SINETクラウド接続サービスについて

第 11 回研究教育のためのクラウド利活用セミナー SINET クラウド接続サービスについて 第 1 版 平成 29 年 12 月 18 日 国立情報学研究所 学術基盤課 SINET 利用推進室 1

内容 SINETクラウド接続サービスの概要 クラウド接続サービスの枠組みと現在の利用状況 SINETクラウド接続サービスを利用することのメリット クラウド接続に必要なネットワーク構成 タグVLAN BGP 接続 ( 必要な場合 ) 申請手続き 申請フロー アンタグからタグVLANへ変更 別キャンパス扱い SINET5のVPNサービス (L2オンデマンド 仮想大学 LAN) 問い合せ窓口 2

SINET クラウド接続サービスの概要 3

SINET を介してクラウドと接続するサービス はじめに SINET クラウド接続サービスとは SINET がクラウドサービスを提供するのではなく 加入機関とクラウド事業者間の L2VPN 接続環境を提供するサービスです (2011 年 7 月スタート ) SINET クラウド接続サービスでいう クラウド とは商用のデータセンタを介して何らかのサービスが提供されるものを対象としています ( ハウジングサービス等も対象です ) SINET に直接接続しているクラウド事業者のことを SINET では サービス提供機関 と呼んでいます サービス提供機関になるための主な条件 SINET の L2VPN 接続サービスを利用 帯域が保障されたアクセス回線 ( 専用線 ダークファイバ等 ) で SINET に接続 アクセス回線は複数の加入機関で共用 ( 加入機関毎に VLAN で論理分割 ) 上記条件を満たさない場合は サービス提供機関にはなれません クラウド事業者がサービス提供機関に参入せずとも加入機関の 別キャンパス という扱いで加入機関が主体となり SINET に申請することで商用のデータセンタを SINET に直接接続することも可能です 4

サービス提供機関一覧 SINET に直結した商用クラウドサービス ( 提供中 21) を 100 以上の加入機関に提供中 ( 参考 )https://www.sinet.ad.jp/service_provider/service_providers_list 高性能セキュアネットワーク (L2VPN) クラウドデータセンタ 直結 自由に選択可能 HOTnet 北海道 1 さくらインターネット ( 満杯中 ) NTT 東 ( 満杯中 ) 11 社 NTT-SmC 大学 研究機関等 NTT データ九州 富士通 三谷商事 ミライネット 富士通 NTT 東 CTC 伊藤忠 UQ NTTコム 学認クラウド導入支援サービスチェックリスト回答の検証結果を提供中の事業者 佐賀 IDC 佐賀 福岡 2 三谷商事 兵庫 大阪 福井 群馬岐阜埼玉愛知東京 1 神奈川 NHN テコラス AWS NJC (2017 年 12 月 14 日現在 ) : 提供中 21 社 (25 拠点 ) : 調整中 3 社 K-OPT NTT-SmC IIJ CTC 中部テレ NTT 西 NEC ねこじゃらし さくらインターネット FJCT GMOインターネット日本 MS 5

サービス提供機関数と利用加入機関数の推移 (2017 年 12 月 14 日現在 ) サービス提供機関数 利用加入機関数 25 20 15 10 5 0 5 9 11 14 17 21 21 120 100 80 60 40 20 0 2 14 31 51 66 83 102 サービス提供機関として承認されている機関数 ( 提供中 ) の推移 6

SINET クラウド接続サービスの特徴 SINET クラウド接続サービス経由のクラウド利用にはさまざまなメリットがあります 加入機関の負担でクラウドと繋ぐ回線を用意する必要があります 一般的なクラウド L2VPN 接続で拠点間を繋ぐため安全です SINET が巨大な一つの L2SW になりますので 学内 LAN と同等の扱いが可能になります SINET の L2VPN 接続サービスは利用できません 商用インターネット サービス提供機関のクラウド エッジ エッジ VPN でクラウドと接続するには VPN 装置等が必要になります ( 参考 ) コア エッジ エッジ エッジ コア エッジ GW SINET4 エッジ エッジ コア エッジ エッジ ノード ノード 加入機関 ノード GW ノードノードノード SINET5 ノードノード ノード ノード ノード GW SINET5 は全国 100G フルメッシュで超高速 低遅延なネットワークを実現しています ノード 専用線 ダークファイバ等 帯域が保障された回線で接続しています L2VPN 接続は VLAN 番号で論理分割するため VPN 装置は不要です速度の低下もありません 7

