この記事は、 「ネットワーク上級編｜要件定義・設計・クラウド・自動化へ進む」 の第15回です。
第2章では、要件定義で整理した条件を、 実際のネットワーク構成へ落とし込む基本設計を学びます。
インターネット接続設計とは？
回線・ルーティング・NAT・冗長化の考え方
企業ネットワークをインターネットへ接続するときは、 単に「インターネット回線を1本契約する」だけではありません。 必要帯域、回線方式、グローバルIPアドレス、ルーティング、 NAT、ファイアウォール、冗長化、監視、障害時の切り替えまで考え、 業務要件に合ったインターネット出口を設計する必要があります。
インターネットは、多くの企業ネットワークにとって重要な外部接続先です。
Web閲覧やメールだけでなく、Microsoft 365などのSaaS、 クラウドサービス、Web会議、リモートアクセスVPN、 ソフトウェア更新など、多くの業務通信がインターネットを利用します。
そのため、インターネット接続設計では 「つながるか」だけでなく、「必要な性能・可用性・安全性を満たしているか」 を考える必要があります。
この記事を読み終えるとできること
- インターネット接続設計の役割を説明できる
- インターネット接続で検討すべき項目を整理できる
- 必要帯域を考えるときの観点を説明できる
- グローバルIPアドレスとNATの設計を考えられる
- デフォルトルートの設計を説明できる
- 単一回線と冗長回線を要件から選択できる
- ファイアウォールを含む境界セキュリティを設計できる
- インターネット障害時の確認ポイントを整理できる
インターネット接続設計とは何か
インターネット接続設計とは、企業ネットワークを外部ネットワークへ 安全・安定・適切な性能で接続するために、 回線・アドレス・経路・NAT・セキュリティ・冗長化・運用方法を決める工程です。
要件定義で、 「社員がインターネットを利用する」 「クラウドサービスを利用する」 「インターネット停止時も業務を継続したい」 といった条件が整理されたとします。
基本設計では、それらを実現するために次のような内容を決めます。
- どの通信事業者・回線サービスを使用するか
- 必要な回線帯域はいくつか
- 回線を1本にするか2本以上にするか
- どこをインターネット出口にするか
- グローバルIPアドレスを何個必要とするか
- どの装置でNAT・NAPTを行うか
- どの装置をデフォルトゲートウェイとするか
- ファイアウォールをどこへ配置するか
- 外部からの通信をどこまで許可するか
- 回線障害をどのように検知するか
- 障害時にどのように切り替えるか
インターネット接続設計は「回線設計」だけではありません。
LANからインターネットまでの通信経路全体を見て、 回線・ルーター・ファイアウォール・ルーティング・NAT・監視を 一つの仕組みとして設計します。
まずインターネット接続の全体構成を理解する
一般的な企業ネットワークでは、社内端末からインターネットへの通信は 次のような機器を経由します。
INTERNET CONNECTIVITY｜企業ネットワークからインターネットへの基本構成
実際の構成では、ルーターとファイアウォールの役割を 同じ装置が担当する場合もあれば、別々の装置に分ける場合もあります。
重要なのは製品名ではなく、 どの装置がどの役割を担当するかを明確にすることです。
| 機能 | 設計で決めること |
|---|---|
| 回線 | 事業者、サービス、帯域、冗長化方式 |
| ルーティング | デフォルトルート、経路切り替え方法 |
| NAT | 変換元・変換先・変換方式 |
| セキュリティ | 許可通信、拒否通信、公開サービス |
| 冗長化 | 回線・装置・経路の障害時動作 |
| 監視 | 何を監視し、どこまでを正常と判断するか |
インターネット接続設計の前に確認する要件
設計を始める前に、 「インターネットを利用する」という要件をさらに具体化します。
利用用途
- Web閲覧
- メール
- SaaS
- クラウド
- Web会議
- リモートアクセスVPN
- 外部公開サーバー
利用規模
- 利用者数
- 端末数
- 同時利用者数
- 拠点数
