(1/2)仮想環境で利用できる仮想ネットワークの種類とその使い方について解説。Hyper-Vの仮想ネットワークも理解しよう。Windowsディスク管理(下)前回は仮想環境で使用する仮想ディスクの種類やその使い方などについて解説した。今回は仮想化ソフトウェアを使って仮想環境を用意する場合に必ず必要となる、仮想ネットワーク・インターフェイスについてみていこう。ホストとなるコンピュータには、通常は1つの物理的なネットワーク・インターフェイス(ネットワーク・アダプタ)しかついていない。仮想化ソフトウェアはその1つのネットワーク・インターフェイスを多数の仮想マシン間で共有して利用するために、論理的なネットワーク・インターフェイスを作り(以下仮想ネットワーク・インターフェイスと呼ぶ)、それを仮想マシンごとに割り当てている。現実のネットワークの接続形態にはさまざまな方法があるが、仮想ネットワーク・インターフェイスでも同様にさまざまなバリエーションが考えられる。いえ、仮想のネットワーク・インターフェイスのほかに仮想(スイッチング)ハブとか仮想ケーブル、仮想ルータなどといった仮想ネットワーク機器も管理しないといけないのでは、簡単に仮想マシンを使うというわけにはいかない。そこで仮想化ソフトウェアでは、その目的に応じて簡単にネットワークを構成できるように、「内部」や「外部」、「プライベート」といった種類のネットワーク・インターフェイスを用意している。ユーザーはネットワーク・インターフェイスを選ぶだけで、閉じた安全なネットワークを構築したり、外部(ほかのコンピュータ)からもアクセスできるようにしたりできる。今回はこの仮想ネットワーク・インターフェイスの種類とその機能について解説する。Modeで利用している仮想化実行環境。R2も含む)の仮想ネットワーク・インターフェイスについて取り上げる。これらの仮想化ソフトウェアで利用可能なネットワークの形態としては、次のようなものがある。動作モード意味(未接続)ネットワーク・インターフェイスなしの状態。通信が不要な仮想マシンで使用する内部仮想ネットワーク(ローカルのみ)仮想マシン同士間での通信のみが許可されるネットワーク・インターフェイス。ホストOSや外部(インターネットなど)へはアクセスできない。PCの場合はIPアドレスを割り当てるDHCPサーバ機能がないので、IPアドレスを固定的に割り当てるか、デフォルトのAPIPAアドレスを利用する。Serverの場合はDHCPサーバ・オプションを有効にして、IPアドレスを自動的に割り当てることができる外部仮想ネットワーク(物理ネットワーク)外部(インターネットなど)へアクセス可能なネットワーク・インターフェイス。ホスト・コンピュータに装着した物理ネットワーク・インターフェイスと同様に、外部との通信ができる。IPアドレスはホスト・コンピュータと同様に、外部のDHCPサーバを使って割り当てられる共有ネットワーク(NAT)仮想マシンから外部へ、NAT(アドレス変換)を使ってアクセスする場合に利用する。2005の仮想ネットワーク・インターフェイスの種類ネットワークが接続されている範囲(ドメイン)などを元にして、いくつかの仮想ネットワーク・インターフェイスが用意されている。ここでいう「内部」とは、ネットワーク・パケットが直接届かないホスト・コンピュータの中(仮想マシンも含む)、外部とはホスト・コンピュータのネットワーク・インターフェイスよりも外(イーサネットケーブルの先)の事を指す。「外部(インターネット)」となっているが、実際にはホスト・コンピュータが接続されているLANやその先にあるインターネットなどを含む。それぞれの詳細は後述する。実際の設定画面で見ると、次のようになっている。2007の仮想マシンの設定画面例である。ネットワーク・インターフェイスごとに4つの選択肢が表示されている。PCでは、仮想マシンごとに使用するネットワークの種類を直接選択する。ServerやHyper-Vでは、まず仮想インターフェイスを作成してから、それを選択する。(1)この仮想マシンで利用するネットワーク・インターフェイスの数。(2)ここで選択する。Yukon......」)のメニューを選ぶ。PCではこのように、仮想マシンの設定画面で接続する先のネットワークの種類を直接選択する。ServerやHyper-Vのように、あらかじめ仮想的なネットワーク・インターフェイスを作っておき、それに接続するという形式にはなっていない。そのため、利用できる内部仮想ネットワークも1つに限られる。R2のネットワーク・インターフェイスの設定画面である。2007と違い、内部のみで閉じているネットワーク・インターフェイスと(画面中の「内部ネットワーク」)、外部との通信が可能なネットワーク・インターフェイス(画面中の「外部ネットワーク」)の2種類しかない。PCではMACアドレスは常に自動的に割り当てられ、固定することはできない)、DHCPサーバ機能を持っていること、あらかじめ仮想的なネットワーク・インターフェイスを作成しておき、そこに接続するようになっている、という点が異なる。ServerやHyper-Vなど、大規模な仮想化環境をサポートした製品では、あらかじめ仮想的なネットワークを作成しておき、それを各仮想マシンに追加するという形で利用する。