 |
||
|
|
目次
Cisco Catalyst 6500シリーズ/Cisco 7600シリーズSSLサービス モジュール
CSSまたはその他のサーバ ロード バランサを使用したスタンドアロン モード
データシート
Cisco Catalyst 6500シリーズ/Cisco 7600シリーズSSLサービス モジュール
SSLサービス モジュールは、Cisco® Catalyst® 6500シリーズおよびCisco 7600シリーズ インターネット ルータに対応した統合型サービス モジュールです。Secure Sockets Layer（SSL）により、トラフィックの保護に関連するプロセッサ集約型タスクによる負荷を軽減し、Webサイトでサポートされるセキュアな接続の数を増やすと共に、高性能なWebサーバ ファームの運用上の複雑さを緩和します。
SSLサービス モジュールの主な機能：
・
サーバSSLのオフロード ― サーバはクリア テキスト トラフィックを高速に処理しながら、SSL関連のタスクをすべて実行することができます。
・スケーラブルなパフォーマンス ― Cisco Catalyst 6500スイッチにSSLモジュールを増設することで、パフォーマンス要件の増大にも簡単に対応できます。
・スティッキ性 ― Content Switching Module（CSM）を用いた統合モードでは、クライアントが新しいセッションIDを要求してもサーバとの関連付けが維持されます。
・認証の最適化 ― 証明書をサーバごとに用意せずにひとつの証明書を用意すればいいためコストが削減されます。
・バックエンドの暗号化 ― SSLモジュールは、モジュールとサーバ間の通信も同様に暗号化することで、エンドツーエンドのセキュリティを提供します。
シャーシごとに最大4枚のSSLサービス モジュールを装着できます。これにより、業界最速のSSLセッション セットアップ レートとバルク暗号化スループットを実現し、最大の同時接続数をサポートします。
・モジュールあたり3,000コネクション セットアップ/秒 ― SSLモジュールをフル装備したシャーシでは12,000コネクション セットアップ/秒
・シャーシ モジュールあたり300 Mbpsのバルク暗号化スループット ― SSLモジュールをフル装備したシャーシでは1.2 Gbps
・64,000のクライアントを同時接続 ― SSLモジュールをフル装備したシャーシでは256,000接続
図1
SSLサービス モジュールによってすべてのSSL処理の負荷が軽減され、末端のWebサーバやeコマース サーバはより多くのコンテンツ要求およびeトランザクションを処理することができます。これにより、eコマース サイトや暗号化を使用しているセキュア サイトのパフォーマンスが大幅に向上します。
eコマースの規模が拡大を続け、必要なアプリケーションの種類が増えるにつれ、Business-to-Consumer（B2C）およびBusiness-to-Business（B2B）トランザクションにおけるセキュリティが不可欠となってきます。B2Cトランザクションに関して多くのアナリストは、70%以上の消費者がクレジット カード番号の盗難を恐れてオンライン取り引きを敬遠していると推定しています。その結果として、SSLがeコマース トランザクションの安全性を確保するためのデファクト スタンダードになってきています。
企業は、インターネットを利用して業務の効率化と顧客サービスの向上を図り、取り引きを成立させています。また、従来のアプリケーションをWebへ移行し、それらをイントラネットやエクストラネットで使用できるように公開し始めています。そのため、機密情報に対する認証されたアクセスを、高速かつ安全に提供する必要性が高まっています。SSLアクセラレータを使用して、認証や暗号化/復号化処理を実行する企業はますます増えています。
SSLサービス モジュールの主な利点
旧来のクライアント/サーバSSLモデルにおいて、SSL処理はSSL NICカードを通じてサーバ内部に組み込まれていました。この旧モデルには、次のような欠点がありました。
・固定的な接続を確立できず、クライアントが新しいSSL IDを要求するとセッションが失われてしまうため、結果的に収益も失われます。
・証明書をサーバ ファーム内のサーバごとに購入する必要があるため、不必要にコストがかかります。
・SSLトランザクションの処理能力を拡張するためにWebサーバを増設する必要があるため、コストがかかり、サービスの中断による影響がサーバ フォーム全体に広がります。
・WebサーバはSSLセッションの確立時に処理能力を浪費するため、コストが跳ね上がります。
シスコはこれらの欠点を解消するために、統合型SSLサービス モジュールを採用し、次のような利点を提供しています。
費用効果の高いソリューション
