支店を持つ会社の拠点間通信について。

Question

https://teratail.com/questions/215129に関連した質問です。この質問の限定を外し、オープンクエスチョンとしての質問です。
例：本社と支店が3つあります。
この状態でシンプルに拠点間通信と、端末間の通信を制御する場合、普通は何を導入して、何を使い、どのようにして行うのでしょうか？

Answer 1

物理的な機材やVPN設定部分については、おそらく想定されているような構成と同じように組むと思います。

ただし、実務上は必要になるケースはほとんどないと思いますので部署間をVLANで区切るようなことはせず、ファイルサーバ/NASは導入せずにクラウド型ストレージを契約してActiveDirectoryでユーザー別にディレクトリやフォルダをアクセス制御することになると思います。
（ネットワーク機材と回線は「通信させる仕事を担当するための土管」というふうにシンプルに考えて、アクセス制御は原則やらないポリシーにします。）

あとは必要に応じて、以下のようなことをやると思います。
・インターネット回線は光（ダークファイバの芯線貸し）にして光を受信できる光終端装置を導入。
・MACアドレスフィルタリングを使って、拠点単位で通信接続可能なPC端末を許可。
・ユーザー単位でアクセス制御可能な無線LANソリューションを導入。
・外出先から社内ネットワークに接続できるよう、ActiveDirectoryを使ったユーザー別アクセス制御が可能なソフトウェアVPNソリューションを導入。

Comments

[say4hatii8]

ご回答ありがとうございます！
ActiveDirectroryの有無が重要な分岐点となりそうですか？この場合、もしVLANで区切っていてもトラフィックの軽減くらいしかメリットがないでしょうか。
「（ネットワーク機材と回線は「通信させる仕事を担当するための土管」というふうにシンプルに考えて、アクセス制御は原則やらないポリシーにします。） 」がとてもわかり易かったです。
大変恐れ入りますが、ActiveDirectroryを導入できない(お金の問題)場合、入れたほうがいいと思いますが、プレゼンを通す通せない、または幹部を説得できる力がない云々は別として、
結果、ActiveDirectroryがない場合はどのような拠点間通信とアクセス制御が考えられますでしょうか？

[uzyexe]

> ActiveDirectroryの有無が重要な分岐点となりそうですか？

そうですね。ファイルサーバ/NASのファイル/ディレクトリのアクセス権管理については、できればActiveDirectoryを使うのがベターだと思います。

> VLANで区切っていてもトラフィックの軽減くらいしかメリットがないでしょうか。

はい。座席のレイアウト変更や席移動するときに設定変更の手間がかかるなどのデメリットのほうが多いと思います。

VLANを区切る必要あるとすれば、情報システム部門の本当に重要なサーバが社内LAN内に存在していて、ファイアウォール設定をするときにIPアドレス範囲で指定できたほうが好ましい場合とか、社内に通信が漏れると危険な実験をするラボ環境とか、訪問されたお客様にインターネット回線を提供するために会議室だけVLANで隔離して事務所と通信させないようにするケースが考えられますね。

> ActiveDirectroryがない場合はどのような拠点間通信とアクセス制御が考えられますでしょうか？

ActiveDirectoryの機能を誤解されているかもしれないので全体部分を説明しますが、ルーティングとかの話であれば、回線は広域イーサにして、GREプロトコルでVPNトンネルを張って、拠点間ルーティングはOSPFで設計するのがベターかなと思います。

社外からのアクセスを制限したい場合は、ファイアウォール製品をVPNルーターの「横」に接続してインターネット向け回線はVPN機器でななくファイアウォール側のほうに繋いで、広域イーサ内には拠点間の社内通信しか流さないように使います。

もし、広域イーサ経由の社内の拠点間や部署間をアクセス制御したいような事情があったとしても、そのほとんどは各PCにインストールされたファイアウォールで自動的に弾けるものだと思います。

ファイルサーバ/NASのファイル/ディレクトリのアクセス権管理については、ActiveDirectoryの代替手段としてLDAPを使うこともできますが、LDAPはActiveDirectoryと比べると扱いにくいのでオススメはできません。

[say4hatii8]

ありがとうございます。
VLANのラボやゲストなどは思い浮かばなかったです。ありがとうございます。
OSPFやGREのところを調べます！
社員の中で詳しいといういう理由で任されているのですが(この程度でほんと恥ずかしいんですけど)、私では対応できない感じがしてきました…。
調べます！