WestJet AirlinesのITセキュリティ技術専門家のリチャード・シリト氏は次のように話す。「当社のネットワークインフラでは、DMZ、内部ゾーン、セキュアゾーンといういわゆる伝統的なモデルを採用していた。このモデルは、アプリケーションが明確に分離されている場合や、ユーザーがDMZ経由でアプリケーションにアクセスした後にネットワークから切断する場合には問題なく機能していた」

　WestJet Airlinesのデータセンターは変化していた。同社は、ビジネスプロセスを自動化するために、アプリケーションを統合することを望んでいた。アプリケーションを統合した場合、ハイパーバイザーホストと仮想マシン（VM）の間で発生するトラフィックの増加は避けられなかった。

　この構想を実現するに当たり、既存のセキュリティアーキテクチャにはパフォーマンスと管理の面で障壁があったとシリト氏はいう。WestJet Airlinesがデータセンターに設定していた全てのセグメンテーションを考慮すると、アプリケーションの統合を行うには、セキュリティゾーン間で多数のルーティングやファイアウォールの規則を実装する必要があった。それから、その結果、ネットワークに多数の追加ホップが作成されることも予想された。

　「基本的にデータセンターネットワークのコアファイアウォールと同じファイアウォールを実装しなければならなかった。サービスを切り替えるときには、必ずネットワークのコアファイアウォールにトラフィックを送信してコア外に出してファイアウォールに到達させ、コアに戻して再配布を行うという手続きを踏む必要があった」とシリト氏は話す。

　さらに、WestJet Airlinesは、各ホストのVM間トラフィックがコアファイアウォールにルーティングされることを保証できるテクノロジーを求めていた。

マイクロセグメンテーション：NSXの評価結果

　WestJet Airlinesは、同社が抱える問題の解決策としてNSXの評価を開始した。NSXは仮想データセンターの接続のプロビジョニングを自動化できる製品だ。シリト氏は、NSXに新しいネットワークセグメンテーションの方法が備わっていることにすぐ気付いた。VMwareは、NSXの早期導入顧客の多くがNSXのマイクロセグメンテーション機能に魅力を感じていたことを明らかにしている。

　「NSXのメリットは、NSXがハイパーバイザーに密接に組み込まれているために、分散ファイアウォールや分散ルーティングを利用できることだ。これは、パフォーマンスの問題を解決できる設計だ。

　また、ネットワークとセキュリティを分離することもできる。NSX Service Composerでネットワークセキュリティポリシーを定義したときには、ネットワーク担当者が仮想ネットワークを構築する前に、セキュリティゾーンを明確にし、全てのポリシーを設定することができた。そのため、必要な作業は、ネットワークチームに『そのスイッチを作成するときには、このグループにスイッチを含めてくれ』と言うだけだった。この手間も、そのうちなくなるだろう。ネットワークにセキュリティポリシーを関連付けなくてもよい戦略があるため、VMにポリシーを直接関連付けることができる」（シリト氏）

NSXでセキュリティとネットワーク仮想化を運用可能にする

　WestJet Airlinesが既存の米Cisco Systemsの「Cisco Nexus」にNSXを導入して運用を開始したときにも、シリト氏は幾つかの課題が残っていることを認識していた。1つは、IT部門が新しいテクノロジーを運用できるようにすることだ。

　シリト氏は「これは、このようなパラダイムシフトが起こったときに組織が直面する本当の課題の1つになる。ファイアウォールが問題を引き起こしていると考えられる事象が発生したことがある。そのときは、VMwareのハイパーバイザーをサポートするデータセンター運用担当者、ネットワーク担当者、ファイアウォール担当者で電話会議を行った。これだけの担当者が会議に出席する必要があったことは、これが大きなパラダイムシフトだということを浮き彫りにした」と話す。

　この新しい仮想データセンターの運用をサポートするために、WestJet Airlinesは職務上の枠を超えた仮想チームを編成した。一方、同社のエンタープライズアーキテクトは、ソフトウェア定義データセンターをサポートする高度なモデルを考案するために、データセンターの運用について研究を進めている。

　また、サードパーティー製ネットワークセキュリティ機器とレガシーベアメタルアプリケーションをNSXを中心としたネットワークに統合するVMwareのアプローチにも成熟が求められている。

　「全てのコンポーネントはそろっている。ベンダーが目指している方向も正しいだろう。課題となるのは、ポリシー適用の部分だ。接続性はその1つだ。だが、セキュリティと適切なセグメンテーションが全ての場合、複数のベンダーとプラットフォームにセグメンテーションを適用できるようにする必要がある。そのために求められるのは、異なる複数のテクノロジーにポリシーを適用するためのなんらかの中心的な論理を用意して、『このポリシーを各デバイスに最適な方法で適用してもらいたい』と言うことだ」とシリト氏はいう。