広域イーサネットもIP-VPNも，事業者が作ったネットワーク（サービス網）を複数の企業ユーザーが使うサービスである。そのため，事業者のネットワークにはたくさんの企業の拠点がつながっている。そうなると，インターネットのように意図しない人から自分の拠点にアクセスされたり，逆に，自分の出したデータがほかの企業のサーバーへ流れ込んだりしないか不安に思う人がいるかもしれない。
しかし，こうした心配は無用。事業者のネットワークの中には，ユーザーを識別してユーザー専用の仮想ネットワーク（VPN＊1）を構築するしくみがあるからだ。そこでPart2では，広域イーサネットとIP-VPNがネットワーク内でVPNを作るしくみを解明する。
共用ネット上に自社専用の網を作る
Part1で見てきたように，広域イーサネットもIP-VPNも，自社の拠点同士をつないで自社だけの専用ネットワークを作れるサービスである。これは，事業者のネットワークの中に，ユーザーごとの複数のネットワークがあるイメージだ（図2-1）。
|
|
| 図2-1●広域イーサネットもIP-VPNもユーザー専用のネットを作る 両サービスともユーザーごとにデータを識別するしくみがあるため，一つのネットワークを使っていながら，自社だけの専用ネットワークが作れる。 |
ところが実際は，異なる企業の拠点が，通信事業者の1台のLANスイッチやルーターにつながっているケースもある。事業者のネットワークの中核に流れるデータを処理するのもすべて共通のLANスイッチやルーターだ。
そのため事業者側では，事業者のネットワークを構成するLANスイッチやルーターの機能を使って，特定のユーザーだけが使えるネットワークを仮想的に作り出している。
広域イーサはVLAN技術を使う
VPNを構成するためのしくみは，広域イーサネットとIP-VPNで異なる。それぞれのしくみを見ていこう。
広域イーサネットでは，VPNを実現するために，バーチャルLAN（VLAN（ブイラン））と呼ばれる技術が使われる。VLANは，企業で使うLANスイッチやレイヤー3スイッチが持っている機能で，企業内のLANでも一般的に使われている技術である。
企業のLANでは，一つのLANで通信できる範囲を制限して，仮想的に複数のLANを作るためにVLANを使う。LANスイッチにつながる複数のパソコンに対して，通信できるパソコンと通信できないパソコンをグループ分けするのである。別々のグループに設定したパソコン同士は一切フレームをやりとりしない。広域イーサネットでは，企業単位にグループを設定する。
MACフレームに識別情報を入れる
広域イーサネットでユーザーを識別するのに使われるVLANは，ほとんどが「タグVLAN」と呼ばれる技術である。タグVLANは，通常のMACフレームに，グループを識別するための識別情報（VLAN ID）を入れた「タグ」を付け加えてやりとりする。
具体的に見ていこう（図2-2）。ユーザーの拠点から発信されたMACフレームは，事業者のネットワークの入り口に位置するLANスイッチに到着する（図2-2の（1））。
|
|
| 図2-2●広域イーサネットはタグVLANでユーザーを識別 タグVLANというバーチャルLANの技術を使う。網内のLANスイッチが，MACフレームにユーザーを識別するための情報（タグ）を付けてやりとりする。 [画像のクリックで拡大表示] |
すると入り口のLANスイッチは，MACフレームが到着したポートからユーザーのVLAN IDを判断する。そして，MACフレームのあて先MACアドレスから転送先ポートを調べるとともに，そのあて先MACアドレスのマシンが同じVLANに所属しているかを調べる。同じVLANに所属しており，そのあて先がほかのLANスイッチの先にあるときに＊2，VLAN IDの値をタグとしてMACフレームに入れて送り出す（同（2））。
こうして転送されたMACフレームは，ネットワークの出口にあるLANスイッチに到着する。すると出口のLANスイッチは，MACフレームの中のVLAN IDを見て，このフレームがどの企業の拠点から来たかを判別する。そして，この企業の拠点がつながるポートの中からあて先を見つけ出して，MACフレームに付けられたタグを取って送り出す（同（3））。
広域イーサネットではこのように，MACフレームにユーザー企業を識別するための情報を入れて，特定の拠点間だけでMACフレームをやりとりできるようにしているのである。
