クラウドの閉域接続とは？仕組みと自社に合う接続方法の考え方

クラウドへの閉域接続とは？

自社からクラウドへの接続方法は、大きく分けると「インターネットを経由する接続」と「クラウドまで閉域網で接続する方法」のふたつになります。ひとつはインターネットを通ってクラウドに届く経路、もうひとつは通信事業者の閉域網だけを通り、インターネットに一度も出ずにクラウドまで届く経路です。また、前者には、通常のインターネット接続のほか、インターネット上に暗号化された仮想的な経路を構成する「インターネットVPN」が含まれます。

注意したいのは、拠点間の通信に閉域網を使っていても、その先でインターネットを経由してクラウドに接続する構成であれば、クラウドまで閉域で接続していることにはならない点です。ここでは、自社拠点からクラウド側の接続点まで、インターネットを経由せずに閉域網でつなぐ方法を「クラウドの閉域接続」として扱い、その基本的な仕組みと、閉域接続に用いられる主な回線サービスを整理します。

閉域接続の基本的な仕組み

クラウドへの閉域接続とは、パブリックなインターネットを経由せず、通信事業者が提供する閉域網を通じて、自社拠点やデータセンターとクラウドを接続する方式です。通信は「自社拠点」から「通信事業者の閉域網」、そして「クラウド事業者側の接続サービス」という流れでつながり、経路全体をインターネットから分離した状態でクラウドを利用できます。

主要なクラウドサービスは、閉域接続を受け入れるための接続サービス（AWSの「AWS Direct Connect」、Microsoft Azureの「Azure ExpressRoute」、Google Cloudの「Cloud Interconnect」など）を提供しています。通信事業者の閉域網サービスとこれらを組み合わせることで、自社拠点からクラウド内のシステムまで、一貫したプライベートな経路を構成することが可能です。

閉域接続に用いられる主な回線サービス

自社拠点からクラウド側の接続サービスまでをつなぐには、専用線や、通信事業者が提供するVPNサービスなどが利用されます。両者の関係は次のとおりです。

• 専用線：特定の拠点間を1対1で接続する専用の回線
• VPNサービス：通信事業者の閉域網上に、契約者ごとの仮想的な専用ネットワークを構成するサービス
  • IP-VPN：通信事業者の閉域IP網を利用し、IP（レイヤー3）で拠点間を接続するVPNサービス
  • 広域イーサネット：通信事業者の閉域網を利用し、レイヤー2でLAN同士を接続するVPNサービス

IP-VPNと広域イーサネットは、どちらも通信事業者の閉域網を利用するVPNサービスですが、利用するネットワークの層が異なります。IP-VPNでは、拠点ごとのIPネットワークを維持したまま、契約者ごとの仮想的な専用網を構成します。一方、広域イーサネットでは離れた拠点のLAN同士をひとつのネットワークのように接続します。帯域や拠点数、カスタマイズ性などに応じて使い分けられます。

なお、名称の似ている「インターネットVPN」は、インターネット網の上に暗号化された仮想的な経路を構成する方式であり、通信事業者の閉域網を利用するIP-VPNや広域イーサネットとは経由する網が異なるものです。両者の違いは、後の章で詳しく比較します。

閉域網そのものの種類やセキュリティ対策については、以下の記事でも詳しく解説しています。
関連記事：閉域網とは？VPNと専用線の違い、種類やセキュリティ対策を解説

クラウド利用時に閉域接続が選ばれる4つの理由

基幹システムや機密性の高いデータを扱うシステムをクラウドへ移行する際は、接続経路として閉域接続が選ばれることがあります。ここでは、その判断につながる主な4つの理由について解説します。

パブリックインターネットを経由しない通信経路を構成できる

閉域接続では、接続元と接続先を限定したプライベートな経路を構成することが可能です。不特定多数が利用するパブリックインターネットから経路を分離できるため、経路上の盗聴や不正アクセスといったリスクの軽減を図れる点が、基幹システムや社内システムをクラウドへ移行する際の検討材料になっています。

ただし、経路を分離してもリスクがなくなるわけではありません。設定の誤りや、内部関係者による不正、持ち込まれた端末や外部媒体を経由したマルウェア感染などは閉域接続だけでは防げないため、アクセス制御や端末の保護といった対策を別途講じる必要があります。

帯域や通信品質を確保しやすい

閉域網を利用する回線サービスには、帯域確保型（ギャランティ型）のメニューやSLA（サービス品質保証）、冗長構成を選択できるものがあり、通信量や業務への影響度に合わせた設計がしやすい特性があります。大容量データの転送や、オンプレミス環境とクラウド間で継続的にデータを連携させる用途など、安定した通信品質や必要な帯域を確保したい場合は閉域接続が候補になります。

