SASE - どのネットワークからでもどこへでも接続し保護する

Secure Access Service Edge、つまりSASE プラットフォームを見るとき、

よく話題になるのは、ユーザーがプライベートにホストされた

アプリケーションへリモートアクセスすることです。焦点はユーザーからアプリケーションへ、

目的はネットワークのマイクロセグメンテーションで、

ユーザーは特定のアドレスとポート経由でのみアプリケーションにアクセスできます。

ただし、企業ネットワークはほかにもさまざまな経路でトラフィックを運びます。

例として、多数の店舗を持つコーヒーチェーンを考えます。

各店舗はゲスト Wi-Fi で顧客に無料のインターネット接続を提供し、

同時に従業員を社内アプリケーションにも接続します。

各店舗には POS 端末、セキュリティカメラ、

インターネット接続が必要なその他のネットワーク機器もあります。

データのバックアップや、ほかのプライベートネットワークへのアクセスが必要で、

社内ツールで監視される場合もあります。

IT 担当者は、本社ネットワークからこれらの機器へリモートアクセスする必要もあります。

こうしたトラフィックの多くはプライベートで、企業ネットワーク内にとどめるべきです。

ここで Cloudflare の Connectivity Cloud が真価を発揮します。

異なるネットワークをメッシュでつなげる能力があり、

アプリケーションとユーザーも、場所を問いません。

コーヒーチェーンの例をさらに詳しく見ていきます。

まず、本社はシアトルにあります。

本社の従業員の多くは地元に住み、約半数がオフィスに通勤し、

残り半数は在宅でリモートワークしています。

各店舗には数名の従業員がいます。

さらに社内 wiki があり、仮想環境で

Amazon Web Services 上で、独自の仮想プライベートネットワークとともに稼働しています。

そして最後に、全店舗のセキュリティカメラはデータを

中央サービスへバックアップする必要があります。そのサービスは自社運用のサーバーで、ラックに

サンノゼのデータセンターでホストしています。

これらのネットワーク拠点が、いずれもかなり異なることがわかります。

Cloudflare には、これらすべてのネットワークをつなぐさまざまな方法があります。

まず、シアトルの本社ネットワークを接続します。

Magic WAN を使えます。これはIPsec

トンネルを本社から Cloudflare ネットワークへ作り、プライベートな

ネットワーク範囲を割り当てるサービスです。通常の標準 IPsec プロトコルを使い、

本社にあるネットワーク機器、ルーター、ファイアウォールの機能を

そのまま活用できます。次に、各コーヒーショップを見ていきます。

各拠点へ、Cloudflare の Magic WANConnector を動かす物理デバイスを

送り出せます。これは軽量アプライアンスで、現地の

ISP ルーターに差し込むだけです。各 Connector は Cloudflare へ IPsec 接続を作り、

各デバイスは Cloudflare ダッシュボードからリモート管理できます。プライベートネットワークの

アドレス範囲を、各コーヒーショップに割り当てられます。

これで、新しい現代的な企業ネットワークの土台ができました。

シアトル本社の IT 管理者は、各店舗の POS 端末へ

リモートアクセスできるようになります。また、各店舗の顧客に

ゲスト Wi-Fi で無料のインターネット接続を提供したいので、

その拠点のすべてのトラフィックがCloudflare 経由でルーティングされ、

Secure Web Gateway で悪意のあるサイトへのアクセスをブロックできます。

お客様はカプチーノを飲みながら安全に過ごせます。

では、在宅勤務の IT 担当者はどうでしょうか。

これらのネットワークにはつながっていません。大丈夫です。

デバイスエージェントを使えばCloudflare に接続でき、

本社に接続しているのと同じように、この新しい企業ネットワークへ

アクセスできます。これで IT は各コーヒーショップのデバイスを管理でき、

飛行機の中でも、オフィスにいても、

コーヒーショップにいても問題ありません。各ネットワークやユーザーが接続するとき、

最も近い Cloudflare データセンターへ接続します。

これがネットワークの重要な特長です。Anycast IP ネットワーキングを使い、

ユーザーやオフィスからの安全な接続を、地理的に最も近い Cloudflare

データセンターへ届けます。こうしてトラフィックは、ユーザーや

ネットワークピアリング関係があり、ユーザーからネットワークへの

高速接続を確保できます。すべての街にコーヒーショップがあるようなもので、

誰も遠く歩かずにコーヒーを飲めます。

では、カメラのバックアップはどうでしょうか。

バックアップサービスはサンノゼのデータセンターで動いています。

おそらく Cloudflare も同じデータセンターで自社サーバーを動かしています。

Cloudflare からネットワークスイッチへの直接接続を利用でき、

企業ネットワークをさらに拡張できます。

サーバーがまったく同じデータセンターになくても、

ラックから最も近い Cloudflare データセンターへ

仮想接続を作れます。これですべてがつながりました。

ここに新しいアプリケーションを加えます。

この会社が新しい社内 wiki を立ち上げ、

そのサービスを AWS、つまり Amazon Web Services で動かしているとします。

AWS のプライベートネットワーク全体を接続する必要はありません。

wiki サーバーにソフトウェアエージェントを入れるだけで、Cloudflare へ

安全なトンネルを作り、そのアプリケーションをネットワークに接続します。

そのネットワーク上の誰でもアプリケーションにアクセスできます。Cloudflare のポリシーが

wiki へアクセスできる人を制御し、ユーザーが有効な

資格情報で認証し、保護されたデバイスを使っていることを確認します。

このように、Cloudflare はさまざまなネットワークに接続できます。

物理的なオフィス拠点から、クラウド上の仮想アプリケーションネットワークまで、

データセンターで動くサーバーへの直接接続も可能です。

従来のネットワークアーキテクチャの複雑さの多くは、

Connectivity Cloud に抽象化され、IT やネットワーク管理者の負担が大幅に減ります。

Cloudflare に接続したあとは、トラフィックのルーティングだけではありません。

ファイアウォール、DNS、Load Balancing、DoS 攻撃からの保護、

コンテンツキャッシュなど、ほかにも多くの機能を簡単に有効化できます。

インターネット向けのトラフィックもフィルタし、正規のサイトへのアクセスだけを許可し、

会社データの不安全な転送をブロックできます。

Cloudflare の Connectivity Cloud の柔軟性により、さまざまな

ネットワーク、アプリケーション、ユーザーを接続できます。

従来の企業ネットワークを再現したうえで、

最新の Zero Trust サービスを重ね、ユーザー体験を損なわずに

高いセキュリティを確保できます。ご視聴ありがとうございました。

この動画は、新しい企業ネットワークの構築方法を説明するシリーズの一部です。使うのは

Cloudflare の SASE プラットフォームです。

詳しくは、このシリーズのほかの動画もご覧ください。

こんにちは。Cloudflare の Simon です。

この動画を見つけていただき、おめでとうございます。

アプリケーションセキュリティなど、幅広いトピックも扱っています。

企業ネットワーキングや、インターネット上のあらゆる開発者向け

コンテンツも対象です。オンラインでフォローしてください。ご視聴ありがとうございました。