なぜ今「ネットワーク分離」なのか【第3回】

図解で分かる、「ネットワーク分離」を実現する製品／技術はこれだ（1/3 ページ）

ネットワーク分離を実現するためには、どのような製品／技術が必要になるのか。具体的な製品／技術を挙げながら解説する。

公開 2016年12月09日 09時00分

更新 2017年04月12日 19時48分

著者

村上努

松隈基至

[ユニアデックス]

印刷する連載新着通知を受け取る

　前回「ネットワーク分離で困る人が続出する『ファイル受け渡し問題』を解決するには？」まで、インターネットとLANとを分離する「ネットワーク分離」の効果と、利便性とセキュリティの双方を維持しながらネットワーク分離を進めるために必要なシステム要素を説明してきた。

　連載第3回に当たる今回は、ネットワーク分離をより明確にイメージしていただくために、具体的な製品／サービスを例に取りながら、ネットワーク分離の具体的なシステム構成を説明していく。その上で、ネットワーク分離の運用において発生し得る疑問についても答えていく。

併せて読みたいお薦め記事

連載：なぜ今「ネットワーク分離」なのか

標的型攻撃にどう挑むか

仮想的なネットワーク分離に中核要素「クライアント仮想化」

　以下の図1 には、本連載で中心的に解説してきた「仮想的なネットワーク分離」を構成するための製品分野を示した。インターネットセグメント（インターネットに直結したネットワークセグメント）の中核要素となるのが、デスクトップやアプリケーションといったクライアント環境を仮想化する「クライアント仮想化」製品だ。

図1　仮想的なネットワーク分離を構成するための製品分野《クリックで拡大》

　クライアント仮想化を実現する主要な手段としては「仮想デスクトップ」および「リモートデスクトップ」を実現する製品分野が挙げられる。

仮想デスクトップを実現する主要な製品分野

　仮想デスクトップを実現するには、VMwareの「VMware Horizon」や Citrix Systemsの「Citrix XenDesktop」、Microsoftの「Microsoft VDI」（サーバOS「Windows Server」の機能）などの「デスクトップ仮想化」製品がある。各仮想デスクトップの稼働にはデスクトップ仮想化製品の他に、ハイパーバイザーを含む「サーバ仮想化」製品が必要になる。主要なサーバ仮想化製品には、VMwareの「VMware vSphere」やCitrix Systemsの「Citrix XenServer」、そしてMicrosoftの「Hyper-V」（Windows Serverの機能）がある。

リモートデスクトップを実現する主要な製品分野

　リモートデスクトップは仮想化技術というより「マルチユーザー」と呼ばれる技術で、1つのOSに対して複数のエンドユーザーがそれぞれのセッションを確立する。サーバで稼働するデスクトップの画面情報をクライアント端末へ転送する「デスクトップ公開」と、デスクトップ全体を配信するのではなく、サーバで稼働するアプリケーションの画面情報をクライアント端末へ転送する「アプリケーション公開」といった機能がある。主要な製品としては、VMware HorizonのRDSH（リモートデスクトップセッションホスト）関連機能やCitrix Systemsの「Citrix XenApp」、Microsoftの「リモートデスクトップサービス」（RDS）などが挙げられる。

　インターネットセグメントで稼働するWebブラウザやインターネットメールの画面を業務セグメントに転送する方法を取るのが一般的だ。

Webサイトの「プリンタ」問題にも対処

　ネットワーク分離環境では、Webブラウザはインターネットセグメントで稼働させる。そのためWebサイトの画面を印刷する際、プリンタはインターネットセグメントからアクセス可能にする必要がある。だが通常であれば、プリンタはインターネット以外の情報システムやクライアントPCがある業務セグメントに置くのが基本だ。Webサイト用だけに、別途プリンタを導入するのは無駄が多い。

　単純な選択肢として、両ネットワークセグメント間を隔てるファイアウォールに印刷用のポートを開放し、インターネットセグメントのサーバと、業務セグメントにあるプリンタをプリントサーバ（ネットワーク経由で複数の端末からプリンタを利用可能にするサーバ）を介して接続するという手段がある。だがこの方法を取ると、プリントサーバを介してインターネットセグメントと業務セグメントを接続することになり、ネットワーク分離のそもそもの目的に反する。

　主要な仮想デスクトップ製品やリモートデスクトップ製品は、画面情報に加えて印刷データもサーバから業務セグメントのクライアントPCへ転送し、クライアントPC側に接続した業務セグメントのプリンタで印刷できるようになる。この機能を使えば、ファイアウォールに余分なポートを開けることなく、業務セグメントのプリンタでWebサイトを印刷できる。

次ページへ必要なセキュリティ対策をネットワークセグメントごとに整理