F5 BIG-IP v21.1の一般提供を開始、PQCとAIセキュリティを強化

F5 ADSP | 2026年5月06日

2か月前のAppWorldで、F5は事前発表しました。BIG-IP v21.1は、耐量子暗号（PQC）への対応強化、BIG-IP TMOSのモダナイズ、AIワークロードと新興テクノロジーを保護する新機能の追加に重点を置いたリリースです。

本日、BIG-IP v21.1の一般提供が開始され、先行発表した内容が現実のものとなりました。お客さまやパートナーの皆さまから寄せられたご要望に応える機能を多数搭載しています。以下では、BIG-IP v21.1で提供を開始した主な新機能の概要に加え、今回のリリースに関する有用な情報やリソースをご紹介します。それでは、BIG-IP v21.1の新機能を見ていきましょう。

PQC対応準備

「Q-Day」は目前に迫っているとも、まだ数年先ともいわれています。いずれにせよ、現在暗号化データを保存しておき、将来、量子コンピューターで復号可能になった時点で解読する「今収集し、後で解読する」という脅威があるため、PQCへの対応は今すぐ必要です。

BIG-IPは、v17.5.0でTLS 1.3のハイブリッド鍵交換X25519_ML-KEM-768をサポートし、PQC対応に向けた第一歩を踏み出しました。しかし、これは始まりにすぎません。BIG-IPはリリースのたびにPQC機能を拡充しており、BIG-IP v21.1では2つの主要なアップデートを提供します。

NIST準拠のPQC暗号スイートを追加でサポート： 量子コンピューターの実用化が近づくにつれ、RSAやECCなどの既存の暗号アルゴリズムは陳腐化するリスクにさらされています。これを受け、米国国立標準技術研究所（NIST）は、量子コンピューターを利用した攻撃に耐え得るPQCアルゴリズムの標準化に向けた世界的な取り組みを主導しました。その結果、ハイブリッド暗号を実現できるFIPS 203準拠のSecP+ML-KEM暗号グループが選定されました。これらの暗号は、従来の暗号方式（SecP）と耐量子アルゴリズム（ML-KEM）を組み合わせることで、現在から将来にわたるセキュリティの確保に役立ちます。

NISTガイドラインおよびFIPS標準への準拠が求められるお客さま、特に政府機関やその他の規制対象業界のお客さまにとって、インフラストラクチャを保護するにはSecP + ML-KEMの導入が不可欠です。これらの要件を満たすため、BIG-IPはv21.1でNIST準拠の新しいPQC暗号グループを2つサポートする予定です。

SecP256r1ML-KEM-768
SecP384r1ML-KEM-1024

リリース時には、クライアント側とサーバー側の両方の接続でこれらがサポートされ、SSL Forward Proxyのユースケースにも対応します。（BIG-IP v21.1sのPQC機能強化について詳しくは、F5のRachael Shahによるこちらのブログをご覧ください。）

耐量子TLS/SSL VPNトンネリング： VPNトンネリングは、クライアントとサーバーの間に暗号化されたトンネルを構築し、パブリックネットワークまたはプライベートネットワーク上のデータ伝送を保護する手段として、1990年代後半に初めて導入されました。VPNトンネルは約30年にわたり、機密情報が不正に取得されるのを防いできました。しかし、量子コンピューティングの台頭により、攻撃者は従来の暗号化方式を破り、そのデータにアクセスするために必要な計算能力を得ることになります。

これに対処するため、F5 BIG-IP Zero Trust Access（旧称BIG_IP APM）v21.1では、X25519 + ML-KEM-768暗号をサポートする耐量子TLS/SSL VPNトンネリングが導入されます。前述のとおり、クライアント側とサーバー側のエンドツーエンド接続をサポートし、NISTガイドラインおよびFIPS 203標準への準拠を維持しながら、最新のVPNトンネルを包括的に保護します。TLS/SSL VPNよりもIPSec VPNを優先する組織向けには、BIG-IP Zero Trust Accessでも同様の耐量子IPSecトンネリングのサポートが近い将来追加される見込みです。

AIワークロードのデリバリー、セキュリティ、アクセスの強化

AIワークロードの基本的な要件は、他のアプリケーションとほぼ同じです。高速で可用性が高く、何よりもセキュアであることが求められます。しかし、こうしたワークロードの規模が拡大し、高度化するにつれて、アプリケーションデリバリーコントローラー（ADC）を含む、それらを支えるインフラストラクチャも、新たな要件に対応できるよう進化する必要があります。BIG-IP v21.0では、Model Context Protocol（MCP）をサポートする初期機能を提供し、重要な第一歩を踏み出しました。BIG-IP v21.1では、この取り組みをさらに発展させ、新たなMCP機能を追加するとともに、Agent2Agent (A2A)プロトコル向けの試験的機能を導入し、エージェント型AIシステムがリソースへ高速かつセキュアにアクセスできるようにします。