SSLサービス モジュールの価格/性能比は、市場に出ているどのSSLアクセラレータよりも優れています。メンテナンス コストは、Catalystシャーシの保守契約に含まれているため、年間のサービス契約費用を節減できます。SSLサービス モジュールを導入すると、Webサーバにおける処理集約型のSSLターミネーションの負荷が軽減されるため、サーバを追加購入する必要がなくなります。また、1つのシャーシに複数のモジュールを装着できるため、ラック スペースを節約できます。これは、十分なラック スペースを確保できない場所で特に重要となります。
サーバSSLのオフロード
SSLサービス モジュールは、WebサーバにおけるSSLターミネーションの負荷を軽減させ、それに応じてWebサーバのパフォーマンスを向上させます。Cisco CSMなどのコンテント スイッチを使用して、SSLモジュール間で標準的なロード バランシング アルゴリズムに基づくSSLトラフィックのロード バランスを実行し、SSLセッションIDによるSSLモジュールとのスティッキ性を維持することで、パフォーマンスはさらに向上します。
スケーラビリティ性能
統合型コンテント スイッチング モジュールまたは外部のロード バランシング アプライアンスは、複数のCisco SSLサービス モジュール間で安全なHTTPSコンテンツ要求のロード バランスを実行することができます。これにより、SSLターミネーションのパフォーマンスを最大限に引き出し、SSLのスケーラビリティも提供することができます。また、SSLモジュールによって、WebサーバにおけるSSL処理の負荷が軽減されるため、Webサーバではユーザの体感レベルを低下させることなく、ピーク時のトラフィック要求を処理できます。SSLはスイッチで集中的に処理されるため、モジュール増設により処理を中断することなく、容易に処理能力を拡張することができます。
固定的な接続
SSLサービス モジュールとCSMを統合モードで使用すると、クライアント ブラウザがSSL IDを再ネゴシエートするときや、送信元IPアドレスが変更されたときにも（無線トラフィック フローや、トラフィックがゲートウェイを通過する際に発生することが多い）、クライアントとSSLデバイス間で固定的にセッションが維持されます。また、SSLサービス モジュールとCSMは、クライアントとWebサーバの関連付けを固定的に維持するためにクッキー（Cookie）も使用します。これによって、ユーザの全体的な体感レベルを最適化します。さらに、SSLモジュールが冗長構成で装備されている場合は、ハードウェア障害が発生した場合にもユーザ セッションの状態が維持されます。
管理と設定の容易性
さらに、SSLサービス モジュールはSSL処理をインフラストラクチャ内部に統合し、Cisco Catalyst 6500スイッチのすべてのポートがSSLポートとして動作できるようにします。また、SSLサービス モジュールは、Webサーバ宛てのユーザ データを暗号化すると共に、NetscapeやVeriSignなどの幅広い証明書を使用してプライバシー、機密性、および認証を提供することで、セキュリティ管理を簡潔化します。
ハイ アベイラビリティ
Cisco Catalyst 6500構成にSSLモジュールとCSMを装着すると、障害が発生してもSSLトラフィックが維持されます。SSLモジュールのフェールオーバー機能とコンテント スイッチング モジュールを組み合わせることで、耐障害性に優れたソリューションを実現できます。
認証コストの削減
SSL証明書は、複数のWebサーバの「フロント エンド」となるCisco SSLモジュールに常駐するため、証明書管理を集中化し、サーバごとに証明書を購入および管理する必要がなく、ライセンス コストを削減することができます。
設定モードとトラフィック フロー
Cisco SSLサービス モジュールの基本設定には、次の2通りがあります。
・統合モード ― CSMとの統合
・スタンドアロン モード ― 外部のサーバ ロード バランサを使用
統合モードでの設定
図2に示すとおり、SSLモジュールをCSMと統合すると、トラフィック フローが暗号化され、クライアントとサーバ間の接続のロード バランスが実行されます。
図2
統合モードでのSSLモジュールの設定
クライアントは、標準SSLポートであるポート443上で暗号化トラフィックを送信します。CSMはポート443をリスニングし、SSLモジュールの内部「サーバ ファーム」に対して暗号化トラフィックのロード バランスを実行します。選択されたSSLサービス モジュールはトラフィックを復号化し、それにSSLセッションIDを付加して、CSM上のVersatile Interface Processor（VIP; 多用途インターフェイス プロセッサ）に対してクリアテキスト接続を開きます。そして、「復号化SSLトラフィック」を受信するように設定されたポート（たとえば、ポート81）にトラフィックを送信します。
