4.1WANと広域接続

複数拠点を持つ企業のネットワーク設計者にとって、拠点間接続の方式選定は「コスト」「品質（帯域保証・遅延の安定性）」「セキュリティ」の三すくみのトレードオフです。専用線のように高品質・高セキュリティだが高コストな方式から、インターネットVPNのように低コストだが品質保証が弱い方式まで、要件に応じて最適解が変わります。この節では、拠点数・要求品質・予算という具体的な制約を踏まえてどのWANサービスを選ぶべきかを判断する視点を養います。

4.1.1専用線と広域イーサネット

• 専用線＝通信事業者の設備を1つの契約者が占有する回線。他社のトラフィックと共有しないため帯域・遅延が完全に保証され、機密性も最も高いが、距離とともに料金が上がる（拠点数が増えるとフルメッシュ接続のコストが急増する）のが最大の弱点。
• 広域イーサネット＝通信事業者網内でイーサネットフレームをそのまま透過させ、拠点間をL2で接続するサービス。拠点数が多くてもハブ&スポーク型やフルメッシュ型を柔軟に構成でき、専用線ほど距離課金が急増しない。IPアドレス体系を拠点間で自由に設計できる（L2接続のため）点も専用線に近い自由度を持つ。

4.1.2MPLS（ラベルスイッチング）とIP-VPN

• MPLS（Multi-Protocol Label Switching）＝パケットにIPアドレスの代わりに短いラベルを付与し、経路上のLSR（ラベルスイッチルータ）がラベルだけを見て高速に転送する技術。宛先IPアドレスをその都度参照するIPルーティングより転送処理が軽く、FEC（転送等価クラス）単位で経路や帯域・優先度を柔軟に制御できる。
• IP-VPN＝通信事業者がMPLS網内に契約者ごとの仮想的な閉域網（VRF：仮想ルーティングテーブル）を作り、L3（IP）で拠点間を接続するサービス。通信事業者網は経由するがインターネットを経由しない閉域網のため、広域イーサネットより帯域保証・QoS制御がしやすく、大規模・多拠点でコストと品質のバランスが良い代表的選択肢。

4.1.3インターネットVPNと閉域網の選択

• インターネットVPN＝公衆インターネット上にIPsecなどでトンネルを張り、暗号化によって仮想的な専用線のように使う方式。回線コストが最も低く、拠点の追加・変更が容易な反面、インターネットの輻輳の影響を受けるため帯域・遅延の保証（SLA）は弱い。データ自体は暗号化されるため機密性は確保できるが、可用性・品質面でIP-VPNに劣る。
• 閉域網（広域イーサネット・IP-VPN等の総称）＝通信事業者網内で完結し、インターネットを経由しない接続形態。不特定多数からの攻撃に晒されにくく品質も安定するため、決済系や制御系などミッションクリティカルな通信に向く。近年は閉域網とインターネットVPNをSD-WAN（第3節で詳述）で使い分ける設計も増えている。

ある小売チェーンが、本社1拠点・基幹店舗5拠点・一般店舗120拠点を持ち、POSデータと決済トラフィックを本社に集約する設計を検討しているとします。まず専用線を全店舗に敷設する案は、120拠点分の距離課金が積み上がりコストが現実的でないため却下されます。次に、決済トラフィックのようにPCI DSS等の要件で高い可用性・機密性が求められる基幹店舗5拠点には、帯域保証としやすく閉域性の高いIP-VPNを採用し、コストと品質のバランスを取ります。一方、POSの日次バッチ送信程度のトラフィックしかない一般店舗120拠点には、拠点追加・移転が容易でコストの低いインターネットVPN（IPsecトンネル）を採用し、初期投資と運用コストを抑えます。ここで注意すべきは、「インターネットVPNは暗号化されているから閉域網と同等に安全」という誤解です——暗号化により機密性（Confidentiality）は確保できても、公衆インターネット経由であるため可用性・品質のSLAは閉域網より劣る点は変わりません。したがって決済トラフィックのように可用性要件が厳しい通信を安易にインターネットVPNへ寄せるのは設計判断として不適切であり、要件（機密性だけでなく可用性・品質）に応じて閉域網とインターネットVPNを使い分けることが、コストと品質を両立させる鍵になります。

4.1.4この節のまとめ

• 専用線は最高品質だが距離課金で高コスト、広域イーサネットはL2閉域で拠点増に強い
• MPLSはラベルスイッチングで高速転送、IP-VPNはMPLS+VRFのL3閉域網で帯域保証がしやすい
• インターネットVPNは低コストだが公衆網経由でSLAが弱い——要件に応じ閉域網と使い分ける