ホワイトペーパーCisco NAC アプライアンス（Clean Access）インバンド導入およびアウトオブバンド導入のオプションと考慮事項Cisco NAC アプライアンス（Clean Access）は、ネットワーク管理者がユーザにネットワークへの接続を許可する前に、有線および無線経由のユーザ、リモートのユーザおよびそのマシンを認証、承認、評価、感染修復することができるネットワーク アドミッション コントロール（NAC）ソリューションの導入を支援します。このソリューションでは、マシンがセキュリティ ポリシーに準拠しているかどうかを識別し、ネットワークへのアクセスを許可する前に、これらの脆弱性を修正します。Cisco NAC アプライアンスの導入には、インバンド モードとアウトオブバンド モードがあります。このホワイト ペーパーでは、各ネットワークの特徴やお客様の状況に応じて、それぞれのモードがどのような場合に、どのように適しているかを説明します。 Cisco NAC アプライアンスの概要2003 年、シスコは、ネットワーク アクセスに前提条件を強制することで、ネットワークをセキュリティ ポリシーに確実に準拠させるための方法として、NAC のコンセプトを発表しました。現在、NAC の導入には、2 つの方法があります。1 つは業界で共同作業を進めているフレームワークにより、他のベンダーによるソリューションを活用する方法です。もう 1 つは、認証、ポスチャ評価、検疫、感染修復の機能が統合された包括的な製品である Cisco NAC アプライアンス製品を利用した導入です。 Cisco NAC アプライアンスは、次の 3 つのコンポーネントから構成されています。
Cisco NAC アプライアンスは、次の基本方針に基づいて作成されています。 柔軟性 －ネットワークは、それぞれが異なります。Cisco NAC アプライアンスは、インバンドでもアウトオブバンドでも、仮想ゲートウェイとして、または物理 IP ゲートウェイとしてなど、さまざまな方法で導入することができます。また、エージェントの有無は多くの場合、ネットワークでサポートされるユーザのタイプによって決定されますが、Cisco NAC アプライアンスはエージェントあり（接続しようとしているマシンでエージェントが動作中）とエージェントなしのどちらでも動作します。ネットワーク環境に関しては、インバンドの Cisco NAC アプライアンスは、すべてのベンダーのスイッチングおよびルーティングのインフラストラクチャに対応できます。 インストールと使用の容易性 －Cisco NAC アプライアンスの導入は、ほとんどの場合 1 日もかかりません。Web ベースの Cisco Clean Access Manager を使用することにより、管理者がユーザ ロール、ルール、チェック、要件を設定できます。Microsoft の最新の修正プログラムに対応したセキュリティ アップデートおよびアンチウイルス ソフトウェアのウイルス定義ファイルが自動的に Cisco NAC アプライアンスにダウンロードされます。 スケーラビリティ －1 台の Cisco Clean Access Server で、同時に 1,500 ユーザに約 1 Gbps のスループットを問題なく提供できます。Cisco NAC アプライアンスは、100 ユーザ程度の小さい構成にも数万ユーザを超える大規模な構成にも対応できます。 インバンドとアウトオブバンドの選択Cisco NAC アプライアンスは、ネットワークのコンピューティング リソースにアクセスするすべてのデバイスに対して、ネットワーク インフラストラクチャを使用してセキュリティ ポリシーを確実に適用します。Cisco NAC アプライアンスを使用することにより、ネットワーク管理者はネットワークへの接続を許可する前に、有線および無線経由のユーザ、リモートのユーザおよびそのマシンを認証、承認、評価、感染修復することができます。ノート PC、IP 電話、ゲーム機のコンソールなどのネットワーク デバイスが組織のセキュリティ ポリシーに適合しているかどうかを識別し、脆弱性があれば、ネットワークへのアクセスを許可する前に修復します。Cisco NAC アプライアンスの管理コンソールは、Cisco Clean Access Manager です。 表 1 インバンド モードとアウトオブバンド モードの比較
インバンドの詳細インバンドで導入された Cisco NAC アプライアンスでは、ユーザ トラフィックの認証、ポスチャ評価、修復の前後および処理中、常に Clean Access Server がインラインとなっています。このサーバは、プロトコル/ポートまたはサブネット ベースでのトラフィック ポリシー管理のほか、帯域共有またはユーザ単位での帯域制御の実施、時間単位でのセッションやハートビートの制御によって、認証済みのユーザ トラフィックと、認証されていないユーザ トラフィックを安全に制御します。 インバンド導入では、Clean Access Server からサポートクライアント マシンの MAC アドレスと IP アドレスを把握できる限り、すべてのエッジ アクセス デバイスがサポートされます。サーバはトラフィックに関してインバンドなので、次のような特性を持つ環境にはインバンド導入モードが適しています。
Cisco NAC アプライアンスのインバンド プロセス フロー：動作図 1～4 は、インバンド導入のプロセス フローを示しています。 
図 1 ノート PC による内部ネットワークへのアクセス試行
アウトオブバンドの詳細アウトオブバンドで導入された Cisco NAC アプライアンスでは、Clean Access Server は、認証、ポスチャ評価、修復の処理中だけインバンドとなります。ユーザのデバイスが正常にログオンした後は、そのデバイスのトラフィックは Clean Access Server をバイパスし、スイッチ ポートへ直接送られます。その間、Clean Access Manager は、ポートを特定の VLAN に割り当て、その VLAN にマッピングされたロールにユーザを分類します。時間ベースでロールごとのセッション タイムアウトを設けることで、ポートレベルまたはロールレベルで制御を実施します。 Cisco NAC アプライアンスのアウトオブバンドでの導入は、キャンパス、ブランチ オフィス、エクストラネットなど、高スループットでルーティングの多い環境に適しています。ハブやワイヤレス アクセス ポイントなどの共有メディア デバイスには向いていません。 Cisco NAC アプライアンスのアウトオブバンド プロセス フロー：動作図 5～8 は、アウトオブバンド導入のプロセス フローを示しています。
相違点のまとめCisco NAC アプライアンスをインバンドとアウトオブバンドのどちらで導入しても、認証、ポスチャ評価、検疫、感染修復という基本的なタスクを実行できますが、どちらで導入するかの選択は主にシステムの使用法に依存します。表 2 に主な違いを示します。 表 2 インバンド導入とアウトオブバンド導入の環境
*サポートされるスイッチの最新の一覧については、http://www.cisco.com/en/US/partner/products/ps6128/prod_release_notes_list.html を参照してください。 関連情報Cisco NAC アプライアンスの詳細については、http://www.cisco.com/jp/go/nac/appliance を参照してください。 |
||||||||||||||||||||||||
 |
Cisco NAC アプライアンス（Clean Access）インバンド導入およびアウトオブバンド導入のオプションと考慮事項
