オーバーレイネットワークとは？VXLANの仕組み・アンダーレイとの違いから採用判断まで実装者向けに解説

オーバーレイネットワークは、既存の物理ネットワーク（アンダーレイ）の上に、カプセル化で論理的な通信網をもう一層重ねる技術です。物理配線を触らずにネットワークを増減できる点が最大の特徴になります。この記事では、アンダーレイとの役割分担、VXLANやGeneveといったトンネリング方式の違い、VNIによる論理分離の仕組みを実装者の視点で整理しました。さらにKubernetesやSD-WANでオーバーレイが選ばれる場面、採用を見送るべき条件、MTUや運用コストといった導入前の注意点まで、判断できる粒度で解説します。

まとめ：オーバーレイネットワークの要点と採用判断の基準

オーバーレイネットワークの核心は「物理配線を変えずに論理ネットワークを増設できる」点にあります。アンダーレイ（物理IP網）はそのままに、通信をカプセル化して仮想的なセグメントを重ねる構造です。拠点をまたいで同一L2を延伸したり、テナントごとにネットワークを分離したりできます。代表的な実装がVXLANで、24ビットのVNIにより約1,677万の論理セグメントを扱えます。

採用判断の軸はシンプルです。マルチテナントやデータセンター間のL2延伸、Kubernetesのノード間Pod通信のように「物理トポロジと論理トポロジを切り離したい」要件があれば、導入は投資に見合います。逆に単一サブネットで完結する小規模オンプレミスでは、カプセル化のオーバーヘッドとトラブルシューティングの難しさが上回り、見送る判断が妥当です。以下で仕組みと判断材料を順に見ていきましょう。

オーバーレイネットワークとアンダーレイネットワークの違いと役割分担

両者は対立する技術ではなく、上下2層の関係にあります。アンダーレイが荷物を運ぶ道路網なら、オーバーレイはその上を走る専用便のようなもの。道路（物理配線とルーティング）を作り替えずに、便（論理ネットワーク）だけを増減できる点に価値があります。

アンダーレイが担う物理到達性の確保とIPアドレス設計の担当範囲

アンダーレイは、スイッチ・ルータ・ケーブルで構成される物理ネットワークそのものです。役割は「拠点Aから拠点Bへパケットを確実に届ける到達性の確保」に絞られます。ここでの土台はIPアドレス設計とルーティングで、サブネットの切り方やゲートウェイ設計が通信品質を左右する要素です。アンダーレイのIP設計を詰める際は、サブネットマスクの仕組みとCIDR表記の考え方を押さえておくと、後述するVTEP間の経路設計がぶれません。

オーバーレイが担う論理分離と経路の抽象化による構成変更の軽さ

オーバーレイは、アンダーレイの上に論理的な通信路を重ねる層です。物理的にどこにあるかを意識させず、あたかも同じL2セグメントにいるかのように端点同士を接続します。これを支える技術がカプセル化で、元のフレームを別のヘッダで包み、アンダーレイのIPパケットとして運ぶ仕組みです。物理トポロジを変えずにネットワークを増減できるため、構成変更の単位が「配線工事」から「設定変更」へ縮まります。

カプセル化とVNIで論理ネットワークを構成する仕組みの全体像

オーバーレイの実体は、カプセル化（トンネリング）と識別子（VNI）の2つに集約されます。この2点を理解すると、後段のVXLANやGeneveの違いが機能差として読めるようになります。順に見ていきましょう。

イーサネットフレームをIPパケットで包むカプセル化の処理の流れ

VXLANを例にすると、送信側の端点はイーサネットフレームを受け取り、VXLANヘッダとUDPヘッダ、外側IPヘッダを付けてアンダーレイへ送り出します。この端点がVTEP（VXLAN Tunnel Endpoint）です。受信側VTEPは外側ヘッダを外し、元のフレームを取り出して宛先へ渡す流れになります。UDPの宛先ポートはIANAが割り当てた4789が既定値です。付加されるヘッダは合計でおよそ50バイトになり、この分がペイロードを圧迫します。

VNIによる論理セグメント分離とVLANの4094上限の突破

カプセル化したパケットには、どの論理ネットワークに属するかを示すVNI（VXLAN Network Identifier）が入ります。VXLANのVNIは24ビットで、扱える論理セグメントは約1,677万に達する規模です。従来のVLANの仕組みとIEEE 802.1Qによるタグ付けでは、VLAN IDが12ビットで4094が上限でした。VXLANはこの制約を数千倍の規模へ引き上げ、大規模クラウドのマルチテナント要件に応えます。VLANが「フロア内の島分け」なら、VNIは「データセンター全体の区画整理」に近い粒度です。

