変更要約: 初版
6.2SDNアーキテクチャとファブリック
物理的な下地のアンダーレイと論理的なオーバーレイ、その両者を束ねるファブリック、Ciscoのキャンパス向け自動化SD-Access、コントローラとアプリをつなぐノースバウンドAPI（N-S）とコントローラ間をつなぐイーストウェストAPI（E-W）、そして自動化と保証を担うクラウド管理ダッシュボードCisco Catalyst Center（旧DNA Center）を学びます。
前の節で学んだコントローラベースの考え方を、CiscoはSDN（Software-Defined Networking）として体系化しています。SDNの肝は、物理配線という「下地」の上に、ポリシーや仮想ネットワークという「論理的な層」を重ねて分離することです。この節では、その二層（アンダーレイとオーバーレイ）とそれらを束ねるファブリックの関係、コントローラが上位のアプリや隣のコントローラとどんなAPIで会話するか、そしてCiscoの実装であるSD-AccessとCatalyst Centerが何を担うかを、用語の混同を避けながら整理します。
6.2.1アンダーレイ・オーバーレイ・ファブリック
- アンダーレイ＝スイッチ/ルータと配線からなる物理的な下地のネットワーク。ファブリックの各ノード間にIP到達性を提供する土台で、通常はシンプルなルーテッドIP網として組む。
- オーバーレイ＝アンダーレイの上にトンネル（例：VXLAN）で構築する論理ネットワーク。物理配線を変えずに仮想的なセグメントやポリシーを重ねられ、ユーザトラフィックはこの論理層を流れる。
- ファブリック＝アンダーレイとオーバーレイを合わせた1つの管理対象としての全体。コントローラはファブリック全体を単一システムとして扱い、ノード群にポリシーを配布する。
6.2.2SD-Access（Ciscoキャンパスファブリック）
- SD-Access＝Ciscoのキャンパス/アクセス網向けSDNソリューション。アンダーレイの上にVXLANのオーバーレイを構築し、ユーザやデバイスをグループ単位のポリシーで制御する。ネットワークをCisco Catalyst Centerから自動化・監視する。
- ポリシーをIPアドレスやVLANではなくグループで表現するため、ユーザがどのポートに接続しても同じアクセス制御が追随する。これによりアクセス網のセグメンテーションが物理構成から切り離される。
6.2.3ノースバウンドAPIとイーストウェストAPI
- ノースバウンドAPI（N-S・北向き）＝コントローラとその上位のアプリケーション/自動化スクリプトをつなぐインタフェース。通常はREST APIで、運用者はこのAPI経由で「意図」をコントローラへ伝える。
- サウスバウンドAPI（南向き）＝コントローラと下位の実機（スイッチ/ルータ）をつなぐインタフェース（NETCONF/OpenFlow等）。コントローラの決定を機器へ配布する経路。
- イーストウェストAPI（E-W・東西）＝コントローラ同士（同一クラスタ内や別ドメインのコントローラ間）で状態を同期・連携するためのインタフェース。冗長化やスケールアウトの際に効く。
「ノースバウンド＝コントローラ↔上位アプリ（REST）」「サウスバウンド＝コントローラ↔下位の実機」「イーストウェスト＝コントローラ同士」の向きが最頻出です。アンダーレイ＝物理の下地／オーバーレイ＝その上の論理（VXLAN等）／ファブリック＝両者を合わせた全体という三段の区別も必ず押さえましょう。
6.2.4Cisco Catalyst Center（旧DNA Center）とクラウド管理
- Cisco Catalyst Center（旧称 Cisco DNA Center）＝SD-Accessを含むエンタープライズ網の中央コントローラ兼管理ダッシュボード。設計・プロビジョニング・ポリシー・アシュアランス（監視/保証）を1つのGUIから行う。
- アシュアランス機能はテレメトリにAI/MLを適用してネットワークの健全性を評価し、問題の根本原因や推奨対処を提示する。運用者は個々のCLIではなく、このダッシュボード（および北向きREST API）を通じてネットワーク全体を操作する。
あなたはキャンパス網の刷新を任され、「社員が本社でも支社でも、有線でも無線でも、同じアクセス権限が自動で追随する」ことを要件に据えたとします。従来はVLANとACLをIPアドレス設計に紐づけ、拠点ごとに手で維持していたため、席替えやフロア移動のたびに設定が破綻しがちでした。ここでSD-Accessを採用すると、物理配線はアンダーレイとして単純なIP到達性だけを担わせ、その上にVXLANのオーバーレイを張って、ユーザをグループ（例：「社員」「ゲスト」「IoT機器」）でくくったポリシーを適用します。ユーザがどのポートに挿しても、認証結果からグループが決まり同じポリシーが追随するため、IPやVLANの再設計なしに一貫したアクセス制御が実現します。この設計・配布・監視を束ねるのがCatalyst Centerで、運用者はダッシュボード（またはそのノースバウンドREST APIでスクリプトから）意図を投入し、Catalyst Centerがサウスバウンド経由で各ノードへ具体設定を降ろします。もしコントローラを冗長化しスケールさせるなら、コントローラ間の状態同期はイーストウェストAPIが担います。ここで用語を取り違え「ユーザトラフィックはアンダーレイを流れる」と考えると設計を誤ります——ユーザトラフィックが乗るのはオーバーレイで、アンダーレイはあくまでその土台のIP到達性を提供する層です。
| API方向 | つなぐ相手 | 代表例 |
|---|---|---|
| ノースバウンド（北） | コントローラ ↔ 上位アプリ/スクリプト | REST API |
| サウスバウンド（南） | コントローラ ↔ 下位の実機 | NETCONF / OpenFlow 等 |
| イーストウェスト（東西） | コントローラ ↔ 別のコントローラ | コントローラ間の状態同期 |
ひっかけ： 「ユーザトラフィックはアンダーレイを流れる」は誤りです——ユーザデータが乗るのはオーバーレイ（VXLAN等の論理層）で、アンダーレイはその土台となる物理的なIP到達性を提供する層です。また「ノースバウンドAPIはコントローラと実機をつなぐ」も誤り＝実機をつなぐのはサウスバウンド、ノースバウンドはコントローラと上位アプリをつなぎます。
6.2.5この節のまとめ
- アンダーレイは物理の下地（IP到達性）、オーバーレイはその上の論理層（VXLAN等でユーザトラフィックが流れる）、ファブリックは両者を合わせた管理単位
- ノースバウンドAPI＝コントローラ↔上位アプリ（REST）、サウスバウンド＝コントローラ↔実機、イーストウェストAPI＝コントローラ同士
- SD-AccessはCiscoのキャンパスファブリックでグループ単位のポリシーを実現し、Cisco Catalyst Center（旧DNA Center）が設計/配布/AIアシュアランスを1つのダッシュボードで担う
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. SD-Accessファブリックの設計で、社員PCが送受信する業務トラフィックは論理的にどの層を流れ、物理配線はどの役割を担うか。最も適切な組み合わせはどれか。
Q2. 運用者が自作のPythonスクリプトからコントローラに対して「このポリシーを全キャンパスに適用せよ」という意図を送りたい。この目的で用いるインタフェースとして最も適切なものはどれか。
Q3. SD-Accessを含むエンタープライズ網で、設計・プロビジョニング・ポリシー適用に加えてAI/MLを用いたアシュアランス（健全性評価）を1つのダッシュボードから行える製品として、最も適切なものはどれか。