SORACOM Conference "Discovery" 2018 | F3. SORACOMで実現する “Intranet” Of Things バックエンドシステム IoTデバイスから社内システムまでセキュアにつなぐプライベートネットワーク構築法
2 likes942 views
SORACOM Conference "Discovery" 2018 F3. SORACOMで実現する “Intranet” Of Things バックエンドシステム IoTデバイスから社内システムまでセキュアにつなぐプライベートネットワーク構築法 式会社ソラコム プリンシパルエンジニア 松井 基勝
More Related Content
What's hot (20)
Similar to SORACOM Conference "Discovery" 2018 | F3. SORACOMで実現する “Intranet” Of Things バックエンドシステム IoTデバイスから社内システムまでセキュアにつなぐプライベートネットワーク構築法 (20)
More from SORACOM,INC (20)
Recently uploaded (8)
![ElasticsearchでSPLADEする [Search Engineering Tech Talk 2025 Winter]](https://cdn.slidesharecdn.com/ss_thumbnails/searchtech-250228102455-ddc5ce09-thumbnail.jpg?width=560&fit=bounds)
SORACOM Conference "Discovery" 2018 | F3. SORACOMで実現する “Intranet” Of Things バックエンドシステム IoTデバイスから社内システムまでセキュアにつなぐプライベートネットワーク構築法
- 1. SORACOMで実現する “Intranet” of Things バックエンドシステム IoTデバイスから社内システムまでセキュアにつなぐプライベートネットワーク構築法 株式会社ソラコム プリンシパルエンジニア 松井 基勝 2018/7/4
- 3. ? 名前：松井 基勝 ? 所属：株式会社ソラコム プリンシパルエンジニア 兼 デベロッパーアドボケイト ? 経歴：ゲーム開発→インフラエンジニア →クラウドエンジニア→IoTエンジニア ? 著書(共著)： モデレータ自己紹介
- 4. ?SORACOM ネットワークサービスの機能と特徴 ? Canal / Direct / Door / Gate ?PrivateGarden ?代表的な閉域網活用ユースケース アジェンダ
- 12. SORACOM Air 基本ネットワーク構成 デバイス + 3G/LTE 基地局 交換局 クラウド インターネット データセンター サーバ ルータ ルータ インターネット ゲートウェイ 専用線接続 MNO設備 クラウド お客様設備
- 13. ?デバイスにはデフォルトでは10.128.0.0/9 の範囲か らプライベートIPアドレスが付与される ?ゲートウェイからインターネットへ通信する時に グローバルIPアドレスに変換される (NAT) Device Subnet SORACOM Air 基本ネットワーク構成(2) SORACOM Core Network 3G/LTE(GTP) Internet NAT ServerGatewayDevices
- 16. ? IoTバックエンドのエンドポイントを公開するリスク ? デバイス側にマルウェア等が仕込まれることのリスク 残るセキュリティ上の課題 IoT バックエンド 情報漏えい 第3者への攻撃加担 サービス妨害 システム侵入 The Internet デバイスにマルウェアを 仕込もう IoTバックエンドを 攻撃しよう マルウェア
- 20. ? SORACOM Virtual Private Gateway (VPG)と お客様のVPCをPeering接続 SORACOM Canalによる接続詳細 Virtual Private Gateway (VPG) Type-C お客様のVPC AWS region
- 21. ? SORACOM Airとお客様のバックエンドとを 仲介するゲートウェイ ? AWS VPC上に構築 ? 接続先との重複可能性の低い IPアドレスレンジを使用 ? 100.64.0.0/10から割当 ? Internet Gatewayの有無を選択可 ? 無し – 完全閉域網 ? 有り – インターネットにも接続可 SORACOM VPGとは SORACOM Virtual Private Gateway (VPG) 100.x.y.0/24 (*) * 但し、x は 64から127の整数 Internet Gateway (Optional) Peering Connections
- 23. ?リージョンを超えて VPC 同士をピアリングさせる AWSの機能 ?SORACOM Canal でも利用可能なため 東京/フランクフルトリージョン以外のリージョン ともプライベートIPアドレスで疎通可能 (2018/3/14以前は、SORACOM Door によるVPN接 続が必要だった) インターリージョンVPCピアリング
- 25. ? AirのカスタムDNS機能でプライベート名前解決 ? Beamでデバイス認証情報やタイムスタンプの付与 Airの各種オプションやBeamも併用可能 お客様のVPC AWS Tokyo region プライベートDNS データ収集サーバ +タイムスタンプ + IMSI カスタムDNS プロトコル変換
- 26. VPG利用の有無はGroupごとに設定可 VPGを設定しないGroup (default) VPGを設定したGroup SORACOM Virtual Private Gateway (VPG) お客様のVPC インターネットのみ通信可