VXLAN・GRE・Geneveなど主要トンネリング方式の違いと選び方

オーバーレイを実現するカプセル化方式は一つではありません。運ぶ対象（L2フレームかL3パケットか）、拡張性、暗号化の有無で使い分けます。代表的な方式を整理しました。

L2延伸のVXLANとL3トンネルのGREの用途による適用差

VXLANはL2フレームをL3上で運ぶため、離れた拠点で同一セグメントを延伸したい場面に向きます。RFC 7348で標準化され、実装の裾野が広い方式です。一方GREは汎用のL3トンネルで、ルーティングプロトコルを内包した拠点間接続に使われてきました。新しいGeneve（RFC 8926）は可変長のオプション領域を持ち、CiliumやOVNなど拡張性を求める実装で選ばれます。方式選定の勘所を表に整理します。

迷ったらVXLANが無難な既定値になります。実装が広く、機器やCNIの対応も厚いためです。将来メタデータ付与や細かな制御を見込むならGeneve、拠点間で秘匿が必須ならIPsecを重ねる、という順で検討すると外しません。

アンダーレイのアドレス変換とオーバーレイの論理アドレス独立性

オーバーレイの論理アドレスは、アンダーレイのアドレス体系から独立しています。そのため拠点ごとに重複するプライベートIPを使っていても、外側ヘッダのアンダーレイIPで到達性を確保できる構造です。アンダーレイ側でNATによるアドレス変換の仕組みとクラウド実装を併用する構成も多く見られます。内側の論理設計と外側の到達設計を分けて考えられる点が、運用を楽にします。

KubernetesやSD-WANでオーバーレイネットワークが使われる場面

抽象論だけでは判断に落ちません。実際にオーバーレイが動いている典型例を見ていきましょう。いずれも「物理トポロジと論理トポロジを切り離したい」という共通の要件を持ちます。

コンテナのノード間Pod通信を支えるCNIプラグインの実装方式

Kubernetesでは、複数ノードにまたがるPod同士がフラットに通信できる必要があります。これをCNIプラグインがオーバーレイで実現する仕組みです。FlannelはVXLANをバックエンドに使い、CiliumはeBPFとGeneveやVXLANを組み合わせます。ノードの物理IPが何であれ、Podには一貫した論理IP空間が割り当てられる設計です。コンテナと仮想マシンの隔離レベルの違いは、仮想環境の種類と隔離レベルの選び方で整理しており、CNI選定の前提知識として役立ちます。

データセンター間のL2延伸とSD-WANによる拠点接続の実際

データセンター間では、サーバ移設やクラスタ構成の都合で「離れた拠点を同一L2として扱いたい」要件が出ます。VXLANはこのL2延伸の定番です。SD-WANでは、各拠点をインターネット越しにIPsecトンネルで束ね、論理的な一枚のWANとして運用します。物理回線がフレッツでも専用線でも、上位の論理網は同じポリシーで扱える点が導入の後押しになります。オーバーレイの経路制御をソフトウェアで集中管理する発想は、SDNにおけるコントロールプレーンとデータプレーンの分離と地続きです。両者を併せて読むと制御の全体像がつかめます。

オーバーレイネットワークを採用すべき条件と見送る場面の判断軸

ここが実装者にとっての本題です。オーバーレイは万能ではなく、要件が合わないと運用負荷だけが増えます。採用と見送りの線引きを条件付きで言い切ります。

オーバーレイネットワークの採用価値が立つ4つの要件パターン例

次のいずれかに当てはまるなら、オーバーレイの導入は投資に見合います。判断軸は「物理を触らずに論理を動かしたいか」の一点です。

• クラウドやデータセンターでテナントごとにネットワークを分離したい
• 離れた拠点間で同一L2セグメントを延伸したい
• Kubernetesで多数ノードにまたがるPod通信を成立させたい
• 拠点のプライベートIPが重複しており論理層で吸収したい

これらはVLANの4094上限や物理配線の制約では解けません。VNIの規模とカプセル化の独立性が効く領域であり、採用をためらう理由はないでしょう。

オーバーレイの導入を見送るべき小規模構成と過剰投資の失敗パターン

単一拠点・単一サブネットで完結し、テナント分離も拠点延伸も不要な構成では、オーバーレイは過剰です。カプセル化はヘッダ付加とVTEP処理の負荷を生み、障害時には「アンダーレイの問題か、オーバーレイの問題か」を切り分ける手間が増えます。小規模社内LANに流行だからとVXLANを敷き、MTU起因の断続的な通信不良に悩まされる失敗も珍しくありません。要件が物理層で足りるなら、素直にVLANとルーティングで組む方が運用は軽くなります。導入是非の切り分けが難しい場合は、AWSやGoogle Cloudなどのインフラ構築支援で要件整理から相談する選択肢もあります。

