PR
写真1●Windows Server 2008のNAP機能によるセキュリティ警告画面
写真1●Windows Server 2008のNAP機能によるセキュリティ警告画面
[画像のクリックで拡大表示]
写真2●VLANとIEEE 802.1X認証方式を使うためのNAP設定手順書。CTCが配布している。
写真2●VLANとIEEE 802.1X認証方式を使うためのNAP設定手順書。CTCが配布している。
[画像のクリックで拡大表示]

 まもなく開発が完了する予定の「Windows Server 2008」の新機能で,クライアントのセキュリティ水準を精査し社内ネットワークへの接続を制御できる「NAP(ネットワーク・アクセス保護)」。2月1日まで開催している「ITpro EXPO」展示会場内の「Windows Server 2008パビリオン」では,複数のネットワーク機器ベンダーがNAP対応のLANスイッチによるデモンストレーションを実施している。

 Windows Server 2008のNAPは,クライアント・パソコンやサーバーのセキュリティ状態をチェックし,一定の水準に達していないクライアントを社内ネットワークに参加させなくする機能である。たとえば,最新のセキュリティ修正プログラムが適用されているか,パーソナル・ファイアウオールが有効になっているか,ウイルス対策ソフトがインストールされているか,ウイルス定義ファイルが更新されているか,などをチェックする。セキュリティ水準の低いパソコンには,写真1のような警告画面が表示される。

 NAPに対応するクライアントは,Windows Vista,Windows XP SP3,Windows Server 2008で,これらのOSにクライアント・モジュールは不要である。NAPのような「ネットワーク検疫システム」はこれまで,クライアント・モジュールが必要であり,導入費用も高額になりがちだった。最低限の機能だけ利用するのであれば,Windows Server 2008だけで導入が可能なNAPは,ネットワーク検疫システムの低価格化を進めるソリューションとして期待されている。

主流はIEEE 802.1X認証を使ったVLAN方式

 NAPを使ったネットワーク接続制限には,いくつかの手法がある。Windows Server 2008をDHCPサーバーにして,NAPによる検疫をクリアしなかったパソコンにはIPアドレスを割り当てないという手法が最も低コストであり,サーバー・ライセンスだけでNAPを実装できる。ただし,固定IPアドレスを使うことで,NAPを回避できてしまうという弱点がある。

 ほかにも,NAPとIPsecを併用して,検疫をクリアしなければ暗号化ネットワークに参加させない手法もあるが,暗号化によるオーバーヘッドを覚悟しなければならない。このような背景から,Windows Server 2008パビリオンで主流だったのは,LANスイッチが備えるVLAN(バーチャルLAN)機能を使う手法である。VLANでの認証には,IEEE 802.1X規格を使用する。

 VLANとIEEE 802.1X認証を使う手法の利点は,検疫をクリアしたクライアントだけを社内ネットワークに接続させる一方で,検疫をクリアできなかった“危険なクライアント”を,「制限付きネットワーク」に隔離できる点である。制限付きネットワークに隔離されたクライアントは,セキュリティ修正パッチやウイルス定義ファイルの配布サーバーにだけアクセスできるようにする。セキュリティ上の欠陥を修正したら,社内ネットワークへの参加を許可する運用形態になる。

CTCは自社で検証した設定手順書を配布

 VLANとIEEE 802.1X認証を使う手法には,これらの機能を搭載し,かつNAPに対応しているLANスイッチが必要。Windows Server 2008パビリオンでは,NEC(IP8800/S3600など)やアラクサラネットワークス(AXシリーズ),アルバネットワークスなどが,NAPに対応したLANスイッチを展示している。また伊藤忠テクノソリューションズ(CTC)は,VLANとIEEE 802.1X認証方式を使うためのNAP設定手順書を,会場で配布している(写真2)。

 このほかエンテラシス・ネットワークスは,隔離にVLANを使うのではなく,クライアントが接続できるサーバーのIPアドレスを限定する「Filter-ID方式」を使用するLANスイッチを展示している。この方式だと,セキュリティ修正パッチなどを配布するサーバーを,制限付きネットワークに配置する必要がなくなるため,ネットワーク管理が容易になるという。

 また,京セラコミュニケーションシステムは,Windows Server 2008のNAPと連携できる自社製の検疫アプライアンス「Lockdown Enforcer」を出展している。NAPに対応するWindows Vista/XP/Server 2003の検疫はWindows Server 2008で行い,NAPに対応しないWindows 2000やMacintosh,Linux,PDAなどの検疫はLockdown Enforcerが受け持つというソリューションだ。全マシンをLockdown Enforcerで検疫するよりも,NAPを使う方が全体のコストを削減できるとアピールしている。