【SASE実践】[総括] ネットワークの快適性とセキュリティの一貫性を両立する「主従関係」の引き方

はじめに

ここまでSASE実践編として、

• 通信経路の考え方
• SD-WANとSSEの役割分担
• 拠点エッジの防御
• ZTNAとの住み分け
• PACファイルとの整合性
• 障害時の考え方

などを紹介してきました。

一見すると個別のテーマを扱っているように見えますが、実はすべて同じテーマにつながっています。

それが、「ネットワークの快適性」と「セキュリティの一貫性」をどう両立するか　ということです。

SASE設計で起きる悩みの正体

SASE導入を検討すると、多くの企業が次のような悩みに直面します。

• M365は直接インターネットに出したい
• でもセキュリティチェックは統一したい
• VPNは無くしたい
• でも社内システムには安全に接続したい
• 通信を最適化したい
• でも運用は複雑にしたくない

どれも正しい要求です。

しかし、すべてを同時に満たそうとすると設計が複雑になり、結果として運用負荷や障害リスクが増えてしまいます。

重要なのは「主従関係」を決めること

そこで重要になるのが、何を主役にして、何を補助役にするのか

という考え方です。

例えばインターネット向け通信であれば、

• SD-WANは通信を最適な経路へ運ぶ
• SSEはセキュリティチェックを行う

という役割分担が基本になります。

逆に、両方で同じことを実施しようとすると、

• ポリシー重複
• トラブル切り分け困難
• 運用負荷増大

といった問題が発生しやすくなります。

実践編で伝えてきたこと

これまでの記事を振り返ると、テーマは違っても共通する考え方がありました。

セキュリティチェックは誰が担当するのか

SD-WANにもセキュリティ機能があります。

SSEにもセキュリティ機能があります。

だからこそ、「どちらを主担当にするのか」を明確にする必要があります。

通信経路は誰が制御するのか

LBOを行うのか。

PACファイルを利用するのか。

SSEへ転送するのか。

これらも、「誰が経路制御の主導権を持つのか」を決めることで整理できます。

障害時に何を優先するのか

SSE障害。

DNS障害。

PoP障害。

実際の運用では様々な障害が発生します。その際も、

• セキュリティを優先するのか
• 業務継続を優先するのか

という判断が必要になります。

つまり障害設計もまた、主従関係の設計と言えます。

SASEは製品選定よりも設計思想が重要

実際のプロジェクトでは、

• Cisco
• Fortinet
• Palo Alto Networks
• Zscaler
• Netskope
• Prisma Access

など様々な製品が登場します。しかし製品が変わっても本質は変わりません。

重要なのは、「何をどこで実施するのか」を明確にすることです。

この設計思想が定まっていない状態で製品選定だけを進めると、後から運用負荷や設計の矛盾が発生しやすくなります。

おわりに

今回紹介してきた内容は、SASE実践における設計・運用の考え方の一例です。

もちろん、これだけでSASE設計の全てを網羅できるわけではありません。

実際の現場では、

• 製品ごとの実装差異
• 企業ごとの運用要件
• 既存ネットワークとの整合性
• 認証基盤との連携
• 障害時の運用方針

など、さらに多くの検討事項が存在します。

今後もSASEナビでは、こうした実践的なテーマを継続的に取り上げていく予定です。

特にこれからは、

Cisco Catalyst SD-WANやZscalerをはじめとしたソリューション固有の設定・設計ノウハウにも踏み込みながら、現場で役立つ情報を発信していきたいと思います。

SASEは単なる製品導入ではなく、ネットワークとセキュリティの役割を再整理する取り組みです。

その中で、「ネットワークの快適性」と「セキュリティの一貫性」をどう両立するのか。

これからもその答えを現場目線で考えていきたいと思います。

管理人

自称SASEエンジニアです。 2児の父親をやりながら、日々エンタープライズ向けの次世代ネットワークインフラと格闘しています。一日一投稿を目標に投稿頑張りますので、是非読んでください！