CSMは、復号化されたトラフィックを受信すると、ロード バランシング アルゴリズムに基づいてWebサーバを選択し、トラフィックを転送します。CSMは、Webサーバからリターン トラフィックを受信すると、そのトラフィックを、接続されたSSLサービス モジュールに送信します。
SSLモジュールは、非暗号化トラフィックを受信するとそれを暗号化し、ポート443からCSMへ戻します。CSMは暗号化トラフィックを受信すると、それをクライアントへ送信します。
注：
選択されたSSLモジュールとクライアントは、そのフローを構成するすべてのTCP接続についてSSLセッションIDを使用します。また、CSMも同じSSLセッションIDの一部を使用して、選択されたSSLサービス モジュールとクライアントとの関連付けを維持します。クライアントがSSLサービス モジュールに新たなSSLセッションIDを要求した場合でも、CSMはクライアントと選択されたSSLサービス オジュールの関連付けを維持できます。
CSSまたはその他のサーバ ロード バランサを使用したスタンドアロン モード
図3に示すスタンドアロン モードでは、SSLサービス モジュールはCisco Catalyst 6500シャーシに装着されていますが、同じシャーシ内にサーバ ロード バランシング機能は（ハードウェアまたはソフトウェアのいずれも）装備されていません。
図3
SSLモジュールのスタンドアロン モードでの設定
Cisco Catalyst 6500は、IPアドレスとポート番号を関連付けるエントリを含むACLを使用して、トラフィック フローを、クライアントからSSLモジュールへ、およびサーバからSSLモジュールへ振り分けます。クライアントからサーバへの方向では、サーバ ポート443（SSLポート）へ振り分ける必要があるデータ フローを、ACLによって識別します。Cisco Catalyst 6500では、ACLエントリに関連付けられていない通常のデータ トラフィックは、最初にSSLモジュールに振り分けられることなく、サーバへ直接送信されます。
スタンドアロン モードのトラフィック フローは、統合モードのフローに類似していますが、次の点が異なります。
・SSLセッションIDのスティッキ機能が使用できない。
・クライアントとサーバは個別のサブネットに属している必要がある。
・サーバのアドレスは、実サーバ アドレスと、実サーバのクラスタの仮想アドレスのどちらでも構わない。
・クッキーのスティッキ機能が使用できるかについては、サーバ ロード バランサの機能によって決まる。
発注情報
ライセンス
ライセンスは必要ありません。
システム要件
・Supervisor 720またはSupervisor 2/Multilayer Switch Feature Card 2（MSFC2;マルチレイヤ スイッチ フィーチャ カード2）
・ネイティブCisco IOS®ソフトウェア リリース12.1(13)E以上
・ハイブリッドCatOSソフトウェア リリース7.5(1)以上
・Cisco Catalyst 6500シリーズ スイッチまたはCisco 7600シリーズ インターネット ルータの1スロットを使用
・1つのシャーシに最大4枚のSSLモジュールを装着可能
環境条件
動作温度：0°～40°C（32°～104°F）
保管温度：-40°～75°C（-40°～167°F）
相対湿度：10～90%、結露しないこと
動作高度：-60～4,000 m
適合規格
安全性
UL 1950
CSA C22.2 No. 950-95
EN60950
EN60825-1
TS001
CEマーキング
IEC 60950
AS/NZS3260
電磁波干渉
FCC Part 15 Class A
ICES-003 Class A
VCCI Class B
EN55022 Class B
CISPR22 Class B
CEマーキング
AS/NZS3548 Class B
NEBS
SR-3580 ― NEBS：基準レベル（レベル3準拠）
GR-63-CORE ― NEBS：物理的保護
GR-1089-CORE ― NEBS：EMCおよび安全性
ETSI
ETS-300386-2スイッチング機器
テレコミュニケーション
ITU-T G.610
ITU-T G.703
ITU-T G.707
ITU-T G.783 Section 9～10
ITU-T G.784
ITU-T G.803
ITU-T G.813
ITU-T G.825
ITU-T G.826
ITU-T G.841
ITU-T G.957 Table 3
ITU-T G.958
ITU-T I.361
ITU-T I.363
ITU I.432
ITU-T Q.2110
ITU-T Q.2130
ITU-T Q.2140
ITU-T Q.2931
ITU-T O.151
ITU-T O.171
ETSI ETS 300 417-1-1
TAS SC BISDN (1998)
ACA TS 026 (1997)
BABT /TC/139 (Draft 1e)