これにより仮想ネットワークの設定をまとめて変更、管理するのが容易になる。(1)物理的なネットワーク・インターフェイスにバインドされていない仮想ネットワーク・インターフェイスの例。ここでは分かりやすいように「内部ネットワーク」という名前にしている。Serverでは複数作成することができる。複数作成しておくと、仮想マシンをグループ分けして、それぞれに閉じたネットワークを構築できる。PCの内部ネットワークは1つしか存在しないので、すべてが相互に通信できるし、(ネットワーク的に)見えてしまう。(2)物理的なネットワーク・インターフェイスにバインドされている仮想ネットワーク・インターフェイスの例。Ethernet)」という名前にしている(Broadcom......は実際のネットワーク・インターフェイスのアダプタ名)。以下順に、それぞれの仮想ネットワーク・インターフェイスについて、詳しく見ていこう。内部仮想ネットワーク・インターフェイスこれは、同じホストOS上で動作する、仮想マシン(ゲストOS)間同士でのみ通信可能なネットワークである。外部の物理ネットワークとは隔離された状態なので、ネットワーク的には閉じた安全な状態で仮想マシンを実行できる。外部と通信できないので、ネットワークを利用しない用途か、仮想マシン間の通信だけで完結するような用途で利用する。2000のように、デフォルトではファイアウォールを持っていないような古いゲストOSを利用する場合にも有用だろう。外部からの攻撃を一切受けることがないからだ。内部仮想ネットワーク・インターフェイス左の紫色のネットワーク・インターフェイス・カードはホスト・コンピュータに装着されている実際の物理的なカード、右側の緑色のものは仮想マシンにアタッチされている仮想ネットワーク・インターフェイス・カード。内部仮想ネットワーク・インターフェイスを利用すると、ホスト・コンピュータの内部にのみ存在する仮想的な内部ネットワークに接続される。このネットワークは外部とは隔離されており、通信することはできない。ホストOSとも通信できない。同じ内部仮想ネットワークに接続されている仮想マシン同士は通信できる。Serverでは複数の内部仮想ネットワーク・インターフェイスを作成して、仮想マシンをグループ化できる。このネットワーク・インターフェイスを使う場合は、各仮想マシンに割り当てるIPアドレスをどうするかを決めておく必要がある。ネットワークを使わない用途なら問題ないが、仮想マシン同士で通信する場合はあらかじめIPアドレスを割り当てておかないと、お互いに通信できないからだ。OSにおけるIPアドレスの割り当ては、通常はDHCPによる自動割り当てを利用する。PCの内部仮想ネットワークではDHCPサービスが利用できないため、各インターフェイスがいくらDHCP要求を送信しても、IPアドレスの割り当てを受けることができない。Addressing)」と呼ばれる、特別なIPアドレス(リンク・ローカル・アドレス)を自動的に割り当てる。以下はその確認例である。コマンド・プロンプトを起動して、ipconfigコマンドを実行すると、割り当てられたIPアドレス情報が分かる。...ゲートウェイなしC:\>APIPAによって割り当てられたIPアドレスは「169.254.0.0/16(169.254.0.0〜169.254.255.255)」の範囲の任意のものになる。デフォルト・ゲートウェイが空欄になっていることにも注意していただきたい。ルータを越えて外部へルーティングされることはない、ということである。同一のネットワーク上に存在する仮想マシン同士は通信できるが、それ以外のコンピュータとは通信できない。必要ならばお互いのIPアドレスを調べ、直接IPアドレスを指定するなどして通信すればよい。OSを実行し、DHCPサービスを稼働させれば、ほかの仮想マシンにDHCPサービスを提供することができるので、必要ならば利用すればよいだろう。仮想マシンに内部仮想ネットワーク・インターフェイスと外部仮想ネットワーク・インターフェイスの2つを追加し、それらの間でNAT(アドレス変換)やICS(インターネット接続の共有)を行えば、内部仮想ネットワークから外部ネットワークへアクセスできるようになる。2005では機能が拡張され、仮想ネットワーク・インターフェイスごとにDHCPサーバ機能を利用できる。割り当てるIPアドレスの範囲やリース時間などは次の画面で設定できる。2005では、ネットワーク・インターフェイスごとに独自のDHCPサーバを利用できる。内部仮想ネットワーク・インターフェイスにはローカルIPアドレスをDHCPで割り当てるようにしておくとよい。(1)これをオンにするとDHCPサーバが有効になる。各仮想ネットワーク・インターフェイスごとにDHCPサービスを提供できる。(2)ネットワーク・アドレス。(4)DHCPによる割り当てるIPアドレスの範囲。外部仮想ネットワーク・インターフェイスこれはホスト・コンピュータに装備された実際の物理的なネットワーク・インターフェイスにマッピングされる仮想ネットワーク・インターフェイスである。