2026.06.09 2026.06.14

【SSEとは】SSEの仕組み

buffoon

SSEの仕組みの基本：「プロキシ」と「ゲートウェイ」のハイブリッド

SSEの仕組みを理解する根底として、通信のすべての「真ん中」に割って入るという特徴があります。前回の「構成要素（パーツ）」が、実際にどう連動してトラフィックを処理していくのか、「インターネット（SaaS）向け」と「社内リソース（ZTNA）向け」の2つの仕組みに分けて解説します。

【仕組み】インターネット・SaaSアクセスの流れ

ユーザーがWebサイトやM365等にアクセスした際、通信は以下のステップで処理されます。

ステップ①：すべてのパケットをカプセル化する「フルトンネル（L3/L4転送）」の仕組み

端末のエージェント（Zscaler Client Connector等）や拠点のSD-WANルーターが、ユーザーの発する通信をコントロールします。ここではWeb通信（HTTP/HTTPS）だけを部分的に中継するのではなく、非Web通信も含めたすべてのパケットに新しいヘッダ（トンネルヘッダ）を付与してカプセル化し、最寄りのSSE（PoP）へと転送することも可能です。（＝フルトンネル）

ステップ②：Webに到達する手前での「L3〜L7レイヤーの先制防御」（DNS・FWaaS）

Webサイトの画面（HTTP/HTTPS）が開くよりも前、ポートやプロトコルを問わないフルトンネルの場合、可能になる最初の防御ラインです。

DNSセキュリティ： Webアクセス（TCP）が始まる前段の、UDPによる「DNS名前解決（Aレコード返答）」のタイミングで宛先をチェック。悪質サイトであればその瞬間に通信をドロップ（遮断）します。
FWaaS（Firewall as a Service）： カプセル化を解いたパケットに対し、L3/L4（IP・ポート・プロトコル）レベル、さらにはL7アプリケーション識別によるファイアウォールポリシーを適用し、不要な通信や危険なプロトコルを即座にブロックします。

ステップ③：認証と「中身の見える化」（SSL復号）

先制防御を抜けたWeb通信に対し、認証（Entra ID等）でユーザーを識別。同時に、暗号化されたHTTPS通信をクラウド上で一時的に復号（SSLインスペクション）し、中身を裸にします。

ステップ④：インライン検閲と「送信元IP固定」での送信

SWGやCASBで「ファイルの中身」や「テナント制限」を一元検閲します。

仕組みのポイント（応用）： 宛先がM365等の条件付きアクセス対象の場合、SSEは出口のIPを「自社専用にストックされた固定グローバルIP（Dedicated IP）」に動的に切り替えてSaaSへ届けます。

【仕組み】社内リソース（ZTNA）アクセスの流れ

社外から、社内ネットワークやIaaS（Private Apps）へアクセスする仕組みは、インターネット向けとは全く異なります。

[ユーザー端末] → (アウトバウンド) → [ SSEクラウド ] ← (アウトバウンド) ← [社内コネクタ] → [社内リソース]

ステップ①：社内への「入り口」をインターネットから隠す

従来のVPNのように、社内境界のFWで「外からのインバウンド通信（グローバルIP）」を開けて待つことはしません。社内環境に「コネクタ（App Connector等）」と呼ばれる軽量な足場を配置し、コネクタからSSEクラウド側に向けて、あらかじめ内側から外側へ（アウトバウンド）常時トンネルを張っておきます。

ちなみに：NWエンジニア目線で感動する「ゼロトラスト」なポイント従来のVPNは、外からの接続（インバウンド）を許可するためにグローバルIPを晒し、ポートを開放する必要がありました。これは攻撃者から見れば「脆弱性を突ける標的」が常に見えている状態です。

一方、ZTNAの本質は「社内側はアウトバウンド通信のみ、インバウンドはすべて拒否（ANY DENY）」のままで動く点にあります。インターネット側から社内ネットワークが「一切見えない（存在しないように見える）」状態を作れることこそが、インフラ屋として非常に美しく、最もゼロトラストだと実感するポイントです。