【初心者わかりやすく】オーバーレイ、アンダーレイを理解するには

SDN（Software Defined Networking）や SD-WAN の話題では、オーバーレイ（Overlay）とアンダーレイ（Underlay）という言葉がよく出てきます。アンダーレイは実際の物理的なネットワーク、オーバーレイはその上に作る仮想的なネットワークです。

この記事では、端末を地面に差し込んだたとえを使って、2つのネットワークの関係をイメージでつかみます。そのうえで、オーバーレイをどうやって作るのかを、トンネル技術の VXLAN を例に説明します。

オーバーレイとアンダーレイとは

用語	意味	例
アンダーレイ	実際にパケットを運ぶ物理的なネットワーク。ルータやスイッチ、回線でできている	データセンタ内の IP ネットワーク、インターネット、閉域網
オーバーレイ	アンダーレイの上に作る仮想的なネットワーク。端末からは、こちらのネットワークだけが見える	VXLAN で延ばした L2 セグメント、SD-WAN の拠点間トンネル

オーバーレイ、アンダーレイのイメージ

地面に端末を2台差し込んだ場面を考えます。地面の下は見えません。端末A（192.168.1.1）から、地面に向けて端末B（192.168.1.2）宛てのパケットを送ると、なぜか端末Bにそのパケットが届きます。

地面の下で何が起きているのかは、端末からはまったくわかりません。それでも端末Aから送ったパケットは端末Bに届くので、端末Aと端末Bからは、お互いが同じスイッチにつながっているように見えます。

ところが実際の地面の下には、たくさんのルータがあり、それらがつながって端末Aと端末Bの間を運んでいるとします。端末Aと端末Bが離れた場所にあり、間にインターネットをはさむこともあります。

端末Aと端末Bは、地面の下にルータがあることを知りませんし、意識もしません。このように、地面の下にある実際の物理ネットワークをアンダーレイネットワーク、端末Aと端末Bが同じスイッチにつながっているように見える仮想的なネットワークをオーバーレイネットワークといいます。

オーバーレイはトンネルで作る

オーバーレイネットワークは、アンダーレイの上でトンネル技術を使って作ります。この例では、端末Aと端末Bは同じネットワークセグメント（192.168.1.0/24）にあるように見えます。しかし実際には間に複数のルータがあり、ルータは L2 フレームをそのまま転送しません。

そこで、端のルータで VXLAN（Virtual eXtensible Local Area Network）などのトンネル技術を使います。端末Aが送ったフレームを、ルータ間のアドレスを持つ外側のヘッダで包んで（カプセル化して）運び、反対側のルータで外側のヘッダを外して端末Bに渡します。これで、離れた場所に同じ L2 セグメント（VLAN）を延ばしたオーバーレイができます。

アンダーレイのルータは、外側の IP ヘッダだけを見て転送し、中の元のフレームは見ません。そのため、アンダーレイに必要なのは、トンネルの両端のルータどうしが IP で通信できることだけです。オーバーレイ側の端末のアドレスは、アンダーレイのルーティングに入れる必要がありません。

使われる場面	オーバーレイ	アンダーレイ	主なトンネル技術
データセンタ（SDN）	サーバや仮想マシンをつなぐ L2 セグメント	データセンタ内の IP ネットワーク	VXLAN
拠点間（SD-WAN）	拠点どうしをつなぐ仮想的な WAN	インターネット回線や閉域網	IPsec、GRE など

まとめ

項目	アンダーレイ	オーバーレイ
実体	物理的なネットワーク（ルータ、スイッチ、回線）	アンダーレイの上に作る仮想的なネットワーク
端末から	見えない（意識しない）	見える（同じスイッチにつながっているように見える）
見るアドレス	トンネルの両端のルータのアドレス（外側のヘッダ）	端末のアドレス（元のフレーム）
作り方	IP でルータどうしをつなぐ	トンネル技術（VXLAN、IPsec、GRE など）でカプセル化する

オーバーレイは「端末から見えるネットワーク」、アンダーレイは「それを実際に運ぶネットワーク」です。SDN や SD-WAN の構成を見るときは、どちらの話をしているのかを分けて考えると理解しやすくなります。