JPC2017 [E1-1] Exchange Online の大量セッション問題解決!インテックの DCAN をご紹介

1. Exchange Online の
大量セッション問題解決!
インテックの DCAN をご紹介
ID:E-1

2. 神保 岳大(じんぼ たけひろ)
2001年 株式会社インテック入社、北陸地区本部第二営業部
2006年～ 同社 技術・営業統括本部
2007年～2014年
仮想化統合基盤、仮想デスクトップソリューションのプリセールス
2015年～同社 N&O事業推進部ＩＣＴサービス課長
データセンター・ネットワーク・IaaSの拡販推進を担当
2

3. 3
社名
資本金
設立日
業績
代表者
208億30百万円
1964年1月11日
2017年3月期単体
・売上高 115,335百万円
・経常利益 7,161百万円
・当期純利益 4,200百万円
3,605名（2017年4月1日現在）従業員数
代表取締役社長 日下 茂樹
代表取締役副社長 鈴木 良之
本社所在地
〒930-8577 富山市牛島新町５番５号
インテックビル(愛称：タワー１１１)
タワー１１１
(建設当時:インテック明治生命ビル)
階数 - 地上22階、地下1階

4. 富山駅
富山駅北
岩瀬浜
大学前
富山港線(愛称:ポートラム)7.6km
富山軌道線 2系統 6.7km
富山軌道線 環状系統 3.7km
南富山駅前
富山軌道線 1系統 3.8km
富山地方鉄道
富山ライトレール
インテック本社前
2020年度開通→
接続線
(Ⅱ期)
西町 富山都心線 :地域公共交通
活性化法（LRTなどで上下
分離方式を認めたもの）に
基づき、富山市所有する上
下分離方式
仕様 Spec
軌間:1,067mm(JR在来線と同幅)
電化:直流600V/架空線方式
専用軌道区間:
奥田中学校前～岩瀬浜
専用軌道区間保安方式:
単線自動閉塞(特殊)
ATS-Sw
4

5. 富山市のLRTは、現在2つの事業者で運営されている
(富山ライトレール株式会社、富山地方鉄道株式会社)
富山市がトータルデザイン(都市計画・軌道・街路・街並み・施設を
横断的にデザイン)を方針として決め、GK Graphics(東京)※に委託
「都市の新しい風景を創る」「新しい生活行動を創る」
「地域の資源を再発見する」「地域の新たな価値を創る」
北陸新幹線開業時の
路面電車延伸のポスター
5

6. 6
富山に来られるがやったら、LRTにいっぺん乗ってみられ

7. 1.
Office 365を利用する、
とはどういうことか？

8. 8
LAN/WAN
インターネット
Office 365
端末(PC,Tab,etc…)

9. インターネット
LAN/WAN
端末(PC,Tab,etc…)
１箇所に限定し
セキュリティ・IT
統制を一括管理Proxy
FW/IDS
パターン1
集中型
Proxy設定
OSにProxyの
設定を手動で
行うか、pac
ファイルで集
中管理
FW兼ルータ
パターン2
拠点分散型
NAT/NAPT
(IPマスカレー
ド)
端末からイン
ターネットへ
はダイレクト
9

10. メリット 課題・問題点
• 機器・アクセス回線を集約できるため
コストメリットが出る
• さまざまなセキュリティ制限や統制を
集中管理できる
• トラフィックが集中し、機器や回線の
ボトルネックとなるパターン1
集中型
パターン2
拠点分散型
メリット 課題・問題点
• インターネットアクセスが分散するた
めボトルネック箇所がない
• 高度なアクセス制御やセキュリティ制
限はコスト上やりにくい
どちらも一長一短です。さて、どうしたものか・・・
10

11. • インターネット上のクラウドサービス利用が当たり前になってき
ており、コンテンツフィルタやアクセス管理をある程度のレベル
で実施せざるを得ない
• データセンターに社内インフラ(ITシステム)を置くことが災害対
策やセキュリティ上からもベターになっている、もしくはIaaSな
どの利用によりクラウドやデータセンターへのトラフィックが集
中する構造になる
集中型に(渋々)せざるを得ない
11

