F5でハイブリッドクラウドアプリを拡張し、セキュリティを確保

Griff Shelley

Colin Clausetシニアプロダクトマーケティングマネージャー | F5

絶えず変化するデジタル環境において、アプリケーションの可用性、信頼性、セキュリティ、パフォーマンスをグローバル規模で維持するには、従来の枠にとらわれずにソリューションを組み合わせる発想が求められます。

そのため、この課題には、多くの方になじみのあるシンプルな観点から取り組むのが合理的です。それは、DNSワークロードです。より具体的には、内部DNSワークロードと外部DNSワークロードです。

両者は性質こそ似ていますが、1つのツールセットで両方に対応することが、必ずしも最も効率的でセキュアな方法とは限りません。DNSソリューションに過度な役割を求めると、効率の低下、セキュリティリスク、レイテンシの増加、コンピューティングリソースへの過大な負荷につながる可能性があります。しかし、1つのソリューションで両方のワークロードの要件に対応する必要はありません。内部アプリケーションのワークロードのみを処理するDNSサービスと、外部アプリケーションのワークロード専用のソリューションを併用すれば、それぞれがリソースを1つの役割に集中させ、優れた成果を上げることができます。

そのため、インフラストラクチャにかかる負荷を分散したいチームにとって、内部アプリケーションのワークロードにはオンプレミスのDNSソリューションを、外部アプリケーションのワークロードにはクラウドDNSソリューションを使用することがベストプラクティスとなり得ます。2つのDNSソリューションを使い分ければ、異なるトラフィックフローを1台のデバイスで細かく管理する必要がなくなります。それぞれのソリューションが得意とする処理に専念させることで、全体的な負荷を軽減できます。

DNSワークロードを内部リソースと外部リソースに分けることが合理的である理由は、次のとおりです。

1. セキュリティ

内部アプリ専用のDNSソリューションを維持することで、機密性の高い内部レコードが公開インターネットからの潜在的な攻撃にさらされるリスクを最小限に抑えられます。外部DNS専用サービスでは、外部向けゾーンに対する分散型サービス拒否（DDoS）攻撃の緩和などの対策を実施し、公開資産の保護に注力できます。

2. パフォーマンスの最適化

内部DNSサービスは、クエリの低レイテンシー化に合わせて調整し、組織内トラフィック向けに最適化できます。これは、大規模なアプリケーションやレイテンシーの影響を受けやすいアプリケーションにとって極めて重要です。外部DNSサービスは、外部向けアプリケーションの配信を最適化し、ユーザーが必要なアプリケーションにアクセスするための最速かつ最も効率的な経路を提供できます。

3. スケーラビリティ

内部DNSと外部DNSを分離することで、各サービスをトラフィックパターンやアプリの要件に応じて個別に拡張できます。外部アプリでは予測不能なトラフィックの急増が発生する可能性があるため、堅牢なキャッシュ機能とグローバルなカバレッジを備えた、拡張性の高いDNSサービスが必要です。一方、内部アプリでは同様のトラフィック急増が発生するリスクが比較的低いため、インフラストラクチャ内での拡張性に最適化されたDNSサービスが必要です。

4. コンプライアンスと可視性

規制の枠組み（GDPR、HIPAAなど）への準拠を確保するには、多くの場合、DNSクエリに対する制御と可視性をさらに高める必要があります。専用の内部DNSシステムは、こうした要件への対応に役立ちます。外部DNS向けの専用サービスでは、エンドユーザーのトラフィックパターン、ドメインの健全性、外部公開アプリケーションの稼働状況に特化した可視性を確保できます。

5. ニーズに合わせた管理と機能

内部DNSサービスは、マイクロサービスアーキテクチャ向けの内部サービスディスカバリ（SRVレコードやNAPTRレコードなど）といった機能をサポートできます。外部DNSサービスは、エンドユーザーに対する高可用性を確保するため、グローバル負荷分散、CDN統合、ディザスタリカバリなどのタスクに重点を置くことができます。

6. 運用の簡素化

DNSサービスを明確に分離することで、優先順位の競合や構成の混在を避けながら、内部ワークロードと外部ワークロードそれぞれのニーズに注力できます。また、複雑さが軽減され、トラブルシューティングも容易になります。

