VMware Cloud Foundation® 9.1 (以後VCF) では、VPC（Virtual Private Cloud）の導入により、複雑なネットワークやゲートウェイの設計を大幅に簡素化しました。標準的な構成は vCenter の操作画面から直感的に実行できます。
一方で、その裏側を司る VMware NSX® Manager (以後NSX Manager) に直接アクセスすると、さらに高度なエンタープライズ向けのネットワーク最適化、マイクロセグメンテーション、そしてリソース割り当て制限（Quota）を構成できます。本記事では、NSX Manager から設定する高度な VPC パラメーターとその動作仕様を詳しく解説します。
🔗 関連記事（あわせて読みたい）
1. VPC 編集画面の設定：VMware® Avi™ Load Balancer & サービスプロファイル
高度な VPC 設定を行うには、NSX Manager の左メニューから VPC > Virtual Private Cloud > VPC へアクセスし、対象の VPC の「編集」をクリックします。
この基本編集画面の多くはvCener から設定できるものです。NSX Manager 経由でのみ設定できる項目が以下の 2 つです。
① Avi Load Balancer に対して有効化
VCF 9.1 に統合された「Avi Load Balancer」のテナント専用セルフサービスを有効化するスイッチです。この機能をオンに切り替えると、以下の動作と連携が成立します。
- 動的なバインドと配置: 該当する VPC のルーティングドメイン（VRF）を Avi Controller へ自動登録します。ロードバランサーのデプロイ時、Avi Controller は専用のデータパス VM（Service Engine）を自動でプロビジョニングし、VPC 内の「VPC Services Subnet」へ配置します。
- VCF Automation との統合: アプリ開発チームは、VCF Automation のカタログや API を使用して、VPC ネットワークと L4/L7 ロードバランサー（VIP、サーバープール、SSL証明書等）を同時にワンクリックでプロビジョニングできます。
- vSphere Supervisor / VKS 連携: VPC 内で稼働する vSphere Kubernetes Service (VKS) クラスターにて、マニフェスト内に
type: LoadBalancerを記述するだけで、Avi コントローラーが自動的に VIP を切り出してバインドします。
② サービス プロファイル (Service Profile) とサブネットプロファイル
VPC 内のネットワーク全体に対して、一貫したセキュリティポリシーや IP 管理プロファイルを一括で適用するための共通テンプレートです。あらかじめ定義しておくことで、VPC 内へ新しく作成されるすべてのサブネットに対してガバナンスの効いたデフォルトポリシーを自動適用できます。
サブネットCIDR はVPC Gateway とVNA を接続する内部セグメントで使用するサブネットを指定できます。デフォルトで設定される100.64.32.0/24がデータセンター内で利用するIPアドレス帯と重複するする場合は変更します。このセグメントはVPC外には広報されません。
2. 5つのサブネットプロファイルの完全網羅
サービスプロファイルの中で特に重要なのが、サブネットのパケット処理や可視性を制御する 5つのサブネットプロファイル です。これらは ネットワーク > セグメント接続 > セグメント > プロファイル > セグメントプロファイル から作成・管理できます。
① IP 検出プロファイル (IP Discovery Profile)
VPC 内の論理ポートに接続された仮想マシン（VM）の IP アドレスを、NSX がどのように学習・検出するかを細かく制御します。
- 重複 IP の検出: セグメント内で IP アドレスの競合が発生した際、システムが自動検知してアラートを通知します。
- ARP スヌーピング: VM が送出する ARP パケットをハイパーバイザー側で監視し、IP と MAC アドレスの正確なバインディングを検出します。
- ARP 割り当て制限 (1〜256): 単一の論理ポートが ARP スヌーピングによって自動学習できる IP アドレスの上限数です。
- ND スヌーピング (IPv6): IPv6 環境において近隣探索パケットをスヌーピングし、IPv6 アドレスを自動学習します。上限は 2〜15 で設定します。
- ARP ND 割り当て制限のタイムアウト (5〜120分): スヌーピングで学習した IP/MAC バインディング情報の保持時間（エージングタイム）を指定します。
- DHCP スヌーピング (IPv4 / IPv6): DHCP サーバーからの応答パケット（DHCP ACK）を監視し、払い出された正確な IP アドレスを信頼できる情報として学習します。
- VMware Tools (IPv4 / IPv6): ゲスト OS 上の VMware Tools 経由で、OS が認識している正確な IP アドレス情報を取得します。
