VMware NSX-T Data Centerの設定：実践から学ぶSDNとマイクロセグメンテーションの習得 – ITFROMZERO

Table of Contents

伝統的な物理ネットワークの課題と「配線作業」の限界

ネットワークチームに新しいVLANの設定や物理スイッチのポート開放を依頼し、1週間も待たされた経験はありませんか？古いデータセンターでシステム管理者（Sysadmin）をしていたなら、インフラを拡張するたびに発生する「複雑な承認プロセス」には馴染みがあるはずです。硬直化した物理ネットワークは、展開スピードを遅らせるだけでなく、致命的なセキュリティホールを生み出します。

問題は、境界ファイアウォール（Perimeter Firewall）は外部からのトラフィック（南北：North-South）の遮断には強力ですが、同じVLAN内の仮想マシン間で横方向に広がる攻撃（東西：East-West）に対しては完全に「無力」である点です。この問題を根本的に解決するには、ソフトウェア定義ネットワーク（Software-Defined Networking – SDN）の考え方が必要であり、VMware NSX-Tはその代表的なソリューションです。

NSX-Tはどのようにネットワークの課題を解決するのか？

NSX-Tを単なるネットワークポートの仮想化と考えないでください。スイッチング、ルーティング、ロードバランシング、ファイアウォールのすべての機能を物理ハードウェアから切り離し、ハイパーバイザー層に直接組み込みます。

以前、Proxmox SDNをラボ環境で構築した際、非常に軽量だと感じました。しかし、セキュリティ機能の深さ、特にマイクロセグメンテーション（Micro-segmentation）に関しては、NSX-Tは別次元です。仮想マシンの各ネットワークインターフェース（vNIC）にセキュリティポリシーを適用できます。つまり、2つの仮想マシンが同じホスト、同じVLAN内にあっても、必要に応じて完全に隔離することが可能です。

押さえておくべき3つのコアコンポーネント

Management Plane (NSX Manager): 「脳」の役割を果たし、Web UIやAPIを通じてすべての設定操作を行います。
Control Plane: ノード間のネットワーク状態テーブルの維持と、設定の調整を担当します。
Data Plane: ESXiまたはKVMホストが、Geneveプロトコルを使用したオーバーレイ層を介して、パケットを直接処理します。

NSX-T導入の基本ステップ

開始するには、十分なリソースを持つvSphereクラスタ（ESXiおよびvCenter）が必要です。完全なSDNシステムを構築するための4つの基本ステップを紹介します。

ステップ1：NSX Managerクラスタのインストール

OVAファイルをvCenterにインポートします。ラボ環境であればSmallサイズ（4 vCPU, 16GB RAM）で十分ですが、本番環境（Production）では高可用性（High Availability）を確保するために、必ず3ノードのNSX Managerクラスタを構成する必要があります。

# 起動後の各サービスのステータスを確認
get services
get cluster status

ステップ2：ホストの準備 (Host Preparation)

System > Fabric > Nodes > Host Transport Nodesにアクセスし、ESXiにVIBパッケージをインストールします。注意：この設定の前に、Uplink Profile（物理NICの定義）とTransport Zoneを作成しておいてください。Transport Zoneは、仮想マシンがシステム内のどこまで通信できるかを決定します。

ステップ3：セグメントの作成 (Logical Switching)

NSX-Tでは、従来のポートグループは使用しません。代わりにセグメント（Segments）を作成します。これらのセグメントはGeneveカプセル化を使用するため、物理スイッチを再設定することなく、既存のレイヤー3インフラ上でレイヤー2トラフィックを伝送できます。

例：IPレンジ 172.16.10.1/24 を持つ App-Segment を作成します。ここに接続されたすべての仮想マシンは、コアスイッチでの設定なしで自動的にゲートウェイを持ちます。

ステップ4：2レイヤー (T0およびT1) ルーティングの設定

NSX-Tのルーティングモデルは非常に柔軟です：

Tier-1 Gateway: 各部門、テナント、または特定のアプリケーションクラスタ用。
Tier-0 Gateway: 仮想ネットワークと外部の物理ネットワーク間の唯一の接続ポイント（通常、コアスイッチとBGPを実行します）。

# Edgeノードにアクセスして実際のルーティングを確認
get logical-router
vrf <ROUTER_ID>
get route

マイクロセグメンテーション：内部攻撃の阻止

これは非常に価値のある機能です。例えば、Webサーバーとデータベースサーバーが同じセグメントにあるとします。通常、Webサーバーが乗っ取られた場合、攻撃者は簡単にデータベースへのポートスキャンを行えます。しかし、分散ファイアウォール (DFW) を使用すると、ルールは仮想マシンのvNICで直接実行されます。

実際の導入例：

Production-DB というタグを持つ仮想マシンを自動的に集める グループ を作成します。
ルール の作成：Web-Server グループから DB-Server グループへの3306ポート (MySQL) 経由のアクセスのみを許可します。
これら2つのグループ間の他のすべてのトラフィックは、即座に DROP (破棄) されます。

結果：Web仮想マシンが攻撃者に乗っ取られたとしても、同じ内部ネットワーク内の他のサーバーをスキャンしたり攻撃したりすることはできません。

システムトラブルを避けるための「極めて重要な」注意点

実際の運用経験に基づき、特に注意すべき3つのポイントを挙げます：

MTU (極めて重要): Geneveプロトコルのヘッダーで50バイト追加されるため、物理スイッチ全体のMTUを少なくとも1600に設定する必要があります。最適なパフォーマンスを得るには、9000 (ジャンボフレーム) に設定するのがベストです。MTUが正しくないと、パケットがランダムにドロップされ、デバッグが非常に困難なネットワークエラーが発生します。
ハードウェアの互換性: NSX-Tは、最新の仮想化命令セットをサポートする CPUを必要とします。中古サーバーをラボ用に購入する前に、VMware互換性ガイドを十分に確認してください。
ライセンス区分: IDS/IPSや高度な脅威防止 (Advanced Threat Prevention) などの機能は、Enterprise Plusエディションでのみ利用可能です。設計前に予算を考慮してください。

物理ネットワークの思考からSDNへ移行する際、T0/T1やオーバーレイといった概念に戸惑うかもしれません。しかし、NSX-Tを使いこなせば、TerraformやAnsibleによる完全な自動化により、数千台の仮想マシンの管理がはるかに容易になります。

結論

VMware NSX-Tは単なる新しいテクノロジーではなく、現代的で柔軟、かつ安全なデータセンターを構築するための標準です。アーキテクチャの理解からマイクロセグメンテーションの実践まで、次世代のクラウド/インフラエンジニアとして最も重要なスキルを身につけることができます。仮想化ネットワークの真の力を体感するために、今日から小さなラボの構築を始めてみましょう。