DIAとは何ですか？

ダイレクト・インターネット・アクセス（DIA）とは、支店からのインターネット向けトラフィックやSaaSトラフィックを、WANを経由して中央ハブにバックホールして検査を行うのではなく、支店拠点から直接インターネットへ接続する支店接続モデルです。これにより、遅延を削減し、本社の帯域幅を解放することができます。

主なポイント

• インターネット向けのトラフィックを、ハブではなく支店内でローカルに分岐させます。
• SaaSおよびクラウドトラフィックにおける遅延を短縮し、ヘアピンホップを排除します。
• すべてのブレイクアウトポイントに、独自のNATおよびセキュリティスタックが必要です。
• 中央または地域のバックアップ回路は、ローカル回路の故障を補う役割を果たします。
• パフォーマンスベースのステアリングでは、アプリごとに最速のDIAポイントを選択します。

このページの内容： その重要性 ・ 仕組み ・ 種類 ・ DIA およびVersa · よくある質問

DIAはなぜ重要なのでしょうか？

従来の支店ネットワークでは、すべてのトラフィックが専用WAN回線を介してハブへバックホールされ、インターネットに到達する前に、ハブに設置された集中型のプロキシおよびファイアウォールスタックによって検査されます。これは、アプリケーションがデータセンター内に存在していた時代には理にかなった仕組みでしたが、遅延を招き、ハブの帯域幅を消費するため、そもそもハブを経由する必要が全くなかったクラウドやSaaSアプリケーションのユーザー体験を低下させてしまいます。

DIAが重要視される理由は、信頼性の高いインターネット回線によってローカルブレイクアウトが経済的に実現可能になったこと、そしてパブリッククラウドやOffice 365などのSaaSプラットフォームへの移行により、その導入が不可欠になったためです。支店でトラフィックをインターネットに接続することで、本社の帯域幅要件が軽減され、ネットワークホップが削減され、遅延も低減されます。その代償として、支店からインターネットへ直接トラフィックを送信すると、支店が直接攻撃にさらされることになるため、DIAの設計においては、従来は集中型のブレイクアウトポイントによって自動的に提供されていたセキュリティ対策のコストを、別途予算に組み込む必要があります。

DIAとは何ですか？

アーキテクチャ上、DIAは特別なプロトコルではなく、標準的なルーティングに基づいて構築されています。テナントのVRFとWANトランスポート仮想ルーターとの間に内部的に論理接続が確立され、VRFはEBGPを使用してそのトランスポートVRへのデフォルトルートをアドバタイズし、両者の間の論理トンネルを経由してネクストホップを解決します。その後、アウトバウンドトラフィックは、オーバーレイを経由してハブに向かうのではなく、そのルートに従ってローカルWANリンクを経由して送信されます。

NATルール（NAPTまたはCGNAT）は、家庭用ルーターが1つのインターネット向けアドレスでプライベートネットワークを隠すのと同じように、すべてのLANからのアウトバウンドトラフィックを共有のパブリックIPアドレスに変換します。これは、MPLSネットワークなどのプライベートアンダーレイへのスプリットトンネルとは異なります。DIAでは常にNATが適用されますが、プライベートスプリットトンネルでは通常、NATは適用されません。

DIAの種類

DIAの導入形態にはいくつかの一般的なパターンがあり、ほとんどの設計では複数のパターンが組み合わされています。ローカル・ブレイクアウトでは、各支店のインターネットトラフィックをそれぞれのWANリンク経由で送信します。これは、DIAのメリットの大部分を享受できる基本モデルです。セントラルまたはリージョナル・ブレイクアウトはバックアップとして機能します。優先度の低いデフォルトルートがハブまたはリージョナルサイトを指し、ローカル回線が障害を起こした場合に自動的に有効になります。「アプリケーションベースのブレイクアウト」では、特定のSaaSアプリケーションなど、特定のトラフィックをローカル経由で送信し、その他のトラフィックは中央経由でルーティングすることで、信頼できるアプリケーションのみに露出を限定します。「パフォーマンスベースのブレイクアウト」はさらに一歩進んで、遅延やパケット損失の測定値を用いて、アプリケーションごとに最適なブレイクアウトポイント（ローカルまたはリモート）を自動的に選択します。

