IPアドレスに縛られない新しい守り方とは？VXLANとLISPで構築する魔法のオフィスネットワーク

2026年7月10日

席替えをしたら急にネットに繋がらなくなった。部署が引っ越したら、IPアドレスの設定をまた1からやり直した。オフィスのネットワークでは、こんな地味な苦労が昔からつきものでした。エンジニアにとっても、そのたびに配線図やIPアドレスの一覧を見直す作業は、決して楽しいものではありませんでした。

その原因は、これまでのネットワークが「どこに座っているか（物理的な場所）」に強く縛られていたことにあります。しかし今、この縛りから解放する魔法のような技術が実用化されています。それがVXLAN、LISP、そしてSGTという3つの技術です。この記事では、これらがどのように「場所」や「IPアドレス」の制約を取り払っているのかを、身近な例に置き換えながら見ていきます。

この記事で分かること

従来のネットワークが抱えていた「場所に縛られる」という弱点
VXLANがサブネットの壁を超えて1つの仮想LANを作る仕組み
LISPが「名前」と「住所」を分けて管理する発想
IPアドレスではなく「役割」でアクセスを制限する新しい守り方

1. なぜ「住所」に縛られると不便なのか

これまでのオフィスネットワークでは、部署ごとにVLANという番号を割り振ってネットワークを区切っていました。しかしVLANには、世界共通で「1つのネットワークの中に約4,000個までしか作れない」という古くからの上限があります。

さらに厄介なのが、ネットワークの住所（IPサブネット）が物理的な場所と結びついてしまっている点です。引っ越しをすると住所が変わってしまうように、パソコンを持って別のビルに移動すると、IPアドレスの設定を丸ごとやり直さなければなりませんでした。

たとえば、経理部の社員が本社ビルから隣の別館に異動になったとします。従来のネットワークでは、別館のサブネットに合わせてIPアドレスを振り直し、アクセス制限のルールも書き直し、場合によっては配線そのものを見直す必要がありました。会社の規模が大きくなるほど、この「場所に縛られる」という制約が、日々の運用を重くしていたのです。

2. サブネットの壁をぶち破る:VXLANという魔法

この制約を解決する1つ目の技術がVXLAN（Virtual Extensible LAN）です。

VXLANは、元のデータを大きな透明のカプセルで包み込んで送るイメージの技術です。宅配便が中身の種類を気にせず箱ごと運んでくれるように、VXLANも元のデータがどんな部署のものかを気にせず、カプセルごと目的地まで運びます。このカプセル化によって、次の2つのことが同時に実現します。

ネットワークの識別番号を、約4,000個から一気に約1,600万個まで拡大する
物理的なルータやビルごとのサブネットの境界線を無視して、複数の建物にまたがる1つの巨大な仮想LANを作り出す

つまり、ビルAとビルBが物理的には別々のサブネットであっても、VXLANの中では「同じ1つの部屋」として振る舞わせることができるのです。まるで、離れた2つの部屋の間に見えない魔法のドアを開けてしまうようなイメージです。床下の配線がどうなっていようと、部署の島がどのビルに配置されていようと、ソフトウェアの力で1つの巨大なオフィスフロアであるかのように扱えるのが、VXLANの最大の強みです。

3. 名前と住所を分ける:LISPという発想

2つ目の技術がLISP（Locator/ID Separation Protocol）です。名前が示す通り、「名前（ID）」と「居場所（ロケーター）」を分離するという発想がこの技術の核心にあります。

私たちが引っ越しをしても、名前が変わることはありません。変わるのは住所だけです。ところが、これまでのネットワークの仕組みでは、パソコンの「名前」と「住所」がIPアドレスという1つの数字にごちゃまぜになっていました。だからこそ、場所が変わるたびに設定のやり直しが必要だったのです。

LISPはこの2つをきっちり分けて管理します。

EID:デバイスそのものを表す「名前」。場所が変わっても変化しない
RLOC:デバイスが今どのスイッチのそばにいるかを表す「住所」。移動するたびに更新される

DNA Centerという中央のコントローラが、この名前と住所の対応表（マップ）を24時間絶えず書き換え続けています。ユーザーがパソコンを持って3階から1階に移動しても、名前（EID）は変わらないため、住所（RLOC）の書き換えさえ裏側で自動的に完了すれば、本人はIPアドレスの設定を一切気にすることなく、いつもと同じネットワークにそのまま繋がることができます。

4. IPアドレスに縛られない新しい守り方:SGTという発想

VXLANとLISPが「繋がる」ための魔法だとすれば、SGT（スケーラブルグループタグ）は「守る」ための新しい魔法です。

これまでのネットワークで「営業部のパソコンから人事部のサーバーへのアクセスを禁止したい」と考えたとき、エンジニアは営業部と人事部それぞれのIPアドレスの一覧を調べて、複雑な条件式（ACL）を書いていました。しかし、社員が席を移動してIPアドレスが変わるたびに、このリストを直し続けるのは大変な作業でした。異動や席替えのシーズンになると、こうした設定変更だけで何日も潰れてしまうことも珍しくありませんでした。

SGTは、IPアドレスという不安定な数字の代わりに、役割そのものを表すラベルを使います。ユーザーがネットワークにログインした瞬間、そのパソコンには「これは営業部の人です」という見えないスタンプが自動で押されます。ネットワーク側は、このスタンプだけを見て通信を許可するかどうかを判断します。

送信元のラベル	宛先のラベル	判定
営業部	人事部サーバー	拒否
経理部	経理部サーバー	許可
ゲスト	社内サーバー全般	拒否

このように表の交差点にチェックを入れるだけで、社員がどの席に座っていても、IPアドレスがどう変わろうとも、会社全体で一貫したルールが自動的に適用され続けます。組織変更や席替えのたびに設定を直す手間から、エンジニアは解放されるのです。

ここまでの技術をひと目でおさらい

技術	何を分離するか	得られるメリット
VXLAN	論理的なネットワークと物理的なサブネット	ビルをまたいだ1つの仮想LANを作れる
LISP	名前（EID）と住所（RLOC）	移動してもIP設定をやり直さなくてよい
SGT	アクセス権限とIPアドレス	席替えや異動でルールを書き直さなくてよい

5. すべてを指揮する司令塔:DNA Center

ここまで紹介したVXLAN、LISP、SGTという3つの技術は、それぞれ単独で動いているわけではありません。これらを裏側で1つにまとめて操っているのが、Cisco DNA Centerという管理サーバーです。

エンジニアは黒い画面に難しいコマンドを打ち込む代わりに、DNA Centerの見やすい画面上で「このグループとこのグループの通信を許可する」といった意図（インテント）を指定するだけで済みます。あとは、DNA Centerがその意図を読み取り、社内にある何百台ものスイッチへ最適な設定を自動で配信してくれます。人がスイッチ1台ずつにログインして回る作業は、もう必要なくなるのです。

さらにDNA Centerは、ネットワークの状態を常に監視し、「2階のWi-Fiが遅くなっている原因はこのスイッチです」といった予兆を検知してエンジニアに知らせてくれる機能も備えています。人が1つずつ機器を見て回らなくても、ネットワーク全体の健康状態が自動で管理される時代になってきているのです。