NECにおけるA10製品SI事例集
2022年2月 日本電気株式会社© NEC Corporation 2022

目次
1. NECにおけるA10製品SI事例集
2. NECとA10ネットワークス社のパートナーシップについて

1. NECにおけるA10製品SI事例集

クラウド通信オフロード＋個人アカウント制限
MS社URLリスト
公開ページ

インターネット

Office 365などのクラウドアプリケーション

某民間団体様 (ユーザ数:5,000人)
クラウド通信オフロード＋個人アカウント制限
概要• クラウドアプリケーションの個人アカウント利用を禁止し、情報漏えいリスクを軽減

URLリスト
自動更新

暗号データ

課題
• o365向け通信の増大により、プロキシサーバの性能が圧迫• 社内からoffice365に接続する場合に個人アカウントの利用を制限したい

再暗号復号

プロキシサーバ

アカウント制限用
ヘッダを埋め込み

プロキシ経由通信
暗号データ

拠点A
4

© NEC Corporation 2022

HTTPヘッダ

拠点B

価値• 既存プロキシやFWの負荷を軽減することで余分なスケールアウトを抑制し、投資コストを低減• 個人アカウントを制限することで、情報漏えいリスクを軽減
特徴• SSL通信を可視化することにより通信デー
タにアカウント制限情報の埋め込みを実現• o365関連のURLリストをThunderが定期的に自動取得

SSL可視化
某流通業様 (ユーザ数:30,000人)
SSL可視化(SSLインサイト)

インターネット

概要• SSLインサイト機能とマルチテナント機能(ADP)を利用し、１台の物理筐体で復号・再暗号処理を実現

暗号データ
再暗号
復号
ゾーン

復号データ
外部セキュリティ装置

復号

マルチテナント機能(ADP)を利用し、１つの筐体でSSL通信の復号、再暗号を実施

暗号データ

拠点A
5

© NEC Corporation 2022

拠点B

拠点C

課題
• 通信が暗号化されている場合にセキュリティ装置でデータ内容を検査できない• 各機器の稼働率を向上させたい価値• 今まで検査出来なかった通信が検査対象となり、検知率が向上• セキュリティ装置、導入LBの稼働率向
上と投資回収特徴• 復号させたくない通信は除外設定を行うことでバイパス可能• 最新のSSL専用チップを搭載しているため高パフォーマンスを実現• 物理筐体1台で構成できるため低コスト

回線負荷分散
インターネット②ISP:B経由でアクセスISPの死活監視

ISP:A

ISP:B

クライアントIP毎に宛先ISPを選択①DNS問い合わせに対してDNSレコードの応答IPを分散する

アウトバウンド通信

クライアントA
6© NEC Corporation 2022

ISP:C

インバウンド通信

クライアントBサーバ

某流通業様 (ユーザ数:5,000人)
回線負荷分散(LLB)
概要• イン/アウトバウンド通信の双方向に対してDNS応答と死活監視を行うことで安定した回線負荷分散を実現
課題• クライアントがインターネット宛てに通信するとき、経由するISPをクライアントIPごとに選択したい• インターネットからサーバ宛ての通信は、経由するISPを負荷分散したい価値• イン/アウトバウンドの通信経路を柔軟に調整することで回線を有効利用• ISP障害を検知時に通信経路が自動で切り替わるため、運用負荷を低減可能
特徴• ThunderがDNSサーバとして動作• DNS応答レコードを分散させインバウンド通信のISP負荷分散を実施• 障害時はバックアップISPに切り替え可能マルチテナント機能
某通信業様 (ユーザ数:5,000人)
マルテナント機能(ADP)
インターネット
PartitionA
宛て通信

