• BPnet
  • ビジネス
  • IT
  • テクノロジー
  • 医療
  • 建設・不動産
  • TRENDY
  • WOMAN
  • ショッピング
  • 転職
  • ナショジオ
  • 日経電子版
  • PR

  • PR

  • PR

  • PR

  • PR

1週間で学ぶネットワークの要点

失敗しないインターネットVPN構築術(2) 第2回

スター型なら拠点の追加が楽,う回は割り切って手動切り替え

大島耕二・鈴木利秋 2003/05/07 日経コミュニケーション

大島 耕二氏 ネットマークス ネットワークセキュリティ事業部 セキュリティ技術室長
鈴木 利秋氏 ネットマークス エンタープライズソリューション事業部 コンサルティング&プロジェクト マネージメントグループマネージャー

図2 A社は暗号方式に3DES,VPN装置の認証方式に固定鍵方式を採用
暗号の強度と処理負荷によるスループットへの影響はトレード・オフの関係にある。ただし,A社の採用したVPN装置は暗号処理をハードウエアで実装しており,影響がないことを確認。認証方式は,鍵管理に慎重さが要求されるが,機器を予備機に換えてもすぐに運用できる「既知の固定鍵」を使う方式を採用した。

疑似環境でスループットを確認

 次にA社は,各拠点にVPN環境を構築するにあたって,採用する暗号化方式や認証方式を検討した。インターネットVPNは,(1)2地点間で通信する相手を確認する認証,(2)インターネット網の上にトンネルを設定するためのIPカプセル化,(3)カプセル化するパケットの盗聴・改ざんを防ぐための暗号化――で実現する。

 このうち暗号化は,VPN装置では主にDES3DESAESの3種類が採用されている。AESは強固な暗号方式だが,対応製品が少なく,製品の選択肢が狭くなるため検討から除外した(図2[拡大表示])。

 3DESは,DESよりも暗号強度が高く,VPN装置で最も普及しているため,最有力候補になった。ただし,支社や営業所でも,インターネットの接続環境は通信速度が数Mビット/秒のADSL(asymmetric digital subscriber line)に移行している。暗号強度が強い分,スループットの低下が懸念された。

 そこでA社は,採用を検討したVPN装置のスループットを疑似環境で測定。10Mビット/秒の通信速度でも問題ないことを確認した。そのVPN装置は暗号をハードウエアで処理することで,スループットを高めていたからだ。

鍵管理が容易な証明書方式が候補に

 次にA社は,通信相手となる機器の認証方式を検討した。一般にVPN装置は,認証によって相手側が正しい機器であることを確認できてから,パケットの暗号化に使う鍵を交換する。この認証方式として,(1)あらかじめ機器に設定した既知の固定鍵(pre shared key)を使う方法,(2)公開鍵暗号方式に基づく電子証明書を使う方法――の2通りが候補に挙がった。

 pre shared key方式は,機器に設定された鍵が同一であると,通信相手を正しいと認証する。メリットは,機器に手軽に設定して利用できる点だ。しかしpre shared keyには,VPNトンネルの数だけ鍵が必要,ユーザーの責任で安全に鍵を管理する必要がある――というデメリットがある。

 これに対して電子証明書方式は,ユーザーが独自のCAを構築する必要があるものの,扱う鍵データは機器の数だけでよく,かつ安全に管理できるメリットがある。

 A社にCAの運用ノウハウはないが,社内決済の電子化など様々な用途に活用できることから,電子証明書方式を採用する方向で詳細検討に入った。

障害時を考慮し固定鍵方式を選択

 しかし検討が進むと,A社の運用体制では,電子証明書方式の採用に問題があることが判明。A社はpre shared key方式の採用に方針転換した。

 電子証明書方式で判明した問題点とは,障害時などに機器を交換する場合,復旧までに時間がかかることである。機器交換時には,改めて秘密鍵と公開鍵のペアを作成し,その公開鍵に対して証明書を発行するからだ。夜間や休日に機器に障害が発生すると,CAの運用担当者が出社するまで,ネットワークを復旧できない。システム部のスタッフが限られ,支社では装置などの冗長構成を採らないA社の場合,この欠点は致命的だ。

 一方,pre shared key方式は,ネットワーク担当者が機器を交換し,既存のpre shared keyを新しい機器に設定すれば,ネットワークを復旧できる。

 暗号化方式に3DES,認証にpre shared key方式の採用が決まったことで,A社はVPN装置の選定・導入に踏み切れた。

あなたにお薦め

連載新着

連載目次を見る

今のおすすめ記事

  • 【ニュース解説】

    物流ピンチを商機に、三井不動産がロボット倉庫

     三井不動産は2017年9月13日、倉庫業務を効率化するためのIT関連設備・機器、システムなどを紹介するショールームを千葉県船橋市の同社倉庫内に新設した。自動倉庫システムなど、ITを活用した16種類の設備や機器類を実演展示。コンサルティングも提供して物流業者や荷主企業の取り込みを図る考えだ。

ITpro SPECIALPR

What’s New!

経営

アプリケーション/DB/ミドルウエア

クラウド

運用管理

設計/開発

サーバー/ストレージ

ネットワーク/通信サービス

セキュリティ

もっと見る