SORACOM Conference "Discovery" 2018 F3. SORACOMで実現する “Intranet” Of Things バックエンドシステム IoTデバイスから社内システムまでセキュアにつなぐプライベートネットワーク構築法 式会社ソラコム プリンシパルエンジニア 松井 基勝

1. SORACOMで実現する
“Intranet” of Things バックエンドシステム
IoTデバイスから社内システムまでセキュアにつなぐプライベートネットワーク構築法
株式会社ソラコム プリンシパルエンジニア
松井 基勝
2018/7/4

2. #discovery2018
本日のハッシュタグ
@SORACOM_PR
https://www.facebook.com/soracom.jp/

3. • 名前：松井 基勝
• 所属：株式会社ソラコム
プリンシパルエンジニア 兼
デベロッパーアドボケイト
• 経歴：ゲーム開発→インフラエンジニア
→クラウドエンジニア→IoTエンジニア
• 著書(共著)：
モデレータ自己紹介

4. •SORACOM ネットワークサービスの機能と特徴
• Canal / Direct / Door / Gate
•PrivateGarden
•代表的な閉域網活用ユースケース
アジェンダ

5. SORACOM Airの基本

6. モバイルとクラウドが融合した
IoT向け通信プラットフォーム
SORACOM

7. IoTの課題
インターネット クラウドモノ
接続方法 セキュリティ

8. 接続方法
インターネットモノ ・有線LAN
場所の制約
・無線LAN
事前設定が難あり
・3G/LTEの通信は便利
初期費用、通信費高い
長期固定契約

9. ソラコムでの解決策
インターネット クラウドモノ

10. SORACOM Airはモノをクラウドに直接繋げる

11. 専用線
基地局
モノ インターネット
パケット交換
帯域制御
顧客管理
課金
AWS
クラウド
３G/LTE
SORACOM Air
SIMカード
API
必要に
応じて

12. SORACOM Air 基本ネットワーク構成
デバイス
+
3G/LTE
基地局 交換局
クラウド
インターネット
データセンター サーバ
ルータ ルータ インターネット
ゲートウェイ
専用線接続
MNO設備 クラウド
お客様設備

13. •デバイスにはデフォルトでは10.128.0.0/9 の範囲か
らプライベートIPアドレスが付与される
•ゲートウェイからインターネットへ通信する時に
グローバルIPアドレスに変換される (NAT)
Device Subnet
SORACOM Air 基本ネットワーク構成(2)
SORACOM
Core Network
3G/LTE(GTP)
Internet
NAT
ServerGatewayDevices

14. •通信内容が盗み見られてしまうの
では？
•デバイスに外部からアクセスされて
しまうのでは？
•デバイスの認証情報が漏れてし
まったら
よく聞かれるセキュリティ上の懸念

15. SORACOMを活用したIoTシステムの場合
専用線
デバイスはSIMで認証
（サーバへの認証情報は
持たせない）
State-full Firewallが
デバイスへの直接通信
は遮断SIMの耐タンパ性
デバイスの認証
情報を盗もう
AirでSORACOMと
安全な通信路
間で通信を
盗み見よう
デバイスに
不正アクセス
してやろう
IoT
バックエンド
The Internet

16. • IoTバックエンドのエンドポイントを公開するリスク
• デバイス側にマルウェア等が仕込まれることのリスク
残るセキュリティ上の課題
IoT
バックエンド
情報漏えい
第3者への攻撃加担
サービス妨害
システム侵入
The Internet
デバイスにマルウェアを
仕込もう
IoTバックエンドを
攻撃しよう
マルウェア

17. The Internet に出ない
閉じたIoTシステムは作れないのか？
IoT
バックエンド

18. SORACOM CanalC
プライベート接続サービス

19. SORACOM Canal
AWS
お客様
システム
直結
専用線
MNO設備
お客様のクラウド上のシステムとSORACOMの間で
プライベートピアリング

20. • SORACOM Virtual Private Gateway (VPG)と
お客様のVPCをPeering接続
SORACOM Canalによる接続詳細
Virtual Private Gateway
(VPG)
Type-C
お客様のVPC
AWS region

21. • SORACOM Airとお客様のバックエンドとを
仲介するゲートウェイ
• AWS VPC上に構築
• 接続先との重複可能性の低い
IPアドレスレンジを使用
• 100.64.0.0/10から割当
• Internet Gatewayの有無を選択可
• 無し – 完全閉域網
• 有り – インターネットにも接続可
SORACOM VPGとは
SORACOM
Virtual Private Gateway
(VPG)
100.x.y.0/24 (*)
* 但し、x は 64から127の整数
Internet Gateway
(Optional)
Peering
Connections