- 将来増加見込み
性能
- 平均通信量
- ピーク通信量
- 許容遅延
- 必要帯域
- アップロード・ダウンロード量
可用性
- 停止時の業務影響
- 許容停止時間
- 回線冗長化の必要性
- 装置冗長化の必要性
- 自動切り替えの必要性
セキュリティ
- 外部公開サービスの有無
- 許可する外向き通信
- 外部からの接続
- URL・アプリケーション制御
- ログ保存要件
運用条件
- 監視担当者
- 障害連絡先
- 回線事業者への問い合わせ方法
- 保守時間
- 変更作業可能時間
「1Gbpsの回線を契約してください」から設計を始めないことが重要です。
まず利用人数・アプリケーション・実通信量・将来増加・停止時の業務影響を確認し、 その結果として必要な回線仕様を決めます。
回線と帯域を設計する
インターネット接続設計で最初に目立つ項目が回線です。 ただし、単純に「速い回線を選べばよい」わけではありません。
確認する主な項目
- 必要な通信帯域
- ベストエフォートか帯域保証・確保型か
- 上り・下りの通信量
- 回線終端方式
- 固定グローバルIPアドレスの提供有無
- 回線開通までの納期
- 障害受付・保守時間
- 提供エリア
- 回線冗長化の可否
- 費用
帯域はピーク通信を確認する
平均通信量だけを見て回線を設計すると、 始業直後、昼休み、オンライン会議が集中する時間帯などに 帯域不足が発生する可能性があります。
| 確認項目 | 例 |
|---|---|
| 平均通信量 | 通常時にどの程度利用しているか |
| ピーク通信量 | 最も通信が集中するときの通信量 |
| 利用用途 | Web、SaaS、動画、Web会議、バックアップなど |
| 将来増加 | 利用者・端末・クラウド利用の増加予定 |
| 許容率 | どの程度まで回線使用率が上がっても許容するか |
帯域設計では「回線速度」と「実際に必要な性能」を分けて考えます。
契約上の回線速度だけでなく、 実際の通信量、混雑時間帯、利用アプリケーション、 将来増加を含めて判断します。
グローバルIPアドレスを設計する
インターネットと通信するためには、 インターネット上で利用できるグローバルIPアドレスが必要です。
一方、社内LANでは通常、 プライベートIPアドレスを利用します。
プライベートIPからグローバルIPへの変換
グローバルIPアドレスが必要になる例
- 社内端末からインターネットへアクセスする
- 外部公開Webサーバーを設置する
- Site-to-Site VPNの対向アドレスとして使用する
- リモートアクセスVPNの接続先として使用する
- 外部サービスで接続元IPアドレス制限を行う
設計時に確認すること
- 固定IPアドレスが必要か
- 必要なグローバルIPアドレス数
- 公開サーバー用アドレスが必要か
- VPN用アドレスが必要か
- 回線変更時にIPアドレスが変わるか
- 外部システムでIPアドレスによる許可設定があるか
回線更改でグローバルIPアドレスが変更される場合は注意が必要です。
VPN対向設定、DNSレコード、外部サービスの接続元IP制限、 ファイアウォール設定など、 社外の設定変更が必要になる可能性があります。
インターネット向けルーティングを設計する
社内端末がインターネットへ通信するには、 インターネット向けのパケットをどこへ送るかを ルーティングで決める必要があります。
基本はデフォルトルート
小規模から中規模のインターネット接続では、 インターネット方向へデフォルトルートを設定する構成がよく使われます。
デフォルトルートによるインターネット接続
「行き」だけでなく「戻り」も確認する
ネットワーク設計では、 送信方向の経路だけを確認してはいけません。
インターネットから戻ってくる通信が、 正しい装置・正しい経路を通って元の端末まで戻れることも確認します。
通信設計の基本： 「行きの経路」「戻りの経路」「途中の通信制御」を セットで確認します。
複数回線になると経路制御が重要になる
回線を2本以上利用すると、 「通常時はどちらを使うのか」 「障害時はどちらへ切り替えるのか」 を設計する必要があります。
さらに高度な構成ではBGPを利用する場合もあります。 BGPについては上級編第3章で詳しく学びます。
