「ローカルブレイクアウト」とは何ですか？

ローカル・ブレイクアウト（LBO）とは、SD-WANにおける手法の一つであり、信頼性の高いインターネットおよびSaaS向けの支社トラフィックを、検査や送信のためにWANを経由して中央ハブやデータセンターへバックホールするのではなく、ローカルサイトから直接インターネットへルーティングすることで、遅延を低減し、WANの帯域幅を解放するものです。

主なポイント

• LBOは、バックホールを経由せずに、支店のインターネットトラフィックをローカルに送信します。
• 集中型ブレイクアウト（CBO）と比較して、遅延とデータセンターのWAN負荷を低減します。
• すべてのトラフィックに適用するか、または選択した信頼できるアプリケーションのみに適用します。
• トラフィックがハブの検査をバイパスするため、ブランチのセキュリティを強化する必要があります。
• Azure AD MFAの信頼済みIPリストなど、一元管理による制御を複雑にしてしまいます。

このページの内容： その重要性 ・ 仕組み ・ 種類 ・ ローカルブレイクアウト &Versa · よくある質問

ローカルブレイクアウトはなぜ重要なのでしょうか？

従来のWAN設計では、各支店のインターネットトラフィックはMPLSを経由してハブまたはデータセンターに送り返され、そこで中央のプロキシやファイアウォールによって検査された後にインターネットに到達します。 これは、アプリケーションがデータセンター内に存在していた時代には有効でしたが、ワークロードがパブリッククラウドやMicrosoft 365などのSaaSプラットフォームへ移行するにつれ、支店のトラフィックを中央サイトを経由して迂回させることは、遅延を招き、高価なWAN帯域幅を消費し、さらにハブのネットワーク機器に、本来処理する必要のなかったトラフィックに対応するための拡張を強いることになります。

LBOが重要なのは、こうした迂回経路を排除できるからです。信頼できるインターネットやSaaSの宛先へ向かうトラフィックは、利用可能なローカルインターネット回線を介して、支店から直接インターネットへ送信されます。その結果、ネットワークのホップ数が減り、クラウドやSaaSアプリケーションのスループットが向上し、データセンターにおける帯域幅や機器のコストが削減されます。その代償として、トラフィックをインターネットへ直接送信する支店は、中央の検査ポイントによる保護を受けられなくなるため、独自のセキュリティ対策が必要となります。

「ローカルブレイクアウト」とは何ですか？

技術的には、LBOは標準的なルーティングを通じて実装されるダイレクト・インターネット・アクセス（DIA）の一種です。論理的な接続によって、支店のテナントVRFとWANトランスポート仮想ルーターが結びつけられ、EBGPがその接続を経由するデフォルトルートをアドバタイズすることで、支店のトラフィックはSD-WANオーバーレイから学習したどのルートよりもローカル経路を優先するようになります。NAT/CGNATルールにより、発信されるLANトラフィックは、外部へ送信される前に支店のパブリックWANアドレスに変換されます。

管理者は、SD-WANのトラフィックステアリングポリシーを通じてLBOを設定します。転送プロファイルでは、所定の条件に一致するトラフィックに対してローカルブレイクアウトをネクストホップとして選択し、それ以外のトラフィックは引き続きデフォルトルートに従って中央または地域のブレイクアウトポイントへ向かいます。また、このインフラストラクチャはパフォーマンスに基づく選択もサポートしており、SD-WANがローカルおよびリモートのブレイクアウトパス間の遅延やパケット損失を測定し、各セッションをパフォーマンスが最も優れたパスへと誘導します。

ローカルブレイクアウトの種類

展開形態は、一般的に以下の3つのいずれかとなります。「フル（デフォルト）」のローカルブレイクアウトは、支店からインターネットへ向かうすべてのトラフィックをローカル経由で送信するもので、最もシンプルなモデルであり、ローカル回線とそのセキュリティ制御が信頼できる支店に適しています。アプリケーションベース（選択的）ローカルブレイクアウトでは、Microsoft 365 や Salesforce などの特定のアプリケーションや SaaS グループのみをローカルでブレイクアウトさせ、その他のトラフィックは中央または地域のブレイクアウトポイントへ転送されます。これは、ローカルでの露出を定義済みで信頼できる宛先セットに限定するため、本番環境ではより一般的なパターンとなっています。ハイブリッド型（ローカルと中央のブレイクアウトを併用）は、ポリシーに基づいてこれら2つを組み合わせたものです。例えば、IDおよび認証トラフィックは、少数の既知のIPアドレスから発信されるように中央でルーティングし、一方、一般的なSaaSトラフィックはパフォーマンス向上のためにローカルでブレイクアウトさせます。どのパターンが適しているかは、フィルタリングされていないインターネットへのアウトバウンドトラフィックについて、支店のローカル回線および利用可能なセキュリティスタックをどの程度信頼できるかによって決まります。