各仮想マシンのネットワーク・インターフェイスが直接外部のネットワーク(ホスト・コンピュータが接続されているネットワーク)に接続されているのと同じ状態になる。そのため、実際のネットワークとほとんど同じことが可能になる。そのために、セキュリティ対策には注意する必要がある。ホスト・コンピュータ側にファイアウォールやウイルス対策ソフトウェアなどを導入していても、各仮想マシンの通信は一切保護されることはない(仮想マシンあてのパケットは、何もフィルタリングされずに、仮想マシンに渡されるからだ)。外部仮想ネットワーク・インターフェイス外部仮想ネットワーク・インターフェイスを利用すると、まるで外部の物理的なネットワークに接続されているのとほぼ同じ状態になり、外部(インターネット)と通信することができる。便利だが、その分セキュリティには注意する必要がある。各仮想マシンで利用するIPアドレスは、デフォルトでは外部ネットワーク上のDHCPサーバから取得することになる(もちろん各仮想マシンを固定IPアドレスで運用することも可能)。そのため正しくIPアドレスの割り当てが受けられるように、あらかじめDHCPサーバを設定しておく必要がある。基本的には仮想マシンごとに固有のMACアドレスを持つため、仮想マシンの数だけ新しいIPアドレスが必要になる。必要ならDHCPサーバの管理者と相談して、十分な数のIPアドレス・プールを用意するなどの対策が必要になるだろう。PCでのみ利用可能なネットワーク・インターフェイスのオプションである。仮想マシンからNAT(ネットワーク・アドレス変換)機構を通して外部(インターネットなど)へアクセスする。NATとは、IPマスカレードなどともいう、プライベートIPアドレスからグローバルIPアドレスへの変換機能である。XPのICS(インターネット接続の共有)や、家庭用ブロードバンド・ルータなどが備えている、1つのグローバルIPアドレスで多数のクライアント・コンピュータをインターネットに接続する機能などとほぼ同じである。共有ネットワーク・インターフェイス(NAT)共有ネットワーク・インターフェイスを利用すると、仮想マシンからの通信はNAT機構によってアドレス変換され、外部ネットワークへ送信される。外部から見ると、ホスト・コンピュータからの通信のように見えるが、内部では複数の異なるIPアドレスが使用されている。通信は内部(仮想マシン)から外部への一方方向のみである。この共有ネットワーク・インターフェイス機構では、仮想マシンはお互いに通信できないように、隔離されている。この共有ネットワーク・インターフェイスを使った場合の、仮想マシンにおけるIPアドレスの割り当て状況を次に示す。4:52:34C:\>これを見ると分かるように、割り当てられるIPアドレスは192.168.131.0/24のうちの任意の1つ、ゲートウェイ・アドレスは192.168.131.254となっている。DNSサーバやドメイン名などはホスト・コンピュータの設定がそのまま引き継がれるので、DNSサーバへアクセスする場合はアドレス変換されてからアクセスされることになる。通常のNAT機能と違い、この共有ネットワーク・インターフェイスを利用する仮想マシンはお互いに通信することはできない(内部仮想ネットワーク・インターフェイスの場合はお互いに通信できるが、このNAT環境では仮想マシン同士が隔離されている)。受信用のポート・マッピングの指定などもできないので、用途としては、仮想マシンから外部(インターネットなど)へのアクセス専用となる。この共有ネットワーク・インターフェイスを使う場合、ゲストOSでは、通常はDHCPによる自動的なIPアドレスの割り当てを利用する。DirectoryやDNSサーバなどをインストールする場合)。このようなケースでは、割り当てるIPアドレスに注意していただきたい。192.168.131.0/24のうち、どのアドレスでも利用できるかというと、そうではないからだ。2007の共有NATネットワークで利用可能なアドレス範囲に注意」も参照)。内容IPアドレスの範囲192.168.131.64〜192.168.131.191(128個分)ネットマスク255.255.255.0ゲートウェイ192.168.131.254DNS/WINSサーバデフォルトではホストOSのネットワーク・インターフェイスの値がDHCPでそのまま引き継がれる。PCの共有NATネットワークで利用可能なIPアドレス・パラメータDHCPで割り当てられたIPアドレスを使わず、固定的なIPを割り当てて利用してもよい。その場合は、この範囲内のIPアドレスにすること(これはDHCPで割り当てられる範囲と同じものだと思われる)。これ以外のIPアドレスを利用するとNATによるアドレス変換が機能せず、外部へアクセスできない。外部からゲストOSへアクセスすること(いわゆるポート・マッピングなどを使ったインバウンドのアクセス)はもともと不可能であるし、仮想マシン間での通信も不可能である。PCのNAT共有ネットワークで利用可能なIPアドレス範囲の情報を追加しました。メールマガジンをご購読ください。申し込みページへITmediaはアイティメディア株式会社の登録商標です。