- 初回使用時に信頼する (TOFU): 最初に検出した IP/MAC バインディングを、正しい登録情報として自動承認（ホワイトリスト化）します。
② SpoofGuard プロファイル (SpoofGuard Profile)
IP アドレスのなりすまし（IP スプーフィング）や意図しないアドレス重複を防止するセキュリティフィルターです。
- ポート割り当て(Port Bindings): 有効化すると、上記の「IP 検出」で正規に学習・承認された IP 以外の通信パケットをハイパーバイザーレベルで自動ドロップします。なりすまし攻撃となる不正な IP 書き換え攻撃を完全に遮断できます。
③ MAC アドレス検出プロファイル (MAC Discovery Profile)
仮想 NIC（ポート）における MAC アドレスの学習挙動と制御ルールを定義します。
- MAC の変更 (MAC Change): ゲスト OS 内で MAC アドレスが変更された場合、通信を許可するか制御します。「いいえ」で拒否します。
- MAC ラーニングのエージング時間: 動的に学習した MAC 情報の保持期間を指定します（初期値: 600秒）。
- MAC ラーニング: 1つの論理ポートの配下で複数の MAC アドレス通信を動的学習する設定です。ネステッド ESXi 環境や大量のコンテナを動かす場合に「はい」に設定します。
- 不明なユニキャスト フラッディング: 宛先不明のフレームを受信した際、全ポートへ一斉送信（フラッディング）するか制御します。「いいえ」で不要なトラフィック負荷を抑制できます。
- MAC の制限 / 制限ポリシー: 1ポートあたりの最大学習数（初期値: 4096）を指定し、超えた場合の挙動を「許可 (ALLOW)」か「破棄 (DROP)」から選択します。
④ セグメント セキュリティ プロファイル (Segment Security Profile)
ポートレベルでの不正プロトコル送信、偽装サーバーの設置、ブロードキャストの過多を防御します。
- BPDU フィルタ: VM から送信される STP パケットを遮断し、物理スイッチへの STP 攻撃を防ぎます。例外許可リストの登録も可能です。
- DHCP サーバ ブロック (IPv4 / IPv6): VM がDHCP サーバーとして不正動作するのをポートレベルで強制ブロックします。（野良DHCPサーバ対策）
- DHCP クライアント ブロック (IPv4 / IPv6): 対象ポートからの DHCP 要求パケット送信を制限します。
- 非 IP トラフィックのブロック: レガシーな非 IP パケット（AppleTalk や IPX 等）を遮断します。
- RA ガード: IPv6 環境において、偽装ルーター広告（Rogue RA）によるゲートウェイ乗っ取りを防御します。
- レート制限 (Rx / Tx ブロードキャスト・マルチキャスト): ポートごとの受送信パケットレート (pps) に上限を設定します（0 = 制限なし）。
💡 具体例でわかる！ブロードキャストストームの保護
開発中の VM がループ設定などで誤動作を起こし、1 秒間に数万パケットのブロードキャストを一斉送信し始めたとします。通常であれば、同一セグメントの全機器にパケットがフラッディングし、帯域が飽和して障害が発生します。
ここで「送信ブロードキャスト制限」を 100 pps に設定しておくと、秒間 100 パケットを超えた分を NSX が入り口で即座にドロップします。障害の影響を該当 VM 1 台のみへ確実に局所化できます。
⑤ QoS プロファイル (QoS Profile)
トラフィックの優先度（マーキング）や、帯域幅（スループット）の上限およびバースト通信を細かく制御します。
- DSCP モード: VM が付与した DSCP 値を物理ネットワークへ引き継ぐか（Trusted）、0 リセットするか（Untrusted）を指定します。
- 優先度 (DSCP): L3 ヘッダ内の優先度 (0〜63) のデフォルト値をセットします。
- サービスクラス (CoS): L2 タグ内の CoS (0〜7) のデフォルト値をセットします。
- 帯域制限方向: Ingress（VM からの送信）、Ingress Broadcast（送信ブロードキャスト）、Egress（VM への受信）ごとに設定できます。
- 平均帯域幅 / ピーク帯域幅 (Mbps): 持続的に使用可能な平均速度と、バースト時に許容する最大速度を指定します。
- バーストサイズ (Bytes): ピーク帯域幅の速度で連続通信を許可するデータ容量のバケット上限を定義します。
💡 具体例でわかる！バーストサイズ制御の仕組み
「平均: 10 Mbps」「ピーク: 20 Mbps」「バースト: 1,250,000 バイト（約1.25MB）」に設定した環境を考えてみましょう。
- Web閲覧などの瞬間通信: ページの読み込み開始直後は、ピーク速度の「20 Mbps」で快適に高速ダウンロードを行います。
- クレジットの消費と制限: 大容量ダウンロードを続けてバースト枠（1.25MB）を使い切ると、NSX は速度を「10 Mbps」の平均帯域へ自動で絞り込みます。帯域の長時間の独占を防ぎます。
- 自動チャージ: 通信が落ち着くとバースト枠が自動再充填され、次の瞬時通信に備えます。