NAT・NAPTを設計する
社内LANで使用しているプライベートIPアドレスを そのままインターネットへ送るのではなく、 境界装置でグローバルIPアドレスへ変換する構成が一般的です。
NAPTによる外向き通信
多数の社内端末がインターネットへアクセスする場合は、 複数端末の通信を1個または少数のグローバルIPアドレスへ変換します。
| 設計項目 | 確認内容 |
|---|---|
| 変換元 | どの社内ネットワークをNAT対象にするか |
| 変換後 | どのグローバルIPアドレスを使用するか |
| 例外 | NATしてはいけない通信があるか |
| 公開通信 | 外部から内部サーバーへ接続させる必要があるか |
| ログ | 変換履歴をどこまで記録するか |
NATする場所を明確にする
NATをルーターで行うのか、 ファイアウォールで行うのかは構成によって異なります。
基本設計書では、 「どの装置がNATを担当するか」 「どの通信を変換するか」 を明記します。
NAT設計はIPアドレス変換だけでなく、 ルーティングとセキュリティポリシーとの整合性 を確認することが重要です。
ファイアウォールとセキュリティを設計する
インターネットは社内ネットワークの外部にあるため、 接続境界ではセキュリティを考える必要があります。
境界で確認する主な項目
- 社内からインターネットへの許可通信
- インターネットから社内への許可通信
- 外部公開サーバーの有無
- 管理アクセス元の制限
- URL・アプリケーション制御
- 不正通信検知・防御機能
- VPN接続
- ログ取得
「外向き通信は全部許可」で終わらせない
社内端末からインターネットへの通信についても、 業務で必要な通信と不要な通信を整理します。
| 通信 | 設計例 |
|---|---|
| 一般Webアクセス | 利用者ネットワークから必要なWeb通信を許可 |
| ネットワーク機器管理 | 管理ネットワークから必要な宛先のみ許可 |
| サーバー通信 | 必要なアップデート先・外部API等を整理 |
| 外部から社内 | 原則拒否し、必要な公開通信のみ個別に設計 |
「インターネットにつながるようにする」と 「すべての通信を許可する」は同じ意味ではありません。
接続要件とセキュリティ要件を両方満たす構成を設計します。
インターネット接続の冗長化をどう考えるか
インターネットが停止したときの業務影響が大きい場合は、 回線や装置の冗長化を検討します。
構成A：回線1本
最もシンプルな構成です。
- 構成が単純
- コストを抑えやすい
- 回線障害で停止する
構成B：同一事業者2回線
アクセス回線を複数用意します。
- 回線障害対策が可能
- 切り替え設計が必要
- 共通障害要因を確認する
構成C：異なる事業者
異なるISP・経路を利用します。
- 障害分離を高めやすい
- 設計が複雑になる
- 費用・運用負荷が増える
回線だけ冗長化しても十分とは限らない
2本の回線を契約していても、 両方が同じファイアウォール1台へ接続されていれば、 そのファイアウォールが単一障害点になります。
冗長化では通信経路全体を見る
冗長化で決める内容
- 通常時に使用する回線
- バックアップ回線
- Active/StandbyかActive/Activeか
- 何をもって障害と判断するか
- 自動切り替えか手動切り替えか
- 切り替えに許容できる時間
- 復旧時に自動で元へ戻すか
- NATセッションへの影響
- VPN通信への影響
- DNSやグローバルIPアドレスへの影響
インターネット接続の高度な冗長化については、 上級編第3章 「23. 冗長インターネット接続」 でさらに詳しく扱います。
監視・障害対応まで設計する
インターネット接続は、 正常時の通信だけ設計して終わりではありません。
障害が起きたときに、 「どこまで通信できているのか」を判断できるように 監視ポイントを決めます。
監視する代表的な項目
| 監視対象 | 確認すること |
|---|---|
| 物理インターフェース | リンクアップ・ダウン |
| ルーター・FW | 機器死活、CPU、メモリ、セッション |