12. Exchange Online
Office 365
Outlook
MAPI on HTTPS
RPC on HTTPS
使い方に依存するが、
1ユーザーあたり
10～20セッション(TCP)は
見込む必要があるMAPI=Messaging Application Programmable Interface
RPC =Remote Procedure Protocol
12

13. Although Microsoft recommend a proxy is not used and
traffic for office 365 is sent direct due to this, and
performance concerns, we are aware this is not an easy
solution for many customers who prefer to use a proxy.
https://blogs.technet.microsoft.com/onthewire/2014/06/18/ensuring-your-proxy-
server-can-scale-to-handle-office-365-traffic/
パフォーマンス上の懸念があるため、マイクロソフトはProxyを使用せず、
Office 365のトラフィックが直接インターネットに送信されることを推奨
しています。
しかし、Proxyを使用することを希望する多くのお客様にとって、これは
容易な(受け入れられる)解決策ではありません。
13

14. インターネット
LAN/WAN
端末(PC,Tab,etc…)
Proxy
FW/IDS
3
Office 365向けは
専用線(ExpressRoute)で
つないじゃえ!
②Office 365
Express Routeは、
接続審査がありますよ
①Office 365向け
とそれ以外のアクセスを、
どう振り分けるのか?
Proxy
FW/IDS
それでも(あえて)
Proxyを並べる
Proxy設定
2
Proxy・・・・
1
Office 365向けは
Proxyをやめる
Proxy
FW/IDSSquidを使った場合
1台(VM)あたり
20,000 Session
が実用限界
(≦1,000User)
①Office 365向け
とそれ以外のアクセスを、
どう振り分けるのか?
14

15. Load Balancerで振り分け
URLリスト更新を自動化パターン2
最近
流行
この自動化運用
が現在お使いの
製品で実現でき
るかどうか※
定期的にMicrosoftへ
Office365向けFQDNを取得
しリスト更新
Load
Balancer
Proxy
通信先がOffice365向けFQDN
かチェックして振分
Direct(NAT)
※F5,A10 は対応
ただしFirm Wareの更新必要な場合あり
パターン1 Proxy.pacを
ゴリゴリ書く!!
書くのはいいんだけど・・・
変わったらどうするんですか?
*.office365.com
home.office.com
portal.office.com
agent.office.net
www.office.com
outlook.office365.com
signup.microsoft.com
portal.microsoftonline.com
*.portal.cloudappsecurity.com
prod.msocdn.com
appsforoffice.microsoft.com
Contentstorage.osi.office.net
r1.res.office365.com
r4.res.office365.com
clientlog.portal.office.com
nexus.officeapps.live.com
nexusrules.officeapps.live.com
suite.office.net
account.office.net
browser.pipe.aria.microsoft.com
*.onmicrosoft.com
*.office.com
*.office.net
*.microsoft.com
*.msocdn.com
*.protection.outlook.com
< 顧客のドメイン キー>.mail.protection.outlook.com
smtp.office365.com
outlook.office365.com
*.outlook.office.com
autodiscover-*.outlook.com
*.outlook.com
xsi.outlook.com
r1.res.office365.com
r3.res.office365.com
r4.res.office365.com
Office 365向けのURLリスト Traditional
運用面が課題
LBが無い場合
コスト負担が重い 15

16. Express Route(ER) for Office 365の販売方針変更は、
下記のとおり変更されている
あくまでSkype for Businessに対する救済策
基本的にはインターネット経由の接続しか認められない
16

17. 2.
インテックのDCANで
もろもろ解決!!