Model Context Protocol向けのセキュリティおよび配信機能を拡張： AIアプリが、エージェントとアプリケーションを連携させるための高速で標準化された手段としてMCPへの依存を強める中、一貫性のあるセキュアなトラフィックフローが不可欠です。BIG-IP v21.1では、MCPトラフィックに関する2つの重要な機能強化が導入されています：

MCPプロトコル保護（F5 BIG-IP Advanced WAF）：MCPトラフィックを利用するAIアプリは、OWASP MCP Top10に記載されているツールポイズニング、シークレットの漏えい、インジェクション攻撃など、新たな攻撃手法や脅威に対して脆弱な場合があります。BIG-IP v21.1では、WAFを活用したMCPインスペクションが追加され、パフォーマンスやレイテンシーに影響を与えることなく、これらの脅威をプロアクティブに検知・緩和し、AIトラフィックを保護できます。
MCPセッションパーシステンス：F5 BIG-IP Local Traffic Manager (LTM)：MCPワークフローでは、適切な処理を確保するために、リクエストを一貫して同じサーバーにルーティングする必要がある場合が多くありますが、従来は対応できませんでした。BIG-IP v21.1では、Cookieパーシステンスと多くの点で同様に動作するMCP向けセッションパーシステンスを導入します。これにより、MCPサーバーがクライアントにセッションIDを発行すると、そのセッションIDを含む後続のトラフィックが同じプールメンバーにルーティングされ、よりスムーズで信頼性の高い接続の確保に役立ちます。

Agent2Agent接続の最適化：AIエージェントは、タスクの自動化や人間の介入を最小限に抑えた意思決定により、生産性を高めるためにますます活用されています。エージェントの導入が進むにつれ、エージェントはアプリやデータソースとやり取りするだけではなく、他のエージェントと連携して、作業の委任、コンテキストの共有、エンドツーエンドのワークフローの完遂を行うようになっています。しかし、現在のエージェント環境はベンダーやフレームワークごとに分断されており、相互運用が困難です。この課題に対処するため、Googleは、エージェント同士が通信し連携するための標準化された手段を提供するAgent2Agent（A2A）プロトコル[AC2] (#_msocom_2) [TA3] (#_msocom_3)を導入しました。

BIG-IP v21.1では、A2Aプロトコルトラフィックをネイティブに負荷分散できるようになり、エージェント間の接続を最適化するとともに、iRulesベースのログ記録と可視化によるガバナンスを追加できます。なお、この機能はBIG-IP v21.1では試験的な提供段階にあり、まだ完全にはサポートされていません。評価およびテストのみを目的としており、本番環境では使用できません。今後のリリースでは、このプロトコルが完全にサポートされるほか、A2Aトラフィックの管理およびセキュリティに関する新機能が追加される予定です。

AIエージェント向けのシームレスでセキュアなアクセス： リアルタイムで動作する自律型エージェントで構成されるエージェンティックAIシステムには、データベース、クラウドサービス、社内システムなどのバックエンドリソースへの動的かつ柔軟なアクセスが必要です。しかし、認証情報の管理や新しいエージェントの認証に従来の方法を用いると煩雑になりがちです。開発者は、新しいクライアントの承認や手動設定をアクセス管理チームの管理者に依頼することが多く、必ずしも効率的とはいえません。そこで役立つのが、BIG-IP v21.1のBIG-IP Zero Trust Accessに新たに搭載されたDynamic Client Registration（DCR）機能です。

DCRを使用すると、エージェント型AIシステム（またはその他のアプリ）は、新しいタスクやエージェントの作成時に、中央認可サーバーであるBIG-IP Zero Trust Accessへ安全かつ容易に自己登録できます。手動設定を待つ代わりに、エージェント名や必要なアクセス権限などの基本情報を含むAPIリクエストを、BIG-IP Zero Trust AccessのDCRエンドポイントに送信できます。BIG-IP Zero Trust Accessはリクエストを自動的に検証し、エージェントを登録して、その場で安全な認証情報を発行するため、プロセスを大幅に短縮・簡素化できます。このプロセスを図示したものを以下に示します。

F5 BIG-IP Zero Trust Accessは、動的クライアント登録によりアクセス要求を迅速化します。

前述のとおり、DCRエンドポイントは、AIシステムに限らず、あらゆる種類のアプリを登録および承認し、リソースへのセキュアなアクセスを可能にするために使用できます。DevOpsチームは、既存のCI/CDパイプラインを利用してDCRエンドポイントにアクセスリクエストを自動送信できるため、アプリのデプロイ時間の短縮とBIG-IP管理者の日常業務の軽減に役立ちます。（BIG-IP Zero Trust Accessの詳細については、Jay Kelleyによるこちらのブログをご覧ください。）

BIG-IP TMOSソフトウェアのモダナイゼーション

昨年、F5がBIG-IP Nextの提供を終了した際、当初BIG-IP Next向けに構想されていた多くの機能強化を取り入れ、BIG-IP TMOSソフトウェアをモダナイズすることをお約束しました。BIG-IP v21.0では、コントロールプレーンのスケーラビリティとパフォーマンスが大幅に向上し、この目標に向けた第一歩となりました。v21.1では、さらに次の2つのアップデートにより、モダナイゼーションを引き続き進めます。