ただし、実際の品質や保証の範囲は、サービスや契約内容によって異なります。検討の際は、帯域や遅延といった性能面から、SLAの有無といった保証面、障害時の迂回経路といった可用性の面までをサービスごとに確認しておくことが大切です。

セキュリティポリシーや監査要件に対応しやすい

社内規程や業界のガイドラインで通信経路の限定が求められる場合、閉域接続は要件への適合状況を説明しやすい方式です。接続元・接続先・経路を限定した構成であれば、「どの拠点から、どの経路で、どのクラウドに接続しているか」を明示できます。さらに、経路上で取得した通信ログとあわせて確認することで、定めた経路で通信していることを示しやすくなり、ポリシーへの適合状況の説明や監査時に必要な資料の整理に役立ちます。

ただし、実際に求められる要件は業界や組織によって異なります。自社のポリシーや監査基準に照らして、必要な経路要件や確認事項を個別に確認することが前提となります。

ハイブリッドクラウドの通信基盤として利用できる

オンプレミスに残す基幹システムとクラウド上のシステムを組み合わせて運用する形態は、「ハイブリッドクラウド」と呼ばれます。ハイブリッドクラウドでは、両環境にまたがるアプリケーションの運用、バックアップや大容量データの転送、既存システムやデータの制約を踏まえたクラウドへの段階的移行のケースなど、用途に応じてオンプレミスとクラウドの間で通信が発生します。

こうした通信経路を構成する方法のひとつが閉域接続です。オンプレミス側の拠点やデータセンターとクラウドを閉域網で接続できるため、ハイブリッドクラウドを支える通信基盤として、選択肢のひとつとなります。

閉域接続とインターネット接続・インターネットVPNの違い

「インターネットVPN」は、インターネット網上に暗号化された仮想的な経路を構成する方式で、自社拠点とクラウド間の接続にも利用されます。このようなインターネットVPNと通常の「インターネット接続」はいずれもインターネット網を利用する一方、「閉域接続」はインターネット網を経由しません。

ここでは、これら3つの方式を比較します。

帯域・品質やコスト、導入までの期間は、利用するサービスや構成によって異なるため、表の内容は一般的な傾向となります。

テレワークや、拠点を経由しないSaaSの直接利用が増えると、拠点起点の構成だけでは扱いにくい場面も出てきます。これは、後述する接続方式の選び方に関わるポイントのひとつでもあります。

クラウド閉域接続の導入前に押さえておきたい注意点

閉域接続には前章のような利点がある一方で、導入・運用の設計段階で検討しておきたいポイントもあります。既に閉域網を利用している場合も、クラウドやSaaSの利用拡大にともない、経路の効率が課題になることがあります。

事前に押さえておきたい、具体的な4つの注意点は次のとおりです。

インターネット回線と比べて費用負担が大きくなりやすい

一般に、専用線や帯域確保型のメニューは、インターネット回線と比べて費用負担が大きくなりやすい傾向があります。専用線の料金は拠点間の距離や契約帯域によって変動し、帯域が広いほど高くなるほか、閉域網の利用料とは別に、クラウド側の接続サービスにもポートの利用料やデータ転送料といった料金が設定されているためです。

ただし、実際の費用は接続構成や通信量、料金体系などの条件によって異なり、必ずしも閉域接続のほうが高くなるとは限りません。回線費用だけでなく、クラウド側の接続料金やデータ転送料なども含め、構成全体の総額で比較することが大切です。

開通までにリードタイムを要する場合がある

閉域接続では、申し込みから利用開始までに時間を要する場合があります。また、回線の新設工事が必要になる場合や、閉域網側とクラウド側それぞれで接続構成の設計が必要になる場合もあります。必要な期間は回線の種類や拠点の状況によって異なるため、クラウド移行のスケジュールと合わせて、早めに通信事業者へ確認しておくと安心です。

クラウドの追加や帯域変更時に構成見直しが必要になる場合がある

帯域の変更にあたっては、回線の契約内容や接続構成の見直しが必要になる場合があります。また、複数のクラウドを併用する場合は、前述のとおりクラウド事業者ごとに接続サービスが異なるため、接続構成が複雑になりやすい点にも注意が必要です。将来の構成変更をどの程度見込むかも、方式選定の判断材料になります。

インターネット経由の直接接続を推奨するSaaSがある

SaaSの中には、拠点のネットワークに通信を集約せず、利用場所から直接インターネット経由で接続することを推奨しているサービスもあります。例えばMicrosoftは、公式ドキュメント「Microsoft 365 ネットワーク接続の原則」において、拠点への通信集約（WANバックホール）への依存を減らし、利用場所から直接インターネットへ抜ける接続を優先するよう案内しています。

こうしたSaaSの通信まで拠点に集約したうえで閉域網に載せる経路にすると、帯域の逼迫や遅延の一因になる場合があります。SaaSごとの推奨構成を確認したうえで、経路を設計することが大切です。