Partition A
Gateway

PrivatePartition A

PartitionB
宛て通信

Partition B
Gateway

PrivatePartition B
1台のThunderを仮想的に分割

概要• 複数のパーティションを利用することで、ネットワークを仮想的に分割
課題• 物理筐体を集約して投資コストを抑えたい• 既存ネットワークに容易に導入したい価値• 1筺体を複数のパーティションに分割できる
ため、物理筐体の集約が容易• 各パーティションで独立したルーティング情報を保持できるため、柔軟なネットワークが構成可能
特徴• 追加要件が出てきた場合、パーティションを追加することで容易に拡張可能• 複数パーティションを1筐体で一元管理• 各パーティション毎に実行権限を選択できる
ため、運用管理が容易

7© NEC Corporation 2022

サーバ A

サーバ B

FlexPool
NECCI(NEC Cloud IaaS)
FlexPool

NECCI利用者

NECCI×概要• NECCI上に、ユーザからの要求数に応じて必要帯域分のvThunderインスタンスを払い出しサービス導入

サービス廃止

帯域追加

1Gbps

2Gbps

1Gbps→3Gbps...

+1Gbps1Gbpsの帯域を割り当て

1G-2Gbps+2Gbps廃止された2Gbpsを帯域追加分に再割り当て

2G

GLM(Global LicenseManager)で帯域の利用状況を管理

1G
GLM

契約帯域幅
(各vThunderへの帯域割り当てを自由に変更可能)
8© NEC Corporation 2022

課題
• HWアプライアンスの仕様制限を受けずに柔軟な設計をしたい• 必要な帯域に応じたライセンス形態を利用した
い価値• 仮想アプライアンスのため、物理的な制限なしに柔軟な設計で設置することが可能• サービスの拡大/縮小に合わせて必要帯域を即時払い出すことが可能
特徴• vThunderの最小割り当て帯域は25Mbps• 帯域をPoolとして購入し、それぞれのvThunderに割り当てを行う• ライセンスはGLMで一元管理

広域負荷分散正常状態

某公共団体様 (ユーザ数:500人)
広域負荷分散(GSLB)

DNS解決

上位DNS
サーバ

データセンタAにアクセスデータセンタAのアドレスを返答

...

状態監視

データセンタA...
データセンタB

障害状態

DNS解決

上位DNS
サーバ

データセンタBにアクセスデータセンタBのアドレスを返答

障害

...

...
状態監視

9

© NEC Corporation 2022

データセンタA

データセンタB概要• DNSベースの広域サーバ負荷分散によりデータセンタ障害に対するBCP対策を実現
課題• 通常時は特定のデータセンタをメインサイトとして利用したい• メインのデータセンタに障害が発生した際に、DRサイトに切り替わるようにしたい価値• 各サイトに優先度を設定することで、特定のサイト利用を実現• 各サイトのThunderが互いに状態監視を実施することで、障害発生の検知・サイト切り替えを実現
特徴• DNS解決のアドレス返答を制御することで、接続先を柔軟に切り替えることが可能• 同一筐体でローカルトラフィックとグローバルトラフィックの管理を実行可能

Webサイト常時SSL化
HTTP(非暗号通信)

非暗号通信

HTTPS(暗号通信)

概要• ThunderでSSLオフロードを実施することで、サーバ設定変更なしにHTTPS対応を実現

暗号通信
インターネット

通信の内容を盗聴・改竄される危険性が高い某自治体様 (ユーザ数:5,000人)
Webサイト常時SSL化

インターネット

通信の盗聴・改竄が困難

課題• サーバ設定変更の運用コストをかけずにHTTPS化・暗号アルゴリズム危殆化に対応したい• SSL処理によるサーバの負荷を下げたい価値• PFS/TLS1.2への移行を容易に実現可能• SSL処理を肩代わりすることによりサーバのサービス稼働率の向上を実現

非暗号通信

特徴
• 最新のSSL専用チップを搭載しているため、高パフォーマンスを実現• SSL証明書・秘密鍵をLBで一元管理可能なため、運用コストが低減
Webサーバ10© NEC Corporation 2022

Webサーバ

URLフィルタリング
マルウェアサイトへアクセス

ショッピングサイトへアクセス
DB情報を定期取得

マルウェアサイト項目がThunderでブロック対象に設定されているブロック対象に設定されていないカテゴリへの通信は許可される
インターネット

金融関連サイト11SNS

ストリーミング
動画サービス© NEC Corporation 2022

ショッピングサイト

マルウェアサイト

etc.
.

