コンテンツにスキップ

Fortinet セキュア SD-WAN MVE の構築の計画

このトピックでは、プロビジョニング プロセスの概要と、 Megaport Virtual Edge (MVE) 向けの構築に関する考慮事項について説明します。

利用者が提供 Megaport が提供
ブランチからのインターネット接続 仮想SD-WAN機器をホストするプラットフォーム
SD-WANベンダーのブランチでの有効化 ブランチからMegaportネットワーク上の任意の宛先への完全な接続と、他のMegaport製品・サービスとの相互運用。
ブランチに設置された CPE (カスタマー構内設備) ブランチの MVE と CPE の間のトンネルを終端するインターネットへの DDoS (分散型サービス拒否) 接続
Megaport SDNで使用するSD-WANソフトウェアライセンス Megaportエコシステムへのアクセス

構築の考慮事項

このセクションでは、MVEの展開オプションと機能の概要を説明します。

FortinetのセキュアSD-WANは、他の多くのSD-WANベンダーと同様に、仮想FortiGate機器または物理FortiGate機器を使用します。ただし、Fortinetでは、いくつかの異なる用途に合わせて機器を構成することができます。例えば、Fortinetの機器を次の用途に設定することができます。

  • 厳密に、リモートオフィス向けの次世代ファイアウォール(NGFW)として、ローカルでの設定とローカルでのロギングのみを備える。

  • セントラルロギングを行うセントラルマネジメントとして、またはセントラルロギングを行わないセントラルマネジメントとして。

  • 従来のSD-WAN方式のオーバーレイネットワーク内で。

詳細については、Fortinet ドキュメンテーション ライブラリを参照してください。

Fortinet セキュア SD-WAN の特徴

FortiGate-VM は、NGFW と SD-WAN の両サービスを 1 つの仮想マシンで実現します。FortiGate-VM を MVE 上でホストすることにより、エッジからクラウドへのネットワーク接続を最適化するだけでなく、Megaport バックボーン セグメント全体に高度なセキュリティ サービスやポリシーを適用します。

Megaport の NaaS プラットフォームに FortiGate-VM を組み込むことで、エッジとクラウドのネットワーク ファブリック間に以下のような中核となるセキュア アクセス サービス エッジ (SASE) 要素を拡張できます。

  • ステートフル ファイアウォール ポリシー、ネットワーク アドレス変換 (NAT)、侵入防御サービス、Secure Sockets Layer (SSL) インスペクション、脅威インテリジェンスを含む次世代ファイアウォール (NGFW)。

  • Secure Web Gateway (SWG) サービスは、Web コンテンツ フィルタリングとマルウェア スキャンにより、悪意のあるインターネット接続先からデバイスを保護します。

  • ゼロトラスト ネットワーク アクセス (ZTNA) は、アプリケーションの各セッションの前にユーザーとデバイスを検証し、そのアプリケーションにアクセスするための組織のポリシーを満たしていることを確認することで、アプリケーションへのアクセスを制御するものです。

FortiGate-VM は、FortiClient エンドポイント セキュリティ エージェントを使用した Fortinet SASE ソリューションとのリモート ユーザー統合もサポートしています。FortiClient を使用すると、VPN (SSL または IPsec) または ZTNA トンネルのいずれかを介して、デバイスをセキュリティ ファブリックに安全に接続することができます。

FortiSASE ソリューションでは、FortiGate と FortiCloud の両サービスを融合した設計で使用することも可能です。例えば、インターネットと一部の SaaS アプリケーションは、FortiCloud を通じて SWG と Cloud Acess Security Broker (CASB) の両方を使用して保護し、プライベート Megaport 接続は FortiGate セキュリティ サービスを使用して保護することが可能です。

Fortinet SASE

注意

Fortinet のファイアウォールを構築済みの場合は、それを MVE に接続することで、本社や支店がプライベートな相互接続を介してクラウド サービスにアクセスできるようになります。

