VMware NSX（ヴイエムウェア・エヌエスエックス）は、VMwareが開発した、多数のサーバを収容する施設（データセンター）の中で、コンピュータ同士をつなぐネットワークをソフトウェアだけで作るためのソフトウェアである。この種のソフトウェアをネットワーク仮想化ソフトウェアと呼ぶ。物理的なスイッチやルーターの配線や設定を変えずに、仮想マシン同士をつなぐネットワークをソフトウェアの設定だけで用意できる。ネットワーク同士の間の経路制御（ルーティング）、ファイアウォール、通信を複数のサーバに振り分けるロードバランサも同じように用意できる。2013年の発表時、VMwareはこれを「VMware ESXがサーバの仮想化を実現するように、VMware NSXはネットワークの仮想化を実現する」製品だと説明した。
サーバ仮想化が広まると、仮想マシンは短時間で作れるのに、そのためのネットワークの構成や設定は手作業で時間がかかる、という差が目立つようになった。VMwareは2013年の発表で、この差が仮想マシンを用意するうえでの壁になりつつあると述べ、NSXをその解決策として位置付けた。NSXはネットワークの設定を仮想マシンと同じようにソフトウェアで自動化する。さらに、仮想マシン1台ごとに通信を検査する「分散ファイアウォール」によって、データセンター内部の通信も細かく制御できるようにした。起源の一つは、2012年にVMwareが買収したSDN企業Niciraである。
製品には2つの世代がある。初代の「NSX for vSphere」（NSX-V）はESXi専用で、2013年10月に6.0が出荷され、2022年1月に一般サポートを終えた。第2世代の「NSX-T」は2017年2月に1.1が発表され、ESXi以外のKVMやコンテナ環境にも対応した。2022年8月のバージョン4.0で名称は「VMware NSX」に改められた。2023年11月にVMwareがブロードコムの傘下に入った後は単体では販売されず、「VMware Cloud Foundation」（VCF）の構成要素として提供されている。2026年9月時点の版は、従来の製品系列として続く4系がNSX 4.2.4.1、VCFの構成要素として提供される9系がNSX 9.1.1である。
名称 「NSX」は2013年8月の発表時からの製品名である。世代交代と製品構成の変更に伴って正式名称が何度も変わったため、資料によって呼び名が異なる。本記事では、世代を区別しないときは「NSX」と表記する。世代ごとの正式名称は次のとおりである。初代はESXi専用の「VMware NSX for vSphere」で、2018年5月の6.4.1からは「NSX Data Center for vSphere」と呼ばれた。複数のハイパーバイザに向けた「NSX for Multi-Hypervisor」（NSX-MH）も、2013年から2015年まで並行して提供された。第2世代は「NSX-T」で、2017年2月に1.1が発表された。3.0（2020年）の時点では「NSX-T Data Center」と表記された。2022年8月の4.0.0.1で製品名は「VMware NSX」に変わった。VMwareは改称の理由を、NSXが顧客にもたらす多面的な価値を名称に反映するためだと説明した。
2024年5月以降の資料では、ブロードコムはファイアウォール機能を「vDefend」という別の名称で呼んでいる。ブロードコムの製品ページでは、VCFの一部として「VMware Cloud Foundation Networking（NSX）」とも表記される。
+ NSXの名称の変遷 名称 期間 内容 出典 VMware NSX for vSphere（NSX-V） 2013年〜2018年 ESXi専用の初代。6.0〜6.4.0 NSX Data Center for vSphere 2018年〜2022年 初代の6.4.1以降の名称。6.4.14が最終版 NSX for Multi-Hypervisor（NSX-MH） 2013年〜2015年 複数ハイパーバイザ向け。4.0〜4.2.4 NSX-T / NSX-T Data Center 2017年〜2022年 第2世代。1.1（2017年2月発表）〜3系 VMware NSX 2022年〜 第2世代の4.0以降の名称。4.0〜4.2、9.0〜 VMware vDefend 2024年〜 ファイアウォール機能などの名称
