補足：SonicWALL のセキュア ワイヤレス ソリューションには、セキュリティ保護された VoIP 通信を無線ネットワーク経由で展開するための、ネットワーク イネーブラが含まれています。詳細については、Dell SonicWALL のウェブ サイト http://www.sonicwall.com で提供されている『Dell SonicWALL Secure Wireless Network Integrated Solutions Guide』を参照してください。
|
•
|
トラフィックの正当性 － ファイアウォールを通行する VoIP シグナルおよびメディア パケットすべてに対してステートフル検査を実行することによって、すべてのトラフィックの正当性が保証されます。実装上の不備を突いたパケットにより、対象機器にバッファ オーバフローなどを引き起こすことができるため、よく攻撃手段として使用されます。Dell SonicWALL ネットワーク セキュリティ機器は、不正な形式のパケットおよび無効なパケットが目的の宛先に達する前に未然に検出して破棄します。
|
|
•
|
アプリケーション層での VoIP プロトコルの保護 － SonicWALL 侵入防御サービス (IPS) は、アプリケーションレベルの VoIP の悪用から完全に防御します。構成可能な高性能スキャン エンジンを、攻撃および脆弱性に関するシグネチャ データベース (動的な更新/配布が可能) と統合したIPS は、巧妙なトロイの木馬や多相型の脅威に対してネットワークを保護します。SonicWALLは、保護 VoIP 電話およびサーバに不当なトラフィックが到達するのを防ぐように設計された VoIP固有のシグネチャ群を取り入れて、IPS シグネチャ データベースを拡張しています。
|
|
•
|
DoS および DDoS シグネチャの防御 － ネットワークやサービスの無効化をねらった DoS 攻撃および DDoS 攻撃 (たとえば、SYN フラッド、Ping of Death、LAND (IP) 攻撃など) を防ぎます。
|
|
•
|
ステートフル監視 － ステートフル監視は、パケットが (そのパケット自体の形式が有効な場合でも) 関連する VoIP 接続の現状態に適合することを保証します。
|
|
•
|
暗号化 VoIP 機器のサポート － SonicWALL では、暗号化を利用できる VoIP 機器がサポートされているため、VoIP 対話におけるメディア交換を保護することができます。 また、暗号化メディアをサポートしていない VoIP 機器を IPsec VPN でセキュリティ保護することによって、VoIP 通話を保護することもできます。
|
|
•
|
アプリケーション層の保護 － SonicWALL では、SonicWALL 侵入防御サービス (IPS) によってアプリケーションレベルの VoIP 悪用から完全に防御できます。SonicWALL IPS は、構成可能で高性能な精密パケットパケット検査エンジンに基づいて構築されており、VoIP、ウィンドウズのサービス、DNS などの主要ネットワーク サービスに対する拡張保護を実現します。また、SonicWALLの精密パケット検査エンジンで使用されている広範なシグネチャ言語により、アプリケーションおよびプロトコルで新たに見つかった脆弱性に対する事前対処的な防御を実現します。SonicWALL IPS の詳細なシグネチャ情報によって攻撃をグローバル、攻撃グループ別、またはシグネチャごとに検出して防止することで、柔軟性を祭壇源に高めるとともに、偽陽性による誤検出を抑制できます。
|
|
•
|
無線 LAN (WLAN) を介した VoIP － SonicWALL は、分散型無線ソリューションを備えた完全な VoIP セキュリティを接続先無線ネットワークに展開します。SonicWALL 背後の有線ネットワークに接続された VoIP 機器に提供されているセキュリティ機能はすべて、無線ネットワークを使用する VoIP 機器にも提供されます。
|
|
補足：SonicWALL のセキュア ワイヤレス ソリューションには、セキュリティ保護された VoIP 通信を無線ネットワーク経由で展開するための、ネットワーク イネーブラが含まれています。詳細については、Dell SonicWALL のウェブ サイト http://www.sonicwall.com で提供されている『Dell SonicWALL Secure Wireless Network Integrated Solutions Guide』を参照してください。
|
|
•
|
帯域幅管理 (BWM) とサービス品質 (QoS) - 帯域幅管理 (送受信の両方) を使用することによって、時間検知型 VoIP トラフィック用の帯域幅を確保し続けることができます。BWM は、SonicWALL サービス品質 (QoS) 機能に統合されています。 これにより、特定タイプのアプリケーションで重要となる予測可能性が得られます。
