ホームラボの成長に伴うレイヤー2ラボとルーテッドVLANの比較：ゲートウェイをエッジに近づけるべきタイミングとは？

エヴァ・ウォン

IceWhale author

エヴァ・ウォン は テクニカルライター であり ZimaSpaceの常駐ティンカーでもあります。 生涯のオタクであり、 ホームラボとオープンソースソフトウェアに情熱を持っています。彼女は複雑な技術的概念をわかりやすく、 実践的なガイドに翻訳することを専門としています。エヴァはセルフホスティングは楽しくあるべきで、怖がるものではないと信じています。彼女のチュートリアルを通じて、コミュニティが ハードウェアのセットアップを解明する手助けをしています。初めてのNAS構築からDockerコンテナの習得まで。

Layer-2 Lab vs Routed VLANs as a Home Lab Grows: When Should the Gateway Move Closer to the Edge? - Zima Store Online

VLANが1台の信頼性の高いゲートウェイで終端し、トランクが少なく、スイッチが近接しており、同じサブネットをホスト間に拡張することで移行やテストが簡単になる場合は、ラボを主にレイヤー2で維持します。VLANが複数のスイッチや場所にまたがる場合、スパニングツリーやトランクの障害がラボの広範囲に影響する場合、またはポリシーと経路制御のために障害ドメインを小さくする必要がある場合は、ルーティングVLANまたはレイヤー3リンクへ移行します。

2つのアーキテクチャを定義する

レイヤー2のラボでは通常、複数のVLANをスイッチトランク経由で運び、デフォルトゲートウェイを1台のルーター、ファイアウォール、またはコアレイヤー3スイッチに配置します。同じVLAN内のデバイスは、IPサブネットを変更せずにアクセススイッチ間を移動できます。VLAN間トラフィックは中央ゲートウェイに戻ります。

ルーティング設計では、レイヤー3の境界をアクセススイッチ、ラック、またはラボゾーンの近くに配置します。ネットワークデバイス間のリンクはルーティングされたポイントツーポイントネットワークとなり、ローカルVLANはエンドポイントの近くで終端します。静的ルーティングまたは動的ルーティングによって、各ノードの背後に存在するサブネットが通知されます。

CiscoのVLAN間ルーティングの概要では、トラフィックがVLAN間を移動する場合にルーティングが必要だと説明されています。アーキテクチャ上の問題は、そのルーティング境界をどこに置くべきかです。

判断軸	中央レイヤー2	ルーティングVLAN
サブネットの移動性	同じVLANを複数のスイッチにまたがって構成できます	サブネットは通常、ルーティングゾーン内にローカル配置されます
ゲートウェイ	中央ファイアウォール、ルーター、またはコアスイッチ	アクセススイッチまたはラボゾーンに近い場所
障害範囲	トランク、ループ、STP、またはブロードキャストの問題がVLAN全体に及ぶ可能性があります	レイヤー2の障害は、より小さなローカルセグメント内にとどまります
ポリシー	中央集中型のACLおよびファイアウォールポリシー	分散ルーティングとACLポリシー
必要なスキル	タグ、トランク、STP、単一ゲートウェイ	サブネット、ルート、アドジェイセンシー、ACL、コンバージェンス

ラボが1つの論理的な場所である間は、レイヤー2が有利

中央ゲートウェイ1台と少数のトランクは理解しやすい構成です。VMホスト、NAS、アクセスポイント、ラボスイッチは、ルーティングプロトコルや場所ごとの新しいサブネットなしで、ストレージ、管理、アプリケーションの各VLANを共有できます。

同一VLAN内での移動は、仮想化や実験に役立ちます。サービスは、IPアドレス、ゲートウェイ、ファイアウォールポリシー、DNSレコードを維持したまま、ホスト間を移動できます。

各VLANを各スイッチにまたがって構成する理由がある限り、設計は健全です。すべてのVLANをどこにでも通すと、ブロードキャストの範囲が不必要に広がり、トランク設定のミスを切り分けにくくなります。

拡張VLANは、見えない共有状態を増やす

レイヤー2ファブリックはMACアドレスを学習し、不明な宛先へフラッディングし、ブロードキャストとマルチキャストを伝送し、ループ防止に依存します。1つのVLANがより多くのリンクをまたぐほど、転送状態に参加するスイッチが増え、1つのループやトランクの不一致によって影響を受けるデバイスも増えます。