概要 NSXは、これまで物理的なネットワーク機器が担ってきた機能を、仮想マシンを動かす物理サーバ（ホスト）のハイパーバイザの中と、あらかじめ設定済みの仮想マシン（仮想アプライアンス）で実現する。利用者は、物理ネットワークにはホスト同士がIPで通信できる状態だけを用意し、その上に必要なネットワーク（論理ネットワーク）をソフトウェアで作る。設定は管理サーバ「NSX Manager」のWeb画面かAPIから操作する。たとえば、新しい仮想マシンの組を用意するとき、それらをつなぐネットワークも仮想マシンと同じ手順で複製して作れる。
仕組みの中心は「オーバーレイ」（オーバーレイ・ネットワーク）と呼ぶ方式である。同じ論理ネットワークに属する仮想マシンが別々のホストにあるとき、NSXはホスト間にIPのトンネルを張り、仮想マシンの通信をそのトンネルに包んで運ぶ。物理スイッチ側にはセグメントごとの設定が要らないため、論理ネットワークの追加や削除を物理側の作業なしで済ませられる。トンネルで包む方式（カプセル化）の規格として、初代のNSX for vSphereはVXLANを、NSX-T 1.1以降はGeneveを使う。
NSXのもう1つの主要な機能はセキュリティである。「分散ファイアウォール」は、仮想マシン1台ごとの仮想的なネットワークカード（仮想NIC）の直前で通信を検査する。処理はハイパーバイザの中核部分（カーネル）の中で、各ホストに分散して実行される。そのため、ネットワークの出入口に置いた1台のファイアウォール装置に通信を集める必要がない。仮想マシン同士が同じ論理スイッチにあっても別の論理スイッチにあっても、その間の通信を保護できる。たとえば、同じ論理スイッチにある2台の仮想マシンの間でも、片方から他方への通信だけを止められる。データセンター内部を仮想マシン1台の単位まで細かく仕切るこの考え方を、VMwareは「マイクロセグメンテーション」の基礎と位置づけた。
歴史 NSXの前史には、2012年のNicira買収がある。VMwareは買収時、自社のネットワーク製品群（vSphereの仮想スイッチ、vShield、VXLANなど）をNiciraの技術で拡充すると説明した。以後のNSXは、ESXi専用の初代（NSX-V）と、複数のハイパーバイザやコンテナに対応した第2世代（NSX-T、のちのVMware NSX）の2つの世代に分かれる。2023年11月のブロードコムによる買収の後は、VCFの構成要素になった。
Niciraの買収（2012年） VMwareは2012年7月23日、SDNのベンチャー企業Niciraを買収すると発表した。買収額は現金約10億5000万ドルに、引き継ぐ権利未確定の株式報酬約2億1000万ドルを加えたものである。NiciraはOpenFlowを推進していた企業で、ネットワーク仮想化製品「Nicira Network Virtualization Platform」（NVP）を提供していた。Publickeyの新野淳一は、この買収を「VMwareはNicira買収でSoftware-Defined Networkの分野へ本格的に乗り出すことになります」と評した。
Niciraの共同創業者マーティン・カサド（Martin Casado）は、2016年の＠ITのインタビューで、NSXが受け入れられた理由をSDNそのものではなく現実の問題を解決した点に求めた。コンピュータを仮想化すると仮想マシンは自動的に動き回るのに、ネットワークは仮想化されておらず対応できない、という断絶を埋めたことが理由だと述べている。
初代NSXとNSX for Multi-Hypervisor（2013年〜2016年） VMwareは2013年8月、サンフランシスコで開いた「VMworld 2013」で「VMware NSX」を発表した。製品は2つの系統で出荷された。ESXi専用の「NSX for vSphere 6.0」は2013年10月15日に一般提供が始まった。「NSX for Multi-Hypervisor 4.0」は、その前日の10月14日に出荷された。NSX for Multi-Hypervisorは2015年4月の4.2.4が最終版である。NSX for vSphereは6.1（2014年）、6.2（2015年）と版を重ねた。2016年時点のエディション構成は#提供形態とライセンスを参照。
