閉域網からSaasを使う場合

##実現したいこと
官公庁の閉域ネットワークから一般的なSaasサービス（LINEWORKS等）を利用できるように考えております。

閉域ネットワーク内のPCからはインターネットへ接続できず、
閉域とインターネットの間にゲートウェイ・ファイヤーウォール・別セグメントへ
接続するルーター等を経由しないとインターネットと通信できないようになってます。
この中には閉域網PCへの公開セグメントがあり、ここにnginx等でリバースプロキシ・
URLコンバータのような公開サーバを設置して閉域内のPCでSaasを使うことになりますが
具体的にどんな役割のサーバ、どんな仕様のアプリケーションが必要になるか？
（チャット機能があるのでセッション維持は必須）をご教示頂けますと幸いです。
LINEWORKSの画面をリレーさせるイメージです。

さくらインターネットのLGWANコネクトの使用を検討してます。

宜しくお願いいたします。

##試したこと
インタネット上のクラウドサーバを使ってnginxでリバースプロキシーサーバを構築したが
今回の要件とは違った。WEB画面をリレーさせるイメージです。

##疑問点
ブラウザで検証用ドメインtest.comへアクセスすると、Saasのドメインsaas.comへリダイレクトされるが
（リバースプロキシの仕様?）、検証用ドメイン名のままSaasを使うことは可能か？
WEB画面をリレーさせるイメージです。

##要件等確認したこと
・こちらのSaasサービスでAPIは提供されていない。
・閉域網内PCからブラウザで公開用セグメントサーバのURLにアクセスするとSaas画面が表示できるようにしたい。
・利用者数300人ほど。
・Saas（https）は1人あたり8セッションを使う仕様。
・ファイアーウォール等ネットワークセキュリティにおいて、ホワイトリストに登録するドメイン名は公開されている。

##その他
私の役目は公開セグメントにサーバを構築することです、
ネットワーク機器の準備・設定はハウジング事業者へ依頼する形となります。

##リバースプロキシ（nginx）の設定 ※変更点のみ
server {
listen 443 ssl http2 default_server;
listen [::]:443 ssl http2 default_server;
server_name www.example.com
ssl_protocols TLSv1.2;
ssl_certificate "/etc/nginx/server.crt";
ssl_certificate_key "/etc/nginx/server.key";
ssl_ciphers HIGH:!aNULL:!MD5;
ssl_prefer_server_ciphers on;
ssl_session_cache shared:SSL:10m;

     keepalive_timeout    70;
     sendfile             on;
     client_max_body_size 0;

     proxy_set_header    Host    $host;
     proxy_set_header    X-Real-IP    $remote_addr;
     proxy_set_header    X-Forwarded-Host       $host;
     proxy_set_header    X-Forwarded-Server    $host;
     proxy_set_header    X-Forwarded-For    $proxy_add_x_forwarded_for;

    location / {
    proxy_pass https://testhome.saas.com/;
    }

退会済みユーザー

2020/02/26 07:33

試した際に、どのくらいの帯域（通信速度、通信量）が必要になりそうか見積もりはできましたか？ルーターかそれ以上の反応速度がないと快適に使えないと思いますが、そういった構築経験はありますか？

pond

2020/02/26 07:58

ありがとうございます。サーバで使用してる帯域は確認したのですが、ルーター等ネットワーク機器は確認はハウジング事業者の方へ依頼する形となります。私自身ルーターの構築経験はありません。

行動規範の内容に同意します

回答5件

ブラウザで検証用ドメインtest.comへアクセスすると、Saasのドメインsaas.comへリダイレクトされるが（リバースプロキシの仕様?）、検証用ドメイン名のままSaasを使うことは可能か？

これは各サービスのポリシーの問題なので、各サービスに問い合わせるしか確定した情報を得る方法はありません。

一般的には、そのSaaSサービスが公式サービスとして独自ドメインによるサービス提供をしていない限りは「サービスによるが普通は出来ないものと考えた方が良い」となると思います。
（自由に出来るのであれば、勝手に適当な独自FQDNでSaaSにアクセスさせ、盗聴するようなことが出来てしまうので、出来ないように設定するのが一般的です）

ですので、アプローチとしては

Y.H.さんの回答にあるように、（リバースプロキシでは無く、）プロキシサーバを設置してSaaSでアクセスが必要なドメインをホワイトリストに追加する。
asahina1979さんの回答にあるように、閉域網で使えるようにSaaSのサービス事業者とサービス契約する

というのが真っ当なアプローチになります。

投稿2020/03/03 05:08

tanat

総合スコア18713

pond

2020/03/04 00:44

ご回答ありがとうございます。独自FQDNでアクセスすることの許可は頂いてます。

tanat

2020/03/04 00:53

この場合、許可するのはOffice365ならマイクロソフトだという趣旨の回答です。マイクロソフトから許可を得ているということであれば、そのオプション名やサービス名を質問に追記頂ければより適切な回答が得られるかと思いますよ。

行動規範の内容に同意します

https://docs.microsoft.com/ja-jp/office365/enterprise/office-365-integration

できるちゃできるはずだがいくらかかるか知らんぞ

投稿2020/02/26 10:23

退会済みユーザー

総合スコア0

pond

2020/02/26 11:39

ご回答ありがとうございます。

Y.H.

2020/02/26 23:43

Microsoft Azure Peering Service https://ent.iij.ad.jp/articles/1028/?m=cc こんなのも出てきてますね。

退会済みユーザー

2020/02/26 23:46

@Y.H. 閉塞網だとそれ使えない(笑)

Y.H.

2020/02/27 00:34

asahina1979さんあぁ、ISPの閉域網とMGNを直結なのか。。。

行動規範の内容に同意します

SquidなどのProxyサーバーを立てるのが手っ取り早いのではと思います。

ちょっと古い記事ですが参考に。
(Qiita)Squidでホワイトリストプロキシを作成する

チャット機能使用時に画面の表示が異常に遅い。

ネットワーク帯域やサーバースペックなど原因は様々なので
「こうやれば早くなる」というような回答は得られないと思います。

投稿2020/02/26 07:42

編集2020/02/26 07:44

Y.H.

総合スコア7914

pond

2020/02/26 07:50

ありがとうございます。

行動規範の内容に同意します

ベストアンサー

方法は多数あります。

どの立場での質問か整理されるとより具体的な回答がつくかと。
あと、閉域である必要性も開示可能であれば開示したほうが方向性が整理できます

個人的には踏み台となるシンクライアント端末を置くのが、セキュアで管理が楽なのでオススメです。。

投稿2020/02/26 07:29

退会済みユーザー

総合スコア0

pond

2020/02/26 07:50

ありがとうございます。

退会済みユーザー

2020/02/26 09:56

追記された箇所を読みましたが、ただのイントラネットなんですかね？それともセキュアな隔離環境なんでしょうか？どちらだったとしても、そのネットワークの持つポリシーを正しく理解した設計が　pond さんではできないと思うので、インターネットゲートウェイを構築した会社に相談してみたほうが良いです。隔離された環境だった場合は、かなり大きな穴になってしまう可能性が高いです。

pond

2020/02/28 02:53

ご回答ありがとうございます。こちらセキュアな隔離環境です。

行動規範の内容に同意します

とりあえずここだけ。