某製造業様 (ユーザ数:50,000人)
URLフィルタリング
概要• Webカテゴリリストを導入し、インターネット宛て通信のアクセス制御を実現
課題• 業務上不適切なインターネットサイトへの閲覧制御を容易に導入したい価値• 80以上に分類されたWebカテゴリを利用し、柔軟なポリシー選択を実現

特徴• 高度な機械学習エンジンにより6億以上のドメイン、270億以上のURLを分析• 特定ドメインのインターネットサイト宛て通信を個別にブロックすることも可能• 日本語を含む45以上の言語に対応• Thunderの搭載機能として動作するため、外部アプライアンスが不要

IPv4/v6変換
IPv6アドレス

IPv4アドレス
IPv4クライアント
211.x.x.x

インターネット

IPv6クライアント
2001:y::1

クライアントIP(IPv6)をHTTPヘッダに挿入(VIP)222.x.x.x

IPv4アドレス(VIP)2001::x© NEC Corporation 2022

概要
• IPv4通信はそのままに、サーバの設定変更を行わず新規IPv6サービスの公開を実現
課題• IPv6を利用したユーザからの通信を受け付けたいが、サービスがIPv6に対応していない

価値
負荷分散

IPv4/v6変換+
負荷分散

サービス提供サーバ群
192.x.x.x
12

某流通業様 (ユーザ数:5,000人)
IPv4/v6変換• 既存IPv4ネットワークを変更せず、Thunderの設定のみでIPv6対応• IPv4の有効利用と、スムーズなIPv6環境への移行を実現

特徴• IPv4/v6通信をLBが受信後、サーバに負荷分散を実施• IPv4/v6変換前のクライアントアドレスをサーバ側に通知することで、ロギングも可能

IPv4枯渇対策
サーバA
222.x.x.1

クライアントC
211.x.x.x

グローバルIPv4アドレス概要• 大規模なIPv4同士のIPアドレスNAT変換機能により、キャリアクラスのIPv4枯渇対策を実現

インターネット

From 210.x.x.1

プライベートIPv4アドレス

From 192.x.x.1

13© NEC Corporation 2022

課題
• IPv4アドレスが足りない• 既存のIPv4ネットワークを活用したい

P2P通信

送信元IP変換(NAT変換)クライアントA
192.x.x.1

某通信業様 (ユーザ数:50,000人)
IPv4枯渇対策(CGN)

クライアントB
192.x.x.2

価値• 既に保有しているIPv4アドレス空間を有効利用• 既存のIPv4ネットワークにシンプルな構成で導入可能
特徴• IPv4-NAT変換情報を保持することで、グローバルから開始されたP2P通信の透過的な接続が可能• PPTP/FTP等の特定アプリケーションの場合でも、通信内容を理解しNAT変換を実施(ALG機能)

IPv6ファイアウォール
サーバB
B:xxxx::1

クライアントC
C:xxxx::1

概要• IPv6セッションをステートフルに管理し、通信にFWポリシーを適用

インターネット

OutsideZone

FWルールにマッチした通信のみを許可
ex)• 送信元IP• 送信元I/F• IPプロトコルVer

14© NEC Corporation 2022

Outside疎通用のセッションがある場合のみ通信を許可

InsideZone
ログサーバ

クライアントA
A:xxxx::1

某サービス業様 (ユーザ数:50,000人)
IPv6ファイアウォール

課題• クライアントからの通信にポリシーを適用したい• インターネット側からの通信は許可されたもののみ通過させたい• 作成されたセッション情報をログ出力させたい
価値• FWルールを策定し、許可・拒否すべき通信のポリシーを設定• クライアントからの通信情報を保持することにより、インターネット側から開始された通信の接続が可能• FWルールにマッチした通信のログ出力を実施