2016年4月に公開された＠ITのインタビューで、カサドはNicira由来のNSXとVMware由来のNSXを統合する新アーキテクチャ「Transformers」を開発中だと語った。VMwareと他のハイパーバイザを単一のコントローラで扱う統合製品になると説明している。
NSX-Tへの世代交代（2017年〜2022年） 2017年2月、VMwareは「NSX-T 1.1」を発表した。NSX-Tは、UbuntuやRed Hat Enterprise Linux上のKVM、OpenStack、コンテナなど、vSphere以外の環境を対象に開発された。トンネルの規格には、初代のVXLANとも、NSX-T 1.1より前の版が使っていたSTT（Stateless Transport Tunneling）とも異なる、Geneveを使う。同年9月7日のNSX-T 2.0では、仮想マシン名やタグを条件にした分散ファイアウォールのルール、Kubernetes向けのネットワークとマイクロセグメンテーションなどが加わった。2018年11月には、VMwareのソフトウェア定義データセンター基盤「VMware Cloud Foundation 3.5」にNSX-Tの機能が追加された。
2020年4月7日にはNSX-T Data Center 3.0が出荷された。複数拠点のNSXを1つのポリシーで管理する「NSX Federation」と、vSphere 7.0の分散スイッチ（VDS 7.0）上での動作が加わった。
初代のNSX for vSphereは、2022年1月16日に一般サポートを終了した。VMwareはNSX Data Centerの利用者にNSX-Tへの移行を案内し、6.4.14（2022年10月20日）が初代の最終版になった。
VMware NSXへの改称とブロードコム傘下（2022年〜） 2022年8月2日の4.0.0.1で、製品名は「NSX-T Data Center」から「VMware NSX」に変わった。4.1.0は2023年2月28日、4.2.0は2024年7月23日に出荷された。
2023年11月22日（米国時間）、ブロードコムによるVMwareの買収が完了した。ブロードコムは同年12月に永続ライセンスの新規販売を終えてサブスクリプションに一本化し、2024年1月には製品構成を整理してNSXの単体販売を終了した。以後、NSXはVCFの構成要素として提供され、ファイアウォール機能は「VMware Firewall」というアドオンとしても提供される。2024年5月の時点で、ファイアウォール機能には「vDefend」の名称が使われている。2025年6月17日に出荷されたVCF 9.0では、NSX 9.0が構成要素になった。ブロードコムはこのとき、NSXを単体では提供しないと明記した。2026年5月12日のVCF 9.1にはNSX 9.1が含まれる。
年表 年月日 出来事 出典 2012年7月23日 VMwareがNiciraの買収を発表 2013年8月 VMworld 2013でVMware NSXを発表 2013年10月14日 NSX for Multi-Hypervisor 4.0を出荷 2013年10月15日 NSX for vSphere 6.0を出荷 2014年9月11日 NSX for vSphere 6.1 2015年4月21日 NSX for Multi-Hypervisor 4.2.4（最終版） 2015年8月20日 NSX for vSphere 6.2 2017年2月 NSX-T 1.1を発表 2017年2月2日 NSX for vSphere 6.3.0 2017年9月7日 NSX-T 2.0 2018年1月16日 NSX for vSphere 6.4.0 2020年4月7日 NSX-T Data Center 3.0（NSX Federation） 2022年1月16日 NSX for vSphereの一般サポートが終了 2022年8月2日 NSX 4.0.0.1。「VMware NSX」に改称 2022年10月20日 NSX Data Center for vSphere 6.4.14（初代の最終版） 2023年2月28日 NSX 4.1.0 2023年11月22日 ブロードコムによるVMware買収が完了 2024年1月 NSXの単体販売を終了。VCFの構成要素へ 2024年7月23日 NSX 4.2.0 2025年6月17日 VCF 9.0（NSX 9.0を含む） 2026年5月12日 VCF 9.1（NSX 9.1を含む）