|
|
•
|
WAN の冗長性と負荷分散 - WAN では冗長性と負荷分散によって、インターフェースがセカンダリ WAN ポートとして機能できます。その場合、プライマリ WAN ポートが機能停止または利用不可能になったときに限り、トラフィックがバックアップ WAN ポートを介して転送されます。トラフィックのルーティングを送信先に基づいて分割することによって、負荷分散の実行が可能になります。
|
|
•
|
高可用性 － SonicOS 高可用性により、システム障害が発生した場合に信頼できる継続的な接続を確実に確保することで、高可用性を実現しています。
|
|
•
|
VoIP 機器に対するプラグ アンド プロテクトのサポート － SonicOS では、VoIP 機器の追加、変更および取り外しが自動処理されるため、VoIP 機器が無防御な状態のまま放置されるのを確実に回避できます。先進的な監視および追跡技術の採用によって、SonicWALL の背後にあるネットワークに VoIP 機器を接続すると直ちに VoIP 機器が自動保護されます。
|
|
•
|
すべての VoIP シグナル パケットに対する完全な構文検証 － 受信されたシグナル パケットは、SonicOS の内部で完全に解析されるため、関連する規格において定義された構文に準拠することが保証されています。ファイアウォールでの構文検証により、不正な形式のパケットがファイアウォールをすり抜けたり、目的の宛先に悪影響を及ぼしたりすることを確実に防止できます。
|
|
•
|
メディア ストリームの動的セットアップ/追跡記録のサポート － SonicOS では、通話セットアップを最初に要求したシグナル パケットから通話の終了ポイントまでの各 VoIP 通話が記録されます。発呼側と着呼側の間に追加ポート (追加のシグナルおよびメディア交換用) が開くのは、通話状況が“成功"の場合のみです。
|
|
•
|
すべてのメディア パケットのヘッダーの検証 － SonicOS ではメディア パケット内のヘッダーを調べて監視し、シーケンスの不正なパケットや (時間枠を超えて) 再転送されたパケットを検出して破棄できます。また、有効なヘッダーが付いているかどうかを確認することにより、無効なメディア パケットを検出して破棄します。SonicWALL では、メディア ストリームとシグナルを追跡することで、VoIP セッション全体の保護を実現しています。
|
|
•
|
シグナルおよびメディア用に構成可能な、無動作時のタイムアウト － 切断された VoIP 接続が無期限に開いたまま放置されることのないよう、SonicOS では VoIP セッションに関連付けられているシグナルおよびメディア ストリームの使用状況が監視されます。アイドル状態のストリームは、設定済みタイムアウトの経過後にシャットダウンされます。 これにより、潜在的セキュリティ ホールを防ぐことができます。
|
|
•
|
SonicOS における管理者の着信通話制御権限 － SonicOS では、H.323 ゲートキーパーまたはSIP プロキシですべての着信通話を許可し認証することを要求することで、未許可通話およびスパム通話を遮断できます。これにより、管理者は VoIP ネットワークの使用を企業で認可された通話のみに限定できます。
|
|
•
|
包括的監視とレポーティング － SonicOS では、サポートされているすべての VoIP プロトコル用の拡張監視/トラブルシューティング ツールとして、次のものが提供されています。
|
|
•
|
|
•
|
|
•
|
H.323 に関しては、次のサポートが SonicOS により提供されます。
SIP に関しては、次のサポートが SonicOS により提供されます。
SonicWALL VoIP との相互運用性のある主要メーカー製機器リストの一部を、次に示します。
|
Cisco SIP プロキシ サーバ |
SonicOS は、あらゆる種類の CODEC のメディア ストリームもサポートする － VoIP 機器内のハードウェア/ソフトウェア CODEC (コーダ/デコーダ) で処理された音声信号および映像信号は、メディア ストリームによって搬送されます。CODEC は、コーディング技術および圧縮技術を使用して、音声/映像信号の表現に必要なデータの量を低減します。次に、CODEC の例をいくつか挙げます。
|
•
|
|
•
|
SonicOS では、あらゆる VoIP 通話シナリオに対応した、効率的かつセキュアなソリューションを提供しています。SonicOS における VoIP 通話フロー処理の仕組みを、次の例に示します。
|
•
|
|
•
|
着信通話中に発生するイベントのシーケンスを、次の図に示します。