22. AWS リージョン
https://aws.amazon.com/jp/about-aws/global-infrastructure/
Tokyo
Frankfurt

23. •リージョンを超えて VPC 同士をピアリングさせる
AWSの機能
•SORACOM Canal でも利用可能なため
東京/フランクフルトリージョン以外のリージョン
ともプライベートIPアドレスで疎通可能
(2018/3/14以前は、SORACOM Door によるVPN接
続が必要だった)
インターリージョンVPCピアリング

24. インターリージョン Canal 接続先

25. • AirのカスタムDNS機能でプライベート名前解決
• Beamでデバイス認証情報やタイムスタンプの付与
Airの各種オプションやBeamも併用可能
お客様のVPC
AWS Tokyo region
プライベートDNS
データ収集サーバ
+タイムスタンプ
+ IMSI
カスタムDNS
プロトコル変換

26. VPG利用の有無はGroupごとに設定可
VPGを設定しないGroup (default)
VPGを設定したGroup
SORACOM
Virtual Private Gateway
(VPG)
お客様のVPC
インターネットのみ通信可

27. •設定が反映されるのはセッション確立時
• 接続が維持されている間は旧設定が維持
• 接続中の端末に変更を反映させるには一旦切断
• 端末で: Airplane モード on/offなど
• APIで: Delete Session API
SORACOM Air VPG接続オプションの注意点

28. SORACOM Canal接続手順
1. VPGを作成
2. ピア接続を作成
3. VPC Peeringリクエストを送信
4. VPC Peeringリクエストを承諾
5. VPGをグループに紐付けし
SIMをグループに紐付ける
お客様
参考 https://dev.soracom.io/jp/start/canal/
SORACOM の操作
AWS の操作

29. • お客様のデバイスとクラウドを閉域網接続
• システムを外部公開する必要なし
• デバイスと外部ネットワークとの通信を完全に遮断可
• AWS の主要リージョン上のVPCであればすぐに接続可
• 接続のための物理的工事等は必要なし
• グローバルSIMもJPカバレッジSIMも同居可能
• Groupごとに接続先を切り替え可
SORACOM Canalの利点

30. SORACOM Canal to ムンバイリージョン
閉域網デモ

31. IoTバックエンドがAWS外に
ある場合はどうすればよいのか？

32. SORACOM DirectD
専用線接続サービス

33. SORACOM Direct
AWS
専用線
MNO設備
AWS外の
お客様システム専用線
お客様の任意のシステムと専用線による直接接続

34. • SORACOM Virtual Private Gateway (VPG)と
お客様のシステムをAWS Direct Connectで接続
SORACOM Directによる接続詳細
Virtual Private Gateway
(VPG)
Type-D
お客様の
IoTバックエンド
SORACOM Direct
AWS
Direct Connect
(専用線)

35. SORACOM Direct接続手順
1. 接続申し込み(Webフォーム)
2. Direct Connect接続先情報
（含 AWSアカウントID, VPC ID）
3. VIF作成・接続リクエスト
4. VIF接続受諾
5. SORACOM VPG 作成
6. VPGをグループに紐付けし
SIMをグループに紐付ける
お客様
SORACOM の操作
AWS の操作

36. VPG利用の有無はGroupごとに設定可
VPGを設定しないGroup (default)
VPGを設定したGroup
インターネットのみ通信可
Virtual Private Gateway
(VPG)
Type-D
お客様の
IoTバックエンド
AWS
Direct Connect

37. • 任意のバックエンドとお客様のデバイスを閉域網接続
• バックエンドを外部公開する必要なし
• デバイスと外部ネットワークとの通信を遮断可
• AWS Direct Connectを使用して接続可
• 豊富な接続オプションとキャリアパートナー
• 既存のDirect Connect接続があれば工事なしで利用可
• Groupごとに接続先を切り替え可
SORACOM Directの利点

38. 専用線ではなく
手軽なインターネットVPNで
閉域網接続出来ないか？

39. SORACOM DoorD
仮想専用線接続サービス

40. SORACOM Door
AWS
専用線
MNO設備
AWS外の
お客様システムInternet
お客様の任意のシステムと
インターネットVPNによる閉域網接続
VPN

41. • SORACOM Virtual Private Gateway (VPG)と
お客様のシステムをAWSのVPN Connectionで接続
SORACOM Doorによる接続詳細
Virtual Private Gateway
(VPG)
Type-D
お客様の
IoTバックエンド
SORACOM Door
AWS VPN
Connection
(インターネットVPN)

42. SORACOM Door接続手順
1. Webフォームから接続申し込み
(IPアドレス、BGP AS番号など)
2. VPG作成・VPN設定情報提供
3. VPNルータ設定
VPGをグループに紐付け
SIMをグループに紐付ける
お客様
SORACOM の操作