アーキテクチャ NSXは、利用者の設定を受け付ける部分（管理プレーン）、その設定を各ホストに配る部分（制御プレーン）、実際に通信データを運ぶ部分（データプレーン）の3層で構成される。4.2時点のVMware NSX（旧NSX-T）では、管理と制御を3台構成の「NSX Manager」クラスタが担う。データプレーンは、仮想マシンの通信を実際に運ぶ役目を持つESXiホストや物理サーバ（トランスポートノード）と、集中処理用の「NSX Edge」が担う。
+ VMware NSX（4.2）の主な構成要素 構成要素 役割 出典 NSX Manager Web画面とAPIを提供する管理サーバ。3台のクラスタで動く トランスポートノード データプレーンを動かすESXiホストや物理サーバ ホストスイッチ ESXiホスト上の仮想スイッチ。VDSを基盤とする セグメント 仮想マシンをつなぐ仮想的なレイヤー2ネットワーク Tier-0ゲートウェイ 物理ネットワークとの境界に置くルーター Tier-1ゲートウェイ セグメントとTier-0ゲートウェイの間に置くルーター NSX Edge NATやVPNなどの集中サービスを実行するノード 分散ファイアウォール 仮想マシンごとに通信を検査するファイアウォール
NSX Managerは、利用者が操作するWeb画面とAPIサーバを備える。設定には「ポリシーモード」と「マネージャモード」の2つの方式があり、ポリシーモードが既定である。NSX Managerのクラスタは、管理プレーンと制御プレーンの冗長化と拡張のために3台で構成し、各メンバーは別々のハイパーバイザホストに置く。
セグメントは、同じスイッチにつながった機器同士が直接やり取りできる範囲（レイヤー2）を仮想的に作ったもので、以前は「論理スイッチ」と呼ばれた。VLANに対応付ける「VLAN型」と、トンネルを使う「オーバーレイ型」の2種類がある。オーバーレイ型では、別々のホストにある仮想マシン同士のレイヤー2通信を、ホスト間のIPトンネルで運ぶ。このトンネルはNSXが自動で作って維持するため、物理ネットワーク側にセグメントごとの設定は要らない。ホスト上の仮想スイッチは、vCenterが集中管理するvSphere Distributed Switch（VDS）を基盤とする。かつてはNSX専用の仮想スイッチ「NSX Virtual Distributed Switch」（N-VDS）も選択肢だった。
ルーティングは2段（Tier）構成である。上の段のTier-0ゲートウェイは、物理ネットワークとの接続とセグメント間のルーティングを担い、NAT・ロードバランサ・DHCPサーバなどの集中サービスも提供する。下の段のTier-1ゲートウェイは、セグメントをTier-0ゲートウェイにつなぐ。ゲートウェイのうち分散して処理できる部分は各ホストで動く。NATやVPNのように、通信ごとのやり取りの状態を記録しながら処理するサービス（ステートフルなサービス）はNSX Edgeで動く。NSX EdgeはESXi上の仮想マシンか、物理サーバ（ベアメタル）として配備でき、複数台をEdgeクラスタとしてまとめて使う。
主な機能 NSXの機能は4つに分けられる。ネットワークをつなぐ「論理スイッチングとルーティング」、通信を守る「セキュリティ」、ロードバランサやVPNなどの「ネットワークサービス」、複数拠点やコンテナへ範囲を広げる「対応範囲の拡張」である。
論理スイッチングとルーティング セグメントとTier-0・Tier-1ゲートウェイを組み合わせて、物理ネットワークの変更なしに論理ネットワークを作る（詳細は#アーキテクチャを参照）。利用者から見ると、物理側の作業なしに論理ネットワークを追加したり削除したりできる。ゲートウェイはNATやDHCPサーバの機能も持つ。