新しいBIG-IP Declarative APIのご紹介： BIG-IPは、Application Services 3 Extension（AS3）を通じて宣言型自動化を長年サポートし、チームによるアプリケーション構成変更の効率化と迅速化を可能にしてきました。AS3はBIG-IPの自動化に革新をもたらし、現在も大半の導入環境のニーズに効果的に対応していますが、今日の環境はかつてない速さで進化しています。これまでにない規模で、ほぼ瞬時に構成を変更したいという需要が高まる中、新たな次世代APIの必要性が明確になっています。

BIG-IP v21.1では、当初はAlpha版となりますが、新しいBIG-IP Declarative APIを導入する予定です。AS3とは異なり、このAPIはBIG-IPのコードベースに完全に統合されるため、個別のライフサイクル管理は不要です。また、AS3のテナント単位の設計から、よりスケーラブルなアプリケーション単位のモデルへ移行します。これにより、大規模で複雑なAS3構成を、管理しやすくリスク軽減にも役立つ、より小さな再利用可能なモジュールに分割できます。さらに、新しいAPIはAS3よりもはるかに広範な自動化に対応し、BIG-IPのワークフローとユースケースの大半を自動化できます。処理も高速です。パフォーマンスが大幅に向上したことで、構成をほぼリアルタイムでデプロイでき、BIG-IPを最新のアプリケーション運用環境に適合させることができます。今後数か月にわたり、BIG-IP Declarative APIの詳細をお伝えしていきます。ぜひご期待ください。

コントロールプレーンの継続的な強化： v21.0からBIG-IPのコントロールプレーンのモダナイゼーションに着手しました（詳細はこちら）。この取り組みは、v21.1以降のリリースでも継続します。今回の最新アップデートでは、MCPd、iControl REST、BigDデーモンという3つの主要領域を大幅に改善し、リソース利用を最適化しながら、コントロールプレーンの信頼性とパフォーマンスの向上を図っています。

iControl REST APIはリクエストをより迅速に処理し、エンドツーエンドの構成時間を最大10%短縮します。効率の向上によりCPUとメモリの消費量が削減され、その他の重要なコントロールプレーン機能にリソースを割り当てられるようになります。BIG-IPの構成管理を担う中核プロセスであるMCPdは、メモリ不足時の耐障害性を高め、システムの起動と構成の読み込みを高速化するよう強化されました。さらに、BIG-IPのアプリケーションヘルス監視デーモンであるBigDは、マルチスレッドを利用することで、監視のスケーラビリティを向上させ、全体的なリソース消費量を削減します。

コントロールプレーンの強化は、引き続きF5の最優先事項の1つです。BIG-IP v22.x以降でも、さらなる機能強化を予定しています。

さらに、これだけではありません……

このブログで取り上げた機能強化は、BIG-IP v21.1で予定されている新機能のほんの一部にすぎません。ここでご紹介した内容に加え、ACMEv2証明書の自動化、ネイティブIPSec VPNトンネリング、ポリシーベースのエグレスルーティング、BIG-IP管理プレーン向けの多要素認証など、さらに多くの機能が予定されています。

最後に、BIG-IP v21.1へのアップグレードを予定している場合に留意すべき、このリリースに関する重要なポイントと役立つリソースをご紹介します。

サポート対象プラットフォーム：BIG-IP v21.1（および今後のソフトウェアリリース）は、iSeriesやVIPRIONなどの旧世代のハードウェアプラットフォームでは動作しません。現在これらのいずれかのシステムを使用しており、v21.1へのアップグレードを予定している場合は、F5の現行世代のハードウェアプラットフォームであるrSeriesまたはVELOSに移行するか、BIG-IP Virtual Editionに移行する必要があります。サポート対象のプラットフォームとソフトウェアの組み合わせの全一覧については、F5ハードウェア／ソフトウェア互換性マトリックスをご確認ください。
ソフトウェアライフサイクルの更新：F5は、ソフトウェア品質の向上とお客さまの環境のセキュリティ確保に継続的に取り組んでいます。その一環として、BIG-IP v21.1以降、長期安定版の新しいソフトウェアリリース（vX.1）はすべて、ソフトウェアライフサイクルが3年間に移行します。これにより、同時にサポートするソフトウェアバージョンの数が減り、F5は現行および今後のリリースに、より多くのエンジニアリングおよびサポートリソースを集中できるようになります。その結果、イノベーションの加速、修正の迅速化、セキュリティ対応力の強化、ソフトウェア全体の品質向上につながります。BIG-IPソフトウェアライフサイクルの最新情報については、BIG-IPソフトウェアサポートポリシーをご覧ください。
BIG-IQの互換性：BIG-IP v21.1を早期に利用したいBIG-IQユーザー向けに、F5はBIG-IP v21.1との相互運用性を備えたBIG-IQ v8.4.2を近日中にリリースします。

詳細については、リリースノートをご覧いただき、5月28日のウェビナーにお申し込みください。F5 BIG-IP v21.1はこちらからダウンロードすることもできます。