SINET クラウド接続サービスの接続イメージ図 A 大学の L2VPN は VLAN A で SINET へ接続 SINET は拠点間の L2VPN の設定のみ (L2 の土管を構築 ) A 大学 ノード SINET へタグ VLAN で接続する サービス提供機関 A 大学用 B 大学 ノード B 大学用 ノード B 大学の L2VPN は VLAN B で SINET へ接続 1 本の回線を複数の機関で共有するため L2SW 等で利用機関毎に VLAN で論理分割する 加入機関側の VLAN 番号とサービス提供機関側の VLAN 番号を一致させる必要はありません使用できる VLAN 番号は 2~4094 の範囲で自由に指定できます 8

クラウド接続に必要なネットワーク構成 9

IP Dual 接続の構成例 IPv4/IPv6 Dual 接続 (IP Dual 接続 ) は インターネット接続を行うための SINET の基本的な接続 (L3) サービスです SINET が加入機関様の接続用に払い出す 150.99.xxx.zzz( 接続セグメント用 IP アドレス ) を加入機関機器に設定します 例 ) IP Dual 接続の基本的な構成イメージ 加入機関 SINET5 若番 学内 LAN 学内 LAN 接続セグメント用アドレスは 150.99.xxx.yyy/30 という形式で払い出されます ( 申請窓口よりご案内します ) 中 2 つのアドレスのうち 老番を加入機関機器の WAN 側へ 若番を SINET 側へ ( 加入機関機器にデフォルトゲートウェイとして設定 ) それぞれ設定します 老番 ルータ FW SW 等 10

L2VPN 接続の構成例 (1) L2VPN 接続サービスは 拠点間を同一のセグメントで閉域網を構築するサービスです IP Dual 接続用と L2VPN 接続用の VLAN を分けることで同一の物理回線で両サービスの利用が可能です VLAN 番号は 2~4094 の範囲で自由に指定できます 加入機関の WAN 側をタグ VLAN に設定し SINET と接続します (WAN 側がアンタグの場合は設定変更が必要です ) 例 ) L2VPN 接続の基本的な構成イメージ 加入機関 IP Dual インターネット IP Dual SINET 側もタグ VLAN に設定 VLAN A ルータ FW SINET5 VLAN A B L2VPN サービス提供機関 L2VPN の場合 SINET は巨大な L2SW になる L2SW 等を設置して WAN 側をタグ VLAN に設定 VLAN B L2VPN 学内 LAN 11

1 クラウド接続サービスの基本的な構成イメージ L2VPN 接続の構成例 (2) サービス提供機関 L2SW 等 IP Dual 加入機関 VLAN A ルータ IP Dual SINET5 拠点間で同一セグメントのネットワークを構築できることが L2VPN 接続の最大の利点 2 L2VPN 上で L3 の通信を行う場合の構成イメージ VLAN B L2VPN サービス提供機関 ルータ L2SW 等 L2 のままクラウド資源と通信させたくない等の理由でルータを挟む IP Dual SINET5 加入機関 拠点間の通信は L3 になっているが 1 と同様に L2VPN 接続で利用 SINET 機器は L2SW として動作 VLAN A VLAN B ルータ ルータ L2VPN 接続用に別途ルータが必要 IP Dual L2VPN 12

VLAN 番号の調整 SINET 網内で VLAN 変換をしますので 加入機関側とサービス提供機関側の VLAN 番号を一致させる必要はありません 他拠点を意識せずに 自拠点のネットワークの都合で VLAN 番号を決めることができます 加入機関 SINET 網内 サービス提供機関の VLAN イメージ A 大学 B 大学 C 大学 VLAN 10 VLAN 20 VLAN 10 他拠点の VLAN 番号を意識する必要なし VLAN 1000 VLAN 2000 VLAN 3000 網内の VLAN 番号は非開示 ここで変換 サービス提供機関 VLAN 100:A 大学 VLAN 200:B 大学 VLAN 300:C 大学 加入機関の VLAN 番号と一致させる必要なし 13

SINET5 接続機器の設定について VLAN を利用して SINET5 と接続を行う際は 申請している VLAN のみ送出するよう 機器の設定をお願いします ( 設定詳細は 機器ベンダへご確認ください ) 加入機関 SINET5 申請した VLAN のみを送出するよう設定 加入機関 LAN RT/L3SW 等 Payload Tag Src Dst Cisco 機器の例 interface GigabitEthernet x/y/z switchport mode trunk switchport trunk allowed vlan 100! VLAN 100 のみ送出する設定例 Juniper 機器の例 interfaces { ge-x/y/z { vlan-tagging; unit 0 { family bridge { interface-mode trunk; vlan-id-list [ 100 ]; } } } } 14

