SORACOM Conference "Discovery" A4 IoTネットワーク構成の勘所 株式会社ソラコム シニアエンジニア 松井 基勝

1. 2016 July 13rd
<A4> IoTネットワーク構成の勘所
SORACOM Canal/Direct/DoorNEW/GateNEW 解説
株式会社ソラコム シニアエンジニア 松井基勝

2. Platinum
Gold
Silver
Thanks to our sponsors

3. 本トラックのハッシュタグ
#scd2016a
@SORACOM_PR
https://www.facebook.com/soracom.jp/

4. • 名前：松井 基勝
• 所属：株式会社ソラコム シニアエンジニア
• 著書(共著)：
自己紹介
NEW

5. •SORACOM Air の基本
•Canal : プライベート接続
•Direct : 専用線接続
•Door NEW : 仮想専用線接続
•Gate NEW : デバイスLAN接続
•VPG カスタムIPレンジ/固定IPアドレス機能 NEW
•ユースケース別接続構成例
•まとめ
アジェンダ

6. 《 株式会社ソラコムのビジョン 》
世界中のヒトとモノをつなげ
共鳴する社会へ

7. モバイルとクラウドが融合した
IoT向け通信プラットフォーム
SORACOM

8. 2015年9月30日発表
1日10円〜、モノ向け通信サービス
SORACOM Air

9. インターネット
SORACOM Air
モバイル通信キャリア
API
Webコンソール
① SIMを購入して
モノに挿す
②Webから
コントロール
お客様
③APIで自動化

10. SORACOM Airはモノをクラウドに直接繋げる

11. SORACOM Air 基本ネットワーク構成
デバイス
+
3G/LTE
基地局 交換局
クラウド
インターネット
データセンター サーバ
ルータ ルータ インターネット
ゲートウェイ
専用線接続
MNO設備 クラウド
お客様設備

12. •デバイスにはデフォルトでは10.128.0.0/9 の範囲か
らプライベートIPアドレスが付与される
•SORACOMのゲートウェイは100.64.0.0/10 のネッ
トワークに存在する
•インターネットへと通信する際には
グローバルIPアドレスにNATされる
SORACOM Air 基本ネットワーク構成(2)
100.64.0.0/10
SORACOM
10.128.0.0/9
デバイスのIPアドレス
Internet
3G/LTE(GTP) NAT

13. 繋がったその先は？

14. SORACOMのサービスラインナップ
データ転送支援
プログラマブルデータ通信
プライベート接続
専用線接続
仮想専用線接続
認証サービス
クラウドリソースアダプタ
デバイスLAN接続
ネットワーク
関連サービス

15. Internet of Things (IoT)
インターネット クラウドThings
解析技術
可視化

16. インターネット クラウドThings
解析技術
可視化
セキュリティ?
インターネット
接続？
端末管理?
モノ向けの
クラウド？
IoTシステム構築時の課題
電力消費?

17. •通信内容が盗み見られてしまうの
では？
•デバイスに外部からアクセスされて
しまうのでは？
•デバイスの認証情報が漏れてし
まったら
よく聞かれるセキュリティ上の懸念

18. SORACOMを活用したIoTシステムの場合
専用線
Beamで暗号化＆
認証情報付加デバイスはSIMで認証
（サーバへの認証情報は
持たせない）
State-full Firewallが
デバイスへの直接通信
は遮断
AirでSORACOMと
安全な通信路SIMの耐タンパ性
デバイスの認証
情報を盗もう
間で通信を
盗み見よう
デバイスにリモート
アクセスしてやろう
IoT
バックエンド
The Internet

19. • IoTバックエンドのエンドポイントを公開するリスク
• デバイス側にマルウェア等が仕込まれることのリスク
残るセキュリティ上の課題
IoT
バックエンド
IoTバックエンドを
攻撃しよう
デバイスにマルウェ
アを仕込もう
情報漏えい
第3者への攻撃加担
サービス妨害
システム侵入
The Internet

20. The Internet に出ない
閉じたIoTシステムは作れないのか？
IoT
バックエンド

21. SORACOM CanalC
プライベート接続サービス

23. SORACOM Canal
AWS
お客様
システム
直結
専用線
NTTドコモ
の交換局
お客様のクラウド上のシステムとSORACOMの間で
プライベートピアリング

24. • SORACOM Virtual Private Gateway (VPG)と
お客様のVPCをPeering接続
SORACOM Canalによる接続詳細
SORACOM
Virtual Private Gateway
(VPG)
お客様のVPC
AWS Tokyo region

