライセンス供与されています。NSX Managerは引き続きvDefendのライセンス認証とポリシー構成を処理するため、製品が別々に販売されていても、日常的な運用は統一されたままです。

これは、見積もりを比較したり、古いドキュメントを読んだりする人にとって重要な点です。vDefendについて言及されていないNSXの見積もりには、以前はNSXにデフォルトで含まれていたファイアウォール機能や脅威防御機能が含まれていない可能性があります。

VMware NSXが企業にもたらすメリットとは？

VMware NSXは、企業に高度なネットワーク仮想化、セキュリティ、および自動化機能を提供します。主な利点としては、マイクロセグメンテーションによるゼロトラストセキュリティの実現、ネットワークプロビジョニングの自動化による導入期間の短縮（数週間ではなく数分で完了）、オンプレミスインフラストラクチャと複数のパブリッククラウド全体にわたる一貫したネットワークおよびセキュリティポリシーの適用などが挙げられます。

さらに、VMware NSXは、Arista Networks、Dell EMC Open Networking、Juniper Networksなどのサードパーティ製ネットワークベンダーと統合できるため、組織は既存の物理ネットワークハードウェアを交換することなく導入できます。これらの互換性に加えて、メリットは主に4つの分野に分けられます。

強化されたネットワークセキュリティ

NSXはマイクロセグメンテーションをサポートしており、データセンターを小さな独立したセグメントに分割することで、侵害されたワークロードが横方向に移動して他のシステムに到達するのを防ぎます。vDefendの分散型およびゲートウェイ型ファイアウォール、IDS/IPS、ネットワーク検出・対応機能と組み合わせることで、ランサムウェアなどの侵入が封じ込められる前に拡散する範囲を制限します。 

NSXはサイト間で構成と運用状態を同期するため、ワークロードがプライマリデータセンターで実行されているかセカンダリデータセンターで実行されているかに関わらず、セキュリティポリシーの一貫性が保たれます。

一般的な企業におけるユースケースとしては、環境の分離が挙げられます。単一の物理インフラストラクチャ上で、開発環境、テスト環境、本番環境を完全に分離された仮想ネットワークとしてホストし、それぞれに独自のファイアウォールポリシーを適用することで、設定ミスのあるテストワークロードが本番システムに到達するのを防ぐことができます。

拡張性、マルチテナント、および事業継続性

NSXの仮想プライベートクラウド（VPC）機能により、組織は新しいワークロードや事業部門がオンラインになった際に、毎回物理ネットワークを再設計することなく、ネットワーク容量を拡張し、分離を強制することができます。 

これは、マネージドサービスプロバイダーや大規模な企業ITチームが、複数の事業部門や顧客を共有ハードウェア上で論理的に分離する必要がある場合に、マルチテナントインフラストラクチャをサポートします。また、買収したばかりの事業部門を、長時間のネットワーク再設計なしに既存のインフラストラクチャにオンボーディングするなど、迅速なプロビジョニングもサポートします。 

論理ネットワークとポリシーは特定の物理ハードウェアに縛られないため、NSXはビジネス継続性もサポートします。プライマリサイトで障害が発生した場合でも、ファイアウォールルールやルーティングテーブルを最初から手動で再構築することなく、ワークロードとそれに関連するネットワークおよびセキュリティポリシーをセカンダリサイトで起動できます。

合理化されたマルチクラウドデータセンター設計

NSXは、ネットワーク変更における物理機器への依存を排除​​することで、チームがハードウェアの納期ではなく、ビジネス要件に基づいてデータセンターネットワークを設計および変更できるようにします。 

NSXは、データセンターの拡張や複数データセンターのプーリングといった一般的なマルチクラウドのユースケースもサポートしており、その一貫したポリシーモデルにより、ワークロードがプライベートデータセンター、ホスト型プライベートクラウド、または複数のクラウドで実行される場合でも、同じファイアウォールルールとネットワークセグメントを適用できます。 

