ゲートウェイセキュリティ見直しの経緯：LANの負荷増大の対処が目的

　国内在住の外国人を中心に、3歳から17歳まで約330人の生徒が学ぶ名古屋国際学園。生徒や教師が校内のどこでも自由に備品のWindows PCやMacなどを利用できるようにするため、LANを中心とするインフラ整備を積極的に進めてきた。

名古屋国際学園の柴田款司氏

　そのLANに掛かる負荷がここ数年で急速に増大し、通信速度が低下してきたという。「LANでP2Pソフトウェアを利用するケースが増加した」ことがその主な理由だ。

　BitTorrentやLimeWireといったP2Pソフトウェアは、ポリシーで利用を禁止している。一方で、Skypeは他校との合同授業や教師同士のコミュニケーションに利用するなど、一律にP2Pソフトウェアの利用を禁止しているわけではない。必然的に、アプリケーション単位での利用制限が必要になる。

　以前導入していた統合脅威管理（UTM）製品のファイアウォール機能は、P2Pソフトウェアの利用を検知する機能はあった。だがポリシーで利用を禁止しているP2Pソフトウェアの通信だけを制限する、といった詳細な制御ができなかったという。加えて、URLフィルタリングも特定のユーザーやグループに対する個別制御ができず、状況に応じたWebサイトの利用制御が行えなかった。

　校舎に備え付けの端末だけでなく、私物のiPadやAndroid端末、ノートPCなどを持ち込むBYODの取り組みを進めていたことも、LANの負荷増大に拍車を掛けた。また、持ち込まれた私物端末をLANに登録したり、接続認証の仕組みもなく、「誰がどういった端末を持ち込んでいるかを管理できない」状況だった。

　こうした課題を解決するために、同校は複数の手段を検討。ゲートウェイセキュリティの見直しに至ったという。

ゲートウェイセキュリティの現状：次世代FWとNACの組み合わせで不正利用を防止

　名古屋国際学園は、パロアルトネットワークスの次世代ファイアウォール「PA-2020」を新たに導入し、ゲートウェイセキュリティシステムの中核に据えた。アプリケーション単位の可視化やユーザーごとの通信制御ができる点、WindowsやMacなど複数端末の混在環境で利用できる点を評価し、PA-2020を選定したという。併せて、私物端末のセキュリティ対策として、オープンソースソフトウェアの検疫ネットワーク（NAC）ツール「PacketFence」を導入した。

　同校が構築したゲートウェイセキュリティシステムの概要は図のようになる。同校のLANは、BYODや校内固有端末が接続するユーザーセグメント、ディレクトリサーバやDNSサーバなどを含むLANサーバファームで構成されており、インターネットに直結するDMZにはEラーニングサーバなどを含む公開サーバファームがある。これら全てのネットワークトラフィックをPA-2020で管理する仕組みだ。

図：名古屋国際学園が構築したゲートウェイセキュリティシステムの概要（出典：ガートナー）《クリックで拡大》

　PA-2020の導入で、誰がどういったアプリケーションを利用しているのかを可視化して制御できるようになった。併せて特定ユーザーやグループに対してURLフィルタリングを施すことが可能になり、「普段は閲覧禁止のWebサイトも、特定の授業ではアクセスさせるといった運用が可能になった」と柴田氏は語る。

　私物端末については、PacketFenceに登録した私物端末のみをLANへ接続させるようにした。無線LANには、ユーザー認証が成立して初めて接続を許可する「キャプティブポータル」の仕組みを設け、不正なユーザーによる接続を防いでいる。

今後の課題：VDIでリモートアクセスを実現

　同校の目下の課題は、「学校の内外から校内のリソースへアクセスできる環境の構築」だと柴田氏は語る。現在はデスクトップ仮想化（VDI）を利用したリモートアクセスの導入を検討しており、仏UlteoのVDI製品を検証中だという。私物端末からの直接印刷は制限し、VDI環境にアクセスさせた後に印刷を可能にする予定だ。併せて、私物端末を充電できる専用の場所を構築するなど、利便性向上のための投資も継続する。