25. • SORACOM Airとお客様のバックエンドとを
仲介するゲートウェイ
• AWS VPC上に構築
• 接続先との重複可能性の低い
IPアドレスレンジを使用
• 100.64.0.0/10から割当
• Internet Gatewayの有無を選択可
• 無し – 完全閉域網
• 有り – インターネットにも接続可
SORACOM VPGとは
SORACOM
Virtual Private Gateway
(VPG)
100.x.y.0/24 (*)
* 但し、x は 64から127の整数
Internet Gateway
(Optional)
Peering
Connections

26. • AirのカスタムDNS機能でプライベート名前解決
• Beamでデバイス認証情報やタイムスタンプの付与
Airの各種オプションやBeamも併用可能
お客様のVPC
AWS Tokyo region
プライベートDNS
データ収集サーバ
+タイムスタンプ
+ IMSI
カスタムDNS
プロトコル変換

27. VPG利用の有無はGroupごとに設定可
VPGを設定しないGroup (default)
VPGを設定したGroup
SORACOM
Virtual Private Gateway
(VPG)
お客様のVPC
インターネットのみ通信可

28. •設定が反映されるのはセッション確立時
• 接続が維持されている間は旧設定が維持
•接続中の端末に変更を反映させるには一旦切断
• 端末で: Airplane モード on/offなど
• APIで: Delete Session API
SORACOM Air VPG接続オプションの注意点

29. SORACOM Canal接続手順
1. VPGを作成
2. ピア接続を作成
3. VPC Peeringリクエストを送信
4. VPC Peeringリクエストを承諾
5. VPGをグループに紐付けし
SIMをグループに紐付ける
お客様
参考 https://dev.soracom.io/jp/start/canal/
SORACOM の操作
AWS の操作

30. • お客様のデバイスとクラウドを閉域網接続
• システムを外部公開する必要なし
• デバイスと外部ネットワークとの通信を遮断可
• AWS Tokyoリージョン上のVPCであればすぐに接続可
• 接続のための物理的工事等は必要なし
• Groupごとに接続先を切り替え可
SORACOM Canalの利点

31. IoTバックエンドがAWS外に
ある場合はどうすればよいのか？

32. SORACOM DirectD
専用線接続サービス

34. SORACOM Direct
AWS
専用線
NTTドコモ
の交換局
AWS外の
お客様システム専用線
お客様の任意のシステムと専用線による直接接続

35. • SORACOM Virtual Private Gateway (VPG)と
お客様のシステムをAWS Direct Connectで接続
SORACOM Directによる接続詳細
AWS Tokyo region
SORACOM
Virtual Private Gateway
(VPG)
お客様の
IoTバックエンド
SORACOM Direct
AWS
Direct Connect
(専用線)

36. SORACOM Direct接続手順 (2016/7現在)
1. 接続申し込み(Webフォーム)
2. Direct Connect接続先情報
（含 AWSアカウントID, VPC ID）
3. VIF作成・接続リクエスト
4. VIF接続受諾
5. SORACOM VPG 作成
6. VPGをグループに紐付けし
SIMをグループに紐付ける
お客様
SORACOM の操作
AWS の操作

37. VPG利用の有無はGroupごとに設定可
VPGを設定しないGroup (default)
VPGを設定したGroup
インターネットのみ通信可
SORACOM
Virtual Private Gateway
(VPG)
お客様の
IoTバックエンド
AWS
Direct Connect
(Equinix TY2)

38. • 任意のバックエンドとお客様のデバイスを閉域網接続
• バックエンドを外部公開する必要なし
• デバイスと外部ネットワークとの通信を遮断可
• AWS Direct Connectを使用して接続可
• 豊富な接続オプションとキャリアパートナー
• 既存のDirect Connect接続があれば工事なしで利用可
• Groupごとに接続先を切り替え可
SORACOM Directの利点

