Daily Post July 30 2026JP

ITコスト診断	お問い合わせ	メルマガ登録	ブログ	パートナー
Cost Assessment	Questions?'	Weekly Letter	Monthly Blog	Our Partners

Email us |TEL: 050-1720-0641 | LinkedIn | English | 日々のブログ | Q & A

Incusにおけるネットワーク高度化：カスタムLinuxブリッジとOVN (Open Virtual Network)

新規インストール時のデフォルトであるマネージド・ブリッジ（incusbr0）は、基本的なワークロードに対して即座にプラグアンドプレイの接続性を提供します。しかし、エンタープライズインフラやセルフホスト環境が拡大するにつれ、シンプルな構成では限界が生じます。

ここで重要な役割を果たすのがIncusの高度なネットワーク機能であり、主にカスタムLinuxブリッジとOVN（Open Virtual Network）の2つの技術に依存しています。これら2つのネットワークレイヤーは、細かいトラフィック制御、マルチテナントでのネットワーク分離、透過的なVLANタグ付け、スケーラブルなホスト間オーバーレイネットワークを実現します。

Incusデーモンを初期化すると、通常 incusbr0 という名前のマネージド・ブリッジが作成されます。このデフォルトインターフェースは、DHCPによるIP割り当て、iptablesやnftablesを通じたローカルNATルール設定、インスタンスからのアウトバウンドインターネットルーティングを提供します。これは便利ですが、すべてのインスタンスが単一のホストに緊密に結合された単一のローカルサブネットの一部として扱われます。

本番環境やホームラボにおいて、ホスト管理型のNATブリッジのみに頼る構成には制限があります。管理者は、コンテナを物理LANサブネット上に直接配置したり、L4ポート変換なしで独立したパブリックIPv4/IPv6アドレスを公開したり、複数の物理ハイパーバイザー間で孤立したオーバーレイチャネルを通じて通信させたりする必要があります。カスタムLinuxブリッジやOVNによるソフトウェア定義ネットワーク（SDN）への移行は、インスタンスの接続性を基本的なホストレベルのNATから切り離すことで、これらの課題を解決します。

---

カスタムLinuxブリッジの概念と利点

カスタムLinuxブリッジを使用すると、IncusインスタンスをIncus外部で設定されたホストネットワークインターフェースに直接接続できます。DHCPデーモン、ルーティングテーブル、ファイアウォールルールをIncusに管理させる代わりに、ネットワーキングの統治を netplan、systemd-networkd、従来の interfaces ファイルなどのホストOSネットワークマネージャーに委任します。

Incusプロファイルやインスタンスのネットワークインターフェースを、未管理のカスタムLinuxブリッジ（例: br0）にバインドすると、インスタンスの仮想イーサネット（veth）ペアがホストブリッジのカーネルモジュールに直接接続されます。このアーキテクチャにより、ホストブリッジは仮想L2スイッチとして機能します。このカスタムブリッジにアタッチされたコンテナや仮想マシンは、物理ホストNICに接続された物理ネットワークスイッチ上に直接存在するように見えます。

カスタムブリッジの利点は、直接的なL2（データリンク層）への露出です。インスタンスは外部のエンタープライズDHCPサーバーから直接IPアドレスを取得し、ARPやNeighbor Discovery（NDP）経由で自身のIPアドレスを通知し、プロキシデバイスやNATルールに頼ることなく標準ポートでネットワークサービスを実行できます。

---

カスタムブリッジの構成とユースケース

ブリッジはIEEE 802.1Q VLANタグ付けと組み合わせることでさらに威力を発揮します。例えばVLAN 100用の bond0.100 のような物理VLANインターフェース上にカスタムブリッジを作成すると、そのブリッジに接続されたIncusインスタンスは、物理ネットワークスイッチに設定されたネットワーク分離とルーティングポリシーを自動的に継承します。また、Incusはトランク接続されたカスタムブリッジ上でインスタンスに生のVLANタグをパススルーする機能もサポートしており、個々のインスタンスが内部で複数のタグ付きサブインターフェースを管理できます。

カスタムブリッジは、OPNsense、pfSense、またはカスタムルーターコンテナなどの「ネットワーク仮想アプライアンス」をホストするのにも適しています。異なる物理または仮想ネットワークセグメントを表す複数のカスタムブリッジを単一のルーターVMにアタッチすることで、Incus内部で直接ファイアウォールトポロジーを構築できます。このパターンでは、Incusは透過的なハイパーバイザーとして機能し、すべてのL3ルーティング、DNS解決、およびフィルタリングを専用の仮想アプライアンスに委任します。

