2026.06.05 2026.06.14

【SASEとは】SASEの仕組み

buffoon

前提：通信の本質を「2つの方向」で整理する

SASEの複雑な仕組みを紐解く前に、企業の通信を「誰がどこにアクセスするか」という本質的な2つの方向に整理します。この2つの経路によって、SD-WANとSSEの主役が入れ替わります。

インターネット向けの通信（外向き）：拠点やリモート環境から、Microsoft 365などのSaaSや一般Webサイトへ抜ける通信。
- 課題： トラフィックの爆発と、未知の脅威への対策。
社内通信（内向き）：拠点間（拠点 ⇄ 本社/DC）、またはリモート環境から拠点（リモート ⇄ 本社/DC）の社内システムへアクセスする通信。
- 課題： 拠点の安全な相互接続と、社外からの安全なリモートアクセス（ゼロトラスト化）。

SASEの仕組みは「動的なトンネル転送」である

上記2つの通信を最適化・安全化するため、拠点のSD-WANルータ（エッジ）やリモート端末と、クラウド上のSSE（セキュリティのPOP）の間で、安全かつ最適なトンネル（IPsec/GRE/ZTNAトンネル）を張り、そこに通信を動的に流し込む仕組みこそがSASEの本質である、と結論付けます。

前半：【インターネット向け通信】の仕組み

まずは「インターネット向けの通信」が、SD-WANとSSEの連携によってどう処理されるかを見ていきます。

SD-WANによる「トラフィックの識別と経路選択（LBO）」

アプリケーション識別（DPI：Deep Packet Inspection）： ユーザーがPCから通信を発生させた際、SD-WANルータはそれが「Microsoft 365」なのか「YouTube」なのか「社内システム」なのかをパケットのヘッダやシグネチャから瞬時に見分けます。
動的なポリシー制御： 事前に設定したポリシーに基づき、例えば以下のようなインテリジェントな経路選択（ルーティング）をエッジ装置が行います。
- リアルタイム性が求められ、かつセキュリティリスクの低い既知のSaaSへの通信は、拠点のインターネット回線から直接転送する（LBO）
- それ以外のカテゴライズされないインターネット向けの未知のWeb通信やM365 / BOX等、特定のSaaS通信はSSEへ転送する（SSE転送）

SD-WANからSSEへの「安全なカプセル化（転送）」

自動トンネル構築： SD-WANエッジは、最寄りのSSEの接続ポイント（POP：Point of Presence）に対して、IPsecやGREといった暗号化トンネルを常時（あるいは動的に）確立しています。
サービスチェイニング： 拠点から出たパケットは、このトンネルによってカプセル化され、インターネット上の悪意ある第三者に盗聴されない状態で、安全にSSEのクラウド検問所へと送り届けられる仕組みです。

SSEによる「パケットのインライン処理と検査」

透過的プロキシ処理： SSEに到達したパケットは、一度カプセル化を解かれ、ユーザーに意識させることなく（透過的に）セキュリティ検査にかけられます。
シングルパス・アーキテクチャ（並列処理）： 届いたパケットに対して、「URLフィルタ」「クラウド制御」「アンチウイルス」「サンドボックス」などの検査を実行します。これにより、高度なセキュリティを掛けつつも、通信の遅延（レイテンシ）を極限まで減らします。
判定とパケット解放： 安全だと判定されたパケットだけが、本来の宛先（各種SaaSやインターネット）へと解放されます。

後半：【社内通信】の仕組み（拠点間＆リモート ➔ 社内）

次に「社内通信」の仕組みです。ここからはネットワークの相互接続（SD-WAN）と、社外からの安全なアクセス（ZTNA）の組み合わせが本領を発揮します。

拠点間の社内通信：SD-WANによるメッシュ接続

フルメッシュVPNの自動構築： 拠点から本社やデータセンター（DC）への社内通信は、SD-WANエッジ同士が自動的に構築するオーバーレイ（IPsec VPN）ネットワークを経由します。閉域網やインターネット回線を束ね、最も品質の良い経路を動的に選択してパケットを届けます。

リモート（社外）から社内への通信：ZTNAとSD-WANの連携

社外（自宅や外出先）から社内のリソースへアクセスする、もう一つの社内通信の仕組みです。ソリューション（製品アーキテクチャ）によって、社内ネットワーク（SD-WAN網）への引き込み方に2つのアプローチが存在するため、それぞれ整理します。

「クラウド検問所（ZTNA）」での認証と端末チェック（共通の仕組み）：社外PCからの社内宛て通信は、まずクラウド上のZTNA（SSE）のPOPへと吸い上げられます。ここでユーザーのID認証や端末のセキュリティ状態を厳格にチェックし、許可された通信のみを通過させます。
アプローチA：クラウド間連携型（Prisma Accessなど）
- 仕組み： クラウド上のSSEと、社内ネットワークの入り口（代表拠点など）にあるSD-WANルータとの間に、あらかじめ安全な高速トンネル（IPsec等）を直接張っておく方式です。
- パケットの流れ： ZTNAで検査をパスしたパケットは、このクラウド間のトンネルを経由して社内のSD-WAN網へとそのまま流し込まれ、SD-WANのルーティング機能によって最終宛先（各拠点やDC）へと届けられます。
アプローチB：社内コネクタ設置型（Zscaler Private Accessなど）
- 仕組み： 社内ネットワーク（SD-WAN網が届いている本社・DC、あるいは各拠点）の内部に、専用の接続用コネクタ（軽量な仮想アプライアンス等）を設置する方式です。このコネクタからクラウド（SSE）に向けて、内側から外側へリバーストンネル（アウトバウンド接続）を常時確立しておきます。
- パケットの流れ： ZTNAで許可されたパケットは、クラウドからこの「社内コネクタ」を目がけてトンネル経由で着信します。コネクタに届いたパケットは、そこから社内のSD-WAN網に乗っかり、目的の社内システムへと届けられます。