申請手続き 15

クラウドサービス利用開始までの流れ VLAN 番号や利用開始時期等の調整も事前に行ってください なお 契約に関して SINET は一切関知しません 加入機関 接続作業日は 2 の SINET5 利用申請書 ( 商用クラウド利用 ) で加入機関より指定された日時となります サービス提供機関側と接続のタイミングを合せる必要はありません 1 サービス提供機関のサ - ビス利用に関する契約加入機関とサービス提供機関の間で サービス契約を行ってください 2 SINET5 利用申請書 ( 商用クラウド利用 ) 加入機関よりサービス提供機関のサービスを利用する申請書を提出します 5 設定情報等連絡加入機関へ接続に必要な設定情報をメールにて連絡します SINET 申請窓口 3 設定内容の調整以下項目について調整します 利用期間 VLAN 番号 接続ポート 設定投入日時 4 設定手配 7 電話連絡にて加入機関の接続作業を開始加入機関より SINET オペレーションセンタへ接続開始連絡を行います SINET オペレーションセンタ 6 設定開始サービス提供機関の設定を行います 8 サービス提供機関接続開始サービス提供機関 加入機関の間でクラウドサービス利用が開始されます サービス提供機関 3 での調整した設定投入日時に合せて SINET オペレーションセンタにて設定します 加入機関側の接続とタイミングを合わせる必要はありませんので 任意のタイミングで設定を行ってください 16

クラウドサービス利用開始の前に (1) IP Dual 接続をアンタグからタグ VLAN に変更するには何が必要になりますか? タグ VLAN に対応した機器が必要です 加入機関拠点の WAN 側に L2SW 等を設置してタグ VLAN で SINET と接続して下さい IPv4/IPv6 Dual サービス申請書 を提出して下さい 申請書に IP Dual 接続で使用する VLAN 番号をお書き下さい アンタグ接続からタグ VLAN 接続に変更の際に通信断が発生します 通常数分から 10 分程度通信が切れますのでご留意下さい 現在の接続方式が不明な場合は SINET 申請窓口までお問い合せ下さい IP Dual 接続と L2VPN 接続を単一のアクセス回線で共用しないといけないのですか? L2VPN 接続用にアクセス回線を新設することも可能です SINET5 ノードのポートの利用状況によっては ご希望に沿えない場合があります ( 参考 ) https://www.sinet.ad.jp/application_procedures/form-ipdual https://www.sinet.ad.jp/faqs/technical 17

クラウドサービス利用開始の前に (2) 加入機関とサービス提供機関の 2 拠点間でしか利用できないのですか? 3 拠点以上でも利用可能です ( 後から拠点の追加等も可能です ) ただし SINET5 利用申請書 ( 商用クラウド利用 ) は 2 拠点間で利用することに特化した申請書になっています 3 拠点以上で L2VPN を構築する場合は 通常の L2VPN の利用申請の流れで申請をお願いします 通常の L2VPN の利用申請は以下の 2 段階の申請が必要です 1 VPN 利用開始申請 VPN の代表者 ( 加入機関 ) から申請します SINET から VPN サービスの利用承認が得られたら 下記 2 の申請を行います 2 サービス利用申請 それぞれの接続拠点から申請します サービス提供機関側はサービス提供機関の担当者から申請します ( 参考 ) https://www.sinet.ad.jp/connect_service/service/l2vpn 18

クラウドサービス利用開始の前に (3) L2VPN 上で L3 の通信を行うには申請が必要ですか? SINET へ申請は不要です IP Dual 接続と異なり L2VPN の土管の中で行われる L3 の通信になるため SINET は一切関知しません L2VPN 接続用に別途必要なルータの設定等についても SINET は関知しませんので サービス提供機関のご担当者にご確認下さい 仮想大学 LAN サービス でサービス提供機関のクラウドを利用できますか? 複数の拠点を持つ単一の加入機関に特化したサービスのため クラウド拠点も単一の加入機関のみが利用していることを想定しています VLAN の取り扱いが L2VPN サービスと異なる等 利用の際に制限や注意事項もありますので 仮想大学 LAN サービス でサービス提供機関のクラウド利用を検討する際は 事前に SINET 利用推進室までご相談をお願いします ( 参考 ) https://www.sinet.ad.jp/connect_service/service/vswitch 19