| 回線 | 疎通、遅延、パケットロス |
| 外部宛疎通 | ISPより先まで到達できるか |
| DNS | 名前解決できるか |
| 通信量 | 帯域使用率・ピーク値 |
インターフェースUPだけでは正常とは限らない
自社側ルーターのインターフェースがUPしていても、 その先のISPやインターネット側で障害が発生している場合があります。
障害切り分けの考え方
回線障害を検知するなら、 「何を確認できれば正常と判断するのか」まで決めます。
単純なリンク監視だけでなく、 ISPゲートウェイ、外部IPアドレス、DNS、実サービスなど、 必要な監視レベルを要件に応じて選びます。
企業ネットワークのインターネット接続設計例
要件
- 社員300名がインターネットを利用する
- SaaSとWeb会議を日常的に利用する
- インターネット停止時の業務影響が大きい
- 外部公開Webサーバーは設置しない
- リモートアクセスVPNを利用する
- 障害時は可能な限り自動で回線を切り替えたい
設計方針例
| 項目 | 設計方針 | 理由 |
|---|---|---|
| 回線 | 2回線構成 | インターネット停止時の業務影響が大きいため |
| FW | 2台冗長構成 | 回線だけでなく境界装置の単一障害を避けるため |
| ルーティング | 主回線・副回線を定義 | 通常利用する回線を明確にするため |
| NAT | ファイアウォールで実施 | 通信制御とNATを一元管理するため |
| 外部通信 | 原則外部からの新規通信を拒否 | 外部公開サーバーを利用しないため |
| VPN | 固定グローバルIPを使用 | リモートVPNの接続先を固定するため |
| 監視 | 回線・FW・外部疎通・帯域を監視 | 障害と性能劣化を検知するため |
構成イメージ
設計理由まで説明できることが重要
上級工程では、 「回線を2本にしました」という説明だけでは不十分です。
次のように要件と関連付けて説明します。
「インターネット停止時にSaaS・Web会議などの主要業務が停止するため、 回線障害を単一障害点としないよう2回線構成とします。 また、境界ファイアウォールについても単一障害点を避けるため、 冗長構成とします。」
この「要件 → リスク → 設計」の流れで説明できることが、 設計担当者に求められる力です。
インターネット接続設計でよくある失敗
1．回線速度だけで決める
「1Gbpsなら十分」と判断せず、 実際の通信量・ピーク・利用用途を確認します。
2．回線だけ冗長化する
ルーターやファイアウォールが1台なら、 そこが単一障害点になります。
3．グローバルIP変更の影響を見ない
VPN、DNS、外部サービスのIP制限などへの影響を確認します。
4．NATとルーティングを別々に考える
NAT、ルーティング、ファイアウォールポリシーは 一連の通信として確認します。
5．障害判定方法を決めない
「回線が落ちたら切り替える」だけでなく、 何をもって回線障害とするかを決めます。
6．将来の利用増加を見ない
SaaS、クラウド、Web会議、利用者増加による 通信量の変化も考慮します。
「インターネットにつながったので設計完了」ではありません。
性能、障害時動作、セキュリティ、監視、保守まで 要件を満たして初めて設計が成立します。
顧客・上司へインターネット接続設計をどう説明するか
技術に詳しくない相手へ、 NATやデフォルトルートから説明する必要はありません。
まず業務影響から説明します。
「今回の環境では、メールやWeb会議、クラウドサービスなど、 日常業務の多くがインターネットを利用します。 そのため、必要な通信量をもとに回線帯域を決定し、 回線障害でも業務を継続できるよう冗長化を検討します。 また、社内とインターネットの境界にはファイアウォールを配置し、 必要な通信だけを許可します。」
技術を業務へ翻訳する
| 技術的な説明 | 顧客向けの説明 |
|---|---|
| 回線を2本にする | 1本の回線障害だけで全社のインターネットを停止させない |
| 帯域を増強する | Web会議やクラウド利用が集中しても業務品質を維持する |
| 固定グローバルIPを取得する | VPNや外部サービスから安定して接続できるようにする |
