ソリューション概要Cisco ASR 1000 シリーズの IP セキュリティ（IPsec）要約Cisco® ASR 1000 シリーズ アグリゲーション サービス ルータでは、セキュリティ機能がプラットフォーム自体に組み込まれているため、サービス ブレードは必要ありません。セキュリティ機能は、サービス モジュールの追加ではなく、Cisco ASR 1000 シリーズ製品自体の組み込み機能として実現します。このため、一般的に、IP セキュリティ（IPsec）、ファイアウォール、および Network Based Application Recognition（NBAR）などの機能は、オプションのプラグイン可能モジュールまたは Shared Port Adapter（SPA; 共有ポート アダプタ）として提供される代わりに、Cisco QuantumFlow Processor を含む Cisco ASR 1000 シリーズ エンベデッド サービス プロセッサ（ESP）上で動作します。また、セキュリティ機能はマルチギガビットのパフォーマンス レベルで実行することができます。 IPsec は、他の多くの機能と同様に、ESP に組み込まれ、オンボードのマルチスレッド、マルチコア、マルチギガビットの暗号化エンジンを使用して促進されます。 スコープこのドキュメントでは、既存の VPN ソリューションに追加される利点も含めて、Cisco ASR 1000 シリーズ ルータを使用して展開可能なCisco IOS® ソフトウェア VPN ソリューションについて説明します。 IPsec 暗号化の利点統合ネットワークにおける IPsec 暗号化には以下のような利点があります。
Cisco IOS ソフトウェア IPsec VPN の既存ソリューションの概要VPN は、暗号および認証テクノロジーの組み合わせにより、中継中のデータを不正なアクセスから保護することで、可能な限り高いレベルのセキュリティを提供します。企業は、準備が簡単なインターネット インフラストラクチャを利用して新規のサイトやユーザを迅速に追加できるため、インフラストラクチャの大幅な拡張なしに、ネットワークの境界を激的に拡張できます。 現在一般的に使用されている暗号化 VPN には 2 つのタイプがあります。
さらに、サイトツーサイト IPsec VPN は次のような複数の VPN ソリューションに展開できます。
ネイティブ IPsec VPNリモート ロケーションと本社とを接続するサイトツーサイト VPN の一般的なソリューションである IPsec VPN は、高度な暗号化を使用して中継中の情報を保護します。このソリューションは恒久的な VPN 接続として選択されます。 ダイナミック マルチポイント VPNパブリック WAN またはインターネットを使用したブランチ オフィス間の直接通信（たとえば、2 つのブランチ オフィスの間の Voice over IP [VoIP]）が必要であるが、サイト間の恒久的 VPN 接続の必要はない場合は、ダイナミック マルチポイント VPN が最適なソリューションです。 Group Encrypted Transport VPN企業がプライベート WAN ネットワークを使用している場合に、リモート ロケーション同士の直接通信が必要なときには、Group Encrypted Transport VPN を使用することで、通信の保護と同時に帯域幅効率の最適化を実現できます（図 1）。  図 1 GETVPN：トンネルレス Any-to-Any VPN：Cisco Group Encrypted VPN ソリューションによる透過的なエンドツーエンド（顧客エッジから顧客エッジまで）の暗号化の提供 注：ASR 1000 シリーズ ルータ上の GETVPN および Secure Sockets Layer VPN（SSLVPN）はプラットフォームの一般出荷開始後に提供されます。Cisco IOS ソフトウェアの VPN の概要については、http://www.cisco.com/go/vpn リモート アクセス VPN も次のような 2 つのソリューションに展開できます。
シスコのリモート アクセス VPN ソリューションを使用することで、必要に応じて自社ネットワークへの暗号化トンネルをいつでもどこでも安全かつ費用有効な方法で確立できるため、企業のネットワークおよびアプリケーションへの安全でカスタマイズ可能なアクセスを実現できます。このソリューションを使用して、以下のことが可能です（図 2）。
 図 2 エンタープライズ WAN における IPsec VPN：Cisco ASR 1000 シリーズ ルータで使用可能な各種の Cisco IOS ソフトウェア IPsec ソリューション 製品の比較以下の項では、既存のミッドレンジ VPN ソリューションと Cisco ASR 1000 シリーズ ルータを比較します。 プラットフォームのハードウェアの比較Cisco ASR 1000 シリーズ ルータのシステムには以下の機能エレメントが含まれています（図 3）。
 図 3 2 つのルート プロセッサ、2 つの ESP、3 つの SIP を含む Cisco ASR 1006 システム 表 1 ミッドレンジ VPN ソリューションの比較