- 27. ?設定が反映されるのはセッション確立時 ? 接続が維持されている間は旧設定が維持 ? 接続中の端末に変更を反映させるには一旦切断 ? 端末で: Airplane モード on/offなど ? APIで: Delete Session API SORACOM Air VPG接続オプションの注意点
- 28. SORACOM Canal接続手順 1. VPGを作成 2. ピア接続を作成 3. VPC Peeringリクエストを送信 4. VPC Peeringリクエストを承諾 5. VPGをグループに紐付けし SIMをグループに紐付ける お客様 参考 https://dev.soracom.io/jp/start/canal/ SORACOM の操作 AWS の操作
- 29. ? お客様のデバイスとクラウドを閉域網接続 ? システムを外部公開する必要なし ? デバイスと外部ネットワークとの通信を完全に遮断可 ? AWS の主要リージョン上のVPCであればすぐに接続可 ? 接続のための物理的工事等は必要なし ? グローバルSIMもJPカバレッジSIMも同居可能 ? Groupごとに接続先を切り替え可 SORACOM Canalの利点
- 30. SORACOM Canal to ムンバイリージョン 閉域網デモ
- 34. ? SORACOM Virtual Private Gateway (VPG)と お客様のシステムをAWS Direct Connectで接続 SORACOM Directによる接続詳細 Virtual Private Gateway (VPG) Type-D お客様の IoTバックエンド SORACOM Direct AWS Direct Connect (専用線)
- 35. SORACOM Direct接続手順 1. 接続申し込み(Webフォーム) 2. Direct Connect接続先情報 （含 AWSアカウントID, VPC ID） 3. VIF作成?接続リクエスト 4. VIF接続受諾 5. SORACOM VPG 作成 6. VPGをグループに紐付けし SIMをグループに紐付ける お客様 SORACOM の操作 AWS の操作
- 36. VPG利用の有無はGroupごとに設定可 VPGを設定しないGroup (default) VPGを設定したGroup インターネットのみ通信可 Virtual Private Gateway (VPG) Type-D お客様の IoTバックエンド AWS Direct Connect
- 37. ? 任意のバックエンドとお客様のデバイスを閉域網接続 ? バックエンドを外部公開する必要なし ? デバイスと外部ネットワークとの通信を遮断可 ? AWS Direct Connectを使用して接続可 ? 豊富な接続オプションとキャリアパートナー ? 既存のDirect Connect接続があれば工事なしで利用可 ? Groupごとに接続先を切り替え可 SORACOM Directの利点
- 41. ? SORACOM Virtual Private Gateway (VPG)と お客様のシステムをAWSのVPN Connectionで接続 SORACOM Doorによる接続詳細 Virtual Private Gateway (VPG) Type-D お客様の IoTバックエンド SORACOM Door AWS VPN Connection (インターネットVPN)
- 42. SORACOM Door接続手順 1. Webフォームから接続申し込み (IPアドレス、BGP AS番号など) 2. VPG作成?VPN設定情報提供 3. VPNルータ設定 VPGをグループに紐付け SIMをグループに紐付ける お客様 SORACOM の操作
- 43. ?使用可能なVPN機器は、AWSのVPN接続仕様に準 じる https://aws.amazon.com/jp/vpc/faqs/#C9 ? 一般的なルータであればほぼサポートされている ? 対応機種であれば、サンプルコンフィグファイル の提供も可能 ? LinuxやWindows等での接続も可能 対応機器
- 45. ?Microsoft Azure との接続 SORACOM Door ＋ クラウド 構成例(1) SORACOM DoorへのAzureからの接続 https://dev.soracom.io/jp/docs/door_from_azure/
- 46. ?Google Cloud Platform との接続 ? ハイブリッド接続のVPN機能を利用 ?クラウドルータのIPを決定 → Door 利用申請 → 設定払い出し → GCP に設定投入の順で構成 ? AWS側が IKEv2 非対応のため IKEv1 で構成する 必要がある点に注意 SORACOM Door ＋ クラウド 構成例(2) Compute Engine VPN Gateway default Cloud Network App Engine Container Engine VPG Type-D Router IPsec Tunnel IoT Devices
- 47. SORACOM Door to GCP 閉域網デモ
- 50. ? 占有して使える仮想交換機 ? 現在２種類のタイプが存在 ? VPG Type-C : Canal 専用 ? VPG Type-D : Direct/Door で使用 ? 現状LPWAでは利用できない Virtual Private Gateway(VPG) VPG Type ピアリング接続 専用線/VPN接続 Type-C ○ × Type-D ○ ○
- 51. ?AWS の VPC Peering 機能を利用して デバイスからサーバまでプライベートIPで疎通可能 ?インターネットゲートウェイはオプショナル Device Subnet Canal 利用時のネットワーク構成 SORACOM Core Network 3G/LTE(GTP) InternetNAT Devices Customer VPC Optional VPG Type-C Customer VPC EC2 instances EC2 instances Inter-region VPC peering VPC peering Tokyo / Frankfurt Other region