3. VPC 追加構成画面 (VPC Additional Configurations)
基本編集を終えて「保存して次に進む」をクリックすると、VPC 内のセキュリティやルーティングをチューニングする追加構成画面が表示されます。vCenter からは設定できず、NSX Manager でのみ設定できる項目は以下の6つになります。
① ユーザー (Users): 管理権限の委譲
特定の「ユーザー/グループ」に対して、「VPC Admin」などのロール（Role）を割り当てます。
インフラ管理者が日々のサブネット作成や NAT 設定を代行する必要がなくなり、特定のテナント（アプリチームリーダー等）に対してその VPC 内に閉じたセルフサービス管理権限を安全に委譲できます。
※事前に NSX のアクセス管理画面（システム > ユーザー管理）にて、ID ソース（ローカルユーザーまたは Active Directory, LDAP 等）のアカウントを登録しておく必要があります。
▼ 権限付与されたユーザー (vpc01-admin) によるログインとUIの確認
権限を割り当てた後、実際に作成したユーザーアカウント（例: vpc01-admin）を使って NSX Manager へログインしてみましょう。
ログイン完了後の管理画面を開くと、システム管理者（Enterprise Admin）での表示とは異なり、ユーザーへ与えられた権限範囲だけに表示や操作が厳格に制限されていることがわかります。
画面上の注目すべきポイントは以下の 3 点です。
- 最小限に絞り込まれたメニュータブ:
システム設定や他インフラ全体に関わるタブは完全に非表示となり、ヘッダーには「ホーム」「VPC」「インベントリ」の 3 つのタブのみが表示されます。 - 自プロジェクト (vpc01) のみのスコープ表示:
「Virtual Private Cloud」画面を開くと、自分が管理権限を持つvpc01のみがリストアップされます。他テナントや他のプロジェクト空間の VPC は一切表示されません。 - 個別アカウントによる確実なアクセスログ保持:
画面右上には現在ログイン中のvpc01-adminが明記され、誰が操作を行ったかの監査ログ（オーディット）も明確に分離・記録されます。
💡 完全なるセルフサービスと他環境への影響遮断（マルチテナント運用）
このように必要な情報だけにスコープが限定されるため、テナント管理者は「他のテナントやプラットフォーム全体に影響を与えるリスク」を完全に排除した状態で、自組織の VPC ネットワークやセキュリティ設定を安全かつ自由にセルフサービス管理することできるようになります。
② スタティックルート (Static Routes)
VPC ゲートウェイに対して静的なルーティングを定義します。宛先 CIDR とネクストホップ IP を入力して追加します。
- セキュリティ VNF への迂回: 機密データ宛てのトラフィックを外部へ送信する前に、VPC 内に配置したサードパーティ製ファイアウォール（仮想アプライアンス）の vNIC IP へ一度経由させる運用に有効です。
- 非動的ルーター間の経路制御: TGW 配下や別プロジェクトとの間で BGP による動的広告を行わない場合、明示的にトラフィックを迂回・制御できます。
③ NAT (NAT Rules)
VPC ゲートウェイ上でアドレス変換処理（NAT）を行うためのカスタムルールを詳細設定します。
アクション（DNAT, SNAT, NO_SNAT, NO_DNAT, REFLEXIVE）、送信元/宛先 IP、変換後 IP、処理優先度などを細かく定義できます。
💡 なぜ NSX Manager から手動で NAT ルールを作成するのか？
Auto-SNAT や External IP(1:1 NAT) などの自動機能に加え、手動設定を行う主な理由は以下の 3 点です。
- NO_SNAT / NO_DNAT による例外処理: 社内 Active Directory やバックアップサーバー宛ての通信のみは NAT 変換を行わずにプライベート IP で直接ルーティングする、といった例外ルールを定義できます。
- サブネット単位の個別 SNAT: 特定の本番 DB サブネットからの送信通信のみを、物理 FW でホワイトリスト許可された専用の固定外部 IP で送信させることができます。
- ポートフォワーディング (1:N PAT): 1 つの外部 IP を共有し、「ポート 80 宛ては WebVM1、ポート 443 宛ては WebVM2 へ転送する」といったポートベースの DNAT を構成してパブリック IP を節約できます。
④ セキュリティ プロファイル (Security Profiles)
セキュリティプロファイルを選択すると、NSX は分散ファイアウォールルールの「環境」カテゴリに自動的にルールを適用します。用途に合わせて以下の 5 つから選択します。下図は Security Profile 3 を選択した場合の画面になります。
| プロファイル名 | 自動生成ルールの特徴 | 最適なユースケース |
|---|---|---|
| Profile 1 [None] (デフォルト) |
自動ルールは生成されません。ポートセキュリティを完全開放します。 | 一から完全カスタムで DFW を構築したい場合。 |