* ルート プロセッサの冗長ハードウェアは Cisco ASR 1006 でのみ使用可能です。Cisco IOS ソフトウェアの冗長性（Cisco IOS ソフトウェア ハイアベイラビリティ）は Cisco ASR 1002 および 1004 シャーシの両方で使用可能です。この表に示したスループット値は、システムに対する非暗号化トラフィックに基づきます。5 Gbps ESP（ESP-5G）は Cisco ASR 1002 シャーシでのみ実装可能ですが、10 Gbps ESP（ESP-10G）はすべてのシャーシ構成に追加可能です。 ESP は高レベルで 2 つのサブシステムに分割できます。
Cisco ASR 1000 シリーズ ルータ プラットフォームの基盤である Cisco QuantumFlow Processor は、さらに Cisco QuantumFlow Processor と Cisco QuantumFlow Processor Traffic Manager という 2 つのブロックに分割できます。Cisco IOS ソフトウェアのすべての機能は QuantumFlow Processorで処理されます。Traffic Manager は、中継中のトラフィックおよびルータ宛てのトラフィックの両方について、さまざまな QoS 機能を実行します。 Cisco QuantumFlow Processor は、さまざまなサービスを有効化した状態で、1 秒間に何十ギガビットものデータ フォワーディング レートを実現します。ここには、40 のマルチスレッドのパケット処理コアに加えて、ワイヤ スピードでバッファリングおよびスケジューリングを実行する、バッファリング、キューイング、およびスケジューリング サブシステム（Traffic Manager）が含まれます。 Cisco ASR 1000 シリーズの IPsec ソリューション固有の利点この項では、Cisco ASR 1000 シリーズ ルータを使用することで既存のソリューションに追加される、Cisco IOS ソフトウェア VPN 関連のソリューションの利点について説明します。ここでは、ルータの革新的なアーキテクチャのいくつかを紹介します。 Cisco ASR 1000 シリーズ ルータでは、外部の暗号化エンジン モジュールを必要とすることなく、暗号化を実行できます。さらに、システム帯域幅（5 Gbps または 10 Gbps いずれの ESP を使用するかによって異なる）を非暗号化トラフィックに使用できます。たとえば、10-Gbps ESP を使用する場合、IMIX（7 x 64B + 5 x 570B + 1 x 1500B パケット サイズ）として 2.5 Gbps のパフォーマンスを実現します（図 4）。  図 4 Cisco ASR 1000 シリーズ ルータ：マルチサービス、スケーラブル、
 図 5 Cisco ASR 1000 シリーズの高度な IPmc および暗号化
 図 6 Cisco ASR 1000 シリーズにおける真の暗号化および QoS の統合
Cisco ASR 1000 シリーズ ルータのセキュリティ上のさらなる利点Cisco ASR 1000 シリーズ ルータによるソリューションの利点に加えて、このプラットフォームには、その他にもいくつかの有用なセキュリティ機能が組み込まれています。
結論Cisco ASR 1000 シリーズ ルータは、Cisco IOS ソフトウェアのさまざまな機能を統合して非常に高い拡張性とパフォーマンスを実現する革新的な Cisco QuantumFlow Processor テクノロジーに基づいています。Cisco ASR 1000 シリーズ ルータを使用することで、VPN ソリューションのハードウェア コスト、設計または運用の複雑さを増すことなく、1 つの統合されたプラットフォーム上で、適切なアクセス制御、ディープ パケット インスペクション、および脅威の緩和を展開できます。 IPsec VPN は ESP 上でサポートされるため、外部のサービス モジュールは必要とされず、システム内のすべての I/O SIP スロットをさまざまな接続用の SPA に使用することができます。Cisco ASR 1000 シリーズ ルータは、パフォーマンスおよび復元力と共に柔軟性を提供します。マルチギガビット IPsec のハイアベイラビリティ、ペナルティなしの QoS、IPmc の優れた処理能力、およびコントロール プレーン、データ プレーン、および入出力プレーンの明確な分離により、これらのルータは、ミッドレンジ ルーティング分野において他のルータと一線を画し、大規模ブランチおよび WAN 集約、またはエッジ IPsec アプリケーションに対応する理想的な製品となっています。 追加情報Cisco ASR 1000 シリーズ ルータ アーキテクチャについて詳しくは、以下の URL を参照してください。
|
|||||||||||||||||||||||||||||||||||||||||||||||||||||||
 |
Cisco ASR 1000 シリーズの IP セキュリティ（IPsec）