39. 専用線ではなく
手軽なインターネットVPNで
閉域網接続出来ないか？

40. SORACOM DoorD
仮想専用線接続サービス

42. SORACOM Door
AWS
専用線
NTTドコモ
の交換局
AWS外の
お客様システムInternet
お客様の任意のシステムと
インターネットVPNによる閉域網接続
VPN

43. • SORACOM Virtual Private Gateway (VPG)と
お客様のシステムをAWSのVPN Connectionで接続
SORACOM Doorによる接続詳細
AWS Tokyo region
SORACOM
Virtual Private Gateway
(VPG)
お客様の
IoTバックエンド
SORACOM Door
AWS VPN
Connection
(インターネットVPN)

44. SORACOM Door接続手順 (2016/7現在)
1. Webフォームから接続申し込み
(IPアドレス、BGP AS番号など)
2. VPG作成・VPN設定情報提供
3. VPNルータ設定
VPGをグループに紐付け
SIMをグループに紐付ける
お客様
SORACOM の操作

45. •使用可能なVPN機器は、AWSのVPN接続仕様に準
じる
https://aws.amazon.com/jp/vpc/faqs/#C9
• 一般的なルータであればほぼサポートされている
• 対応機種であれば、サンプルコンフィグファイル
の提供も可能
• LinuxやWindows等での接続も可能なので、
別のAWSリージョンから接続させる事も可能
対応機器

46. Canal/Direct/Door は
どのように実現されているのか？

47. Virtual Private Gateway(VPG)

48. •占有して使える仮想交換機
•現在２種類のタイプが存在
• VPG Type-C : Canal 専用
• VPG Type-D : Direct/Door で使用
Virtual Private Gateway(VPG)
VPG Type ピアリング接続 専用線/VPN接続
Type-C ○ ×
Type-D ○ ○

49. •AWS の VPC Peering 機能を利用して
•デバイスからVPCまでプライベートIPで通信
Canal利用時のネットワーク構成
10.128.0.0/9
Device IP range
100.x.y.0/24
SORACOM VPC
3G/LTE(GTP)
Internet
NAT
172.31.0.0/16
Customer VPC
VPC Peering

50. •AWS の Direct Connect 機能を利用
•デバイスから自社DCまでプライベートIPで通信
Direct利用時のネットワーク構成
10.128.0.0/9
Device IP range
100.x.y.0/24
SORACOM VPC
Internet
NAT
192.168.0.0/24
Customer DC
専用線
3G/LTE(GTP)

51. The
•AWS の VPN Connection 機能を利用
•デバイスから自社DCまでプライベートIPで通信
Door利用時のネットワーク構成
10.128.0.0/9
Device IP range
100.x.y.0/24
SORACOM VPC
Internet
NAT
192.168.0.0/24
Customer DC
IPsec VPN tunnel
Internet
3G/LTE(GTP)

52. SORACOM Airで繋いだデバイスに外
からアクセスするにはどうしたらいいで
すか？
固定グローバルIPアドレスを付けても
らえませんか？
リリース以来よく聞かれた質問

53. •デバイスからVPC内サーバへはアクセス可能
デバイスからクラウドへのアクセス
10.128.0.0/9
Device IP range
100.64.0.0/16
SORACOM VPC
NAPT
Internet
(AWS経由)
NAT
172.31.0.0/16
Customer VPC
到達可能
ただし ソースIPは
100.64.x.x となる
VPC Peering

54. •VPC内サーバからデバイスへはアクセス不可能
クラウドからデバイスへのアクセス
10.128.0.0/9
Device IP range
100.64.0.0/16
SORACOM VPC
NAPT
Internet
(AWS経由)
NAT
172.31.0.0/16
Customer VPC
到達不可能
(NAPTされているため) VPC Peering

55. デバイスへの直接通信を実現するには？

56. SORACOMのネットワークポリシー
外部ネットワークからデバイスへの
直接通信は遮断
お客様サーバ
悪意ある攻撃者

57. お客様のデバイスとサーバだけが
自由に通信できるネットワークを作れないか？
お客様
のシステム

58. SORACOM GateG
デバイスLAN接続

59. 星の数ほどのヒトとモノを自由に繋いで
思い想いの星座を描いて欲しい

61. お客様のシステム
SORACOM Gate
Internet
1つのLANに繋がっているかのように自由に双方向通信
- サーバからデバイス
- デバイスからデバイス
デバイスとクラウドを１つの大きな仮想サブネットに