図 47. 着信通話のイベント シーケンス
|
1
|
電話 B を VoIP サーバに登録する - SonicWALL は、送信 VoIP 登録要求を監視して、背後にあるアクセス可能 IP 電話のデータベースを構築します。SonicOS は、電話 Bのプライベート IP アドレスと、登録メッセージで使用されるファイアウォールのパブリック IP アドレスとで変換を実行します。VoIP サーバは、電話 B がファイアウォールの背後にあることも、電話 Bにプライベート IP アドレスが割り当てられていることも認識しません。 電話 B はファイアウォールのパブリック IP アドレスに関連付けられます。
|
|
2
|
電話 A が電話 B への通話を開始する - 電話 A は電話番号または別名を使用して、電話 B への通話を開始します。電話 A はこの情報を VoIP サーバに送信するときに、サポート可能なメディア種別とフォーマット、および対応する IP アドレスとポートに関する詳細も提供します。
|
|
3
|
VoIP サーバが通話要求を検証して、その要求を電話 B に送信する － VoIP サーバがファイアウォールのパブリック IP アドレス宛てに通話要求を送信します。その通話要求がファイアウォールに到着すると、SonicOS は要求の送信元およびコンテンツを検証します。その後、ファイアウォールで電話 B のプライベート IP アドレスを判別します。
|
|
4
|
電話 B が鳴り、応答される － 電話 B はその接続が応答した後で、サポート可能なメディア種別とフォーマット、および対応する IP アドレスとポートに関する情報を VoIP サーバに返します。SonicOS は、このプライベート IP 情報を変換して、ファイアウォールのパブリック IP アドレスをVoIP サーバ宛てメッセージに使用します。
|
|
5
|
VoIP サーバが電話 B のメディア IP 情報を電話 A に返す － この時点で、電話 A は電話 B とメディア交換を開始するための十分な情報を確保しています。VoIP サーバによってファイアウォールのパブリック アドレスが電話 B に割り当てられましたが、電話 B がファイアウォールの背後にあることは電話 A に認識されません。
|
|
6
|
電話 A と電話 B が VoIP サーバ経由で音声/映像/データを交換する － SonicOS は内部データベースを使用して、メディアの発信元を電話 A だけに限定し、電話 B が許可した特定のメディア ストリームだけが使われるようにします。
|
ローカル VoIP 通話中に発生するイベントのシーケンスを、次の図に示します。
図 48. ローカル VoIP 通話のイベント シーケンス
|
1
|
電話 A と電話 B を VoIP サーバに登録 - SonicWALL は、その背後の送信 VoIP 登録要求を監視して、アクセス可能な IP 電話に関するデータベースを構築します。SonicOS により、各電話のプライベート IP アドレスと、ファイアウォールのパブリック IP アドレスの間で変換が実行されます。各電話がファイアウォールの背後にあることは、VoIP サーバに認識されません。VoIP サーバは、両方の電話に同じ IP アドレスと別々のポート番号を関連付けます。
|
|
2
|
電話 A は要求を VoIP サーバに送信して、電話 B への通話を開始する － 両方の電話は同じファイアウォールの背後にありますが、電話 B の IP アドレスは電話 A に認識されません。電話 Aは、電話番号または別名を使用して、電話 B への通話を開始します。
|
|
3
|
VoIP サーバが通話要求を検証して、その要求を電話 B に送信する － VoIP サーバがファイアウォールのパブリック IP アドレス宛てに通話要求を送信した後、ファイアウォールによって電話 Bのプライベート IP アドレスが判別されます。
|
|
4
|
電話 B が鳴り、応答される － 電話 B が応答すると、ファイアウォールはプライベート IP 情報を変換して、ファイアウォールのパブリック IP アドレスを VoIP サーバ宛てメッセージに使用します。
|
|
5
|
VoIP サーバが電話 B のメディア IP 情報を電話 A に返す － SonicOS により、メッセージ内の発呼側/着呼側の両方の情報が、電話 A および電話 B のプライベート IP アドレスおよびポート宛てとなるように再度変換されます。
|
|
6
|
電話 A と電話 B が音声/映像/データを直接に交換する - SonicWALL は、2 つの電話間のトラフィックを LAN 経由で直接転送します。2 つの電話を直接つなげることによって、VoIP サーバへのデータ転送に必要とされる帯域幅要件を減らし、SonicWALL でアドレス変換を実行する必要性をなくします。
|