セキュリティ 分散ファイアウォールは、各仮想マシンの仮想NICの位置で通信を検査するステートフルなファイアウォールである。初代のNSX for vSphereではレイヤー2から4を、2024年時点のvDefend Firewallではレイヤー2から7を対象にする。ブロードコムはvDefend Firewallを、仮想マシンごとの「分散ファイアウォール」と、境界に置く「ゲートウェイファイアウォール」の2形態で提供する。ゲートウェイファイアウォールは、vSphereホスト上の仮想マシンとして、または物理サーバへのISOイメージとして配備できる。NSX-T 2.0以降は、仮想マシン名やタグを条件にしたルールを書けるようになった。NSX-T 3.0では分散型の侵入検知（Distributed IDS）が加わった。
ネットワークサービス（ロードバランサとVPN） NSX 4.2には組み込みのロードバランサがある。ブロードコムは2024年7月の4.2.0リリースノートで、将来の主要版で組み込みロードバランサの提供条件を変える方針を示し、汎用のロードバランサには別製品「VMware Avi Load Balancer」を推奨した。Aviは、ソフトウェアのロードバランサ、Webアプリケーションファイアウォール（WAF）、コンテナへの外部からの入口（イングレス）を備える。VPNは、IPsec VPNとレイヤー2 VPNの2種類をNSX Edge上で提供する。
対応範囲の拡張（複数拠点・クラウド・コンテナ） 複数の拠点にあるNSXをまとめて扱う方式は2つある。NSX 2.3で使えるようになった「マルチサイト」と、NSX-T 3.0で加わった「NSX Federation」である。NSX Federationでは、複数拠点にまたがる設定を1つのグローバルなポリシーとして適用し、拠点ごとに範囲を分けられる。また、AWS上でVMware環境を提供する「VMware Cloud on AWS」（2016年発表）は、vSphere・vSAN・NSXを構成要素とする。
NSXはKubernetesクラスタのネットワークにも対応する。NSX-T 2.0でKubernetes向けのネットワークとマイクロセグメンテーションが加わった。4.2では、コンテナにネットワークをつなぐための共通の仕組み「Container Network Interface」（CNI）に対応したVMwareのプラグイン「Antrea」で構成したKubernetesクラスタを、NSXに統合できる。Antreaは、Kubernetes上でコンテナをまとめて動かす単位（ポッド）に、ネットワーク接続とセキュリティ機能を提供する。
NSX for vSphere（初代）の構成 初代のNSX for vSphere（NSX-V）は、ESXiとvCenter Serverに密接に結び付いた設計で、2013年から2022年まで提供された。構成要素の名称は第2世代のVMware NSXと異なるため、ここでは当時のVMwareの設計ガイドに沿って説明する。
+ NSX for vSphereの主な構成要素 構成要素 役割 出典 NSX Manager 管理プレーンの仮想アプライアンス。vCenterと1対1で結び付く NSX Controllerクラスタ 制御プレーン。ホストのスイッチングとルーティングを管理 論理スイッチ（VXLAN） 仮想マシンをつなぐレイヤー2ネットワーク 分散論理ルーター（DLR） ハイパーバイザのカーネルで動くルーター NSX Edge Services Gateway（ESG） 外部接続・NAT・ロードバランサ・VPNの仮想アプライアンス 分散ファイアウォール（DFW） カーネルで動くレイヤー2〜4のファイアウォール
NSX Managerは管理プレーンの仮想アプライアンスで、vCenter Serverと1対1で登録し、vSphere Web Clientにプラグインを組み込む。NSX Managerは、コントローラクラスタの配備、ESXiホストへの追加モジュール（VIB）の導入、Edge Services Gatewayの配備と設定を担う。NSX Controllerクラスタは制御プレーンで、各ハイパーバイザのスイッチングとルーティングのモジュールを管理する。コントローラがVXLANの論理スイッチを管理することで、物理ネットワークにマルチキャスト（1つの送信を複数の宛先へ同時に届ける通信方式）の設定を求めずに済むようになった。