タグ VLAN 接続への変更申請 (1) アンタグからタグ VLAN 接続に変更は VPN 利用開始時に同時に行うことも インターネット接続をまずタグ VLAN 化し 後から VPN を利用開始することも可能です 加入機関の都合に合わせてご検討下さい インターネット接続の変更申請は IPv4/IPv6 Dual サービス申請書 をお使い下さい ( 詳細 ) https://www.sinet.ad.jp/application_procedures/form-ipdual アンタグからタグ VLAN 接続に変更の際には通常短時間 ( 数分から 10 分程度 ) の通信断が発生します タグ VLAN 化以降の VLAN の追加や削除では通信断は発生しません 加入機関側機器で対応可能であれば 新規接続の際に 当面はインターネット接続しか利用の予定がなくてもタグ VLAN で接続する事をお勧めします 最初からタグ VLAN 接続にしておけば将来 VPN サービス利用時に通信断が発生せずに済みます 20

タグ VLAN 接続への変更申請 (2) 変更届 https://www.sinet.ad.jp/application_procedures/form-ipdual ここにインターネット接続用の VLAN 番号を記入 21

別キャンパス扱い 22

別キャンパス扱いとは 商用のデータセンタ拠点等 実在するキャンパスとは異なる接続拠点を SINET では 別キャンパス扱い と呼び 加入機関の拠点と見做しています 別キャンパス扱いで SINET に接続する際は 加入機関から申請します ( データセンタ事業者等の名義で申請はできません ) 利用できる SINET のサービスに差異はありません 一方 SINET クラウド接続サービスでは L2VPN 接続サービスしか利用できません ( 運用方針上の制限 ) クラウド接続サービスでの利用シーン クラウド拠点からインターネット接続 (IP Dual 接続 ) したいとき 公開サーバ等をクラウド拠点に置きたいとき など クラウド拠点から IP Dual 接続をするには加入機関のグローバル IP アドレスが必要になります サービス提供機関が所有しているグローバル IP は使用できません 23

別キャンパス扱いによる接続 クラウド接続サービスで接続しているサービス提供機関の拠点から別キャンパス扱いで接続したいときは以下の流れになります サービス提供機関に確認 利用中 / 予定のサービス提供機関に別キャンパス扱いでの接続が可能かどうか事前に確認して下さい (SINET は関知しません ) 接続申請書を加入機関から提出 VLAN 番号や接続情報については加入機関とサービス提供機関の間で調整し 利用申請書は加入機関から提出して下さい A 大学 サービス提供機関 B 大学 ノード L2VPN ノード L2VPN 接続で利用する場合は クラウド接続サービスの枠組み になるため クラウド拠点側の接続申請はサービス提供機関が行う L2VPN インターネット IP Dual IP Dual 接続を利用する場合は B 大学の別キャンパスとしてクラウド拠点側の接続申請も B 大学が行う 自宅 民間等 24

接続形態の違いまとめ クラウド接続サービスの枠組み と 別キャンパス扱い の主な違いをまとめると以下になります クラウド接続サービスの枠組み (L2VPN に限定 ) 回線整備 : サービス提供機関の責任で SINET へ接続 回線利用者 : サービス提供機関の利用者で共用 ( タグ VLAN) IP アドレス : 閉域網で利用するため プライベート IP アドレスでよい 申請者 : 加入機関側は加入機関 クラウド側はサービス提供機関から申請 別キャンパス扱い (IP Dual 等のサービスも利用可能 ) 回線整備 : 加入機関の責任で SINET へ接続 回線利用者 : 原則として回線を整備した加入機関のみが利用 ( アンタグも可 ) クラウド接続サービスの枠組みで整備した回線を共用する場合は事前にサービス提供機関に確認 IP アドレス : IP Dual 接続の場合は 加入機関のグローバル IP アドレスが必須 申請者 : すべて加入機関から申請 25

確認事項まとめ 加入機関設備に関する確認事項 ネットワーク機器やアクセス回線がタグVLANに対応しているか 現在の接続方式がアンタグかタグVLANどちらになっているか サービス提供機関に関する確認事項 BGP 接続が必要となるか 別キャンパス扱いに対応しているか ( インターネット接続が必要な場合 ) SINETに申請する前の確認事項 サービス提供機関と契約が済んでいるか 26