これらの機能の詳細については、次のサイトにアクセスしてご覧ください。

SD-WAN ベンダー

MVEはFortinetのSD-WANと統合されており、FortinetのFortiManagerコンソールを使ってプライベートオーバーレイネットワークを構築します。

その他の SD-WAN プロバイダーには、Aruba SD-WAN、Cisco SD-WAN、Versa Secure SD-WAN、VMware SD-WAN などがあります。

MVE ロケーション

MVE に接続できるグローバルなロケーションのリストについては、「Megaport Virtual Edge のロケーション」を参照してください。

MVE インスタンスのサイジング

インスタンスサイズは、何個の同時接続をサポートできるかなど、MVEの容量を決定します。MVE のインスタンスはこれらのサイズに集約されています。

パッケージ サイズ vCPU DRAM ストレージ インターネット アクセス *
MVE 2/4/20 2 4 GB 8 GB 20 Mbps
MVE 4/8/20 4 8 GB 8 GB 20 Mbps
MVE 2/4/100 2 4 GB 8 GB 100 Mbps
MVE 4/8/200 4 8 GB 8 GB 200 Mbps
MVE 2/4/500 2 4 GB 8 GB 500 Mbps
MVE 4/8/1000 4 8 GB 8 GB 1000 Mbps
MVE 8/16/5000 8 16 GB 8 GB 5000 Mbps
MVE 12/24/5000 12 24 GB 8 GB 5000 Mbps

* インターネット アクセスは対称的、冗長性、多様性があり、DDoS 保護が組み込まれています。

これらの性能と容量の指標は推定値であり、ご使用時の速度は異なります。MVEのインスタンスサイズを選択する際には、以下の項目を考慮してください。

  • ネットワークのデータストリームの負荷が増加すると、性能が低下します。例えば、IPsecによるセキュアトンネルの確立、トラフィックパスステアリングの追加、ディープパケットインスペクション(DPI)の使用などは、最大スループット速度に影響を与えます。

  • ネットワークを拡張するための今後の計画

将来的にMVEの容量が必要になった場合どうするか

いくつかの選択肢があります。

  • 別の MVE インスタンスをプロビジョニングし、SD-WAN オーバーレイネットワークに追加して、2 つの MVE にワークロードを分割することができます。

  • より大きな MVE インスタンスをプロビジョニングして SD-WAN オーバーレイ ネットワークに追加し、古い MVE から新しい大きな MVE に接続を移行してから、古い MVE を停止することができます。

セキュリティ

MVEはMegaportのSDN上のどのエンドポイントやサービスプロバイダーに対しても、インターネットに接続されたブランチ間の容量を確実に提供します。CSPがホストするパートナーのSD-WAN製品のインスタンスは、重要なトラフィックをMegaportのSDNでルーティングし、インターネットへの依存度を低減します。トラフィックは暗号化されたままMegaportSDNとMVEの間を移動し、その間ご使用のポリシーコントロールが有効です。

MVEの各サブスクリプションには、追加料金なしで分散型サービス拒否(DDoS)攻撃対策が含まれています。

Fortinet セキュア SD-WAN には、包括的なセキュリティ機能であるセキュア アクセス サービス エッジ (SASE) へのアクセスが含まれています。MVE 上の Fortinet は、SASE と SD-WAN のサービスをネイティブにサポートします。詳細については、「SASE を使用したネットワークの保護」をご覧ください。

ライセンス

MVE で使用する Fortinet (FortiGate) SD-WAN のライセンスはお客様がご用意ください。Megaportネットワーク上に作成されたSD-WANエンドポイントに適切なライセンスを取得することはお客様の責任です。

VLAN タギング

Megaport では、Q-in-Q を使用して、ホスト ハードウェア システム上の VXC と MVE を区別しています。テナント MVE は、インターネット側のリンクではタグなしのトラフィックを受信し、Megaport ネットワーク上の他の宛先 (CSP オンランプや他の MVE など) へはシングル タグの 802.1Q トラフィックを受信します。


最終更新日: 2022-10-21