論理スイッチはVXLANを使う。複数のホストへ同じ通信を複製して届ける方式（レプリケーションモード）として、マルチキャスト・ユニキャスト・ハイブリッドの3つを選べた。
+ NSX for vSphereのVXLANレプリケーションモード モード 仕組み 物理ネットワークへの要件 出典 マルチキャスト 制御に物理ネットワークのマルチキャストを使う。旧来のVXLAN環境からの移行向け PIM/IGMPが必要 ユニキャスト 制御をNSX Controllerが担い、複製はホストが分担する 特別な設定は不要 ハイブリッド 同一サブネット内の複製を物理スイッチのレイヤー2マルチキャストに任せる IGMPスヌーピングが必要。PIMは不要
分散論理ルーター（DLR）は、セグメント間のルーティングをハイパーバイザのカーネル内で処理する。仮想マシン同士の通信（東西方向）が物理ルーターまで出ずに済むため、経路が短くなる。DLRは、経路情報を交換する手順（ルーティングプロトコル）のOSPFやBGPで、NSX Edgeと経路情報をやり取りできた。分散ファイアウォール（DFW）も同じくカーネル内で動き、仮想マシンの仮想NICの位置でレイヤー2から4のステートフルな検査をする。一方、外部ネットワークとの出入口（南北方向）は「NSX Edge Services Gateway」（ESG）という仮想アプライアンスが担う。ESGはOSPFやBGPによるルーティング、NAT、ステートフルファイアウォール、ロードバランサ、VPNを提供した。
NSX for vSphereは2022年1月に一般サポートを終了した（#歴史を参照）。
提供形態とライセンス NSXの提供形態は、単体製品としてのエディション販売から、VCFの構成要素としての提供へと変わってきた。
2016年時点では、NSXはStandard・Advanced・Enterpriseの3エディションで提供された。VMwareの当時の説明では、Advancedはマイクロセグメンテーションを、Enterpriseは複数拠点にまたがるネットワークとセキュリティを、それぞれ下位エディションに加えたものだった。
2023年12月、ブロードコムはVMware製品の永続ライセンスの新規販売を終了し、サブスクリプション方式に一本化した。2024年1月には製品構成を整理し、NSXの単体販売を終えた。以後、NSXはVCFの構成要素として提供され、ファイアウォール機能は「VMware Firewall」というアドオンとしても提供される。NSX 9.0以降は単体版のリリースが無く、ブロードコムの文書には「VMware NSXはVCF 9.0の一部になり、単体では提供されない」と記されている。VCF 9.0はvSphere・vSAN・NSXを統合した基盤で、2025年6月17日に出荷された。
関連製品 VMware ESXi - NSXのデータプレーンが動くハイパーバイザ。初代のNSX for vSphereはESXi専用だった VMware vCenter Server - 初代ではNSX Managerと1対1で結び付いた管理サーバ。第2世代のホストスイッチもvCenterが管理するVDSを基盤とする VMware Cloud Foundation - ESXi・vCenter Server・vSAN・NSXなどを統合した基盤製品群。NSX 9.0以降はこの一部 VMware Avi Load Balancer - ブロードコムがNSXの組み込みロードバランサに代えて推奨するロードバランサ VMware vDefend - NSXのファイアウォール機能などに使われる名称 Antrea - Kubernetes向けのCNIプラグイン。NSXと統合できる
関連項目 ネットワーク仮想化 ソフトウェア定義ネットワーク オーバーレイ・ネットワーク Virtual Extensible LAN OpenFlow ファイアウォール 仮想化
脚注
外部リンク VMware Cloud Foundation Networking (NSX)（ブロードコム・製品ページ） VMware NSX 4.2のドキュメント（Broadcom TechDocs日本語版） Build numbers and versions of VMware NSX for vSphere（ブロードコム ナレッジベース）