| ファイアウォールを配置する | 社内と外部の通信を制御し、不必要なアクセスを防ぐ |
| 回線監視を行う | 障害を早期に検知し、復旧対応を開始できるようにする |
設計担当者は、 技術 → 業務影響 → リスク → 設計理由 へ翻訳して説明できることが重要です。
インターネット接続設計で使われる英語表現
よく使われる単語
| 英語 | 意味 |
|---|---|
| Internet connectivity | インターネット接続 |
| Internet Service Provider (ISP) | インターネットサービスプロバイダー |
| Internet circuit | インターネット回線 |
| Public IP address | グローバルIPアドレス |
| Private IP address | プライベートIPアドレス |
| Default route | デフォルトルート |
| Network Address Translation | NAT |
| Primary circuit | 主回線 |
| Backup circuit | バックアップ回線 |
| Failover | 障害時切り替え |
| Single point of failure | 単一障害点 |
設計・ヒアリングで使える表現
What bandwidth is required for the Internet connection?
インターネット接続にはどの程度の帯域が必要ですか？
Is Internet connection redundancy required?
インターネット回線の冗長化は必要ですか？
Are static public IP addresses required?
固定グローバルIPアドレスは必要ですか？
What happens to business operations if Internet connectivity is lost?
インターネット接続が失われた場合、業務にどのような影響がありますか？
理解度チェック
単純な用語暗記ではなく、 インターネット接続を設計する視点で考えてみましょう。
問題1．インターネット接続設計で決める内容として、 最も適切なものはどれですか。
- 回線速度だけを決定する
- ISPだけを決定する
- 回線・経路・NAT・セキュリティ・冗長化・監視を総合的に決める
- ファイアウォール製品だけを決定する
解答を見る
インターネット接続設計では、 回線だけでなく通信経路全体を設計します。
問題2．回線帯域を決めるとき、 平均通信量以外に特に確認したいものは何ですか。
解答を見る
通信が集中する時間帯のピーク値や、 SaaS・Web会議などの用途、 将来の利用者増加を含めて判断します。
問題3．インターネット回線を2本用意すれば、 必ず単一障害点がなくなるでしょうか。
解答を見る
2回線が同じルーターやファイアウォール1台へ接続されている場合、 その装置が単一障害点になる可能性があります。 回線だけでなく通信経路全体を確認します。
問題4．回線更改によってグローバルIPアドレスが変更されます。 確認すべき影響を3つ挙げてください。
解答を見る
- Site-to-Site VPNの対向設定
- DNSレコード
- 外部サービスの接続元IPアドレス制限
- リモートアクセスVPN
- ファイアウォール設定
問題5．インターネット回線の障害を検知するとき、 インターフェースのリンク状態だけを監視する問題点は何ですか。
解答を見る
インターフェースがUPしていても、 ISP側やその先のインターネットで障害が発生している可能性があります。
必要に応じてISPゲートウェイや外部アドレス、 実サービスまで含めて監視します。
実践演習：本社のインターネット接続を設計する
次の要件をもとに、 インターネット接続の基本設計を考えてください。
- 本社社員：500名
- SaaS、Web閲覧、Web会議を利用
- インターネット停止時はほぼ全社員へ影響
- 30分以上のインターネット停止は避けたい
- リモートアクセスVPNを利用する
