ハイブリッドクラウドファイアウォール
Network EdgeはエクイニクスFabricと連携し、数分で起動できる仮想クラウドオンランプを提供します。これにより、さまざまなアプリケーションに低レイテンシーのハイブリッドマルチクラウドアクセスが提供されます。アプリケーションの階層が複数ある場合や遅延に敏感で、企業リソースへのアクセスが必要な場合は、Network Edge上の単一のコントロールポイントに配置された仮想セキュリティデバイスを使用して実装できます。
Architecture
このリファレンス・アーキテクチャ・シナリオのハイブリッド・マルチクラウド・トポロジーでは、ウェブ層があるクラウドプロバイダーに、データベース層が同じ地域の別のクラウドプロバイダーに展開されます。アプリケーションの一般にアクセス可能なコンポーネントは、ウェブ層だけです。その他のコンポーネントはすべて保護する必要があります。これには、アプリケーションにサービスを提供し、遅延要件により他のコンポーネントの近くに配置する必要があるエンタープライズインフラストラクチャも含まれます。
このソリューションにより、導入されるデバイスの数が減り、すべてのアプリケーション層間で単一のセキュリティ・コントロール・ポイントが実現します。企業にとっては、ネットワークの複雑さが軽減されるため、クラウド間接続のコストが削減され、セキュリティが強化されます。
アプリケーション層間のネットワーク通信は、エクイニクス・ファブリック上のレイヤー2の直接プライベート相互接続で提供され、ネットワーク・エッジ・デバイスがレイヤー3のルーティングとセキュリティ・サービスを提供します。ネットワーク・エッジ・デバイスは、ネットワーク・エッジのネットワーク機能仮想化（NFV）プラットフォームでホストされる仮想ネットワーク機能（VNF）です。
エクイニクス・コンポーネント
- Equinix Fabric - Equinix Fabricはスイッチングプラットフォームであり、Fabricに参加するプロバイダにプライベート接続を提供します。Software-Defined Networkingを利用してFabric上に仮想回線をプロビジョニングし、Fabricに接続しているプロバイダへの接続を確立します。仮想接続は、カスタマーポータルまたはAPIを使用して作成できます。
- エクイニクスNetwork Edge - Network Edgeは、Cisco、Palo Alto、Fortinet、Versa、Aruba、Check Pointなど、さまざまなベンダーのVNF（ルーター、ファイアウォール、SD-WAN）をホストするETSI準拠のNFVプラットフォームです。VNFはリアルタイムでデプロイでき、デプロイ後はFabric上でプロバイダーとの仮想接続を開始できる。
アプリケーション・コンポーネント
- プライベート相互接続 - クラウドサービスプロバイダー（CSP）からのプライベート相互接続は、エクイニクスFabricに接続するレイヤー2のパートナー接続またはホスト接続です。パートナー接続またはホスト接続は、デバイスとピアリング先のCSPルーターとの間に中間スイッチを提供します。プライベートレイヤ2相互接続が確立されると、CSPゲートウェイとのレイヤ3ピアリングを設定できます。プライベート相互接続はインターネットをバイパスします。
- パブリッククラウド・ウェブ層 - パブリッククラウド・ウェブ層は、ユーザー接続のためにパブリックインターネット上に公開されるウェブサーバーをホストする。この層は、パブリッククラウド・プロバイダーまたはプロバイダが提供するインターネットサービスも提供する。
- パブリック・クラウド・データベース層 - パブリック・クラウド・データベース層は、ウェブ層に相互接続されるデータベースPaaSサービスをホストする。ウェブ層とデータベース層間のトラフィックはセキュリティ・コントロール・ポイントを通過する必要があるため、この層は仮想セキュリティ・デバイスによって保護される。
- エンタープライズインフラストラクチャ - エンタープライズインフラストラクチャは、アプリケーションのプライベートサービスをホストします。このインフラストラクチャは、エクイニクスのデータセンターでホストすることも、エクイニクスメタルがプロバイダとして提供することも、別の場所でホストすることもできます。唯一の要件は、エクイニクスFabricがインフラストラクチャに到達できることです。
推薦の言葉
これらの推奨事項は、出発点となるものです。お客様のご要望は、このリストとは異なる場合があります。
- 場所の選択 - このアーキテクチャ例では、同じ地域間の接続を示している。配備する地域によって、レイテンシは異なります。これは、厳しいレイテンシ要件を持つアプリケーションを設計する際に重要な考慮事項です。しかし、アプリケーションによっては地域間の接続が必要な場合もあります。そのような場合は、エクイニクスFabricのグローバルリーチを利用して接続を構築してください。
- 高可用性 - このアーキテクチャは、フォールトトレランスのないシングルスレッドの導入を示しています。エクイニクスでは、お客様のビジネス要件に必要なレベルのフォールトトレランスを導入することを推奨しています。Network Edgeは冗長化されたデバイスで導入することも、ベンダーによっては高可用性ペアとして導入することもできます。
- ネットワーク・アドレッシング - プライベート・バーチャル・インターフェースを介したプライベート・サービスへの接続には、プライベートIPアドレッシングを使用できます。パブリックサービスによっては、お客様自身のパブリックIPアドレスとNATがNetwork Edgeデバイスに必要になる場合があります。パブリック・アドレスの要件はCSPごとに異なるため、パブリック接続を作成する前に調査が必要です。ウェブ層では、インターネット広告要件を満たす独自のIPアドレスを持参するか、プロバイダ割り当てのアドレスを使用することができます。
配慮事項
このアーキテクチャを実装する場合、以下の要素を考慮する。
Performance
レイテンシーに加えて、コンポーネント間の帯域幅とデバイスのスループットも重要である。仮想回路は適切なサイズでなければならず、デバイスは望ましいスループットをサポートしなければならない。
セキュリティ
ファブリックからクラウドプロバイダーへのプライベートな相互接続は暗号化されません。暗号化を必要とするアプリケーションは、アプリケーション層で暗号化するか、ネットワーク・エッジ・デバイスとクラウド・ゲートウェイの間でIPSECトンネルを構築できるネットワーク層で暗号化しなければならない。IPSECトンネルはオーバーヘッドを伴い、デバイスの選択にも影響する。このソリューションでは、アプリケーション層間のすべてのトラフィックフローを交差させる単一の制御ポイントに、仮想セキュリティデバイスを配置します。
エクイニクスのコスト
- Device instance - 仮想デバイスのコスト（ライセンスコストは含まない）。
- 仮想デバイスのライセンス - 一部のベンダーのサブスクリプション・ライセンスを購入できます。BYOL（Bring Your Own License）はすべてのベンダーで利用できます。
- 仮想回線 - 月額利用料金は回線サイズに基づきます。エクイニクスFabricを介したメトロ間の接続には、リモート接続の追加料金が発生します。
CSPコスト
- エグレスチャージ - 一部のサービスプロバイダーは、プライベート相互接続を介して送信されるデータ量に基づいて料金を請求する。この料金はプロバイダによって異なります。プライベート相互接続を使用することで、インターネットと比較して、イグレスチャージが削減されます。
- 固定ポート料金 - 一部のプロバイダでは、イグレス料金に加えて、回線サイズに基づいて課金されます。イグレス・チャージと固定ポート・チャージの両方がアプリケーションの設計に影響する。
お客様は、Network Edgeに仮想セキュリティデバイスを導入することで、ハイブリッドなマルチクラウド接続を単一のセキュリティコントロールポイントに集約し、アプリケーションのパフォーマンスを最大化するとともに、セキュリティを強化することができます。
関連トピック