特徴• 通信プロトコル毎にタイマチューニング等の制御ポリシーを変更可能• Radius認証情報との連携が可能

プロキシ＋アクセス認証
チケットの受渡某製造業様 (ユーザ数:1,000人)
プロキシ＋アクセス認証
(AAM)

社内
ユーザ

概要
• 外部サーバとの連携により ユーザの接続を許可し、接続先に合わせて柔軟に経路を選択

認証サーバ
認可(LDAP)

認証(Kerberos)

LDAPサーバ

認証されたユーザのみインターネットにアクセス可

認証/認可されたユーザのみ
内部サーバへアクセス可

プロキシサーバ

インターネット
内部サーバ
15© NEC Corporation 2022課題• URL情報を参照して宛先を選択したい• 既存プロキシの負荷を軽減させたい
価値• Thunderが明示プロキシとして動作することで、ポリシーに合わせて柔軟に経路選択が可能• 認証/認可機能をオフロードすることでプロキシの負荷を軽減

特徴• インターネット向け通信は多段プロキシ(プロキシチェイン)を実施• 認証(Kerberos)、認可(LDAP)を利用し、アクセス管理を実現

WAF• クロスサイトスクリプティング攻撃
Cookie/URL/Query/POST
引数のチェックを実施

悪意のある
攻撃者

一般の利用者

概要• HTTP通信の情報を検査し、サーバへの攻撃防御をThunderでオフロード• SQLインジェクション攻撃
SQL Injectコマンドをチェックしブロックもしくはサニタイズを実施

課題• サーバの設定変更なしにWebアプリケーションの防御を行いたい• 攻撃によるサーバへの負荷を軽減したい

その他、搭載WAF機能OWASP Top10 に対応可能• Cookie暗号化チェック• セッションチェック• 平文パスワードの禁止• コンテンツフィルタ• XMLチェック• 学習URLチェック• HTTPリクエストチェック• URIブラックリスト• WAFイベントログ
...
...
16

© NEC Corporation 2022

某金融業様 (ユーザ数:5,000人)
WAF

価値• サーバの前段にThunderを配置することでサーバの設定変更を行わずにWAF機能を利用可能• 攻撃の防御処理をThunderがオフロード特徴• SLB機能と併用してWAFを動作させることが可能• OWASP Top10の攻撃に対応可能• ライセンスフリーで導入可能
Webサーバ大規模DDoS攻撃防御
悪意のある攻撃者

一般の利用者

インターネット

A10 ThreatIntelligence
Service
脅威IP情報サービス

他社製フロー監視装置

17

価値
Thunder TPS

エンドユーザ/データセンタ© NEC Corporation 2022

概要
• 断続的に発生するDDoS攻撃に対してきめ細やかなポリシーと脅威IP情報による多重防御を実現

課題• 大規模なDDoS攻撃によりネットワーク機器への負荷が増大• 脅威IPからの通信を遮断したい

攻撃検知時に通信経路を変更

通常時の通信経路

某サービス業様 (ユーザ数:50,000人)
大規模DDoS攻撃防御• システムごとのユーザ要件にマッチした効果的なDDoS防御対策を実現• A10 Threat Intelligence Serviceの脅
威IP情報と連携し、悪意のある攻撃者からの通信を防御

特徴• 他社製フロー監視装置と連携し、攻撃検知時のみトラフィックをThunder TPSに転送• 送信元IP毎に設定したポリシーを適用• 既存ネットワークの構成変更なしに導入することが可能

2. NECとA10ネットワークス社のパートナーシップについて

NECとA10ネットワークス社との協業関係
2007年 4月
仕入れ製品として取り扱い開始
2007年12月 UNIVERGE(ネットワーク開発推進Ｇ)製品として取り扱い開始、出荷開始
2009年 3月
A10ネットワークス社(以下A10社)と一次代理店契約を締結
2012年
A10社が日本国内ＡＤＣマーケットシェアNo.１シェア獲得。ＮＥＣはA10社製品国内売上No.1
2016年12月 NECがA10社2016年High Growth Award(昨年度比140%以上成長)を受賞
2017年12月 NECがA10社2017年Enterprise Market Development Award (昨年度比210%以上成長) 他計３件を受賞
2018年12月 NECがA10社TAC Co-Working Award(No.1技術サポート力)を受賞
2019年12月 NECがA10社Specific Customer Success Awardを受賞
2020年12月 NECがA10社Specific Customer Success Awardを受賞

