ごく普通の一般家庭（物理10G・k8s 8台）のネットワークを大更改した話 #1
この記事で分かること
なぜ一般家庭で10GbEネットワークを組み直したのか
UCG-Fiber / USW-Aggregation / FortiGate 60Fをどう役割分担したのか
家庭・仕事・サーバ・DMZを同じ家の中でどう共存させるか
「速さ」より先に、壊してはいけない生活ネットワークをどう考えたか
「ネットが遅いんだよね」——家庭のネットワーク更改なら、普通はそこから始まると思う。
我が家もInternet回線そのものは特別なものではない。だが、その内側には8台構成のk3sクラスタ、複数のDB、Windows / Linuxサーバ、NAS、Local LLM用のGPU環境がいる。
そして当然だが、その横では家族が普通にテレビを見て、スマホを使い、ゲームをしている。
ここで一番困るのは「10Gbps出ないこと」ではない。
私が実験している横で、家族のInternetまで巻き込んで落とすことだ。
今回の更改で最初に決めたのは、最高速度ではなく役割分担だった。
UCG-Fiber：Internet Edge。WAN接続、外向きNAT、Internet側の入口を担当
USW-Aggregation：10GのL2ファブリック。重いEast-West通信を受け持つ
USW Pro Max 16：サーバ、NAS、FortiGateなどを束ねるDistribution / Access側
FortiGate 60F：家庭、仕事、サーバ、DMZ等の内部セグメント間を制御するSecurity Boundary
つまり、UCG-FiberとFortiGateのどちらか一方を「全部をやるルーター」にしなかった。
Internetとの境界はUCG-Fiber、内部ネットワークの信頼境界はFortiGate。10Gの大量通信はUniFiのL2側へ寄せる。
それぞれに得意な仕事をやらせる構成にした。
大きく3つに分けて考えた
初期設計では、まずネットワークを大きく3つに分けた。
Home：家族が日常的に使う領域
Lab / Server：自宅サーバや検証環境
DMZ：外部公開サービスを置く領域
その後、実際の運用では仕事用、Guest、IoT、Managementなど、用途に応じてさらに細分化している。
ここで大事なのは「VLANをたくさん作ったこと」ではない。
何かを壊した時に、どこまで壊れてよいかを先に決めたことだ。
Labで実験中のVMを壊してもいい。k3sを再構築することもある。だが、それを理由にリビングのテレビや家族のWi-Fiまで止めてはいけない。
FortiGateを内部の境界に置いたのは、そのためだ。
初版では「Labで何が起きてもHomeへ影響しない」と断定していたが、ネットワークに絶対はない。設定ミス、機器障害、未知の脆弱性まで含めればゼロリスクとは言えない。
正しくは、障害や侵害の影響範囲をできるだけ小さくするために分離した、だ。
10GbEは目的ではなく、逃がす場所
FortiGate 60Fの物理ポートは1GbEが中心だ。
なら全部10GbE対応のFirewallへ買い替えればいい——という話でもない。
k3sノード間、DB、NASなど、同一セグメント内で大量に流れる通信まで全部Firewallへ上げる必要はない。そうしたEast-West通信はL2ファブリック内で完結させ、信頼境界を跨ぐ通信だけFortiGateへ渡す。
この構成にしたことで、1GbEのFirewallを残しながら、10Gを使う場所とSecurity Inspectionを通す場所を分けられた。
これが今回の更改の基本思想だ。
速さだけを追ったネットワークではない。
家族が使う本番環境と、自分が壊して試せるLabを同じ家の中に共存させる。
そこから全ての設計が始まった。
次回は、その思想を実際のケーブルとポートへ落とし込む。
FortiGate 60Fの1GbEという制約を残したまま、なぜ4本のLACPを組み、どこを10Gで太くしたのか。
⏩ 次の記事：ごく普通の一般家庭（物理10G・k8s 8台）のネットワークを大更改した話 #2