SINET5 の VPN サービス (L2VPN/VPLS) 27

L2 オンデマンド (L2OD) サービス (1) L2OD サービスを利用する事で 加入機関自身で VPN のセルフプロビジョニングが可能です 従来の VPN(= スタティック ) では加入機関からその都度申請をいただいて設定するのに対し L2OD サービスは加入機関にて 必要に応じて VPN の設定 / 変更 (= セルフプロビジョニング ) が可能です L2 オンデマンドは 通信経路も自由に設定可能なので 高遅延でのアプリケーションの挙動テストなどにもご利用頂けます L2 オンデマンドサービスのイメージ :L2VPN(2 地点 ) :VPLS( 多地点 ) クラウドコントローラ REST NSI Global Requester L2OD サーバ 長パス ( 経路設定 ) 経路指定 動的設定 帯域確保 設定要求 最短パス ( 通常挙動 ) SINET 利用機関 SINET 利用機関 SINET 利用機関 SINET 利用機関 ユーザ ユーザ ユーザ ユーザ ユーザ ユーザ ユーザ ユーザ ユーザ ユーザ 28

L2 オンデマンド (L2OD) サービス (2) L2 オンデマンドは REST API での設定が可能です 遠隔バックアップサイトを 通常は切断しておき バックアップを行う時だけ接続するといった使い方が可能です (1) REST API L2OD サーバ (2) VPN 設定 (2) VPN 設定 拠点 A (3) 開通した VPN でデータバックアップ 拠点 B バックアップスクリプト 29

仮想大学 LAN サービス 多数の VLAN を利用する 多くの拠点に VLAN を展開するような構成については 仮想大学 LAN サービスの利用をご検討ください (~100VLAN 程度 ) 仮想大学 LAN サービスのイメージ C 拠点 D 拠点 E 拠点 SINET 機器が VLAN を自動認識し VPN を構築します同じ VLAN 番号同士でしか VPN は構築できません 全体で利用する VLAN:100~200 A 拠点 VLAN 100-129 VLAN 130-169 VLAN 170-200 B 拠点 従来型の VPN と異なり SINET 網内で VLAN の変換はしません 申請した範囲内の VLAN を自由に設定可能 30

VPN サービスの比較 L2VPN/VPLS L2 オンデマンド仮想大学 LAN VPN の利用シーン 単一機関や他機関と静的に VPN を構成 (VLAN の変更や対地の変更が発生しない利用 ) 単一機関や他機関と動的に VPN を構成 (VLAN の変更や対地の変更が発生する利用 ) VPN のメンバ構成が単一機関に限定され VLAN を沢山使用するような利用 利用 VLAN 数の目安数個程度 ( 都度申請 ) 10 個程度 100 個程度 VLAN 番号の調整不要 (SINET 機器で VLAN 変換 各拠点任意の VLAN 番号で接続 ) 同左必要 (VLAN 変換不可 使用する VLAN 番号を全拠点で揃える ) VLAN 番号の指定 1 個ずつ指定範囲で指定範囲で指定 利用申請 2 段階申請 (VPN 利用開始申請 サービス利用申請 ) 2 段階申請 (L2OD サーバ登録申請 L2OD サービス申請 ) 仮想大学 LAN 申請の 1 通のみ VLAN の設定作業 SINET オペセンが設定利用者が Web 操作で設定 VLAN を自動認識 VLAN の変更申請必要 ( 変更の都度必要 ) 不要 ( 申請時の範囲内なら不要 ) QoS 低廃棄 高廃棄 低廃棄 高廃棄に加えて優先 的なQoS 制御指定 帯域指定 クラウド接続サービスとの併用 可能 同左 利用したいサービスを提供す るクラウド事業者に要確認 同左 なし 31

お問い合わせ等 SINET 利用に関するコンサルティング 利用者支援等 SINET 利用推進室 ( 平日 10:00~17:00) E-mail: support@sinet.ad.jp TEL: 03-4212-2269 各種申請手続 学術基盤課 SINETチーム ( 平日 9:00~17:00) E-mail: apply@sinet.ad.jp ( 全般 ) E-mail: nyuukan@sinet.ad.jp ( データセンタ入館 ) TEL: 03-4212-2265 SINETの通信障害 SINETオペレーションセンタ (24 時間 365 日 ) E-mail: ipnoc@sinet.ad.jp TEL: 03-3263-5804 32