DIA &Versa

VOSエッジデバイスでは、DIAは手動で設定するルーティングではなく、「Versa 」ディレクターワークフローを通じて設定されます。トンネルでDIAを有効にすると、トランスポートVRとLAN VR間のEBGPピアリングが自動化され、アウトバウンドトラフィックを変換するCGNAT機能がプロビジョニングされます。 WANリンクは、負荷分散のために1つのBGPローカルプリファレンスを共有することも、ローカル・ウィズ・セントラル・バックアップの冗長性のために異なるプリファレンスを使用することも可能です。詳細については、『Consolidated SD-WAN設計ガイド』および『Versa SD-WAN設計ガイド』を参照してください。

DIAブランチはインターネットに直接接続されているため、Versa では、DIAに面するすべてのファイアウォールルールにIDS/IPSおよびアンチウイルスを適用し、SSL復号を有効にして、暗号化されたトラフィックを実際に検査できるようにすることを推奨しています。VersaのSaaSアプリケーション監視およびDNSプロキシ機能により、フォワーディングプロファイルが自動的にレイテンシが最も低いブレイクアウトポイントを選択できるため、パフォーマンスベースのDIAでは、アプリケーションを手動で特定の経路に割り当てる必要がありません。

よくある質問

DIAとスプリットトンネルの違いは何ですか？

DIAは、特定の種類のスプリットトンネルの一種です。これは、インターネット向けのトラフィックをローカルで分離し、NATを適用して、パブリックIPの背後にLANのアドレスを隠すものです。MPLSネットワークなどのプライベートなアンダーレイへのスプリットトンネルでは、信頼できるネットワークから隠すべきアドレスが存在しないため、通常、NATの処理は省略されます。

なぜDIAはその支店で追加の警備が必要なのでしょうか？

一元化された外部接続ポイントがあれば、1つのファイアウォールとプロキシスタックですべてのインターネットトラフィックを検査できます。DIAはこのボトルネックを解消するため、各支店がローカルで外部に接続するようになると、それぞれが独立した攻撃対象となり、同等のセキュリティ態勢を維持するためには、各支店ごとに独自のIDS/IPSおよびウイルス対策ソフトが必要となります。

DIAを複数のWANリンクにまたがって冗長化することは可能ですか？

はい。ブランチは、各WANリンクから異なるBGPローカルプリファレンスでデフォルトルートをアドバタイズすることができます。これにより、あるリンクをプライマリとし、そのリンクに障害が発生した場合は別のリンクが自動的に引き継ぐように設定したり、すべてのリンクに同じプリファレンスを設定して、リンク間でアクティブな負荷分散を行うように設定したりすることができます。

アプリケーションベースのブレイクアウトはどのように機能するのでしょうか？

SD-WANの転送プロファイルとポリシールールは、特定のアプリケーション（たとえば、特定のSaaSアプリなど）に一致させ、そのトラフィックのみをローカルのネクストホップへ誘導します。一方、ブランチのその他のインターネットトラフィックは、引き続きデフォルトルートを使用して、中央または地域のブレイクアウトへ向かいます。

DIAでは常にNATが必要なのでしょうか？

はい、具体的にはインターネットへのブレイクアウトについてです。DIAの設定では、アウトバウンドのLANトラフィックを共有のパブリックIPアドレスに変換するNATルールが作成されます。プライベートアンダーレイへのスプリットトンネルによるブレイクアウトでは、LANアドレスがパブリックインターネットに公開されないため、この設定は必要ありません。

関連用語

DIAについて読んでいるなら、次はこれらもぜひチェックしてみてください。