データセンターの一般的なセキュリティ要件は、さまざまなアプリケーションまたはテナントのトラフィック間のネットワークパスの分離を維持することです。あるアプリケーションまたはテナントのトラフィックは、他のアプリケーションまたはテナントのトラフィックから分離する必要があります。たとえば、ある金融サービス会社は、保険部門のアプリケーションのトラフィックと金融サービスアプリケーションのトラフィックを分離したいと思うでしょう。これまでは、ファイアウォール、ロードバランサー、IdPなどのネットワークサービスデバイスを物理的に分離し、スイッチングファブリックでネットワークを監視して論理的に分離することで簡単に実現できました。

データセンターのアーキテクチャがマルチテナントの仮想化データセンターへと進化するにつれて、データセンターの集約レイヤーにおけるネットワークサービスが統合されつつあります。この開発により、ネットワーク・パス・アイソレーションはネットワーク・サービス・デバイスにとって重要なコンポーネントとなり、ADCはL4からL7のレベルでトラフィックを分離できる必要性が高まっています。さらに、特定のテナントのすべてのトラフィックは、サービスレイヤに到達する前にファイアウォールを通過する必要があります。

ネットワークパスを分離する要件に対処するために、Citrix ADCアプライアンスはネットワークドメインを識別し、ドメイン間のトラフィックを制御します。Citrix ADCソリューションには、リッスンポリシーとシャドウ仮想サーバーの2つの主要コンポーネントがあります。

隔離される各ネットワークパスには仮想サーバーが割り当てられ、その仮想サーバーは指定されたネットワークドメインからのトラフィックのみを受信するようにリッスンポリシーが定義されます。

トラフィックを分離するために、リッスンポリシーを複数のクライアントパラメータまたはそれらの組み合わせに基づいて設定し、ポリシーに優先順位を割り当てることができます。次の表は、トラフィックを識別するためのリッスンポリシーで使用できるパラメータを示しています。

表1. リッスンポリシーの定義に使用されるクライアントパラメータ

NetScalerアプライアンスでは、仮想サーバーがドメインごとに構成され、仮想サーバーがそのドメインのトラフィックのみを受信するように指定するリッスンポリシーが設定されます。また、各ドメインには、任意のドメイン宛てのトラフィックを受信するシャドウ負荷分散仮想サーバーが構成されています。各シャドウロードバランシング仮想サーバーにはワイルドカード (*) IPアドレスとポートがあり、そのサービスタイプはANYに設定されています。

各ドメインでは、ドメインのファイアウォールがサービスとしてシャドウロードバランシング仮想サーバーにバインドされ、シャドウロードバランシング仮想サーバーはすべてのトラフィックをファイアウォール経由で転送します。ローカルトラフィックは宛先に転送され、別のドメイン宛てのトラフィックはそのドメインのファイアウォールに転送されます。シャドウロードバランシング仮想サーバーは MAC モードリダイレクト用に設定されています。