43. •使用可能なVPN機器は、AWSのVPN接続仕様に準
じる
https://aws.amazon.com/jp/vpc/faqs/#C9
• 一般的なルータであればほぼサポートされている
• 対応機種であれば、サンプルコンフィグファイル
の提供も可能
• LinuxやWindows等での接続も可能
対応機器

44. AWS以外のクラウドに
閉域網接続出来ないか？

45. •Microsoft Azure との接続
SORACOM Door ＋ クラウド 構成例(1)
SORACOM DoorへのAzureからの接続
https://dev.soracom.io/jp/docs/door_from_azure/

46. •Google Cloud Platform との接続
• ハイブリッド接続のVPN機能を利用
•クラウドルータのIPを決定 → Door 利用申請
→ 設定払い出し → GCP に設定投入の順で構成
• AWS側が IKEv2 非対応のため IKEv1 で構成する
必要がある点に注意
SORACOM Door ＋ クラウド 構成例(2)
Compute
Engine
VPN
Gateway
default
Cloud Network
App
Engine
Container
Engine
VPG
Type-D
Router
IPsec
Tunnel
IoT
Devices

47. SORACOM Door to GCP
閉域網デモ

48. Canal/Direct/Door は
どのように実現されているのか？

49. Virtual Private Gateway(VPG)

50. • 占有して使える仮想交換機
• 現在２種類のタイプが存在
• VPG Type-C : Canal 専用
• VPG Type-D : Direct/Door で使用
• 現状LPWAでは利用できない
Virtual Private Gateway(VPG)
VPG Type ピアリング接続 専用線/VPN接続
Type-C ○ ×
Type-D ○ ○

51. •AWS の VPC Peering 機能を利用して
デバイスからサーバまでプライベートIPで疎通可能
•インターネットゲートウェイはオプショナル
Device Subnet
Canal 利用時のネットワーク構成
SORACOM
Core Network
3G/LTE(GTP) InternetNAT
Devices
Customer VPC
Optional
VPG
Type-C
Customer VPC
EC2 instances EC2 instances
Inter-region
VPC peering
VPC peering
Tokyo / Frankfurt Other region

52. •AWS の Direct Connect 機能を利用
•デバイスから自社DCまでプライベートIPで通信
Device Subnet
Direct 利用時のネットワーク構成
SORACOM
Core Network
3G/LTE(GTP)
Devices
Optional
VPG
Type-D
Tokyo / Frankfurt
Direct Connect Data center
InternetNAT
IoT backend
servers

53. •AWS の VPN connection機能を利用
•デバイスから自社DCまでプライベートIPで通信
Device Subnet
Door 利用時のネットワーク構成
SORACOM
Core Network
3G/LTE(GTP)
Devices
Optional
VPG
Type-D
Tokyo / Frankfurt
Data center
Internet
NAT
IoT backend
servers
VPN
Connection
(IPsec)

54. •データセンタ事業者様や回線事業者様など向けの
特別な Door/Direct オプション
•多数のお客様で一つの専用線/VPN接続をシェアし
て利用する事が可能
•詳細についてはお問い合わせ下さい
マルチテナント型 VPG Type-D

55. Device Subnet
マルチテナント型 VPG Type-D
SORACOM
Core Network
3G/LTE(GTP)
Devices
VPG
Type-D
VPC
Direct Connect
or VPN
Data center
IoT backend
servers
SORACOM
Core Network
VPG
Type-C
SORACOM
Core Network
VPG
Type-C
IoT backend
servers
IoT backend
servers
Device Subnet
3G/LTE(GTP)
Devices
Device Subnet
3G/LTE(GTP)
Devices
VxLAN
VxLAN
VxLAN

56. SORACOM Airで繋いだデバイスに外
からアクセスするにはどうしたらいいで
すか？
リリース以来よく聞かれた質問

57. Device Subnet
Canal 利用時のネットワーク構成
SORACOM
Core Network
3G/LTE(GTP) InternetNAT
Devices
Customer VPC
Optional
VPG
Type-C
EC2 instances
VPC peering
アクセス可能
•デバイスからVPC内サーバへはアクセス可能
(その際のソースアドレスはVPGのアドレス)

58. Device Subnet
Canal 利用時のネットワーク構成
SORACOM
Core Network
3G/LTE(GTP) InternetNAT
Devices
Customer VPC
Optional
VPG
Type-C
EC2 instances
VPC peering
アクセス不可能
•VPC内サーバからデバイスへはアクセス不可能
(VPGでNATされているので)