MTU設計と運用コストなど導入前に確認しておくべき実装上の注意点

採用を決めても、設計を詰めずに動かすと足をすくわれます。オーバーレイ特有の落とし穴を、導入前に潰しておく観点で挙げます。

カプセル化のヘッダ付加によるMTU圧迫とフラグメント対策の勘所

VXLANは約50バイトのヘッダを追加するため、内側で扱えるペイロードが目減りします。アンダーレイのMTUが1500のままだと、内側の実効MTUは1450程度に下がる計算です。これを無視すると断片化や通信断が起きます。対策は2通りです。アンダーレイをジャンボフレーム（MTU 9000など）に引き上げてヘッダ分を吸収するか、内側のMSSをクランプして送信サイズを抑えます。データセンター内で機器を制御できるならジャンボフレーム、公衆網をまたぐならMSSクランプが現実的な選び方になります。

アンダーレイとオーバーレイの2層障害切り分けと運用体制のコスト

オーバーレイは論理層が増える分、監視と切り分けの対象も増えます。パケットが届かないとき、アンダーレイの経路障害なのか、VTEPの設定ミスなのか、VNIの不一致なのかを層ごとに追う作業が必要です。運用チームがこの2層モデルを理解していないと、障害対応は長引きます。導入時には、アンダーレイとオーバーレイを別々に可視化する監視設計と、両層を読める人材の確保をコストとして見込んでおくべきです。技術選定と同じ比重で、運用の受け皿を設計に含めることが定着の分かれ目になります。

よくある質問

オーバーレイネットワークの導入検討でよく挙がる質問を、実装判断に直結する形で整理しました。

オーバーレイネットワークとVPNは何が違うのですか？

VPNはオーバーレイの一種で、主目的が「暗号化による通信の秘匿」に置かれます。オーバーレイはより広い概念で、秘匿を伴わないL2延伸やマルチテナント分離も含む点が違いです。IPsec VPNは「暗号化されたオーバーレイ」と捉えると関係が整理できます。目的が秘匿ならVPN、論理分離や拠点延伸ならVXLANといった選び分けになります。

VXLANとVLANはどちらを使うべきですか？

規模と範囲で決まります。単一拠点で数十〜数百セグメントに収まり、L3をまたがないならVLANで十分です。テナント数が4094を超える、あるいは拠点をまたいでL2を延伸したい場合はVXLANが必要になります。両者は排他ではなく、拠点内はVLAN、拠点間はVXLANという併用構成も一般的です。

オーバーレイは通信が遅くなりませんか？

カプセル化と脱カプセル化の処理分だけ理論上のオーバーヘッドは生じます。ただし最新のハードウェアVTEPやオフロード機能で、実用上の遅延は小さく抑えられます。むしろ体感差を生みやすいのはMTU設計の不備による断片化です。ジャンボフレームやMSSクランプを正しく設定すれば、多くの用途で性能面の懸念は実務上問題になりません。

Kubernetesでオーバーレイは必須ですか？

必須ではありません。CalicoのようにBGPでルーティングするネイティブ構成なら、オーバーレイなしでPod通信を成立させられます。ただしノード間でL3が自由にルーティングできない環境や、ネットワーク管理者の制約が強い環境では、FlannelのVXLANのようなオーバーレイ方式が導入の敷居を下げます。環境の制約次第で選ぶ形です。

オンプレミスの小規模環境でも導入すべきですか？

要件が単一サブネットで足りるなら見送りが妥当です。オーバーレイはカプセル化の負荷と障害切り分けの手間を伴うため、テナント分離も拠点延伸も不要な小規模環境では投資対効果が合いません。将来のマルチテナント化や拠点増設が具体的に見えている場合に限り、先行導入を検討する価値があります。

関連記事

• SDNとは？OpenFlowとデータ・コントロールプレーン分離：オーバーレイの経路制御をソフトウェアで集中管理する発想の全体像を解説しています。
• VLANとは？ポートVLAN・タグVLANとIEEE 802.1Q：VXLANが突破した4094上限の起点となるL2分離の基礎を扱っています。
• NATとは？NAPTとの違いと静的・動的NAT：アンダーレイ側のアドレス変換を理解する補助になります。
• 仮想環境とは？コンテナと仮想マシンの隔離レベル：CNI選定の前提となるコンテナ隔離の考え方をまとめています。
• サブネットマスクとは？計算方法とCIDR表記の違い：アンダーレイのIP設計を詰める際の土台知識です。