FortiGate 60Fを1G×4本LACPで束ねた理由 #2｜自宅10GbEの物理設計
この記事で分かること
10GbE環境なのにFortiGate 60Fを残した理由
1G×4本LACPで何が速くなり、何が速くならないのか
10G×2 LAGと1G×4 LACPをどう使い分けたか
East-West通信とInter-VLAN通信を分ける考え方
（※前回の概要編をまだ読んでいない方は、ぜひこちらから！）
👉 ごく普通の一般家庭（物理10G・k8s 8台）のネットワークを大更改した話 #1【概要編】
前回は「家族のネットワークを巻き込まず、自宅Labを好きに壊せるようにする」という話を書いた。
今回は、それを物理配線へ落とした話になる。
現在の構成をかなり単純化すると、こうなる。
Internet
│
UCG-Fiber
│
USW-Aggregation
│ 10GbE × 2 LAG
USW Pro Max 16
│ 1GbE × 4 LACP
FortiGate 60F
│
内部VLAN / DMZ※公開用の概念図。実ポート番号やVLAN IDは省略している。
## なぜ1GbEのFortiGateを残したのか
自宅LANの中だけを見れば、10GでL3 Routingできる機器へ全て寄せた方が速い。
でも今回優先したのは、最高速度ではなく信頼境界をどこに置くかだった。
家庭、仕事、サーバ、DMZなど、用途の違うセグメント間を跨ぐ通信はFortiGateで制御する。
一方で、同一VLAN内のk3sノード間通信や、同じL2ドメイン内で完結する大量通信までFortiGateへ上げない。
その結果、Firewallの1GbEという制約を受ける通信と、10Gの恩恵を受ける通信を分けた。
## 1G×4本LACPの狙い
USW Pro Max 16とFortiGate 60Fの間は、現在1GbEを4本束ねたLACPになっている。
ここで一番重要なのは、
LACPを組んでも、1本のTCPフローが4Gbpsになるわけではない。
通常、一つのフローはハッシュ結果に応じて一つのメンバーリンクへ乗る。したがって、単一フローの上限は基本的に1メンバー分だ。
狙っているのは別のところにある。
Home、Work、DMZ、Serverなど複数セグメントから同時に通信が発生した時、複数フローを4本へ分散しやすくする。
1本の1GbEだけに全てを押し込むより、複数の通信を同時に捌ける余地が増える。
「4Gbpsの1本」ではなく、1Gbps級の道路を4本用意して複数車線化するイメージに近い。
Core側は10G×2
USW-AggregationとUSW Pro Max 16の間は、現在10G×2のLAGで接続している。
ここはFortiGate側とは役割が違う。
サーバ、ストレージ、VM、k3sなどのEast-West通信を受けるL2ファブリック側なので、太くしておく価値が大きい。
ただし、ここでも単一フローが自動的に20Gbpsになるわけではない。LAGの価値は、冗長性と複数フローの分散にある。
「速い経路」と「検査する経路」を分ける
この構成で意識したのは、全通信を最速にすることではない。
同一セグメントで完結できる重い通信：L2で処理
信頼境界を跨ぐ通信：FortiGateへ渡す
Internetとの出入口：UCG-Fiberへ集約
この3つを分けた。
Firewallを通せば安全、10Gなら速い——どちらか一方だけでは家庭内インフラとして使いにくい。
必要なところだけFirewallを通し、必要なところだけ10GbEへ逃がす。
その妥協点として、今の物理構成になった。
次回は、この配線の中へHome / Work / DMZ / Server / IoTなどの論理的な部屋を作る。
【連載インデックス】
⏪ 前の記事：#1【概要編】我が家に10Gの光とk8sがやってきた
⏩ 次の記事：ごく普通の一般家庭（物理10G・k8s 8台）のネットワークを大更改した話 #3【VLAN・ゾーン設計編】