18. DCANは、インテックのネットワークサービスで、当社IaaS、データセンターに1Gbpsで接続できる「サービ
スゲートウェイ」機能のほか、AWS・Azureメガクラウドサービスに閉域接続できる「クラウドゲートウェ
イ」機能をはじめ、豊富な拠点アクセス・リモートアクセスメニューを備えた、マルチクラウド時代に適応す
るネットワークサービスです。
拠点アクセスメニュー
ブロード
バンド
ハイ
クオリティ
ワイヤレス
(WiMAX)
ワイヤレス
(LTE)
インターネット
サイト間※1
リモートアクセス
SSL-VPN+
証明書認証
サービスゲートウェイ
Internet
インターネット インテック
全DC※2 全サイト※3
データセンター IaaS
サービスゲートウェイ
Microsoft
Azure
Amazon
Web Services
S*Plex3
※1・・・お客さま拠点ルータとのサイト間接続 ※2・・・東京、東京第2、大阪第2、富山、万葉、横浜 ※3・・・Managed 東京・大阪・富山、SelfPortal 東京・東京第2・万葉
Multi
Cloud
Connect
18

19. DCANは新機能としてOffice 365向けの専用GWをご用意。
グローバルIPグローバルIP
19
Office 365向けの
トラフィックを専
用のインターネッ
トゲートウェイか
ら逃がす
通常)インターネッ
トGW機能はUTMな
どのオプション機
能も豊富にご用意

20. 既存
ハウジング環境
ご利用例
既存ネットワークの
インターネット向け
経路をDCANに向け
ることで実現可能
既存WAN
既存WANと接続し、インターネット接続機能だけを切り出して
ご利用いただけます
×廃止
×廃止
20

21. インターネットGWは、UTM機能を利用できるプランも
ご用意しております。
ライトプラン UTMプラン 備考
インターネット接続 アウトバウンドのみ提供 サーバ公開はできません
回線帯域 1Gベストエフオート
最大同時セッション数 10,000 50,000
ポートベースFW機能 最大250エントリ 最大1,000エントリ
セキュリティ機能 なし
Webフィルタリング
IPS
AntiVirus
Applicationコントロール
利用機能と通信量によって
パフォーマンスが変化
します
セキュリティ定義
の設定
申請書による提出、
インテックにて定義
の適用
お客さまにて設定
21

22. お客さま
月次課金
(請求書)
サポート
窓口
Azure Active Directory
Exchange Online
Office365(B,E,P,E1,E3,E5,K1)
One Drive
Share Point online
Skype
Microsoft Azure
IaaS
22

23. 3.
事例・ユースケースの
ご紹介

24. 本社
フレッツ網
専用線(イーサ回線)
フレッツ
インターネットへの出口
既存WANインターネットVPN
■Ａ社ネットワーク
店舗
複数拠点
オフィス オフィス オフィス
店舗
光ﾈｸｽﾄ
店舗 店舗 本社
■Ｂ社NW
店舗
課題①
ネットワークが複数面存在、
相互間の接続性も乏しい
■Ｃ社NW
課題②
乱立するインターネットへ
の出口のため、
セキュリティ統制が難しい
ワイヤレス(LTE)
課題④
各社のIPアドレスが重複。
そのまま統合(接続)
できない
既存WAN
複数拠点 複数拠点
24

25. 本社
イーサ回線
EINS/光
インターネット
への出口
フレッツGW 100M
既存WAN(FENICS)インターネットVPN
■Ａ社ネットワーク
店舗
オフィス オフィス オフィス
店舗 店舗 店舗 本社 店舗
A社NW B社NW
GW
既存WAN
■Ｂ社NW
■Ｃ社NW
25

26. 拠点
(シングル)
DMZ
公開サーバ
拠点
(冗長)
拠点
(冗長)
拠点
(冗長)
お客さまデータセンター
26

27. 27
• インテックは、ネットワーク・SI・ライセンス課金、すべ
てをワンストップでご提供可能
• Microsoftとの長年にわたるパートナーシップ、LSPとして
の実績も多数
EA契約もお取り扱い可能、またオンプレミス環境からの
移行作業なども実績多数ございます
→Office 365 ご利用中でお困りの方もぜひご相談ください

28. 本講演について、ご質問等がございましたら、
下記コンタクト先にお問合せをお願いいたします。
株式会社インテック Ｎ＆Ｏ事業推進部／神保
E-mail : net_info@intec.co.jp
28