ローカルブレイクアウト

読み：ろーかるぶれいくあうと　／　英語表記：local breakout

WAN・VPN
セキュリティ

支社などの拠点から出るインターネット向け通信の一部または全部を、本社やデータセンターへ集約せず拠点側の出口から送る接続方式である。集約地点の回線や機器の負荷を減らし、クラウドサービスまでの経路を短縮できる。

イマシルちゃんの解説

支社からクラウドの資料を開くとき、通信が一度本社まで戻ってからインターネットへ出る構成があるんだ。
管理する機器を本社にまとめられるけれど、支社が増えると本社の回線も混みやすくなるよ。
そこで選んだ通信を支社からインターネットへ出す接続方式が、ローカルブレイクアウトなんだ。
本社を経由する分を減らせるから、回線や機器への負荷を抑えられるよ。
ただし本社にあった検査やログの機能は、支社の装置やクラウドのサービスでどう補うかを決めておく必要があるんだ。

より深い解説

通信を集約する構成との違い

本社を中心にしたハブアンドスポーク型のネットワークでは、支社のWeb通信をVPN経由で本社のプロキシへ集め、そこからインターネットへ出す構成がある。セキュリティ設定とログを集約しやすい一方、支社から本社への通信と本社のインターネット回線に負荷が集中する。

ローカルブレイクアウトでは、対象となる通信を支社側からインターネットへ送る。本社を経由する必要のない通信を減らせるため、SaaSやオンライン会議などの利用が増えた際の対策になる。経路が短くなる構成では遅延も改善し得るが、利用する回線や接続先の状態によって効果は異なる。

観点	本社へ集約する構成	ローカルブレイクアウト
インターネットの出口	本社やデータセンターにまとめる	対象通信には支社などの出口を使う
通信負荷	集約地点の回線と機器に集中しやすい	対象通信の負荷を各拠点へ分散する
検査とログ	集約したプロキシや機器で処理しやすい	拠点やクラウドへ機能を分担させる
出口のアドレス	集約地点のアドレスを使う	拠点や利用サービスのアドレスへ変わり得る

対象となる通信を選ぶ

全ての通信を支社から出す必要はない。特定のクラウドサービスだけを対象とし、それ以外のWeb通信は本社へ集める方式もある。社内サーバ宛ての通信は、引き続き拠点間VPNなどの経路を使う。

対象の判定には、宛先のIPアドレス、ドメイン名、アプリケーションの識別結果などを利用する。クラウドサービスの宛先は追加・変更されることがあるため、判定用の一覧を更新する運用も必要になる。共有の配信基盤では複数のサービスが同じIPアドレスを使う場合があり、IPアドレスだけでの分類が適切かを確認する。

実現する主な方法

方法	仕組み
PACファイルでプロキシを選ぶ	宛先に応じて支社のプロキシか本社のプロキシかを選び、利用する出口を分ける
ポリシーベースルーティングで振り分ける	宛先や通信種別などの条件から転送先を選ぶ
SD-WANのポリシーを使う	複数拠点へ共通の方針を配り、対象通信の出口を制御する

ローカルブレイクアウトは経路構成の考え方であり、SD-WANを使わなくても実現できる。複数のセキュリティ機能をまとめたUTMが支社にあれば、そのプロキシを経由する構成も含まれる。プロキシを全て廃止することと同じではない。

PACのDIRECTは、ブラウザがプロキシを利用しないことを示す。その指定だけで支社のインターネット回線が選ばれるわけではない。実際の出口は経路表やVPNの設定にも左右される。

セキュリティ機能をどこへ置くか

本社のプロキシを経由しなくなった通信は、そこで行っていた検査や記録も受けなくなる。拠点のUTMや、Web通信を検査するクラウドのSWGを利用するなど、必要な機能を提供する場所を決める。

HTTPSは通信内容の保護に役立つが、不適切な送信先を全て防げるわけではない。宛先の制限、マルウェア対策、ログの取得など、業務で必要な制御を別に整理する。外部サービスが送信元IPアドレスを制限している場合は、変更後の出口のアドレスを許可対象に反映する。

支社側に出口を設けると、NAPTの変換記録や通信ログも複数の場所へ分かれる。事象が起きた時刻にどの端末が通信したか追跡できるよう、時刻同期とログの保管をそろえる。

スプリットトンネルとの関係

スプリットトンネルは、通信をVPNへ流すものとVPNへ流さないものに分ける方式である。テレワーク端末の社内向け通信だけをVPNへ送り、その他は端末側のインターネット接続を使う構成などで用いられる。

両者には通信の集中を避けるという共通点があるが、ローカルブレイクアウトは拠点側でインターネットへ出す構成に着目する。スプリットトンネルはVPNを通す範囲に着目する。どの機器で通信を分け、どの出口を使うかを確認すると混同しにくい。

導入時の確認

対象サービスへの通信だけでなく、認証やコンテンツ配信のための付随する通信も検証する。支社の出口が利用できないときの扱いを決め、想定外の経路で検査や記録を回避しないようにする。

具体的なPACの条件、WPADによる配布、残る拠点間VPNの確認は、ローカルブレイクアウトの設計で詳しく扱う。

参考資料

IPA「令和6年度春期」問題・解答例・採点講評のネットワークスペシャリスト午後Ⅰ問3。
MDNのPACファイル解説でプロキシの選択方法を確認できる。
CiscoのSD-WAN設計ガイドで拠点からのインターネット接続を含む構成例を確認できる。

午後での問われ方

導入前後で、対象通信がどの機器と回線を通るかを比較する。減る負荷を特定するとともに、プロキシ設定、送信元アドレス、ログの取得場所に必要な変更を説明する。