2026.06.07 2026.06.14

【SD-WANとは】SD-WANの仕組み

buffoon

一般的な解説記事では「コントローラが制御する」という表面的な話で終わりがちですが、実務の設計やトラブルシューティングでは、その裏で動いている技術の理解が不可欠です。

そこで今回は現役ネットワークエンジニアの視点から、SD-WANの内部で動いている「通信制御のメカニズム」を、パケットの流れに沿ってディープに解説します。

メカニズム：どうやってアプリケーションを見分けるのか？（DNS判定とDPI技術）

従来のルータは、パケットのヘッダにある「IPアドレス」や「ポート番号（L3/L4情報）」だけを見て通信を判断していました。しかし、現代のSaaS（例：Microsoft 365など）は宛先IPアドレスが頻繁に変わるため、これでは判別が追いつきません。

そこでSD-WANルータは、主に「DNS判定」と「DPI（Deep Packet Inspection）」という2つのアプローチを組み合わせることで、アプリケーションをインテリジェントに識別しています。

アプローチA：最も早くて低負荷な「DNS判定方式」

通信の「一番最初」に行われる挙動に着目したのがDNS判定方式です。

端末がSaaSなどのアプリケーションにアクセスする際、必ず最初にドメイン名（例：teams.microsoft.com）の名前解決を行うためにDNSクエリを発信します。SD-WANルータはこのDNSクエリの中身をインラインで覗き込み、戻ってきた「Aレコード（ドメイン名に対応するIPアドレス）」の情報をキャッシュ（記憶）します。

これによって、「あ、この端末はいまからTeamsのIPアドレス宛に通信を始めるんだな」ということを、実際のデータ通信が本格化する前の『名前解決の段階』で先回りして判定できるのです。暗号化された通信であっても関係なく、非常に低負荷かつ高速に識別できるのが大きなメリットです。

アプローチB：中身や振る舞いまで見抜く「DPI方式」

DNS判定だけで識別しきれない場合や、より詳細な制御（例：同じGoogleの通信でも、Gmailは許可してYouTubeは制限するなど）を行うために使われるのがDPI技術です。

DPIでは、パケットのヘッダだけでなく、データの中身（ペイロード）や通信の振る舞い（シグネチャ）までL7（アプリケーション層）レベルでリアルタイムに解析します。たとえポート番号が同じ「443（HTTPS）」の暗号化通信であっても、接続確立時のTLSハンドシェイクに含まれる「SNI（Server Name Indication）」情報などを読み取ることで、アプリケーション単位で正確に見分けることができます。

実務においては、まず「DNS判定」によってファーストパケットの段階で高速に経路を決定し、DNSだけで判別できないグレーな通信や、より細かいL7制御が必要なトラフィックに対して「DPI」を適用する、といったハイブリッドな実装が多く見られます。

メカニズム：どうやって通信をカプセル化するのか？（オーバーレイとアンダーレイ）

SD-WANの最大の特徴は、下層にある物理回線の種類（インターネット、MPLS、LTEなど）を意識せずに、その上に1つの大きな仮想ネットワークを作れる点です。これを理解するための鍵が、「アンダーレイ」と「オーバーレイ」の仕組みです。

パケットに新しいヘッダを「被せる」仕組み

SD-WANルータ（エッジ）にパケットが届くと、ルータは元のパケットをそのまま包み込み、新しいヘッダを付与します。これが「カプセル化（トンネリング）」です。

アンダーレイ（物理層）： 実際に契約しているインターネットやMPLSなどの回線。
オーバーレイ（仮想層）： カプセル化（主にIPsecやGRE、VXLANなどを拡張したプロトコル）によって自動的に張り巡らされた、拠点間のメッシュネットワーク。

物理的な回線（アンダーレイ）が何であれ、このカプセル化されたトンネル（オーバーレイ）を通すことで、全拠点がまるで同じ暗号化された安全なLANの中にいるかのように通信させることができます。

メカニズム：どうやって回線をリアルタイムに選ぶのか？

「回線の品質に合わせて通信を自動で振り分ける」という動的経路制御（Perfomance Based Routing / SLAルート）は、SD-WANの肝となる仕組みです。これは以下の2つのステップで毎秒行われています。

ステップ1：回線の「健康状態」を常にサンプリングする

SD-WANルータ同士は、トンネル内で「プローブパケット（測定用の小さなパケット）」を常にキャッチボールしています。これによって、各回線の以下の数値をリアルタイムに計測しています。

遅延（Latency）
ジッタ（Jitter：遅延のゆらぎ）
パケットロス率（Packet Loss）

ステップ2：SLA（ポリシー）と照らし合わせて瞬時に切り替える

あらかじめ管理者が「音声通話（VoIP）は、遅延150ms以内・パケットロス1%以下の回線を通す」といったルール（SLAポリシー）を設定しておきます。もし、メインで使っていたMPLS回線の品質が劣化してこの基準を下回ると、SD-WANルータはセッションを切断することなく、ミリ秒単位でパケットをもう一方の健康なインターネット回線へと迂回（スイッチング）させます。

