セキュリティゲートウェイの役割はその名の通り、通信やデータを安全にするための門番である。安全にするための方法は幾つかあるが、基本的には信頼できない外部のネットワーク（インターネットなど）からのアクセスを防ぐことが第一の役割となる。

　今やネットワークにはあらゆるものがつながっている。残念ながら本来のインターネットのあるべき姿であるオープンなネットワークは、攻撃者にとってもオープンな場となってしまった。そのため、特に企業など組織のデータを守るためには、これらセキュリティゲートウェイの導入が欠かせない。

　セキュリティゲートウェイの選定に際して、機能が重要な項目になることは間違いない。ただ厄介なのは、セキュリティゲートウェイには、セキュリティ機能を重視するとデータ通信のパフォーマンスが下がるというトレードオフの傾向がある点だ。

　セキュリティ機能にもベンダーごとにそれぞれの特徴があるため、カタログだけで製品の特質を見極めることは難しい。筆者が従事している検証サービス「@benchmark」でも、セキュリティゲートウェイの検証依頼が増えており、多くの種類のテストを実施している。実際のベンチマークテストリポートを見ながら、カタログには記載されないセキュリティゲートウェイの真の実力値を読み解いていこう。

セキュリティゲートウェイの動作イメージ

　ネットワーク設計上、セキュリティゲートウェイが置かれるのはネットワークの出入口となるポイントである。そのため、セキュリティゲートウェイの処理能力（パフォーマンス）が低いと、ユーザーが利用するネットワークの速度も落ちてしまう。

セキュリティゲートウェイの評価項目

　セキュリティゲートウェイ単体のパフォーマンスと動作は、以下の視点で見ていく必要がある。

• UDPスループット（RFC 2544テスト）
• TCP新規コネクション数／秒
• トラフィック速度
• プロトコルによるパフォーマンス差分
• 既知の攻撃シナリオのブロック率
• マルウェア検体のブロック率

　セキュリティゲートウェイにおけるどのパフォーマンスを重視すべきかは、利用目的によって変わってくる。そして、製品カタログにどのスペックが記載されるかも、実はまちまちである。そんなときこそ、実際の計測値であるベンチマークリポートの出番となる。

　以下、各項目について解説する。

UDPスループット（RFC 2544テスト）

　セキュリティゲートウェイは主にコネクション型トラフィックを処理するネットワーク機器なので、試験するテスターにはコネクション型トラフィックの送信機能が必要である（詳細は前回「スイッチやルータとは違う、『ロードバランサ』の実力の見どころ」の記事を参照）。ただし、アプリケーションによってはコネクションレス型のUDPパケットを用いた通信もあるため、スイッチやルータのパフォーマンスを測るときと同じく、セキュリティゲートウェイにもUDPスループットのテスト（RFC 2544テスト）を実施することが多い。結果を見てみよう。

図1 スループット試験のスタンダードであるRFC 2544テストを実施

図2　NAT機能有効時のUDPスループットテスト結果

※　グラフ左軸のfpsは1筐体当たりの全処理数で、右軸の％はポート当たりのUDPスループット

　セキュリティゲートウェイに対するUDPスループットテストでは、機種によっては図2のように20％以下となるなど、スイッチ（第3回「スループットの計測はテストの前提条件に注目せよ」参照）と比べて驚くほど低い結果が出ることもある。これはスイッチとセキュリティゲートウェイとでは機器内部でのパケットの処理の仕方が全く異なるためである。セキュリティゲートウェイはIPアドレスだけではなく、TCP／UDPポート番号や上位のアプリケーションを識別するためにパケットの内部まで調査してその情報を保持している。つまりパケット当たりのCPU処理の負荷が非常に大きいために、UDPスループットはスイッチと比べて低くなる傾向にある。

TCP新規コネクション数／秒

　「TCP新規コネクション数／秒」は、セキュリティゲートウェイが1秒当たりどれだけの新規リクエストを処理できるかを測る指標となる。図2は最小機能のファイアウォールとして動作させたときと、他のセキュリティ機能を一緒に動作させたときにどれだけパフォーマンスが下がるかを見るため、同じグラフにまとめた。セキュリティゲートウェイを通過するパケットの中身まで確認する機能（Deep Inspection）を有効にし、かつアンチウイルス機能を有効にするとパフォーマンスが下がるのが見てとれる。

　製品の選定時には、カタログスペックに記載の数値は、どのセキュリティ機能を有効にしたときの数値かを確認する必要があるだろう。

　セキュリティゲートウェイは、セキュリティ機能ごとのパフォーマンス差が大きい。製品を比較する場合、導入後に実際に使用するセキュリティ機能を有効にしたときのパフォーマンスを確認するように心掛けてほしい。

図3　テスタがコネクション型トラフィックを送信する必要があるため、一般的には上記の構成で試験する

図4　実行するセキュリティ機能ごとのTCP新規コネクション数／秒

トラフィック速度

　セキュリティゲートウェイを介したクライアント―サーバ間、またはクライアント間の通信で、単位時間当たり最大どれだけのトラフィックを流すことができるか（トラフィック速度）も大事なスペックとなる。こちらも上記と同様に、デフォルトのファイアウォール機能のみのトラフィック速度、と他のセキュリティ機能を有効にしたときのトラフィック速度を同じグラフにまとめた。

　パケットインスペクションとアンチウイルス機能を有効にするとトラフィック速度が低下するのが分かる。

図5　実行するセキュリティ機能ごとのトラフィック速度

　セキュリティゲートウェイはネットワークの出入口のトラフィックを監視し、外部からの攻撃を未然に防ぐ大事な門番となる。

　ベンダーが提供する情報に加えて、テストリポートから読み取れる真の実力値を基に、正しい機器選定につなげてほしい。