その一貫性こそが、ハイブリッド環境やマルチクラウド環境を、複数の分断されたネットワークではなく、統制された単一のネットワークのように動作させる要因となる。

スピードと敏捷性の向上

NSXはネットワークリソースの展開を自動化することで、新しい仮想環境向けのネットワークインフラストラクチャの構築にかかる時間を数日から数分に短縮します。 

NSXはパブリッククラウド、プライベートクラウド、物理サーバー、コンテナプラットフォームなど、あらゆる環境に展開でき、その機能はAPIを通じて公開されているため、インフラストラクチャ・アズ・コードのパイプラインに直接組み込むことができます。新しいアプリケーションスタックをプロビジョニングするTerraformやAnsibleのプレイブックは、ネットワークとファイアウォールのポリシーを、別途ネットワークチケットを待つことなく、同じ自動展開プロセスの一部として作成できます。

組織はVMware NSXをどのように活用しているのか？

組織はVMware NSXを使用してネットワークおよびセキュリティサービスを仮想化することで、ネットワーク展開の自動化、マイクロセグメンテーションの適用、プライベートクラウド環境とマルチクラウド環境間でのワークロードのモビリティのサポートを実現できます。NSXはネットワークサービスを基盤となるハードウェアから分離することで、ルーティング、スイッチング、ファイアウォール機能を完全にソフトウェアで提供します。

さまざまな業界が、上記で説明した機能のさまざまな組み合わせのためにNSXに依存していますが、いくつかのパターンはエンタープライズ導入全体を通して一貫して見られます。

• メディアとエンターテイメント: ストリーミングおよびコンテンツ配信プラットフォームは、ライブイベント中に視聴者数が急増した場合でもパフォーマンスとセキュリティを維持するためにNSXを使用します。NSXの負荷分散とネットワークスケーリングはソフトウェアで処理されるため、ハードウェアの調達サイクルを経ることなく、トラフィックの急増に合わせて容量を拡張できます。
• 金融業務： 金融機関（含む） ドイツ銀行、 NSX を活用することで、規制当局が求めるコンプライアンス体制を維持しながら、迅速な拡張と統合をサポートするインフラストラクチャを構築できます。マイクロセグメンテーションは、銀行が同一の物理インフラストラクチャ上で異なる種類の金融データを扱うシステムを分離できるため、特に有効です。
• 健康管理： 電子カルテ Epicなどの電子カルテ（EMR）プロバイダー 機密性の高い患者データを安全に処理するために、NSX を信頼してください。環境分離により、ハードウェアを重複させることなく、患者向け​​システムと内部管理システムを分離できます。

VMware NSXは投資する価値があるのか​​？

VMware NSXへの投資は、組織の規模、予算、高度な自動化、マイクロセグメンテーション、マルチクラウド管理の必要性に応じて検討する価値があります。 

ネットワークが大きくなりすぎて、デバイスごとに管理するのが難しくなった場合、特に既にVMwareを使用している場合やVMware Cloud Foundationの利用を計画している場合は、VMware NSXを検討する価値があります。スイッチング、ルーティング、ロードバランシング、仮想化機能により、拡大するネットワークの運用における手作業を削減でき、APIを介して動作するため、自動化されたセットアップにも最適です。

最も重要なのはコストです。NSXのネットワーク機能とvDefendのセキュリティ機能は現在別々に課金されるため、NSXの基本価格だけでなく、両方の価格を確認する必要があります。すでにVCFを使用している場合は、NSXのネットワーク機能が含まれているため、NSX単体で購入する場合と比べて総コストを抑えることができます。

お客様の環境全体におけるNSXのパフォーマンスをご覧ください。

NSXによるネットワークの仮想化は、ネットワークの構成方法を変えるものの、監視の必要性をなくすものではありません。LogicMonitorは、ITチームがNSX仮想化環境を、インフラストラクチャ、クラウド、アプリケーションスタック全体と並行して可視化できるようにします。これにより、NSXにおけるルーティングやファイアウォールポリシーの変更が、同じプラットフォーム上で、影響を受けるアプリケーションやインフラストラクチャのシグナルと関連付けられるようになります。

LogicMonitor のハイブリッドインフラストラクチャ監視に関するリソースを探索するか、 2024 G2 ネットワーク監視グリッド レポート 現在のネットワーク監視の状況をランキング形式で紹介する。