第4回 アクセス管理2 インターネットブレイクアウト導入の実施例とその効果

第4回 アクセス管理2 インターネットブレイクアウト導入の実施例とその効果

アライドテレシスが導入したゼロトラストセキュリティの具体例をもとに、その詳細を紹介する連載の第4回。今回は、インターネットブレイクアウトによるアクセス管理についての2本目。アライドテレシスが実際に行ったインターネットブレイクアウト導入の詳細とその効果について紹介する。

インターネットブレイクアウト導入の具体的な実施内容

そこで既存契約の回線帯域の強化ではなく、インターネットブレイクアウトを導入しボトルネックを解消することを決定した。アライドテレシスでは新型コロナウイルスの流行以前より、ゼロトラストセキュリティの調査・検証を行っていたため、こうした課題の解決にインターネットブレイクアウトが効果的であることをすでに分かっていたのだ。

具体的な導入としては、まず全国11ヶ所の拠点にSD-WAN対応のアドバンスト・セキュアVPNアクセス・ルーター「AT-AR4050S」を設置する。ZoomやTeamsなどのアプリケーション通信を識別する機能（DPI機能）を用いてトラフィックをアプリケーション毎に負荷分散、つまりブレイクアウトすることとした。
インターネットブレイクアウト用のUTMは既存のデータセンター配置ではなく、アライドテレシス独自の自社サービスであるセキュリティゲートウェイ（クラウドUTM）を利用して、クラウドUTMとの接続にはベストエフォート回線を採用。IP-VPNを経由することなくクラウドサービスへアクセスできる構成だ。

インターネットブレイクアウトでは、拠点からインターネット回線でクラウドサービスにアクセスすることになるため、セキュリティ管理が重要になる。ゼロトラストセキュリティでは常に通信をチェックすることが重要となるが、拠点ごとにUTMなどのゲートウェイを導入するのはコスト的にも運用的にも大変で、管理上の漏れも発生しやすい。
そこで、セキュリティゲートウェイを立て、クラウドUTMとして動作させてセキュリティを担保するとともに、ブレイクアウト回線を一旦クラウドUTMに集約することで一元的な管理及び可視化を実現している。各拠点のセキュリティ、ポリシー設定なども集約したクラウドUTMから行うことが可能だ。

なお今回は、セキュリティゲートウェイ（クラウドUTM）を利用することで、万一の障害の際には通信を迂回できる、可用性の高い構成にしている。既存回線・新規回線の双方でバックアップ経路を持たせている。

アライドテレシスでは、インターネットブレイクアウトについて2019年以前よりサービス化に向けて調査検証を行っていたため、導入への障壁は比較的低かったという。

なお、リモートワークからの接続については、基本的にUSBシンクライアント（USBで起動するタイプのシンクライアント。端末にデータを残さない）でアクセスする形になるため、クラウドサービスについては、一度社内ネットワークにアクセスしてからブレイクアウトの回線に繋がることになる。そのため、本社やデータセンターからインターネットへの出口の回線がひっ迫していた部分も併せて解消したことになる。

インターネットブレイクアウトのポイントは「セキュリティゲートウェイ」

インターネットブレイクアウトの導入により、業務に支障を来たすネットワークのボトルネックは解消できた。クラウドアプリケーションの遅延や停止、ネットワークに接続できないといった声はまったく聞かれなくなった。とくにメールサービスなど利用が頻繁なものは、遅延が大きなストレスにも繋がるため、この解消は大きな意味を持つ。

分散構成にすることで可用性を高めていることは紹介したが、クラウドUTMを利用することで、一元管理と拡張性を担保していることも運用側のメリットになっていると言う。

なお、クラウドUTMを利用した場合と既存のVPNやファイアウォールを利用した場合の比較は以下の表の通りだ。

パフォーマンスに優れ、スケーラビリティ（拡張性）も高く、柔軟にセキュリティを制御できることがセキュリティゲートウェイ（クラウドUTM）の特長となっている。

オンプレミス、クラウドをシームレスに接続し、さまざまなセキュリティ対策のゲートウェイとして提供していく。今回のインターネットブレイクアウト導入はその第一歩と言える。

LAN側のセキュリティ対策とも連携し、効果を高める工夫も

ゼロトラストセキュリティは、複数のソリューションを組み合わせて実現する。今回のアライドテレシスの導入では、セキュリティアプリケーションと連携してアクセス制御を行う「AMF-SEC」と連携して、セキュリティ強度を高めている。