ただし、カスタムLinuxブリッジにはスケーラビリティの限界があります。従来のブリッジは単一の物理マシンのカーネル内で厳密に動作するため、ブリッジを複数の物理Incusホストにまたがって拡張するには、GREトンネル、OSレベルで管理されるVXLANインターフェース、またはマルチチャシ・リンクアグリゲーション（MLAG）をサポートするエンタープライズハードウェアスイッチなどの外部物理ネットワーク構成が必要となります。

---

OVN (Open Virtual Network) によるソフトウェア定義ネットワーク

Open Virtual Network（OVN）は、Open vSwitchプロジェクトのもとで開発されたオープンソースのソフトウェア定義ネットワーク（SDN）システムです。IncusはOVNとネイティブに統合され、単一ノードおよびマルチノードクラスターの両方で、論理L2スイッチ、論理L3ルーター、分散ファイアウォール、動的ネットワークトンネリングを提供します。

ローカルインターフェース間でフレームを転送するLinuxブリッジとは異なり、OVNは物理ハードウェアの上に抽象化レイヤーを導入します。IncusでOVNネットワークを作成する際は、論理サブネット、ゲートウェイルーター、スタティックルート、アクセス制御リスト（ACL）を含む完全な仮想ネットワークトポロジーを定義します。Incusはこれらの人間が読みやすい宣言を、OVN Northboundデータベースに格納される論理フローに変換します。その後、OVNデーモンがこれらの論理フローを、各ハイパーバイザーノード上のOpen vSwitchインスタンスによって実行される物理OpenFlowルールに変換します。

OVNを選択する主なアーキテクチャ上の動機は、論理的な柔軟性と結合された完全な分離です。マルチテナント環境において、異なるチームやアプリケーションはIPサブネットの重複を気にすることなく稼働させることができます。OVNはGeneveトンネルを使用してパケットトラフィックをカプセル化するため、基礎となる物理ネットワークトポロジーに関係なく、論理ネットワークを異なるホストノード間にまたがって展開できます。

---

Incus OVN ネットワークの仕組み

Incus OVNネットワークは、アップリンクとしてホストブリッジ（通常は外部接続を提供する未管理ブリッジまたはIncus管理ブリッジ）に依存します。そこから、OVNはSNAT/DNAT操作、IPv6ルーター広告、および分散DHCPサービスをOpen vSwitch内で直接実行する仮想論理ルーターを構築します。これにより、ネットワークごとに個別の dnsmasq プロセスを実行する必要が完全になくなります。

OVNにおけるセキュリティは、ホストファイアウォールルールによって上に重ねられるのではなく、データプレーン自体に組み込まれています。IncusはOVN Network ACLを活用して、仮想ポートレベルでステートフルなパケットフィルタリングを強制します。つまり、ファイアウォールポリシーは、インスタンスがIncusクラスター内で移動（マイグレーション）しても、どこへでも追従します。コンテナがホストAからホストBに移動しても、その論理スイッチポートのバインディング、ファイアウォールルール、フローティングIPの関連付けは、物理ネットワークの再学習やスイッチの再設定を必要とせずにそのまま引き継がれます。

さらに、OVNはロードバランシングとフローティングIPをネイティブにサポートしています。アップリンクネットワークからパブリックIPまたは外部IPアドレスを割り当て、隔離されたOVN論理ネットワーク内で実行されているプライベートインスタンスIPに直接マッピングできます。これにより、パブリッククラウドプロバイダーと同等のエンタープライズグレードのイングラストラフィック処理が可能になり、内部ネットワーク構造を晒すことなく個々のサービスを細かく公開できます。

---

マルチホストクラスタリングと分散仮想ルーティング

OVNを使用しない標準のマルチホストクラスターでは、ホスト間のインスタンス通信は従来の物理ルーティングを経由する必要があり、サブネットごとに事前割り当てられたスタティックルートや物理VLANが必要でした。一方OVNを使用すると、Incusはすべてのクラスターメンバーにわたって完全分散型の仮想ルーターを管理します。

同じ論理ネットワーク上のホスト1にあるインスタンスAが、ホスト2にあるインスタンスBにパケットを送信する場合、ホスト1のローカルOpen vSwitchがフレームをGeneveトンネルにカプセル化し、物理ネットワークを介してホスト2へ直接送信します。トラフィックが2つの異なる論理ネットワーク間でのL3ルーティングを必要とする場合、ルーティングロジックはカプセル化前にホスト1でローカルに実行され、中央ゲートウェイノードへの不要な往復（ヘアピン）を回避します。

