vShield Zonesの場合、インストールや構成は簡単ではあるものの、効率性に課題があることが後になって分かった。クラスタ内の全てのホストにvShield Zonesをインストールする必要があり、全ての仮想マシン（VM）のトラフィックがvShield Zonesを通過する。vShield Zonesの非常に基本的なファイアウォールにVMトラフィックを通すと、パフォーマンスが著しく低下してしまう。このように、ネットワークパケット処理がゲストVMで行われる方式は低速パス（slow-path）モードと呼ばれる。

　私の経験では、vShield Edgeもさえなかった。vShield Edgeは、クラスタ内でVMware vSphere Distributed Switchではなく標準のvSwitchと組み合わせて使った場合の制限に注意したい。例えば、vShield Edgeのポートグループ分離機能をテストしたいとする。これは、VMと外部ネットワークの間に効果的にバリアを作成する優れたセキュリティ機能だ。しかしこの機能は、vSphere Distributed Switchと組み合わせた構成でのみ利用でき、標準のvSwitchと組み合わせた構成では利用できない。また、vShield Edgeは、クラスタ内でほとんど何も行われていないときも、常に大量のネットワークトラフィックを発生させ、CPUリソースを使用するようだった。

オープンソースの選択肢の検討

　私は、VMwareのパートナーが利用する同社のセキュリティ技術「VMware VMsafe」のAPIが、vShield製品の貧弱なパフォーマンスを高めてくれると期待している。VMsafe APIは、ネットワークパケット処理がハイパーバイザーで行われる高速パス（fast-path）型のセキュリティ製品の開発を支援するものだ。だが現時点でも、vShield製品群の代替となる仮想ファイアウォールや侵入防止システム、侵入検知システムといった優れたオープンソースの選択肢がある。

　オープンソースの仮想ファイアウォールや侵入防御システム（IPS）は、小規模な環境や研究室向けの格好の選択肢だ。大手ネットワークベンダーの多くが製品を仮想アプライアンスとして提供しているが、それらは初期コストや保守コストが高額になってしまう。

　VMwareの仮想アプライアンスマーケットである「Virtual Appliance Marketplace」では、多種多様な仮想アプライアンスが見つかる。ただし、このマーケットで提供されるツールの中でどれが本当にオープンソースなのか、検索などの手段を使って調べておくべきだ。

オープンソースの選択肢：仮想ファイアウォール

　私はファイアウォールに関しては、歴史ある定番製品「IPCop」「SmoothWall Express」「m0n0wall」「Vyatta」が気に入っている。これらのツールは強力な保護機能を提供し、Linuxや一部のWindowsカーネルと緊密に協調して機能する。管理用の凝ったGUIは備えていないかもしれないが、パケット検査やNAT、ルール適用といった基本機能を提供する。こうした機能だけで十分な場合もあるだろう。

　さらに、上に挙げた選択肢の多くは、基本機能に加えてSNMPやリバースプロキシ、トラフィックシェーピング、VPNなどもサポートしており、高額な商用製品をしのぐ部分もある。個人的には、米Vyattaが提供する堅牢なオープンソース版のVyatta（同社は商用版も提供している）を好んで使っている。コマンドラインインタフェース（CLI）が、米Cisco Systemsのプロプライエタリ製品で提供されるものと似ているからだ。

オープンソースの選択肢：IPSとIDS

　上に挙げたオープンソースファイアウォールの多くは、仮想IPS機能も提供する。類似のプロプライエタリ製品（例えば、Ciscoが販売する「Cisco ASA」シリーズのネットワークセキュリティアプライアンスなど）はIPSを含む多様な機能を備えるが、費用対効果を考える必要がある。

　IPSの導入を計画している場合、侵入検知システム（IDS）も導入すべきだ。IPSとIDSの違いや、両者がどのように連係して動作するかを知らない人が多い。IPSとIDSが1つのアプライアンスに含まれ、IPSが境界ネットワーク（DMZ）に、IDSが仮想ファイアウォール内のvSwitchに接続されていることが理想だ。

　米Catbird NetworksやフィンランドのStonesoft、米Sourcefireといったベンダーは、IPSとIDSの機能を兼ね備えたアプライアンスを有料で販売している。オープンソースツールでは、成熟した「Snort」（とフロントエンドの「Snorby」の組み合わせ）や「Bro Network Security Monitor」「Suricata」が私のお気に入りだ。私は最近Broを導入し、その機能セットやインストールと構成の容易さに感心した。オープンソースツールがいかに進歩しているかが分かった。Broは私にとって、このカテゴリーのナンバーワン製品だ。

　考慮すべき他の製品としては、「Smooth-Sec」や「SIEM-live」（どちらもSuricataベース）に加え、私もよく使用するブート可能なライブCDがある。例えば「Network Security Toolkit」（ネットワークやセキュリティに携わる人にとって定番中の定番）や「Security Onion」などだ。

　導入や保守のオーバーヘッドコストが掛かる商用の仮想ファイアウォールやIPS／IDSアプライアンスが不要だったり使用したくない場合は、本稿で紹介したオープンソースの選択肢を試してみるとよい。ニーズに合うものが見つかるだろう。