ロードバランサ、IPv6マイグレ、DDoS対策、SSL可視化、マルウェア検知、URLフィルタ、IPレピューテーションなどのADC/セキュリティ製品群

A10ネットワークス社の製品提供、ソリューション提供、拡販サポート、技術サポート、構築サポートをA10社とともに実施
強固な協業関係

A10ネットワークス社との協業の背景
１．エンタープライズからキャリアまでの広いマーケットを対象とする製品の性能・可用性を提供→ロードバランサとして、全ての規模の企業系、メディア、ISPのＤＣ市場、IPv6マイグレーションやDDoS対策装置として、SP、キャリア系市場での性能・機能要件にマッチ、さらにSSL可視化によるセキュリティ分野への拡大
２．ＮＥＣのトータルサポートへのニーズ
・全国的保守体制・品質保証
・設計・構築ＳＥサポート

・展開・運用支援サービス

ＮＥＣは、約200社以上、1800台以上と、技術サポート実績のある国内No.1パートナーです。
19© NEC Corporation 2022

NECアピールポイント
 A10社前身会社から続く、長年のパートナーシップ
 NECはA10社プラチナパートナー(最高認定レベルの信頼感とサポート力)/一次代理店として、設計/運用への一貫した迅速で強力なサポート体制を保有

 米国本社の開発部隊にもパイプを持ち、NECの顧客要望に応えるため新機能開発の実績が多数あり(キャリアグレードNAT、URL問い合わせ機能、ファイアウォールロードバランス、HTTPアクセスロギング機能など)

 実績
 豊富な販売実績(ロードバランサ、キャリアグレートNAT、DDoS対策など)
SP、官公、文教、金融、メディア、流通、製造など分野問わず数百社、数千台の導入実績(約200社以上、1800台以上)
 A10ネットワークス社一次代理店の中でも1位、2位を争う販売売上20© NEC Corporation 2022

NECアピールポイント
 NEC内にA10専門の技術部隊
 A10専任技術者(10名以上のA10資格保有者)によるサポート。評価設備をNEC内に常設し、内部ナレッジによる自己解決でスピーディに問題解決可能(A10製品:40台以上の評価設備、数十Gbps～印可可能な負荷装置、DDoS/マルウェアエミュレーション装置)

 詳細な事前評価や内部レビュー、各種ツールを用いた技術検証• ソフトウェアの品質試験(100件以上のテストを各バージョンリリース時に毎回実施)• 新機能試験(SSL可視化/o365分散/DCFWなど)や、お客様環境/要件に特化した事前検証
100%

NEC問い合わせ自己解決率の推移

自己解決率 70%超えを維持

80%
60%
40%
20%

21

© NEC Corporation 20220%
2017年3月

2017年6月

2017年9月

2017年12月

2018年4月

NEC グループの全国網を活かしたオンサイト保守サービス
日本全国にあるNEC グループの拠点から駆け付けでオンサイト保守サービスを提供します。導入だけでなく保守サポートも NEC でサポートします。
お客さま
2 障害検知3 障害コール
24時間365日対応可

ネットワーク
サービスセンター

障害管理

7 完了報告シングルウィンドウ

お客さま
ネットワーク

顧客担当ＣＥ

受付窓口

6 作業報告4 出動・作業指示

1 障害発生NEC 保守担当会社

製品技術部門

5 オンサイト対応※対応する日時間帯はご契約内容に基づく技術支援※ 上記はイメージとなりますので、実際の保守体制は上記と異なる可能性がございます。
22© NEC Corporation 2022