単一のDNSソリューションから移行するチームにとって、このような環境の構築は決して容易ではありません。アプリケーションをオンラインかつ利用可能な状態に保ちながら、セキュリティや効率性に過度なリスクを生じさせることなく、環境を拡張するにはどうすればよいのでしょうか。特に、外部向けアプリケーションが中断の許されないビジネスクリティカルなワークフローを処理している場合、これは喫緊の課題となります。

実現に向けて

オンプレミスとクラウドの両方の資産を対象とする新たなアプリケーションデリバリーソリューションの導入には、いくつかの課題が伴う場合があります。拡大を続けるネットワーク上でも、アプリケーションの高可用性とパフォーマンスを確保し、ユーザーが常に利用できるようにするには、異なる環境間でアプリケーションをシームレスに拡張できるツールが必要です。

A tool like F5 Distributed Cloud App Connectのようなツールは、デュアルDNSソリューションが適していると判断したチームが、この移行をより容易に進められるよう支援します。Distributed Cloud App Connectは、公開アプリの配信方法の調整を支援し、F5 Distributed Cloud ServicesをF5 BIG-IPでホストされているアプリにも拡張します。公開アプリケーションでF5 Distributed Cloud DNSを使用する場合、Distributed Cloud App Connectが検出、セットアップ、負荷分散のプロセスを担うため、スムーズな移行が可能になります。

Distributed Cloud App Connectのサービスディスカバリ機能を使用すると、対象のBIG-IPサーバーに拡張可能である限り、Distributed Cloud Servicesを利用してBIG-IP上で稼働している仮想サーバーを特定できます。これを実現する最も簡単な方法の1つは、BIG-IP環境と併せてカスタマーエッジ（CE）デバイスを仮想マシンとして導入することです。これにより、F5 Global Networkへのセキュアなトンネルが確立され、BIG-IP上のアプリにDistributed Cloud Servicesを適用できるようになります。

接続が確立されると、Distributed Cloud App Connectを使用して任意の仮想サーバー群を検出し、管理対象アプリケーションのカタログを作成できます。Distributed Cloud DNSでサブドメインを作成し、Distributed Cloud App Connectでフロントエンド用のDNSレコードと、アプリケーションをホストする仮想サーバー用のHTTPロードバランサーを作成することで、これらの公開アプリケーションはDistributed Cloud DNSを専用の外部DNSサービスとして利用できます。仮想サーバーがアクセスする必要のあるバックエンドサービスは、フロントエンドにのみ通知され、一般ユーザーには公開されません。これにより、F5 BIG-IP DNSは、組織の運営を支える重要な内部ワークロードに注力できます。App ConnectでBIG-IP上のアプリケーションを検出すると、必要に応じて、F5 Distributed Cloud Web App and API Protection（WAAP）などのセキュリティサービスをBIG-IP上の仮想サーバーに適用することもできます。

今後の情報にもご期待ください

これらのソリューションを連携させて環境を拡張する方法について詳しくは、この記事の解説動画とDevCentralの詳細解説記事をご覧ください。環境の拡張を成功させるための基盤について解説しています。次のステップに進む準備ができましたら、お問い合わせください。Distributed Cloud DNSによって環境を拡張し、より安定した高パフォーマンスのデジタル体験をユーザーに提供する方法をご案内します。

著者について

Griff Shelley

Griff Shelleyのその他のブログ記事

Colin Clausetシニアプロダクトマーケティングマネージャー | F5

Colin ClausetはF5のシニアプロダクトマーケティングマネージャーで、SaaSベースのアプリケーションデリバリーソリューションを専門としています。分散型アプリケーションデリバリーのプロジェクトやサービスにおける市場投入戦略を主導し、テクノロジーによって複雑なプロセスを簡素化し、ITプロフェッショナルのニーズにより的確に応える方法を追求しています。F5入社前にはコンサルティングに携わっており、個別の製品にとどまらない包括的なソリューションという視点から、お客さまの課題に取り組んでいます。

Colin Clausetのその他のブログ記事