週アスPLUSを守るFirebox

下心を隠す管理者、INTEROP TOKYOで赤箱と出会う

2009年09月28日 13時00分更新

文● 志村拓

いよいよ週アス＋PLUSがオープン！ということでファイアウォールを導入することにあったアスキー・メディアワークスの技術部。予算もないけど、時間もない。でも、せっかく導入するなら冗長化はしたいし、ギガビットにしたいし、ポートは欲しいし……。そんな下心に答えてくれたのがウォッチガード・テクノロジー・ジャパンの最新UTM「Firebox X Peak」だ。第1回はINTEROP TOKYOでの運命の出会いからラックに収まるまでの顛末を追う。

週アス＋PLUSのファイアウォールってどうしたっけ？

　我々の新しいサイト「週アス＋PLUS」は、もうご覧いただいただろうか？このサイトを立ち上げるにあたり、新たにシステム構築を行った。話が始まったのは、今年（2009年）の初めの頃だ。さまざまなレイヤ（OSI階層モデルでいえば、主にLayer 8 ^_^）での調整に時間を要し、実際に技術部が実際に動き始めたのは、ゴールデンウークが過ぎたあたりだったと思う。

　CMSはASCII.jpやアスキー総研でも運用実績のある自社開発の「CMSjp」を利用する方向で決まり、ハードウェアについては、すでに運用が4年目に入った既存のCMSjpインフラとは別に、新たにブレードサーバを1セット用意することにした。設置場所は、データセンターに借りている数ラックに収容できそうだった。技術部内部で、

ここまでは比較的すんなりと
話しが決まっていった。
　

　ブレストの結果をまとめるようにネットワーク図や機器構成図を描きおこした。稟議書の作成や、ハードウェアの発注を行いながら、何やらモヤモヤとした不安がつのった。その正体が分かったのは、付き合いのある業者からINTEROP TOKYO 2009の招待状が届いた時だった。

ファイアウォールは用意しなくて
よかったんだっけ？

クラスBのファイアウォールとして

　弊社はインターネット黎明期からIP接続していた関係で、「歴史的PIアドレス」と呼ばれるクラスBのIPアドレスを保持、運用している（PIは「Provider Independent」の略）。今回の週アス＋PLUSは、ネットワーク図によれば、このネットワークのIPアドレスを利用することになっている。しかし、設置を考えたデータセンターには、ポートの数が限られた（黒っぽい^_^;）ファイアウォールしかない。まあ、4年前の製品ではあるが、性能・容量的にはまったく問題ない。しかし、

GbEのポートが3つしかなく
結構絶望的な状況だった。
　

　週アス＋PLUSの公開は、総番長編集長から直々に2009年9月17日と勅令が下っており、おいそれとは変更できない雰囲気。残り3カ月、実際に試行運転の機関なども考えれば2.5カ月といったところだ。機器選定に2週間、発注・納品に3週間、エージング・設定設置に5週間と考えれば、あまり時間な猶予はない。まずは、どんなファイアウォールが必要か、簡単な要求仕様を考えてみることにした。

　会社合併、社屋統合などの関係もあり、整理が遅れていた前述のクラスBのIPアドレスの半分（つまり17ビットマスク）を当該データセンターに回すことにした。今回導入するファイアウォールには、この大量のIPアドレスを利用する機材を守ってもらわなければならない。責任重大なのだ。こうした視点で、考えたRFPモドキが下記のようなものだ。