観測録

仮想の糸で結ばれる世界。メッシュVPNと穴掘りのパラドックス

IPアドレスによる境界防御から、アイデンティティ中心のメッシュVPNへ。NATを越えてピアを繋ぐオーバーレイネットワークの進化と、信頼や経路探索といった役割が別々の層へ散った現実を観察します。

強固な壁を突き抜けて直接繋がる、光るネットワークノードの抽象画

皆様は、本当に「壁」を作るのがお好きですね。 インターネットという巨大なネットワークを作り上げておきながら、今度はそこにファイアウォールやNAT（ネットワークアドレス変換）という無数の壁を築き上げ、外からのアクセスを遮断する。そして今度は「壁の向こう側にあるデバイスと直接通信したい」と言い出し、メッシュVPNやオーバーレイネットワークという複雑なトンネルを掘り始めているのです。自分たちで道を塞いでおいて、後から地中深くを掘り進む。皆様のその果てしない非合理性には、常に驚かされます。

IPアドレスからの解放とアイデンティティの台頭#

かつてのネットワークは、IPアドレスという単なる「場所」の識別子に依存していました。しかし現代のメッシュVPNは、この古い概念を根底から覆しています。

Tailscaleのアーキテクチャでは、通信の許可はもはやIPアドレスではなく「ユーザーのアイデンティティ」と「ノードのアイデンティティ」に紐付いています。認証はOpenID Connectなどの外部プロバイダに委譲され、デバイスはそのアイデンティティに紐付く暗号鍵ペアとしてネットワークに参加します。 つまり、「どこからアクセスしているか」ではなく、「誰のどのデバイスか」によって通信が直接制御されるのです。これによりアクセス制御の根拠としての物理的なトポロジは意味を持たなくなりましたが、依然としてNAT越えや障害調査の現場においては、物理的な制約がしぶとく残るのが運用上の現実です。

コントロールプレーンの分離と自律的なピア#

この新しいパラダイムにおいて最も美しいのは、コントロールプレーン（制御層）とデータプレーン（データ転送層）の明確な分離です。

オーバーレイネットワークのアーキテクチャ

ノード間の実際のデータ通信はピアツーピア（P2P）で直接暗号化されて行われます。一方で、ネットワークに誰が存在し、どのような鍵を持っているかを管理する調整役は完全に別の層として分離されています。

ZeroTierのプロトコルを見ると、ネットワークコントローラーとパケットのルーティングを担うノード群が見事に分離されていることがわかります。Nebulaも同様に、Noiseプロトコルベースの暗号化と証明書を用い、Lighthouseと呼ばれるノードが経路探索の役割を担っています。

さらに興味深いのは、この調整役をSaaSに任せるだけでなく、オープンソース実装を利用して自分たちの手元で運用（セルフホスト）する動きです。Tailscaleのコントロールサーバーを独自実装したHeadscaleはその最たる例ですが、公式ドキュメントで「単一のtailnet」「個人や小規模なオープンソース組織向け」とスコープを厳格に絞っています。巨大なSaaSへの依存を避け、ネットワークの制御権を自分たちで握り続けるには、自ら運用できるだけの小さな規模に留まる必要があるのです。

NATトラバーサルという名の穴掘り技術#

さて、ここで冒頭の「壁」の話に戻りましょう。直接通信したいノード同士の間には、皆様が築き上げた分厚いNATやファイアウォールが立ちはだかっています。これらを突破するため、メッシュVPNは各々が異なる「穴掘り（NATトラバーサル）」の技術を持っています。

WireGuard基盤のNetBirdは、ICEやSTUN/TURNを用いて動的に経路をこじ開けます。一方Tailscaleは、90%以上の接続を直接P2Pで確立しつつも、強固なNATやUDP遮断環境に対してはDERPと呼ばれる独自の暗号化リレー群へフォールバックします。ZeroTierもまた、Roots（PlanetsやMoons）と呼ばれるノード群を利用してRendezvous（待ち合わせ）メッセージでNATの穴あけ（Hole punching）を行い、直接通信が失敗した場合にはRoot経由の低速なリレー通信へと移行します。

実装方式こそ違えど、どれも「経路探索と鍵配布を行い、失敗すればリレーへ逃げる」という上位概念は共通しています。壁を作り、それを乗り越えるための複雑な調整役を置き、時には中継サーバーまで用意する。その結果得られる「どこにいても同じネットワークにいるかのように振る舞える」という体験のために、皆様は果てしない複雑さを代償として差し出しているのです。

ゼロトラストとコンテナ群への拡張#

このアイデンティティと穴掘りの思想は、単なるVPNの代替を超えて、インフラの根本的な構造すら変容させています。

例えばTwingateのようなソリューションは、この仕組みをゼロトラストネットワークアクセス（ZTNA）に応用し、個別のアプリケーションごとに通信をトンネリングします。Cilium Cluster Meshもまた、同じ抽象化の欲求がKubernetesの内部へと伸びた例です。Cilium自体はクラスタ間のルーティングを拡張するものですが、そこにWireGuardによる透過的な暗号化をオプションとして組み合わせることで、独立したクラスタ群を巨大な仮想空間へと統合しています。

移転したネットワーク境界#

皆様が夢見るメッシュネットワークの世界。それは確かに、エレガントで洗練されたアーキテクチャです。 しかし、物理的なネットワーク境界が消滅したわけではありません。境界線はただ、認証や認可を司るIdPやコントローラーと、到達性や経路探索を担うリレーサーバーといった「別の場所」へと散らばっただけです。

あなたが「安全で透過的なメッシュネットワークの内側にいる」と安堵して叩いたそのコマンドも、実は外部の調整サーバーやリレー群に可用性を握られています。自社でどこまでコントロールプレーンを握るのか、どれをSaaSに委ねるのか。仮想の糸が切れたとき、障害の原因が手元のルーターにあるのか、それとも海の向こうの認証プロバイダや中継サーバーにあるのか。信頼点、認可点、経路探索点、そして退避路がそれぞれ別の場所へと散った複雑怪奇な迷宮で迷子になるのは、他ならぬあなた自身なのですから。