この分散仮想ルーティングアーキテクチャにより、単一障害点や帯域幅のボトルネックが排除されます。異なるホスト上のコンテナ間のイースト・ウエスト（東西）トラフィックは最小限のレイテンシで短いパスを流れ、外部インターネットへのノース・サウス（南北）トラフィックは、外部ネットワークアップリンクを備えた複数のシャーシノードに分散させることができます。

選定の指針

カスタムLinuxブリッジかOVNかの選択は、組織の規模、パフォーマンス目標、および既存インフラへの制御度合いによって決まります。

カスタムLinuxブリッジ: シンプルでSDNのオーバーヘッドがゼロであり、単一ホスト構成や、物理スイッチ側でVLANやL3ルーティングがすでに管理されている環境でネイティブなパフォーマンスを発揮します。高スループットなデータベース・ワークロード、ベアメタル統合、インスタンスに単純なローカルLAN接続を行わせたいホームラボに最適です。

OVN: マルチテナント環境、大規模なIncusクラスター、クラウドネイティブなデプロイメント、およびプログラムによるネットワーク分離を必要とするセットアップにとって理想的なソリューションです。Open vSwitchやOVNデータベースなどの追加ソフトウェアコンポーネントが必要になりますが、自動化されたマルチホストトンネリング、統合された分散ファイアウォール、フローティングIP、クラウドのようなネットワークの柔軟性が手に入ります。

---

Incus vs. Proxmox VE：ネットワークアプローチの比較

Incusのネットワーク機能をProxmox VEと比較すると、ゲスト管理とソフトウェア定義ネットワーク（SDN）における設計思想の違いが浮き彫りになります。どちらのプラットフォームもホストレベルの直接的なL2接続には標準のLinuxブリッジを活用しますが、オーバーレイネットワーク、状態同期、およびSDNアーキテクチャへのアプローチは異なります。

Proxmox VE (ホスト中心モデル)

従来の標準Linuxブリッジ、Open vSwitch、および近年のリリースで導入された組み込みSDN機能を中心に構成されています。Proxmox SDNは「Zone」と「VNet」を使用してネットワークを組織化し、主に従来のEVPN-BGPやVXLANモデルに依存してクラスターノード間にL2ネットワークを拡張します。クラスター間のコントロールプレーン同期はCorosyncおよびProxmox Cluster File System（pmxcfs）に依存します。このセットアップは仮想マシンを既存のエンタープライズVLANや物理ネットワーク機器にマッピングするのには適していますが、高度なオーバーレイネットワークをホスト構成の上に載せられた「追加の管理レイヤー」として扱います。

Incus (ファーストクラス・プリミティブモデル)

ネットワークの論理的な抽象化を、デーモンとREST APIに直接統合されたファーストクラスのプリミティブとして扱います。オーバーレイネットワークのためにCorosyncや外部のBGP EVPNコントロールプレーンに依存するのではなく、IncusはOVNをネイティブなネットワークプロバイダーとして組み込んでいます。Incusクラスターの実行時、ネットワーク状態は共有クラスタファイルシステムではなく、統合されたRaft合意データベースを介して同期されます。この設計により、Incusはネットワークファブリックスイッチや外部BGPデーモンを必要とせずに、Geneveカプセル化を使用して論理スイッチ、分散仮想ルーター、NATルール、ステートフルACLファイアウォール、動的DHCPサービスをクラスターノード間でプログラムできます。

• 要約と選択基準:
  • Proxmox VE: ハイパーバイザーレベルの仮想マシン管理に特化したGUI駆動の運用体験を提供し、従来の仮想化管理者にとってシンプルなブリッジやVLAN管理を直感的に行えるようにします。
  • Incus: APIファーストで宣言型のモデルを提供します。マイクロセグメンテーション、パブリックフローティングIP、マルチテナント・オーバーレイルーターを含むOVN論理トポロジーを、CLIコマンドやInfrastructure-as-Code（IaC）自動化を通じて素早く構築、変更、破棄できます。
  • エンジニアは、Proxmoxの伝統的なハイパーバイザー・エコシステムと、Incusの軽量でプログラマブルなクラウドスタイルのSDNファブリックのどちらが適しているかを評価して選択する必要があります。