2026.06.07 2026.06.14

【SD-WANとは】SD-WANの構成要素

buffoon

SD-WANの全体像を理解する上で、登場人物は大きく分けて「物理回線（インターネット回線・閉域回線）」「エッジ装置」「クラウド管理（コントローラ・オーケストレーター）」の3つのレイヤー、計5つの要素（+SSE）に分解できます。それぞれの役割をインフラエンジニアの目線で整理していきましょう。

物理回線レイヤー（下位のアンダーレイ）

SD-WANの最大の特徴は、下位の物理回線の種類を選ばず、それぞれの特性を活かして束ねられる点にあります。（ハイブリッド化できる）

インターネット回線（フレッツ、電力系、ダークファイバ、LTEなど）： 安価で大容量な回線群です。従来の拠点間VPNでは「閉域網が落ちたときのサブ（バックアップ）」の扱いでしたが、SD-WANではこれらを「メイン回線」としてフル活用します。企業向け設計においては、通信キャリアの「足回り」を分散させて冗長性を高めるため、以下の選択肢を組み合わせるのが定石です。
- シェアNo.1の標準回線（フレッツ光）：全国どこでも引き込みやすく安価ですが、夜間や混雑時間帯にNTTの網内（NGN）やプロバイダ（PPPoE/IPoE）のボトルネックで遅延が発生しやすいトレードオフがあります。
- 西日本や地方拠点でのキャリア分散（電力系回線）：各地域の電力会社系キャリア（関西のオプテージ、中部のコミュファなど）が提供する回線です。NTTとは完全に物理ルート（アクセス網）が異なるため、東西の広域災害やNTT網の通信障害に巻き込まれない「キャリア冗長」の鉄板として選ばれます。
- 局舎まで帯域保証・低遅延を狙う（ダークファイバ系回線）： NTTなどの不使用芯線（ダークファイバ）を自社設備と結んで提供される回線（ソフトバンクやアルテリアなど）です。他ユーザーとの共有度が低く、最寄りの局舎まで帯域保証（または高優先なバースト型）で繋がることが多いため、ベストエフォートでありながら閉域網に近い圧倒的な低遅延・高品質を実現できます。

閉域回線（MPLS、専用線、IP-VPNなど）： 通信キャリアが品質（帯域や遅延）を保証してくれる非常に高価な回線です。SD-WANではこれを解約するのではなく、「基幹システムや音声通話などの重要パケット専用」としてインターネット回線とハイブリッドで組み合わせます。

拠点レイヤー（現地のエッジ装置）

エッジ装置（SD-WAN Edge / ルータ）： 各拠点（本社、支店、工場など）に設置される物理ルータ、または仮想アプライアンスです。従来のルータと異なり、現地での複雑な経路計算（脳の役割）は行わず、指示された通りにパケットを運ぶ「体（データプレーン）」の役割に特化しています。パケットの中身を識別して「これはM365だからインターネット回線経由でLBOする」「これは基幹システムだから閉域網へ流す」といった現場での仕分けとカプセル化（動的マルチパス制御）を高速で実行する実動部隊です。

クラウド管理レイヤー（集中制御の脳）

SD-WANの「ソフトウェアによる制御」の神髄がここにあります。多くのベンダーでは、このレイヤーがさらに2つの役割に分かれています。

コントローラ（制御の脳 / コントロールプレーン）： ネットワーク全体のルーティング（経路情報）や、各エッジ装置の接続状態をリアルタイムに一元管理する「司令塔」です。エッジ装置同士がメッシュVPNを張る際の鍵の交換や、回線の品質（遅延状況）に応じたルートの変更指示を、裏方として動的にパケット制御している「本当の脳」にあたります。
オーケストレーター（管理画面 / マネジメントプレーン）： 私たちインフラエンジニアや情シス担当者が、ブラウザからログインして操作する「統合管理画面（GUI）」のことです。「全拠点のLBOポリシーを、Microsoft 365の最新のIPアドレス帯に一括更新する」といったConfigの作成や、全拠点のトラフィック可視化はすべてこの画面で行います。ここでポチッと適用したポリシーが、④のコントローラを経由して、日本全国の③のエッジ装置へ一瞬で同期されます（ゼロタッチプロビジョニングの基盤でもあります）。

【SASE時代に不可欠な構成要素】セキュリティゲートウェイ（SSE）

エンタープライズのSD-WANを設計する際、もう一つ重要な構成要素として数えられるのが、クラウド上の「セキュリティゲートウェイ（またはSSE：Security Service Edge）」です。

エッジ装置がインターネット回線を使って特定のSaaS通信を「ローカルブレイクアウト（LBO）」させた際、そのパケットは本社の頑丈なファイアウォールを通りません。そのまま直接インターネットに丸裸で出ていくのは危険なため、パケットの行き先（ネクストホップ）として、クラウド上の検問所（SWGやクラウドFW）を指定してあげる必要があります。

この「足回りのSD-WAN」と「クラウド上の検問所（SSE）」が綺麗に1つに統合されたコンポーネントの全体像こそが、今まさにインフラ業界を席巻している「SASE」の正体なのです。