VPNからVPIへ:仮想プライベートインターネットが顧客構内機器(CPE)やエッジ展開のプロビジョニング・保守における出張回数の削減を実現する仕組み
オンプレミス機器は、顧客向けにハードウェアベースのサブネット、セキュリティ、ルーティングなどを構築する上で、通信事業のビジネスに不可欠な要素です。エッジ展開が増加するにつれ、フィールド、エッジ、あるいは顧客の構内にある機器を保守する必要性も高まっています。しかし、顧客構内機器(CPE)の設定、保守、アップグレードのために熟練した技術者を顧客先へ派遣するコストは、特に国内あるいは国際的に広いカバレッジエリアを持つ通信事業者にとって、莫大なものになりかねません。CPEはしばしば高度なセットアップと設定を必要としますが、顧客側にはそのスキルがないため、熟練技術者を現地へ派遣せざるを得なくなります。この必要性は技術者の生産性を大きく低下させます。というのも、CPEの作業に費やす時間に加えて、移動時間も1日のスケジュールに組み込まなければならないからです。
当然ながら、CPEにログインすればよいのではという発想も出てきますが、それには通常、CPE上でポートフォワーディングを設定するか、顧客のファイアウォールに穴を開ける必要があります。多くのIT部門では、ポートの開放や外部アクセスを一切禁止するポリシーを設けています。というのも、ファイアウォールに恒久的な穴を開けることでCPEへのリモートアクセスは容易になる一方、その代償は大きいからです。ハッカーは現在、専用ツールを使えばIPv4アドレス空間全体を約1時間でスキャンでき、デバイスを発見すればクラッキングツールで容易にそのデバイスを調査し、開いている通信ポートを悪用できてしまいます。
一方で、CPEを顧客のファイアウォールの内側に置いてしまうと、通信事業者にとって利便性が高く時間を節約できるリモートアクセスができなくなります。では、通信会社はどうすればよいのでしょうか。
考えられる解決策の一つは、顧客が通信事業者に対してVPNアクセスを拡張することです。しかし、これには顧客側にVPN戦略が必要であり、多くの中小企業はそれを持っていません。また、LANやWANへのアクセス権限を管理するにはある程度の高度な知識が必要であり、VPNが侵害された場合には顧客ネットワークの広範な部分が不正アクセスにさらされる恐れがあります。
さらに重要なのは、接続ソリューションとしてますます注目を集めているモバイルネットワークは、通常VPNとは相性が良くないという点です。PCIなどの規制基準への準拠を確保するため、グローバルIPアドレスではなく、よりセキュアなキャリアグレードNAT(CG-NAT)がデフォルトとなっているためです。
近年、こうしたセキュアなリモートアクセスに関して、VPNの能力を上回る新しい技術が登場しました。それが仮想プライベートインターネット(VPI)ソフトウェアです。
VPIかVPNか?
仮想プライベートインターネットは、いくつかの点でVPNとは異なります。
- CG-NATを含むモバイルネットワーク上でも動作します。
- インターネットと保護対象デバイスの間の通信を監視・スクリーニングするアプライアンスが存在しません。
- 接続の許可はポート、サービス、デバイスに明示的に紐付けられ、トラフィックの流れを規定された「専用レーン」に厳密に制限します。
- トラフィックは直接接続、またはVPIルーティングサービスによって制御されるピアツーピアトンネルを通じて流れるため、VPIデバイスは明示的に許可されたポート、サービス、デバイスにしかアクセスできません。
- 接続されたデバイスは、複数の内部ネットワークに同時に安全にプロビジョニングできます。
TCP/IPには、核戦争を生き延びるために設計されたプロトコルという出自から受け継がれた、根本的な「協調性」が組み込まれています。デバイスはネットワーク上でブロードキャストされる他のデバイスに応答するため、接続を確立できるのです。しかし、セキュリティを重視するシナリオでは、リクエストに応答すること自体がそのデバイスをハッカーの標的として特定させてしまうため、これは望ましくありません。
VPI上のトラフィックはルーティングテーブルによって管理され、TCP/IPと同様にパケットのブロードキャストや転送によって制御されるため、VPI対応デバイスはTCP/IPメッセージへの自動応答を停止し、いわゆる「ドロップステート」に切り替えることができます。これにより、ハッカーが使うIPスキャンやポートスキャンに対してデバイスを事実上見えない状態にします。DDoS攻撃やインターネットワームも、ドロップステートにあるVPIデバイスには影響を与えません。デバイスが悪意あるトラフィックに応答しないためです。同時に、そのデバイスはVPI上で許可されている他のデバイスとの通信は引き続き行うことができます。
VPIが通信事業者のコストを削減する理由
通信事業者は、熟練技術者を顧客サイトへ派遣することに伴う多大なコストを抱えています。移動時間に加え、移動スケジュールに起因するサービスの遅延が顧客の不満を招きます。VPN、セキュアシェル(SSH)、リモートデスクトップソリューションはいずれも、機能させるためには顧客サイトのセキュリティに穴を開けなければなりません。そのため、これまで通信会社はリモート保守のメリットを享受できずにいました。
VPIは、デバイスや顧客ネットワークを侵入者にさらすことなく、通信会社がハードウェアと通信するための安全な方法を提供します。現地機器への安全なアクセス手段が確保されることで、通信会社は顧客サイトへの派遣を減らし、対応時間を短縮でき、コストの削減と顧客満足度の向上につながります。数千の顧客サイトを抱える通信事業者にとっては、従業員の移動時間を何千時間も削減でき、対応時間の短縮を通じて顧客満足度にも広く良い影響を与えます。
通信業界には、VPIによって助けられる極端なケースもあります。通信事業者がワイヤレス基地局を製造する場合、セキュリティ上の理由から、その基地局はインターネットトラフィックを通過・ルーティングしていてもインターネットには接続されていません。このようなシナリオでは、常に技術者を現地へ派遣しなければなりません。しかし、WiFiまたはLTEに対応したモバイルデバイスにVPIソフトウェアをインストールしておけば、より経験の浅い技術者や熟練度の低い担当者でも基地局のサイトへ赴き、VPIデバイスを基地局に接続し、自分のLTEデバイスを使って一時的にセキュアなVPI接続を確立できます。これを通じて、より熟練した技術者がリモートで基地局にアクセスし、保守作業を行うことができます。保守が完了すると、経験の浅い技術者はデバイスを取り外し、基地局を再びインターネット上のハッカーからの露出から遮断します。これは事実上、エアギャップを作り出していることになります。
高度なスキルを持つ技術者の移動時間が減少
通信会社はすでにVPIソリューションを活用し、技術者がリモートでアクセスできる、安全で見えない、管理された接続をCPEに対して実現しています。また、WiFiまたはLTEに対応したVPI搭載デバイスを使って、エアギャップされた機器を一時的にセキュアなVPIネットワークに接続し、熟練した技術者がリモートでその機器にアクセスして作業できるようにしている企業もあります。こうしたケースをはじめとするさまざまな場面で、通信事業者はより迅速に対応し、出張コストを削減し、最も貴重な技術者の時間をトラックの中で座っている代わりにCPEの作業へ充てられるようになっています。
BullsEye TelecomがどのようにRemote.itのVPIを活用しているかについてのプレスリリースは、こちらからお読みいただけます。
BullsEye Telecomのケーススタディは、こちらからお読みいただけます。