SSL（Secure Sockets Layer） VPNに対する関心が再び高まっており、ある調査会社によると、配備計画を詳細に検討することにより、どのようなタイプの製品スイートがユーザー企業のニーズに合っているのかを判断すべき時が来たという。

　2005年上半期には、早期導入企業が一斉にSSL VPNに飛びついたが、このブームは半年で下火になった。米調査会社フォレスターリサーチの推定によると、昨年末の時点で、SSL VPN技術を積極的に利用している、あるいは導入を検討していたのは、大企業の50％だった。

　しかしここにきて、早期導入企業に倣ってSSL VPNを検討あるいは導入する企業が増えている。これは、同技術への関心が再び盛り上がっていることを示している。こういった状況の中、フォレスターリサーチでは、企業がSSL VPN製品あるいは特定のベンダーを選定する前に確認すべき3つの重要なチェックポイントを示した。

　「How To Choose An SSL VPN in Three Easy Steps」（3つの簡単なステップでSSL VPNを選ぶ方法）と題された最近のリポートの中で、フォレスターのアナリスト、ロバート・ホワイトリー氏は、各企業の個別ニーズと利用形態に応じて、どのような製品を配備すべきか、そしてどのベンダーがそれぞれのニーズに対応した製品を提供しているのかについて述べている。

　SSL VPNは基本的に、リモートデバイスにVPNクライアントソフトをインストールせずに利用できるVPNである。リモートユーザーは、任意のノートPCあるいはデスクトップPCからブラウザ経由でセキュアなコネクションを確立することができる。

　ホワイトリー氏によると、SSL VPNを導入した企業の間には、2つの異なる考え方が存在するという。1つはユーザーに主眼を置く考え方で、もう1つはアプリケーションに主眼を置く考え方だ。導入を検討している企業は、どちらに主眼を置くのかということを最初に決定しなければならない。

　ユーザーを主眼に置いたアプローチは、ネットワークへの透過的なフルアクセスをリモートユーザーに提供するもので、ユーザーはLAN内にいるような感覚でリモートネットワークにアクセスできる。このタイプの配備用のVPN製品は一般に、1台のアプライアンス内にIPsecとSSL VPNの両方のターミネーション機能を備え、強力なエンドポイントセキュリティとネットワークアクセスコントロール（NAC）技術を搭載している。ユーザー主体型製品の分野のベンダーの多くは、各種ネットワーキングツール（ルータ、イーサネットスイッチ、オールインワン型セキュリティアプライアンスなど）のオプション機能としてSSL VPNを提供している。

　ホワイトリー氏によると、ユーザー主体型製品の分野では、シスコシステムズの「VPN 3000コンセントレータ」、ジュニパーネットワークスの「Secure Access」アプライアンス、ノーテルネットワークスの「VPN Router」、APネットワークスの製品などがある。

　一方、アプリケーション主体型のアプローチは、アプリケーションの配信にフォーカスしている企業に向いている。ホワイトリー氏によると、アプリケーション主体型のSSL VPN製品は、バックエンドのアプリケーション連携を重視し、Webブラウザなどを利用した純粋なクライアントレスモードにおいて優れたアクセス性を提供するという。

　アプリケーション主体型のSSL VPN製品は、エンドポイントのセキュリティ機能を組み込んでいるが、ポリシー管理に重点を置いている。これらの製品は、ユーザー主体型のSSL VPNよりも直感的なユーザーインタフェースと強力な管理機能を備えている。アプリケーション主体型SSL VPN市場の主要な製品としては、アベナルの「EX」シリーズ、シトリックスシステムズの「Access Gateway」、F5ネットワークスの「FirePass」、ホエールコミュニケーションズの「Intelligent Application Gateway」、ペルメオの製品などがある。

　「両者の違いはわずかだが、企業は最初にこの点を確認した上で、SSL VPN配備の基本的方向性を決定する必要がある」とホワイトリー氏は述べている。

　「ネットワーキングやWANを担当するスタッフが購入の決定権を持っているのであれば、ユーザー主体型デバイスからスタートするのがいいだろう。アプリケーショングループ（個別業務部門が主導するものを含む）やリモートアクセス担当者、あるいはエンタープライズモビリティ構想がプロジェクトをけん引しているのであれば、アプリケーション主体型のデバイスからスタートするのがいい」（同氏）

