SASE - 企業ネットワークの進化

こんにちは。Cloudflare の Simon です。これから当社の SASE プラットフォームについて

企業ネットワークの近代化に役立つ内容をお話しします。

多くの企業ネットワークは、今日のセキュリティ、パフォーマンス、監視の

要件に対応できない技術の上に構築されています。

企業ネットワークへの要求は、ここ数年で大きく変わっています。

IT やネットワークの担当者は、ユーザー、

そのデバイス、必要なアプリケーションとデータがあちこちに分散していることに

苦労しています。従来の企業ネットワークの境界の外に広がっているためです。

この問題を従来の手法で解決しようとしていますが、コストと

複雑さが増え、性能の良くないソリューションになりがちです。

その結果、ユーザーはかなり不満を感じます。

こうした課題に応える形で、SASE という考え方が生まれました。

SASE は Secure Access Service Edge の略です。

ネットワークとセキュリティの新しいアプローチであり、

複雑さを減らし、より強いアクセス制御と

性能の向上をもたらし、アプリケーション、

ユーザー、デバイス、企業データを保護します。

仕組みはどうなっているのでしょうか。まず、かつての

ネットワークとセキュリティのソリューションがどのように設計されていたかを振り返ります。

何十年も前、従業員はオフィスに通い、会社のローカルネットワークを使っていました。

そのネットワークに加え、支社への接続、

データセンターなど各地への接続が、専用線で結ばれ、

MPLS（Multiprotocol Label Switching）などの技術が使われていました。

専用帯域の高価なプライベート接続に料金を払い、

インターネットアクセスは通常、これらの接続経由で

セキュリティ制御を適用していました。

しかし時間が経つにつれ、インターネット帯域はより安く広く使えるようになり、

専用線の必要性は下がり、ソフトウェア定義ネットワーク、

一般に SD-WAN と呼ばれる技術が広まり、トラフィック管理と

高価な専用線の代わりに、より安いインターネットベースの IPsec トンネルの利用を

最適化できるようになりました。ただし SD-WAN でも、複雑なオンプレミス機器の管理と

設定変更やソフトウェア更新への対応は残ります。

また、こうした SD-WAN 機器に付属するファイアウォールは機能が限られ、

より完全なセキュリティのため、追加のハードウェアと組み合わせることが多かったです。

こうした変化と並行して、ノート PC や

スマートフォンなどのデバイスが増え、従業員はどこからでも働けるようになりました。

そこで VPN が加わり、VPN に接続して

社内ネットワークへアクセスできるようになりました。多くの場合、インターネットアクセスも

これらの VPN 接続に集められ、オフィス利用者と同じセキュリティポリシーが

リモートユーザーのトラフィックにも適用され、すべてが

社内データセンターを経由します。このやり方は、複数ベンダー、

異なる機器、異なるダッシュボードでポリシーを設定するため、管理が非常に難しく、

これらの技術はもともと、現代の分散した働き方に

うまく合うよう設計されていません。

しかし今日では、オフィスと社内ネットワークを離れたのはユーザーとデバイスだけではありません。

アプリケーションとデータも、あちこちに置かれています。

データセンターから、AWS、Azure、Google といった

クラウドインフラへ移っています。一部のアプリケーションは SaaS として作り直され、

企業はサーバーを自前で動かさず、大規模なソフトウェア環境のテナントへ

アクセスを借りるだけです。Salesforce や Workday、

Zoom などがその例です。ユーザーも、短時間オフィスを離れるだけではありません。

オフィスにまったく通わない人もいます。

自宅、カフェ、飛行機の中でも働いています。

時にはオフィスに来ることもありますが、必要なことは同じです。

適切な人が、適切なアプリケーションとデータにアクセスできること。

アプリケーションのレイテンシと性能は高く保ちつつ、

安全なデバイスを使い、フィッシングやランサムウェアといった

インターネット上の脅威から保護されることです。

誰もがどこからでも何にでもアクセスする必要が常にあるため、

SASE アーキテクチャが発展し、ネットワーク上の知能は

オンプレミス機器から離れ、大規模にスケールするグローバルなクラウドネットワークへ移りました。

では、Cloudflare の SASE プラットフォームはどのように動くのでしょうか。

まず、おそらく最も重要な点として、世界中に広がる大規模なネットワークを

構築しています。数百の都市のデータセンターに数千台のサーバーを配置し、

数千のほかのネットワークとピアリング関係を築いています。

そのうえで、重要なInternet Exchange すべてに

接続を確保しています。

ここは、インターネットの大規模な接続が相互に接続される場所です。

この巨大なネットワークの規模感をお伝えすると、

これまで観測された最大級のサービス拒否攻撃にも対応できます。

このネットワークの規模と性能はとても重要です。SASE の

観点では、ユーザー、

デバイス、ネットワークのトラフィックをすべてここにルーティングすることになるためです。

ネットワーク上のすべてのサーバーが、トラフィックの検査と保護に必要な機能を

実行します。アクセス制御、トラフィックルーティング、

キャッシュはすべて、ユーザーやネットワークが接続するそのサーバー上で動きます。

こうして、さまざまなベンダーや機器、サービスに分散し、自前で維持していた

セキュリティ制御とネットワークロジックの代わりに、

世界中の拠点で稼働するクラウドサービスに集約され、

各ユーザーやネットワークは、近くの高速なデータセンターに接続されます。

そして Cloudflare の SASE プラットフォームは、より大きな Connectivity Cloud の一部です。

Connectivity Cloud とは何でしょうか。

ネットワーク、セキュリティ、アプリケーション性能にまたがる

クラウドネイティブサービスの統合プラットフォームで、企業が技術インフラの

主導権を取り戻せるよう設計されています。

当社の Connectivity Cloud は、従業員と社内リソースへのアクセスの保護にとどまりません。

Web サイトや API といった公開資産の保護にも使われます。

プラットフォームの基盤コンポーネントも公開しており、

開発者はコードを書き、当社のネットワーク上で直接実行できます。

既存のサービスを拡張したり、まったく新しいアプリケーションを構築したりでき、

作れるものはほぼ無限です。

まとめると、Connectivity Cloud 上で動くCloudflare の SASE プラットフォームは、

企業が社内ネットワークを再設計できるようにします。

ユーザーは近くのデータセンター経由でCloudflare のグローバルネットワークに接続し、

そのサーバーが、インターネット上のフィッシングサイトへのアクセスを防いだり、

社内アプリケーションへの安全なアクセスを提供したりします。

これらはすべて、広大なネットワーク上でミリ秒単位で行われます。

よく統合されたダッシュボードに集約できます。

最終的にコストが下がります。サービスの管理にかかる時間が減り、

購入・維持するハードウェアが減るか、不要になることが多く、

最終的なソリューション自体の購入コストも下がります。

ご視聴ありがとうございました。

この動画は、新しい企業ネットワークをCloudflare の SASE プラットフォームで構築する方法を

説明するシリーズの一部です。

詳しくは、このシリーズのほかの動画もご覧ください。

こんにちは。Cloudflare の Simon です。

この動画を見つけていただき、ありがとうございます。

アプリケーションセキュリティなど、幅広いトピックも扱っています。

企業ネットワーキングや、インターネット上のあらゆる開発者向けコンテンツです。

オンラインでフォローしてください。ご視聴ありがとうございました。