| Profile 2 [VPC Isolation] |
同一 VPC 内の通信のみ許可し、外部との通信はすべてドロップします。 | 完全孤立した開発・検証環境。 |
| Profile 3 [VPC Isolation + Essential] |
VPC 内の通信に加え、DNS, NTP, DHCP 等の必須共通サービスとの通信のみ自動許可します。 | 社内標準の独立本番環境（最も多用されます）。 |
| Profile 4 [VPC External Connectivity] |
VPC から外部への送信通信のみ許可し、外部からの新規受信は遮断します。 | アップデート取得用サーバー、DMZ 環境。 |
| Profile 5 [VPC Secure Connection] |
外部への送信通信に加え、同じプロジェクトに属する他 VPC との相互通信を許可します。 | Web/AP/DB を別 VPC に分割した統合システム。 |
このアクションが設定されているルールにヒットすると「環境」カテゴリでの「許可」「ドロップ」などの処理は行わず、「アプリケーション」カテゴリのルールを再び参照する動作になります。
※高度な DFW やセキュリティプロファイル機能の利用には vDefend ライセンス が必要です。
⑤ N-S / E-W ファイアウォール ルール（※要 vDefend ライセンス）
VPC の境界セキュリティ（南北）およびマイクロセグメンテーション（東西）を設定します。
- N-S (南北) ファイアウォール: VPC ゲートウェイを通過する外部物理 NW や他 TGW との境界通信をステートフル制御します。
- E-W (東西) ファイアウォール: 同一 VPC 内のサブネット間や VM 同士の通信を、仮想 NIC 直前でマイクロセグメンテーション制御します。
⑥ グループ (Groups)
セキュリティルールや NAT の対象を動的に一括管理するためのオブジェクトグループ機能です。
VM 名（例: web- から始まるVM名）、付与した「タグ」、または「所属サブネット」などの条件に基づいて自動グループ化します。スケールアウト等で新しい VM が追加されても、条件に一致していればセキュリティルールが自動適用されます。
4. VPC のリソース制御：Quota（割り当て）のパラメータ完全解説
マルチテナント環境において、特定の VPC が無制限にリソースを消費してシステム全体を圧迫（ノイジーネイバー問題）するのを防ぐため、管理者側で厳格な上限数を定める Quota 設定 が用意されています。
VPC > Virtual Private Cloud > 割り当て 画面から、以下の 10 個のオブジェクトに対して作成上限数を定義できます。
| 制限オブジェクト | 制御内容と解説 |
|---|---|
| サブネット (Subnet) | VPC 内で作成できる L2 サブネット（セグメント）の最大数。 |
| サブネットポート (Subnet Port) | 作成可能な論理ポート（vNIC 接続ポート）の総数。接続できる VM 数を制限。 |
| スタティックルート (Static Route) | VPC ゲートウェイに手動設定できる静的ルートの最大登録数。 |
| NATルール (NAT Rule) | VPC ゲートウェイ上で作成可能なカスタム NAT ルール（SNAT/DNAT等）の合計上限。 |
| E-Wセキュリティポリシー | 東西制御用に作成できる DFW ポリシー（セクション）の最大数。 |
| E-Wセキュリティルール | 東西ローカルセキュリティ通信を制御するルールの最大数。 |
| N-Sセキュリティポリシー | 南北境界ゲートウェイ用に作成できるゲートウェイ FW ポリシーの最大数。 |
| N-Sセキュリティルール | 南北境界ゲートウェイに適用するルールの最大数。 |
| すべてのファイアウォールルール | 南北・東西を合わせた総 FW ルール数。処理パフォーマンス保護の最重要パラメータ。 |
| グループ (Group) | FW や NAT で指定可能な動的・静的セキュリティグループの最大数。 |
⚠️【Tips】なぜ Quota 設計がマルチテナントで不可欠なのか？（ノイジーネイバー対策）
特定のプロジェクトでプログラムバグによる大量のネットワークオブジェクト作成が発生した場合、Quota の制限がないと Edge ノードのメモリやパブリック IP を食いつぶし、同居する他の正常なテナントにまで障害が波及します（ノイジーネイバー問題）。VCF 9.1 の Quota 機能は明確なリソース境界を設定し、共有インフラ全体を物理的に保護します。
5. まとめ
本記事では、NSX Manager からアクセスする「高度な VPC ネットワークとセキュリティ」に焦点を当て、サブネットプロファイル、手動 NAT やスタティックルート、そして Quota 設計までを掘り下げて解説しました。
vCenter のシンプルな設定画面の裏側では、これらの高度な NSX オブジェクトとプロファイルが密に連携し、ネットワークの堅牢性とセキュリティを担保しています。プライベートクラウドの構築や移行を計画されている方は、ぜひ本ガイドを参考に実践的なネットワーク設計を完成させてください！