メカニズム：どうやってコントローラはエッジを支配しているのか？（OMPと集中管理）

最後に、全体のコントロールの仕組みです。 SD-WANでは、ルータ同士が直接BGPやOSPFといった複雑なルーティングプロトコルをフルメッシュで回し合うことは、基本的にありません。

情報を一元集約する「ルートリフレクタ」のような仕組み

各拠点のルータ（エッジ）は、自分が持っているネットワーク情報や、カプセル化に必要な鍵の情報（暗号鍵）を、すべてクラウド上の「コントローラ（司令塔）」だけに報告します。（※例えばCisco Catalyst SD-WANであれば、OMP（Overlay Management Protocol）という独自のプロトコルを使って通信します。）

コントローラは、集まった全拠点の情報を整理し、「君はあっちの拠点とこの鍵を使ってトンネルを張りなさい」という指示を各ルータに配ります。ルータ同士が自律的に動きすぎるのを防ぎ、頭脳をクラウドに集中させることで、数千拠点の大規模ネットワークでも破綻せずに一元制御できる仕組みが成り立っています。

メカニズム：どうやって転送先を決めているのか

SD-WANは、パケットの何を見て、どうやって「他の拠点」「LBO（ローカルブレイクアウト）」「SSE（Zscalerなど）」といった多様な転送先を瞬時に選んでいるのか？解説します。

転送先を決める「3つの判断材料（マッチング条件）」

パケットがSD-WANルータに入ってきた瞬間、ルータがまずチェックする3つのレイヤの要素です。

材料①：基本の「L3/L4情報（5Tuple）」：送信元/宛先IP、送信元/宛先ポート、プロトコル番号。
材料②：先回りして見抜く「DNS判定」：端末が発信するDNSクエリのAレコード（名前解決）をスヌーピングし、実際のデータが流れる前に高速かつ低負荷でアプリケーションを特定する仕組み。
材料③：中身まで覗く「DPI（Deep Packet Inspection）」：HTTPS（TLS）通信のSNI情報やパケットのシグネチャをL7レベルで解析し、同じポート443でも「M365」か「YouTube」かを正確に識別する仕組み。

転送先を決める「リアルタイムの回線品質（SLA）」

「回線の健康状態」の評価ロジックを解説。

プローブパケットによる常時監視： 遅延（Latency）、ジッタ、パケットロス率の毎秒計測。
SLAポリシーとの照合： 「Zoomの通信は遅延100ms以下の回線へ」といった管理者が定めたルールと、現在の回線ステータスをリアルタイムにマッピングする仕組み。

導き出される「3つの転送先」

上記の条件と品質を1つのポリシー（マトリクス）で評価した結果、パケットは以下のいずれかの最適なルートへと送り出されます。

転送先A：他の拠点（拠点間VPN / オーバーレイ）：社内基盤システム宛てなら、自動生成されたIPsecトンネルに乗せて他の拠点のSD-WANルータへ。
転送先B：LBO（ローカルブレイクアウト）：M365やBoxなど、データセンターを圧迫させたくないSaaS通信なら、トンネルを通さず拠点のローカルインターネット回線から直接Webへネイティブ転送。
転送先C：SSE（Security Service Edge）：一般のWeb閲覧や、より強固なセキュリティチェックが必要なトラフィックなら、クラウド上の安全な関門（例：Zscaler）へ向けて自動的にGRE/IPsecトンネルを張り、トラフィックをサービスチェイニング（転送）。

設計時にハマりがちな「ポリシーの優先順位」

現場のTips： アプリ判定や「any（すべて）」の宛先でSSE宛ての転送ポリシーを書く際、社内宛て（プライベートIP）の通信を巻き込んでしまわないよう、ポリシーのSequence番号（優先順位）をどう設計すべきかという実務的な注意点。

まとめ：仕組みがわかれば、設計の意図が見えてくる

今回は、SD-WANの裏側で動いている4つのコア技術（DPI、カプセル化、動的SLA計測、集中制御プロトコル）のメカニズムについて一歩踏み込んで解説しました。

DPIによってL7レベルでアプリケーションを特定し、
オーバーレイ技術によって回線を隠蔽・暗号化し、
プローブパケットで回線品質を秒単位で監視し、
コントローラが独自のプロトコル（OMPなど）で全体を統制する。

製品（Cisco、Fortinet、VMwareなど）によって細かい名前は違えど、SD-WANが裏でやっている本質的な仕組みは共通しています。ここを押さえておくと、実務でのトラブルシューティングや、次世代のセキュリティ（SSE/SASE）を組み合わせる際の理解度が格段に上がります。

➡【次の記事へ】【SD-WANとは】SD-WAN導入のメリット・デメリット

#SD-WANとは