　ユーザーあるいはアプリケーションのどちらを主眼に置いて配備するのかという問題が解決したら、次はエンドポイントのセキュリティメカニズムをどのように実装するのかを決めなければならない。これは、連携方式と組み込み方式のどちらを採用するのかという選択である。

　フォレスターでは、エンドポイントセキュリティを次の3つの主要コンポーネントに分類している。

• 基本的なホストチェック機能――エンドデバイスをスキャンし、ウイルス対策ソフト、パーソナルファイアウォール、OSのパッチなどのソフトウェアがインストール／更新されていることを確認する機能である。
• キャッシュクリーナー――ダウンロードしたファイルおよびcookieのブラウザキャッシュを消去するために用いられる。
• セッション暗号化――Javaなどを利用して仮想「サンドボックス」を構築することにより、VPNセッション中のすべてのアクティビティが隔離／暗号化され、ユーザーがログアウトすると、これらのアクティビティが削除される。

　ホワイトリー氏によると、ほとんどのSSL VPN製品は事前認証のための基本的なホストチェック機能を備えるが、高度なキャッシュクリーニングや暗号化されたサンドボックスといった複雑なセキュリティ技術を利用するには、サイゲート、チェックポイントソフトウェア、トラストデジタルなどのサードパーティーベンダーが提供しているツールと連携する必要があるという。連携型エンドポイントセキュリティは広範なオプションを提供する反面、手作業による構成が必要とされる。また、ポリシーの設定ミスのせいで労力とコストが余計に掛かる可能性もある。

　「ベンダー各社は、連携に必要なメカニズムは提供すると宣伝している」とホワイトリー氏は述べている。同氏の推定によれば、約70％の企業がSSL VPNで連携型エンドポイントセキュリティを利用している。

　一方、エンドポイントセキュリティがアプライアンスに組み込まれているタイプもある。組み込み型ツールには、単一の管理コンソールからすべてのアクセスコントロールが行える効率的なポリシー構成を備えるものが多い。しかし問題もある。組み込み型製品を選択した企業は、ベンダーが提供する製品に縛られ、タイムリーなセキュリティ強化の提供という面でもそのベンダーに依存しなければならないということだ。また、すでにシスコ、マカフィー、シマンテックなどのベンダーのNAC製品を配備済みの企業の場合、組み込み型ソリューションによって機能が重複する可能性もある。

　「最終的には、ベストオブブリード方式でセキュリティ製品をそろえる（そのために多少割高になってもよしとする）のか、使い勝手と簡易性の方を重視するのかを決めなければならない」とホワイトリー氏は記している。「連携型と組み込み型のエンドポイントセキュリティは、それぞれ前者と後者を優先するアプローチである」

　SSL VPNで何に主眼を置くか、そしてどのタイプのエンドポイントセキュリティを採用するかという問題が片付いたら、最後に残された問題は1つだ。「何人の従業員がセキュアなリモートアクセスを必要とするのか」ということだ。

　フォレスターでは、同時接続ユーザーが2000人以下の場合を小規模配備として分類している。ホワイトリー氏は、「SSL VPNは多数のユーザーをサポートするとベンダーは宣伝しているが、アプライアンスの能力の限界まで使用すべきではない」と警告する。企業は原則として、スタッフの10％が同時アクセスを必要とすると想定すればいい、とフォレスターはアドバイスしている。小規模配備の場合でも、将来的なスタッフの増加も見込んでおく必要がある。

　一方、大規模配備を想定した製品の場合、1台のボックスで2000人以上の同時接続ユーザーを処理することが可能だ。F5ネットワークスの「BIG-IP」などの本格的なアプリケーションアクセラレーション装置の多くは、大規模配備用のSSL VPNを提供している。例えば、BIG-IPにはFirePass SSL VPNが備わっている。

　「一般的な企業の場合、リモートアクセスユーザーはそれほど多くない」とホワイトリー氏は話す。

（この記事は2006年3月16日に掲載されたものを翻訳しました。）