catch-img

IPsec VPN?いいえ、Auto VPNです。

こんにちわ。
椎間板ヘルニアを患ってる木村です。
椎間板ヘルニアは座骨神経痛になってからが本番ですね。靴下穿くのも一苦労です。

さて、今回はMerakiシリーズの次男坊ことMXシリーズについてご紹介致します。MXシリーズはクラウド型のUTMファイアウォールです。通常のUTM機能を兼ね備えていますが、その中でもMeraki MX が持つ特徴の1つとして、「Auto VPN」 という機能があります。

Auto VPNを使うことによって以下のメリットがあります。
1.ワンクリックでフルメッシュのVPNが構築できる
2.グローバルIPアドレスが不要
3.TeleWorker VPN 今回は、MXシリーズのAuto VPNにフォーカスしてご紹介致します。


目次[非表示]

  1. 1.1.ワンクリックでフルメッシュのVPNが構築できる
  2. 2.2.グローバルIPアドレスが不要
  3. 3.3.TeleWorker VPN


1.ワンクリックでフルメッシュのVPNが構築できる

今までインターネットVPNを構築したことがあるSEの皆さまであればご存知かと思いますが、インターネットVPNのコンフィグって非常に難しいですよね。IPsecにPPPoE、GRE、QoS、ACL、Routingなどを含めていきますと、より複雑になっていきます。非常に複雑なコンフィグであるためにインターネットVPNが苦手な方も多いのではないでしょうか。(私はとても嫌いです!)

MerakiのAutoVPN機能は、インターネットVPNを簡単に構築する事が出来ます。
全て自動化されていますので、対向側の設定も弄る必要がありません。
設定はワンクリックで済みますので所要時間としては2~3秒で完了します。
AutoVPNのデモを初めてご覧になられた方は感動すら覚えるはずです。

MerakiのAutoVPN機能イメージ


例えば、インターネットVPNサイトを1拠点追加する場合、
おそらく以下のタスクが発生すると思います。


普通のFirewall
Meraki MXシリーズ
既存環境調査
必要
場合によっては不要
CONFIG作成
必要
不要
事前検証
必要
不要
作業手順書作成
必要
不要
現地作業
必要
不要
センター側立会い
必要
不要

ワンクリックで設定が完了してしまいますので、CONFIGの作成や事前検証は不要です。また、ゼロタッチ導入のためオンサイトの作業も不要です。AutoVPN機能を利用することで、インターネットVPNの構築に関わるタスクの7~8割を削減することができ、作業に関わるコストを大幅に抑える事ができると思います。  


2.グローバルIPアドレスが不要

インターネットVPNを構築する場合、センター拠点に固定グローバルIPアドレスが最低でも1つ必要です。VPN接続を行う場合にターゲットとなる固定のグローバルIPアドレスが必要だからです。全ての拠点に固定グローバルアドレスを割り当てても良いのですが、これだとかなりランニングコストがかかってしまいますね。


Auto VPNを利用した場合、これら固定グローバルIPアドレスが一切不要になります。全ての拠点が動的グローバルIPアドレスで構成されていても構いません。また、ブロードバンドルータやファイアウォールなどのNATデバイス配下に設置されているような場合でも問題無くVPN接続が可能です。では、どうして固定グローバルIPアドレスが無いのに、ターゲットとなるアドレスを見つけるのでしょうか?不思議ですよね。Auto VPN ではVPN接続が行われる際に以下のプロセスが行われます。

①各MXはクラウド上のVPNレジストリにUDP通信を開始します。
②クラウド上のVPNレジストリは、各MXのパブリックIPアドレスとUDPポートを登録し、
 それらを他の各MXに教えます。
③VPNレジストリから通知された情報(パブリックIPアドレスとUDPポート)を元に互いに直接IPsecトンネルを確立します。

クラウド上のVPNレジストリがブローカーとして動作し、グローバルIPアドレスとUDPポートを各MXデバイスに通知するのです。この技法はP2Pアプリケーション等と同じ要領で、MerakiのVPN接続で応用されています。固定アドレスオプションを利用した場合と利用しない場合(動的アドレスを利用)のランニングコストでは大きく差が出てきます。

固定IPアドレスオプションはISPやサービスメニューによってかかるランニングコストはピンキリですが、高額なところですと、月額7万円のランニングコストがかかるケースもあります。年間84万、5年で420万のランニングコストがかかるということになりますね。高すぎですね。

しかしMerakiの場合、これら固定IPアドレスが一切不要になりますので0円です。安すぎですね。

Merakiと他社のコスト比較表

Auto VPNでグローバルIPオプションを無くしたことにより、ずいぶんコストを削減出来るのではないでしょうか。


3.TeleWorker VPN

最後にTeleWorker VPNという機能をご紹介いたします。こちらはMeraki MRシリーズ(無線タイプ)とMX間でVPN接続が出来るという機能です。こちらもAuto VPN機能を使います。例えば、会議やセミナー等のイベントで無線環境とVPN環境のテンポラリーサイトを構築したい場合、TeleWorkerVPNを利用することで、数分でネットワークが構築出来ます。

TeleWorker VPNの機能イメージ

通常であれば、別途VPN装置を上位に準備する必要がありますが、TeleWorker VPN機能を利用すればVPN装置を準備する必要はありません。直接、MXとVPN接続が出来ます。もちろんAuto VPN機能を使いますので、ワンクリックで構築が完了します。一時的なネットワーク環境を構築する場合等にはとても便利な機能だと思います。  


今回ご紹介させて頂きましたMeraki MXシリーズはインターネットVPNが得意な製品です。スタンダードなCiscoの製品の中では珍しく尖がった製品です。
まるで私の椎間板ヘルニアの様ですね!

インターネットVPNと言いますと、一昔前では信頼性の問題から、企業では利用できないという印象が強かったのです。しかし、ここ最近ではフレッツ網の信頼性も向上しておりビジネスユースにも対応してきています。このため、IP-VPN等の閉域網を利用していた企業が、リプレイスのタイミングでインターネットVPNに移行するケースが増えてきています。MXシリーズであれば、WAN回線にかかるランニングコストの削減だけでなく、他にも様々な面でメリットが提供できます。WANリプレイスの際は、是非、Meraki MXシリーズもご検討頂ければ幸いです。