【SASE実践】[設計] [セキュリティ] 拠点エッジで「これだけ」は実装すべき防御策

前回の記事では、「SD-WANとSSEを併用する場合、セキュリティ機能はSSEに集約すべき」という結論をお伝えしました。重複する機能を整理し、運用負荷を下げるための基本戦略です。

しかし、実務でSASEアーキテクチャを設計・導入するにあたり、「SSEに任せられない領域」が存在します。

それが「拠点エッジ（SD-WANルータ自身）を守るための防御」です。

どれだけ社内からインターネットへの通信をSSEで綺麗にクレンジングしようとも、インターネットに直接晒されているSD-WANルータのWAN側は、ルータ自身で身を守るしかありません。

今回は、SD-WANルータで徹底すべき防御策と「本当にそれだけで大丈夫？」という実務上の疑問に対する現実解を解説します。

SD-WANルータで徹底すべき「2つの防御」

拠点に設置するSD-WANルータでは、少なくとも以下の2つのセキュリティ実装を徹底する必要があります。

WAN→LAN通信の完全シャットダウン（ステートフルファイアウォール）

外部（インターネット側）からLAN側へ向かう不要な通信要求は、エッジ部分で「通さない」ように完全にシャットダウンします。内部からの戻り通信だけを通す、基本的なインバウンドブロックです。

コントロールプレーンの保護

攻撃者がルータのグローバルIPを標的にして、大量のDoSパケットを送りつけてきた場合、ルータがそれをいちいち真面目に処理しようとすると、頭脳であるCPUがパンクしてルーティングが停止してしまいます。 これを防ぐために、コントロールプレーンに到達するパケットのレートを制御する機能（CiscoでいうCoPP：Control Plane Policingなど）を確実に有効化し、ルータの処理能力（リソース）を保護します。

通信をそこまで遮断して、拠点間VPN（IPsec）は繋がるの？

ここで、ネットワークエンジニアや情シス担当者の方なら、1つの疑問が浮かぶはずです。

「外部からの通信をそこまでガチガチにシャットダウンしたら、拠点間で鍵交換（IKE）をしたり、IPsecトンネルを張ったりする通信まで拒否されて繋がらなくなるのでは？」

通常のレガシーな拠点間VPNであれば、送信元IPアドレスをあらかじめ許可にしておく必要がありました。しかし、SD-WANにおいてはその心配は一切不要です。

SD-WANは「中央集権的なコントローラ（CiscoでいうvSmartなど）」が全体の通信を制御しているからです。 ルータは自分からコントローラに対して安全なアウトバウンド通信を確立し、コントローラの指示に基づいて動的に鍵交換や設定を行います。

つまり、不特定の送信元IPからの通信をあらかじめ許可にしておかずとも、動的かつ安全に拠点間のメッシュ通信が確立される仕組みが、SD-WANのアーキテクチャ自体に組み込まれているのです。

それでも標的型DDoS攻撃が来たらどうする？（キャリア網の現実）

「ルータのCoPPや処理能力を物理的に凌駕するような、回線帯域を埋め尽くすレベルの標的型DDoS攻撃が来たら、やっぱりエッジで耐えられないのでは？」

という懸念を持たれるかもしれません。これに対する現実的な回答は、「通信キャリア（ISP）のバックボーンが守ってくれている」です。

通常、インターネット回線を提供する大手通信キャリアでは、自社が管理しているISP網内で「DDoS攻撃と推定される過剰なトラフィック（具体的な閾値は非公開）」を検知すると、ユーザーの拠点にそのパケットが到達する前に、ISP網内で自動的に通信をドロップする仕組みを持っています。

そのため、エッジルータが物理的に窒息するような大規模攻撃については、自社で対策を抱え込む必要はなく、キャリアのインフラ側で問題なく処理されるのが今のインターネットの現実です。

まとめ：セキュリティの「中身」はSSE、ルータは「自分の身」を守る

SD-WANとSSEを併用する環境における、正しいセキュリティの境界線は以下の通りです。

• WEBサイト閲覧やSaaS利用など、通信の「中身」の安全対策 ⇒ SSE（Zscalerなど）に任せる
• ルータを落とさないための「インフラの維持」としての安全対策 ⇒ SD-WANルータ（エッジ）で実装する

この役割分担を明確にすることで、運用をシンプルに保ちながら、最も堅牢なSASE環境を構築することができます。設計時の参考になれば幸いです。

➡【次の記事へ】【SASE実践】[設計] [通信経路] 拠点からSSEへの接続方法の選択肢

管理人

自称SASEエンジニアです。 2児の父親をやりながら、日々エンタープライズ向けの次世代ネットワークインフラと格闘しています。一日一投稿を目標に投稿頑張りますので、是非読んでください！