NSXが実現するネットワーク仮想化で、現在のネットワークをどのように変えることができるのかを紹介しました。NSXが持つセキュリティの機能に焦点を当てて紹介していきます。サーバ仮想化とセキュリティ最初にサーバ仮想化とセキュリティの課題を見てみましょう。サーバ仮想化していない物理サーバ構成ではOSが直接物理スイッチに接続していました。物理スイッチとその上位にあるファイアウォールでそれぞれアクセス制御を行うことでセキュリティを確保するのが一般的でした。従来の仮想スイッチのセキュリティの課題サーバ仮想化構成では、OSと物理スイッチの間に仮想スイッチがあり、仮想スイッチはL2スイッチ相当の機能しか提供していません。そのため、物理サーバ構成の時のように、物理スイッチでアクセス制御リスト(ACL)を使っても、同一セグメント内の通信の制限を行うことができませんでした。そのためサーバ仮想化構成で同一セグメント内の通信を制限するには、各ゲストOS内で動作するファイアウォールでアクセス制御を行う必要があります。NSXでは仮想スイッチに分散ファイアウォール機能を追加することでこれらの課題を解決します。サーバ仮想化構成時でもセキュリティは物理ネットワークで実装するのが良いのでしょうか?物理ネットワークのセキュリティを検討する場合、ネットワーク管理者が「そのIPアドレスでどのアプリケーションが動くのか?」「そのアクセス制御はどのネットワーク機器で行うべきなのか?」を判断して適切な機器に適切な設定をする必要があります。したネットワーク管理者に頼った設定は仮想マシンが別ホスト上に移動するといった仮想マシンの可搬性を考えると、複雑な設定が必要になり人的ミスにつながりかねません。物理ネットワークのセキュリティの課題は、アプリケーションのことを考慮できずIPアドレスやMACアドレスに依存した設定であるということです。それに対して、ESXi上で動作する仮想スイッチは、アプリケーションを中心としたセキュリティを考えたときに、アプリケーションに関する情報を持つ最適な場所に位置しているということが言えます。その理由の1つは、仮想スイッチは仮想マシンに一番近いところで動作していて、どの仮想マシンが接続しているのかを把握していることです。Scheduler)等で仮想マシンがオンラインで移動したとしてもその設定は保持されたまま移行されます。1つの理由は、仮想スイッチは仮想マシンの内部からの情報も把握している点にあります。「仮想マシンがどんなIPアドレスを使っているのか?」「仮想マシンのOSは何か?」「仮想マシンでログオンしているアカウントは何か?」などといった情報をベースにセキュリティポリシーを策定できます。vSwitchでどのようなセキュリティが提供されるのか機能ごとにみていきましょう。NSXでは仮想マシンのセキュリティを確保するために、いくつかの機能を提供しています。Monitoringの3つの機能について紹介します。vSwitch内でL3スイッチのアクセス制御リスト(ACL)を実現する機能を提供します。第2回で紹介した分散ルータと同様に各ホストで動作しますが、1台の大きなファイアウォールとして設定・管理することが可能です。分散ファイアウォールは物理ネットワークスイッチのアクセス制御リスト(ACL)と比較して以下のようなメリットがあります。分散ファイアウォールは仮想マシンごとのNICレベルで動作するため、アクセスポリシーは外部と通信する前に適用されます。物理スイッチのアクセス制御リスト(ACL)のように、送信元から送信先のフローと送信先から送信元の2つのフローを定義する必要もありません。vSphereオブジェクトを使ったルールを定義することで、仮想デスクトップ環境やIaaS環境のように自動生成される仮想マシンに対してのアクセス制御も自動で行うことができます。Directoryのアカウントに応じたファイアウォールルールを作成できます。ゲストOSはWindowsベースに限定されます。IDベースのファイアウォールルールを使うと複数のアカウントで共有する1台の仮想マシンに対して、アカウントごとにアクセス制御を行うことができます。vSwitchが提供するファイアウォール機能によるセキュリティについて紹介しました。Monitoringを紹介します。Monitoringは任意のWindowsベースのゲストOSから外部ネットワークと通信の監査ログを取得できます。Introspectionと呼ばれる仕組みを使って、以下の画面のような情報の取得ができます。ユーザアカウントがどんなアプリケーションでどこと通信していたのかを確認できます。Monitoringは、セキュリティ監査ログの取得やファイアウォールのブロックログ原因の特定、分散ファイアウォールのアクセスポリシー設計時のアセスメントなどに利用できます。NSXが提供するセキュリティに焦点を当てて紹介してきました。Monitoringを使ってさらにセキュリティを高めることができます。NSXのユースケースについて掘り下げて解説をしていきます。NSXスペシャリスト富士ソフト株式会社でネットワークインフラの提案から導入までを担当。同社のネットワークスペシャリストでオンプレ、仮想、クラウドなど様々なネットワークの提供を行っている。最近では、標的型攻撃を中心にセキュリティ対策および大規模クラウドシステムのSOC運用に従事。NSXに触れ感銘を受け、そこから山本とNSX専門部隊を立ち上げる。現在、VMware社のNSXの提案活動、セミナーや記事寄稿を積極的に行っている。6.3の新機能と強化ポイント2017/4/19本連載では、NSXがネットワークとセキュリティにもたらす革新と、その運用管理について説明してきました。SDDCのキーコンポーネントであるNSXは、SDDCのコンセプトの成熟と共に進化しています。6.3の新機能を紹介します。ITでは、より付加価値の高いコンテンツを会員サービスとして提供しています。ITのWebサイトにログインすることでさまざまな限定特典を入手できるようになります。VeloCloudが選ばれる理由SD-WANとはなにか。Linuxエンジニア育成への思いF5とNGINXの組み合わせで、サービス公開をよりセキュアに。ITがお届けするポッドキャストです。