MikroTikのブリッジVLANテーブルのドキュメントでは、タグ付きメンバーシップ、イングレスポリシー、ブリッジCPUポートがすべて、正しい転送の一部になることを示しています。

警告サインは運用上の曖昧さです。所有者が、VLANをどこで許可しているのか、どのトランクがVLANを運んでいるのか、またはそのVLANのローカルメンバーがいないスイッチにトラフィックが到達する理由を把握できなくなった状態です。

-15% OFF

ZimaBoard 2 - あなたの大きなアイデアのためのミニホームサーバー

Single board computer zimaboard2

ルーティング境界はレイヤー2障害を封じ込める

ルーティングされたリンクは通常のレイヤー2ブロードキャストを転送せず、両端の間で1つのMACテーブルを拡張することもありません。1つのローカルVLAN内で発生したループや過剰なブロードキャストは、VLANを運ぶすべてのスイッチに広がるのではなく、ゲートウェイの背後にとどまります。

Juniperの統合ルーティングとブリッジングのガイダンスでは、スイッチでVLANを終端し、相互にルーティングする方法を説明しています。参照設計はより大規模なネットワークを対象としていますが、この原則は成長するラボにも適用できます。

このメリットが現れるのは、ラボに複数の物理ゾーン、ラック、建物、または独立した実験エリアがある場合です。ゾーンごとに1つのサブネットをルーティングすれば、不安定なラボトラフィックを家庭内ネットワークやストレージネットワークから隔離できます。

ボトルネックになるまでは中央ポリシーのほうが容易

中央ファイアウォールでは、すべてのVLAN間セッションを検査し、1つのポリシーモデルを適用し、トラフィックを記録するとともに、DNS、DHCP、NAT、リモートアクセスとの統合を提供できます。主な目的が分散ルーティングの運用ではなく、サービスの学習である間は、これは有用です。

東西トラフィックが増えると、すべてのVLAN間フローを1台のファイアウォール経由にすることで、インターフェース、CPU、アップリンク容量を消費する可能性があります。ストレージ、クラスター、バックアップ、移行のトラフィックは、エンドポイントが1台のアクセススイッチ上にある場合でも、中央ゲートウェイを通過することがあります。

選択したルーティングをレイヤー3スイッチへ移行すれば、管理経路とインターネット経路では中央のセキュリティを維持しながら、大容量の信頼済みトラフィックはローカルでルーティングできます。ACLポリシーは明示的なままにしておく必要があります。

ルーティングされたVLANにはアドレス設計が必要です。

1つの管理VLANをラボ全体に拡張すると、デバイスは同じサブネットを共有できます。通常、エッジに近い場所でルーティングすると、各ゾーンに異なるサブネットが割り当てられます。そのため、設計には集約可能なアドレスブロック、安定したゲートウェイの配置、DNSの更新、経路広告が必要です。

NetgateのVLAN間ルーティングのドキュメントでは、ホストが関連するネットワークにインターフェースを持つゲートウェイへトラフィックを送信する仕組みを説明しています。

安定したゾーンが少数であれば、静的ルートで十分です。複数のルーター、冗長リンク、または頻繁に変化するラボのプレフィックスによって、手動でのネクストホップ更新が信頼できなくなった場合、動的ルーティングが役立ちます。

動的ルーティングはアップグレードであり、必須ではない

OSPFやその他の内部ゲートウェイプロトコルは、接続されたサブネットを広告し、リンクの変更に対応できます。RFC 2328はOSPFを定義しており、ルーターがトポロジーデータベースを構築して経路を計算するリンクステートプロトコルです。

2つのVLANが存在するというだけでOSPFを追加しないでください。OSPFは、単一のゲートウェイにはないルーターID、隣接関係、メトリック、認証、フィルタリング、障害モードを導入します。

冗長なルーティングパス、複数のルーター、自動学習されるテストネットワーク、または本番環境を意識したルーティングの実践がラボに必要になったとき、プロトコルの導入が正当化されます。