自社に合ったクラウド接続方式の考え方

ここまで見てきたとおり、クラウドへの接続は、閉域接続が適する場合もあれば、インターネット経由の接続が推奨される場合もあります。重要なのは、どちらか一方にすべてを寄せることではなく、自社の利用実態に合わせて経路を設計することです。本章では、その際の判断軸と、同時に検討したい選択肢を紹介します。

接続方式を選ぶ際の4つの判断軸

接続方式を検討する際は、次の4つの観点から自社で必要な要件と実現上の制約を整理すると、比較しやすくなります。

• 扱う通信の要件：機密性や安定性の水準、オンプレミス環境との常時連携の有無。要件によって、経路の限定や通信品質を重視する必要があります。
• 利用場所：拠点内からの利用が中心か、テレワークなど社外・モバイルからのアクセスが多いか。利用場所が分散している場合は、拠点を起点とする接続だけで対応できるかを検討する必要があります。
• 利用するクラウドサービスの接続条件：対応している接続方法、推奨されるアクセス方法やネットワーク構成。自社の要件に合う接続方式でも、サービス側が対応しているか、推奨構成に沿って実現できるかを確認する必要があります。
• コストと運用体制：かけられる費用、運用担当の体制、将来の構成変更の見込み。必要な要件をどの構成・範囲まで実現できるかを判断する条件になります。

通信要件を満たす方式でも、利用場所やクラウドサービスの接続条件、コスト・運用体制によっては採用が難しい場合があるため、4つの観点を合わせて判断します。

「SASE」という選択肢と閉域接続との使い分け

SASE（Secure Access Service Edge）とは、ネットワークとセキュリティの機能を、クラウド上のサービスとして一体的に提供する考え方です。利用場所を問わず同一のセキュリティポリシーを適用しやすいことや、クラウドやインターネットに向かう通信を可視化・制御できることが特徴です。

閉域接続が拠点とクラウド間の通信経路を限定する接続方式であるのに対し、SASEは拠点内外からのアクセスを制御・保護する考え方であり、両者は単純な代替関係ではありません。前の項で整理した4つの観点を踏まえると、使い分けの目安のひとつとしては、次のように考えられます。

• 「扱う通信の要件」「クラウドサービスの接続条件」：オンプレミスとの常時連携が必要なIaaS上の基幹システムなど、拠点とクラウド間の経路を限定したい通信→閉域接続が候補
• 「利用場所」「クラウドサービスの接続条件」：テレワークなどの拠点外アクセスやSaaS利用など、クラウドやインターネットに向かう通信を利用場所を問わず可視化・制御する必要がある通信→SASEが候補

そして、残る「コストと運用体制」は、こうして候補を整理したうえで、必要な要件をどの構成・範囲まで実現できるか、導入の優先順位をどうするかを判断する条件になります。閉域接続では回線費用や開通までの期間、構成変更時の見直しを、SASEではサービスの利用料や運用担当の体制を確認し、将来の構成変更も見込んで検討します。

また、通信ごとに要件が異なる場合には、どちらか一方に統一する必要はありません。例えば、基幹系の通信には閉域接続を利用し、SaaSやリモートアクセスにはSASEを活用するなど、両者を併用する構成も考えられます。

SASE、およびその前提となる考え方であるゼロトラストについては、以下の記事でも詳しく解説しています。
関連記事：SASEとは？仕組みやメリットから導入手順まで解説
関連記事：ゼロトラストとは？基本概念からメリット・課題までわかりやすく解説

まとめ

クラウドへの閉域接続は、インターネットから分離された経路を構成できる接続方式であり、経路を限定したい基幹システムの通信や、ハイブリッドクラウドの通信基盤として有効な選択肢です。

一方で、費用や開通までの期間、構成変更時の見直しも考慮し、接続先や利用状況に合った方式を選ぶことが重要です。IaaSでは閉域接続とインターネット経由の双方を選べますが、多くのSaaSはインターネット経由で利用されます。SaaSの利用が広がるなか、テレワークなどで生じる拠点外からの通信を拠点に集約すると、経路が非効率になる場合もあります。

そうした通信については、SASEのように利用場所を起点とする構成が適する場面もあります。現在インターネット経由で接続している場合はセキュリティ対策が十分か、閉域網を経由している場合は効率の悪い経路になっていないか、という観点から自社の通信を整理し、使い分けや併用を検討してみてください。

オプテージでは、ネットワーク機能とセキュリティ機能を一体として提供するSASEサービス「OPTAGE SASE powered by Prisma Access」を提供しています。導入から運用までをトータルで支援するほか、閉域網を用いたネットワークサービスのご提供も可能です。クラウドの接続方式にお悩みの際は、要件整理の段階からお気軽にご相談ください。

◎製品名、会社名等は、各社の商標または登録商標です。