2.3ネットワーク仮想化の概念（LISP と VXLAN）

従来のIPアドレスは、「誰であるか（識別子）」と「どこにいるか（位置）」を1つの値が兼ねているという根本的な無理を抱えています。だから端末が移動するとアドレスを変えざるを得ず、アドレスを保ったまま動かそうとすればL2セグメントを引き延ばすしかありませんでした。LISPはこの2つの役割を明示的に分離して解決し、VXLANはL3網の上にL2を重ねる（オーバーレイ）ことで、物理トポロジに縛られないセグメントを提供します。SD-Accessはこの2つを制御プレーン＝LISP／データプレーン＝VXLAN／ポリシー＝TrustSec（SGT）として組み合わせたものであり、それぞれの役割を取り違えないことが理解の要です。

2.3.1LISP：識別子と位置の分離

• LISP（Locator/ID Separation Protocol）＝端末を表すEID（Endpoint Identifier）と、その端末が今どのルータの配下にいるかを表すRLOC（Routing Locator）を分離するアーキテクチャ。端末が移動してもEIDは変わらず、RLOCだけが変わるため、アドレスを保持したままの移動（モビリティ）が自然に成立する。
• 解決はマッピングで行う。マップサーバ/マップリゾルバ（MS/MR）が EID→RLOC の対応表を保持し、送信側のITR（Ingress Tunnel Router）が「このEIDはどのRLOCか」を問い合わせて（Map-Request→Map-Reply）、得たRLOC宛にカプセル化して送る。受信側のETR（Egress Tunnel Router）が展開して端末へ渡す。端末の登録は ETR が MS へ Map-Register で行う。
• この方式の効果はコアのルーティングテーブル削減と移動への追随である。すべての端末プレフィクスをコアに載せる必要がなく、必要になったときに問い合わせて解決する（オンデマンド）ため、大規模キャンパスでも表が肥大しない。LISPはあくまで制御プレーン（どこにいるかを解決する仕組み）であり、実際のカプセル化データを運ぶのはデータプレーンの役割である点を明確に区別する。

2.3.2VXLAN：L3上へのL2オーバーレイ

• VXLAN（Virtual Extensible LAN）＝L2フレームをUDPで包んでL3網の上を運ぶ（L2 over L3）カプセル化方式。ルーティングされたアンダーレイ（IP到達性さえあればよい）の上に論理的なL2セグメントを重ねられるため、物理トポロジやSTPの制約から解放され、拠点/ラック/ファブリックをまたいだセグメント延伸ができる。
• セグメントの識別子はVNI（VXLAN Network Identifier）で、24ビット＝約1600万（2^24）のセグメントを表現できる。これは 12ビットのVLAN ID（4094個） の枯渇を解消する決定的な差であり、マルチテナントのデータセンタ/ファブリックで不可欠になる。カプセル化の宛先ポートは UDP 4789（IANA割当）である。
• カプセル化の起点/終点となるのがVTEP（VXLAN Tunnel End Point）で、ローカルのVLAN/ポートをVNIに対応づけ、リモートVTEPのIP宛に包んで送る。外側はただのIP/UDPパケットなので、途中の中継機器はVXLANを知らなくても転送できる。一方、外側ヘッダが増える分オーバーヘッド（概ね50バイト前後）が乗るため、アンダーレイ側でジャンボフレーム（MTU拡張）を用意するのが定石である。

2.3.3SD-Access における役割分担

• SD-Accessのファブリックは、制御プレーン＝LISP（EIDとRLOCのマッピングで「どこにいるか」を解決）／データプレーン＝VXLAN（実トラフィックのカプセル化）／ポリシー＝TrustSec/SGT（グループベースの制御）という明確な役割分担で構成される。この3層を混同すると、障害時に見るべき対象を誤る。
• アンダーレイは物理機器間のIP到達性を確保する土台（通常はIGPでシンプルに構成）、オーバーレイはその上に構築される論理ファブリック。アンダーレイが落ちればオーバーレイは成立しないが、逆にアンダーレイが健全でもマッピング（制御プレーン）が壊れていれば端末は到達できない——症状から見る層を選ぶのが診断の基本になる。
• 従来キャンパスとの相互運用はファブリックボーダーで行い、ファブリック外のネットワークとの出入りを担う。全社を一気にファブリック化するのではなく、ボーダー経由で段階的に共存させるのが現実的な移行方針である。

キャンパスに SD-Access ファブリックを展開したところ、あるフロアの有線端末群だけがファブリック内の他セグメントにも既定ゲートウェイにも到達できないという申告が上がりました。切り分けの第一手は、アンダーレイとオーバーレイのどちらの問題かを分けることです。まず該当フロアのエッジノード（ファブリックエッジ）から、ボーダーノードやコントロールプレーンノードのループバック（RLOC）宛に ping が通るかを確認します。ここで落ちていればアンダーレイ側（IGPの隣接・リンク・MTU）の問題であり、オーバーレイをいくら調べても徒労です。逆にRLOC間の疎通は正常なのに端末だけ届かないなら、疑いは制御プレーン＝LISPのマッピングに移ります。具体的には、当該端末の EID がコントロールプレーンノード（マップサーバ）に登録されているかを確認します。エッジノードが端末を検知して Map-Register していなければ、他のノードはその端末の RLOC を解決できず、パケットの送りようがありません（この場合、端末側では「ゲートウェイに届かない」ように見えるため、一見すると単純なL2/L3障害と区別がつきません）。ここで陥りやすい誤りが、「オーバーレイのL2が延びていないのだから VXLAN の設定を疑うべきだ」と決め打ちすることです。VXLAN はデータプレーンのカプセル化であり、「どのRLOCへ送ればよいか」を教えてくれるのは LISP のマッピングです。宛先が解決できていない状態は VXLAN の設定では説明できません。もう一つの典型がMTUで、この場合の見え方はまったく異なります——マッピングも疎通も正常でトンネルは機能しているのに、外側ヘッダ約50バイトが乗ることでアンダーレイのMTUを超え、大きなパケットだけが落ちる（小さなpingは通るのにファイル転送やHTTPSが固まる）という症状になります。したがって、「全く到達しない」ならアンダーレイ到達性→LISPマッピング登録の順、「一部の通信だけ失敗する」ならMTU/ポリシー（SGT）、という診断の型を持っておくことが実務でもENCORでも効きます。役割（制御＝LISP／データ＝VXLAN／ポリシー＝TrustSec）に症状を割り当てるのが、このファブリックを扱う技術者の思考順序です。

2.3.4この節のまとめ

• LISPはEID（識別子）とRLOC（位置）を分離し、マップサーバ/リゾルバへの問い合わせで解決する制御プレーン。端末が移動してもEIDは不変でRLOCだけが変わるためモビリティに強い
• VXLANはL2 over L3のカプセル化で、VNIは24ビット＝約1600万セグメント（VLAN IDは12ビット4094）、UDP 4789を使いVTEPが端点となるデータプレーン。外側ヘッダ分アンダーレイのMTUに余裕が要る
• SD-Accessは制御＝LISP／データ＝VXLAN／ポリシー＝TrustSec(SGT)の分担。障害は「全く到達しない＝アンダーレイ到達性→LISPマッピング登録」「一部だけ失敗＝MTU/ポリシー」と症状で層を選ぶ