- 52. ?AWS の Direct Connect 機能を利用 ?デバイスから自社DCまでプライベートIPで通信 Device Subnet Direct 利用時のネットワーク構成 SORACOM Core Network 3G/LTE(GTP) Devices Optional VPG Type-D Tokyo / Frankfurt Direct Connect Data center InternetNAT IoT backend servers
- 53. ?AWS の VPN connection機能を利用 ?デバイスから自社DCまでプライベートIPで通信 Device Subnet Door 利用時のネットワーク構成 SORACOM Core Network 3G/LTE(GTP) Devices Optional VPG Type-D Tokyo / Frankfurt Data center Internet NAT IoT backend servers VPN Connection (IPsec)
- 54. ?データセンタ事業者様や回線事業者様など向けの 特別な Door/Direct オプション ?多数のお客様で一つの専用線/VPN接続をシェアし て利用する事が可能 ?詳細についてはお問い合わせ下さい マルチテナント型 VPG Type-D
- 55. Device Subnet マルチテナント型 VPG Type-D SORACOM Core Network 3G/LTE(GTP) Devices VPG Type-D VPC Direct Connect or VPN Data center IoT backend servers SORACOM Core Network VPG Type-C SORACOM Core Network VPG Type-C IoT backend servers IoT backend servers Device Subnet 3G/LTE(GTP) Devices Device Subnet 3G/LTE(GTP) Devices VxLAN VxLAN VxLAN
- 57. Device Subnet Canal 利用時のネットワーク構成 SORACOM Core Network 3G/LTE(GTP) InternetNAT Devices Customer VPC Optional VPG Type-C EC2 instances VPC peering アクセス可能 ?デバイスからVPC内サーバへはアクセス可能 (その際のソースアドレスはVPGのアドレス)
- 58. Device Subnet Canal 利用時のネットワーク構成 SORACOM Core Network 3G/LTE(GTP) InternetNAT Devices Customer VPC Optional VPG Type-C EC2 instances VPC peering アクセス不可能 ?VPC内サーバからデバイスへはアクセス不可能 (VPGでNATされているので)
- 63. お客様のシステム SORACOM Gate Internet 1つのLANに繋がっているかのように自由に双方向通信 - サーバからデバイス - デバイスからデバイス デバイスとクラウドを１つの大きな仮想サブネットに
- 65. SORACOM Gate 構成図
- 66. Gate 構成手順 Raspberry Pi USBドングル SORACOM Air VPG PC Internet Canal Gateway Server Customer VPCSORACOM VPC カメラ Tablet SORACOM Air 直接アクセス Gate経由 VXLAN sshリモートアクセス可能 Gate有効化 NAT有効化 経路設定 https://dev.soracom.io/jp/start/gate/ 「SORACOM Gate を使用してデバイスにアクセスする」
- 67. 痴笔骋関连机能
- 70. ? VPGを作成しなくても、手軽に SIM 間の通信を試したいという場 合に使える 共有VPG ? SIMあたり1日5円で利用可能 ? デバイスの緊急メンテナンス時などに一時的にGateを利用したい 場合に有効 ? 第三者の SORACOM Air SIM からの通信もできてしまうので、必 ずデバイス側で認証する等セキュリティを確保する必要がある Public Gate
- 74. 闭域网导入事例绍介
- 76. お客様事例: 国分グローサーズチェーン様 INSネットからSORACOM Air のモバイル通信に切替え、 SORACOM Canalで本部シス テムにセキュアに接続 店舗の受発注タブレットに モバイル通信を活用 店舗のデジタル化を推進
- 79. お客様事例: サトーホールディングス様 SORACOM Air/Doorで 設置先のインフラに依 存しないセキュアな サービスが提供可能に リモート監視で機器停 止を予防し安全稼働、 見える化による効率化 も実現 SATO Online Services 予防保守で安定稼働 プリンタの見える化で効率化
- 82. まとめ
- 85. クラウド ? 多くのビジネス、Webサービス SORACOM ? 多くのIoTビジネス、システム たくさんの IoTプレイヤーが生まれますように SORACOMの願い
- 87. SORACOM User Group Japan 日本全国拡大中！ 東京?大阪?東海?信州?宮城?山形?広島?四国?九州? 農業活用コミュニティ ディベロッパー向けコミュニティ
- 88. 第一弾 18:15~SORACOM User Group Tokyo 開催 SORACOM クイズ+ LT 大会！ 第二弾 19:30~懇親会@Hobgolins Akasaka ナイトイベント！