59. デバイスへの直接通信を実現するには？

60. SORACOMのネットワークポリシー
外部ネットワークからデバイスへの
直接通信は遮断
お客様サーバ
悪意ある攻撃者

61. お客様のデバイスとサーバだけが
自由に通信できるネットワークを作れないか？
お客様
のシステム

62. SORACOM GateG
デバイスLAN接続

63. お客様のシステム
SORACOM Gate
Internet
1つのLANに繋がっているかのように自由に双方向通信
- サーバからデバイス
- デバイスからデバイス
デバイスとクラウドを１つの大きな仮想サブネットに

64. SORACOM Gate
デバイスとクラウドを１つの大きな仮想サブネットに
Internet
お客様のシステム
Gate Virtual Subnet

65. SORACOM Gate 構成図

66. Gate 構成手順
Raspberry Pi
USBドングル
SORACOM Air
VPG
PC
Internet
Canal Gateway Server
Customer VPCSORACOM VPC
カメラ
Tablet SORACOM Air
直接アクセス
Gate経由
VXLAN
sshリモートアクセス可能
Gate有効化
NAT有効化
経路設定
https://dev.soracom.io/jp/start/gate/
「SORACOM Gate を使用してデバイスにアクセスする」

67. VPG関連機能

68. VPGカスタムIPアドレスレンジ
VPGの新規作成時に
IPアドレスレンジを指定する

69. デバイスIPアドレス固定機能
特定のIMSIに対して
固定のIPアドレスを
割り当てることが可能

70. • VPGを作成しなくても、手軽に SIM 間の通信を試したいという場
合に使える 共有VPG
• SIMあたり1日5円で利用可能
• デバイスの緊急メンテナンス時などに一時的にGateを利用したい
場合に有効
• 第三者の SORACOM Air SIM からの通信もできてしまうので、必
ずデバイス側で認証する等セキュリティを確保する必要がある
Public Gate

71. •Beam、Funnel、Endorse、Harvestのエンドポイン
ト以外にアクセスできない特別なVPG
•SIMあたり1日5円で利用可能
•上記サービスを使うが、インターネットに接続する
必要がない場合には、セキュリティを高められる
Private Garden

72. VPG 固定グローバルIPアドレスオプション
デバイスから企業内システム等へのアクセス制御に利用可能

73. •バックエンドサーバを守りたい
•デバイスを守りたい
•意図しないデバイスからインターネットへの通信を
抑制したい
もしデバイスからインターネットへの疎通を抑制し
ながら、必要最低限の通信だけ行えるとしたら
それは閉域網を代替可能なのではないか
閉域網を使いたいモチベーション

74. 閉域網導入事例紹介

75. お客様事例: 東急不動産様
SORACOM Canalで
SIMからシステムまで
閉域網で接続
iPad端末での
ポイント付与情報を
閉域網でセキュアに送信

76. お客様事例: 国分グローサーズチェーン様
INSネットからSORACOM Air
のモバイル通信に切替え、
SORACOM Canalで本部シス
テムにセキュアに接続
店舗の受発注タブレットに
モバイル通信を活用
店舗のデジタル化を推進

77. お客様事例:株式会社 小森コーポレーション
SORACOM Canalで
SIMからシステムまで
閉域網で接続
商業印刷機の稼働監視
ソリューションを提供

78. お客様事例:株式会社 小森コーポレーション

79. お客様事例: サトーホールディングス様
SORACOM Air/Doorで
設置先のインフラに依
存しないセキュアな
サービスが提供可能に
リモート監視で機器停
止を予防し安全稼働、
見える化による効率化
も実現
SATO Online Services
予防保守で安定稼働 プリンタの見える化で効率化

80. お客様事例: IHI様
SORACOM Gateで
閉域網でセキュアに通信
ガスタービン発電プラ
ントのグローバル遠隔
運用支援

82. まとめ

84. •Beam、Funnel、Endorse、Harvestのエンドポイン
ト以外にアクセスできない特別なVPG
•SIMあたり1日5円で利用可能
•上記サービスを使うが、インターネットに接続する
必要がない場合には、セキュリティを高められる
Private Garden

85. クラウド ⇒ 多くのビジネス、Webサービス
SORACOM ⇒ 多くのIoTビジネス、システム
たくさんの
IoTプレイヤーが生まれますように
SORACOMの願い

86. 世界中のヒトとモノをつなげ
共鳴する社会へ

87. SORACOM User Group Japan 日本全国拡大中！
東京・大阪・東海・信州・宮城・山形・広島・四国・九州・
農業活用コミュニティ
ディベロッパー向けコミュニティ

88. 第一弾
18:15~SORACOM User Group Tokyo 開催
SORACOM クイズ+ LT 大会！
第二弾
19:30~懇親会@Hobgolins Akasaka
ナイトイベント！