ストレージと仮想化がルーティングを遅らせることがある

ハイパーバイザーの移行、ストレージのマルチパス、クラスタリング、一部のアプライアンスでは、レイヤー2の隣接性が推奨されます。ルーティングされたゾーン間でVMを移動すると、新しいアドレスやオーバーレイが必要になる場合がありますが、VLANを拡張すればサービスのアイデンティティを維持できます。

ZimaSpaceの10GbEアップグレード比較では、関連するスループットの制約を確認できます。ストレージVLANと移行VLANは、関係のないスイッチを経由して拡張するのではなく、必要とするホスト内にローカルで保持してください。

ルーティングされたラボでも、同一サブネット上の動作に実質的な価値がある場合は、小規模なレイヤー2クラスタードメインを1つ維持できます。

ルーティングアクセスで経路をより明確にする

ルーティング設計では、各デバイスに直接接続されたネットワークとネクストホップがあります。ルートの欠落、隣接関係の障害、または誤ったプレフィックスは、ルーティング状態と近隣状態に現れます。転送は、遠隔のスパニングツリー経路や分散MAC学習への依存が少なくなります。

トレードオフは、より多くのコントロールプレーンが必要になることです。管理者は、ルート、ARPまたは近隣テーブル、ACL、DHCPリレー、プロトコルの状態、ローカルVLAN設定を確認する必要があります。

障害時の状況を理解できるモデルを選択します。稼働中のトポロジーが見えないならレイヤー2は単純ではなく、ルーティングテーブルに不慣れならレイヤー3も単純ではありません。

段階的なレイヤー3移行を実施する

すべてのVLAN、トランク、ゲートウェイ、ブロードキャスト依存関係、物理的な場所を対応付けます。
トランクから未使用のVLANを削除します。
拠点間のレイヤー2モビリティを必要としないゾーンを1つ選択します。
ローカルサブネットと、ルーティングされたポイントツーポイントアップリンクを作成します。
静的ルートを追加し、ACL、DNS、DHCPリレー、監視、復旧を検証します。
冗長経路が必要になった場合にのみ、動的ルーティングを導入します。

目的は、すべてのトランクをなくすことではありません。同一サブネットの動作に価値がある場所を越えて、ブロードキャストドメインを延伸しないことが重要です。

どのアーキテクチャが適していますか？

レイヤー2ラボを維持する場合

ラボが1か所にあり、スイッチの数が少なく、VMやストレージの移動が重要で、トポロジーを容易に復旧できる場合は、中央ゲートウェイとトランクを維持します。

ルーテッドVLANへ移行する場合

VLANが無関係なスイッチや拠点にまたがっている場合、ブロードキャストやスパニングツリーの障害範囲が大きすぎる場合、または大容量トラフィックが中央ゲートウェイに過負荷をかけている場合は、エッジに近い場所でルーティングします。

ハイブリッド設計を使用する場合

ラボのゾーン間をルーティングしつつ、クラスタ、ストレージ、またはディスカバリーを多用するサービス向けに、小規模なローカルレイヤー2ドメインを維持します。

よくある質問

ルーテッドアクセスに移行するとVLANは不要になりますか？

いいえ。ローカルアクセスネットワークでは、引き続きVLANを使用できます。変わるのは、VLANをファブリック全体に延伸するのではなく、エンドポイントに近い場所で終端する点です。

ホームラボにOSPFは必要ですか？

ほとんどの場合、できません。安定したゾーンが少数なら静的ルートで十分です。学習、冗長経路、複数のルーター、または頻繁に変わるプレフィックスには、OSPFが有効です。

IPアドレスを変更せずに、VMをルーティングされたサブネット間で移動できますか？

通常のルーティングだけではできません。通常、VMには新しいサブネットアドレスが必要になるか、オーバーレイ、延伸VLAN、またはアプリケーションレベルのモビリティ設計が必要です。

最終結論

中央ゲートウェイ1台、少数のトランク、同一サブネット内の移動を容易に運用できる間は、ラボをレイヤー2のまま維持します。レイヤー2の延伸によって障害ドメインが大きくなったり、経路が不明確になったり、中央のボトルネックが生じたりする場合は、選択したゾーンをルーテッドVLANへ移行します。通常、実用的な最終形はハイブリッド設計です。