ローカルブレイクアウト &Versa

Versa Secure SD-WAN 前述のEBGP/CGNATアーキテクチャ を使用して、VOSエッジデバイス上でLBOを実装します。これは、デバイステンプレートの「Tunnels」タブにあるDirectorワークフローを通じて設定され、冗長性を確保するために、ローカルのデフォルトルートを中央または地域から取得したルートでバックアップするオプションも用意されています。 『Versa SD-WAN 設計ガイド』では、SD-WAN ポリシールール、転送プロファイル、およびVersa が Salesforce や Microsoft 365 などの SaaS トラフィックに対して最適なパフォーマンスを発揮するブレイクアウト経路を選択するために使用するパッシブおよびアクティブなモニタリング機能を含め、アプリケーションベースおよびパフォーマンスベースのブレイクアウト設計について詳しく解説しています。

Versa また、Azure Active Directory MFA を使用する組織向けのハイブリッド設計についても解説しています。LBO と、認証トラフィックを一元的に外部へ転送する方式を組み合わせることで、Azure AD MFA の信頼済み IP アドレスのリストを最小限かつ安定した状態に保ちつつ、承認済みの SaaS トラフィックについては、動的に割り当てられた WAN アドレスを持つ支店を含め、すべての支店でローカルに外部へ転送できるようにします。

よくある質問

ローカル・ブレイクアウトとセントラル・ブレイクアウト（CBO）の違いは何ですか？

ローカル・ブレイクアウトでは、支店のインターネットトラフィックは支店から直接インターネットへ送信されます。一方、セントラル・ブレイクアウト（CBO）では、トラフィックはWANを経由してデータセンターや本社といった中央サイトへルーティングされ、外部へ送信される前にそこで検査が行われます。CBOはパフォーマンスと引き換えに一元的な制御を実現し、LBOは一元的な制御の一部を犠牲にしてパフォーマンスを優先します。

ローカルブレイクアウトは、ダイレクト・インターネット・アクセス（DIA）と同じものですか？

VersaのSD-WANドキュメントによると、事実上その通りです。DIAとは、支店でトラフィックをインターネットへ送り出すことを指し、ローカル・ブレイクアウトとは、その同じ支店発のアウトバウンドトラフィックを指す用語であり、そのトラフィックを中央のブレイクアウトポイントへルーティングすることとは区別されます。

ローカルブレイクアウトはセキュリティリスクを高めるのでしょうか？

可能です。なぜなら、トラフィックはもはや中央の検査ポイントを通過しないからです。LBOを利用する支店では通常、中央ハブが本来適用していたはずのポリシーを適用するために、独自の保護手段（SD-WANエッジデバイス上の次世代ファイアウォール機能やクラウドセキュリティサービスなど）が必要となります。

ローカルブレイクアウトは、Azure AD MFAの信頼済みIPリストにどのような影響を与えますか？

LBO を使用している各支店は、独自のパブリック IP アドレスからユーザーを Azure AD に接続させるため、MFA をバイパスするために必要な信頼済み IP リストは拠点が増えるごとに膨れ上がり、動的な WAN アドレスを持つ支店では機能しなくなります。認証トラフィックのみを一元的にルーティングし、その他の SaaS トラフィックは LBO 経由で処理することで、この問題を回避できます。

1つのブランチで、トラフィックの種類に応じてローカルブレイクアウトとセントラルブレイクアウトを混在させることは可能ですか？

はい。SD-WANのトラフィックステアリングポリシーでは、IDプロバイダーなどの特定のアプリケーションを照合し、転送プロファイルを通じてそれらを中央のブレイクアウトポイント経由で強制的にルーティングさせることができます。一方、デフォルトのルールやキャッチオールルールでは、それ以外のすべてのトラフィックをローカルに送信します。これは、実稼働環境での導入の多くで採用されているハイブリッド設計です。

「ローカル・ブレイクアウト」の詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

「Local Breakout」についてお読みの方は、次にこれらもぜひチェックしてみてください。