- 外部公開Webサーバーはクラウドへ配置する
- 社内からインターネットへの通信ログを取得する
- 3年間で社員数が20％増える予定
課題1．設計項目を整理する
この案件で確認・決定する必要がある項目を 8つ以上挙げてください。
解答例を見る
- 必要帯域
- 回線事業者・回線方式
- 回線冗長化
- ファイアウォール冗長化
- 固定グローバルIPアドレス
- NAT方式
- デフォルトルート
- 障害判定方法
- 回線切り替え方法
- VPN接続方式
- セキュリティポリシー
- ログ取得
- 帯域監視
課題2．回線冗長化の必要性を判断する
この要件では、 インターネット回線を冗長化すべきでしょうか。 要件を根拠に説明してください。
理由：＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿
解答例を見る
冗長化を検討するべきです。
インターネット停止時にほぼ全社員へ業務影響があり、 30分以上の停止を避けたいという可用性要件があります。 そのため、単一回線障害でインターネット接続全体が停止しないよう、 複数回線構成を検討します。
課題3．簡易構成を作る
次の項目を含む論理構成を考えてください。
- 社内LAN
- ファイアウォール
- 主回線
- バックアップ回線
- インターネット
構成例を見る
1つの例として、次の構成が考えられます。
社内LAN → 冗長ファイアウォール → 主回線／バックアップ回線 → Internet
実際の案件では、 回線終端装置、ルーター、ISP、L3スイッチなども含め、 単一障害点を確認します。
課題4．顧客へ説明する
技術に詳しくない顧客へ、 なぜ回線冗長化が必要なのか30秒程度で説明してください。
説明例を見る
今回はWeb会議やクラウドサービスなど、 多くの業務がインターネットを前提としています。 1本の回線だけでは、その回線が故障した場合に 多くの社員が業務を行えなくなります。 そのため、別の回線へ切り替えられる構成を用意し、 1つの回線障害だけで全社の業務が停止しないようにします。
インターネット接続設計チェックリスト
実案件では、次の項目を確認しながら設計を進めます。
- インターネットを利用する業務・サービスを整理した
- 現在と将来の利用者数を確認した
- 平均・ピーク通信量を確認した
- 必要帯域を整理した
- 回線方式・事業者・サービスを比較した
- 固定グローバルIPアドレスの必要性を確認した
- インターネット向けルーティングを決めた
- NAT・NAPTを行う装置を決めた
- 外部からの許可通信を整理した
- 外向き通信のセキュリティポリシーを整理した
- 回線冗長化の必要性を確認した
- ネットワーク機器の単一障害点を確認した
- 障害判定方法を決めた
- 障害時の切り替え方法を決めた
- 切り戻し方法を決めた
- 回線・帯域・装置の監視方法を決めた
- ISPへの障害問い合わせ方法を確認した
- グローバルIP変更時の影響範囲を確認した
- VPN・クラウド・外部サービスとの関連を確認した
- 設計理由を要件へ関連付けて説明できる
まとめ
- インターネット接続設計では、 回線だけでなく経路・NAT・セキュリティ・冗長化・監視まで設計する
- 回線帯域は利用者数だけでなく、 実通信量・ピーク・アプリケーション・将来増加を確認して決める
- グローバルIPアドレスの必要数と用途を整理する
- 社内からインターネットへの経路として デフォルトルートを設計する
- NATをどの装置で、どの通信に適用するか決める
- ファイアウォールでは、 必要な通信と不要な通信を要件から整理する
- 高可用性が必要なら、 回線だけでなくルーター・ファイアウォールを含む 通信経路全体の単一障害点を確認する
- 障害時の切り替え条件と監視方法まで設計する
良いインターネット接続設計とは、 「インターネットにつながる構成」ではなく、 業務に必要な性能・可用性・安全性・運用性を 根拠を持って満たす構成です。
第2章「基本設計」では、 IPアドレス、VLAN、ルーティング、冗長化、 インターネット、WAN、VPN、DNS・DHCP、監視、ログを 要件から設計へ落とし込む方法を学びます。
コメント