62. SORACOM Gate
デバイスとクラウドを１つの大きな仮想サブネットに
Internet
お客様のシステム
Gate Virtual Subnet

63. デモ

64. SORACOM Gate 構成図

65. Gate 構成手順
Raspberry Pi
USBドングル
SORACOM Air
VPG
PC
Internet
Canal Gateway Server
Customer VPCSORACOM VPC
カメラ
Tablet SORACOM Air
直接アクセス
Gate経由
VXLAN
sshリモートアクセス可能
Gate有効化
NAT有効化
経路設定
https://dev.soracom.io/jp/start/gate/
「SORACOM Gate を使用してデバイスにアクセスする」

66. デバイスのアドレスを
任意のIPアドレスレンジや
固定のIPアドレスに出来ないか？

67. 新発表
VPGカスタムIPアドレスレンジ
＆ デバイスIPアドレス固定機能

68. VPGカスタムIPアドレスレンジ
VPGの新規作成時に
IPアドレスレンジを指定する

69. デバイスIPアドレス固定機能
特定のIMSIに対して
固定のIPアドレスを
割り当てることが可能

70. ユースケース別接続構成例

71. サーバへの安全なリモート接続

72. VPNの代わりにCanalを使う
VPN
サーバ
従来の構成
アクセス先
サーバ
インターネット
LAPTOP
VPN接続
Canalを利用した構成
アクセス先
サーバ
Canal
LAPTOP
認証情報 SIMによる認証

73. 装置へのリモートアクセス

74. お客様事例: ケイズデザインラボ 様
SORACOM Gateを利用し切
削加工機とリモートにある
タブレット端末のSIM同士
をセキュアに通信
ものづくり試作のための切削加
工機でリモートアクセス・操作
機能を提供
切削加工機「3D-Mill K-650」

75. 装置の遠隔操作

76. お客様事例: フルタイムシステム 様
SORACOM AirとGateを活
用して設置場所のインフラ
に依存せずセキュアな通信
でロッカーを制御
宅配ボックスの遠隔監視、操
作による様々なサービスとサ
ポートを提供

77. SORACOMを使う事で低コストでセキュアな通信を実現
SORACOM
Gate
◎インターネットを通らず、SIMのグローバルIPオプションが不要に。

78. セキュアなネットワークカメラ利用

79. お客様事例: アロバ 様
APIを活用した回線速度管理
で通信コストを最適化
SORACOM Gate
でセキュアなリモートアクセ
スも可能に
ネットワークカメラのリモート
コントロール
顔/感情解析マーケティングソ
リューションも提供

80. Copyright © LECRE Inc. All rights reserved.Copyright © aroba Inc. All rights reserved.
VXLAN
80
2016/7/13 SORACOM × アロバビュー 連携ソリューションご紹介
SORACOM Air
VPG Cana
l
Gateway ArobaView
Server
カメラ死活監視
映像モニタリング
s1.minimum
s1.fast
料金クラス
切り替え
• 遠隔地に自分の農園を借用、カメラ＋モバイルルーター
＋SORACOM Air を設置。
• 普段は s1.minimum を使用して、カメラの死活監視のみ。
• スマホで農地の映像をモニタリングするときだけ、s1.fast を使用。
SORACOM Gate × アロバビュー連携事例
~ （株）ファインシード「こっそり農遠」~

81. まとめ

82. 《 本日の新発表のまとめ》
Doorで手軽に閉域網接続が可能に
Gateでデバイスへの直接アクセスが可能に

83. SORACOM ネットワークサービスまとめ
Gate
デバイスへの
直接アクセス
Canal
AWS VPCへの
閉域網接続
Direct
専用線接続
オンプレミス環境等
Door
仮想専用線接続
AWS以外のクラウド等

84. • SORACOM Canal
• VPGセットアップ料金 – 980円/回
• VPG利用料 – 50 円/時
• Peering利用料 – 10 円/時
• SORACOM Direct/Door
• VPGセットアップ料金 – 9,800円/回
• VPG利用料 – 300 円/時
• VIF一式利用料(Direct) – 10 円/時
• VPN一接続利用料(Door) – 10 円/時
• SORACOM Canal/Direct/Door 共通
• SORACOM Air VPG利用オプション 5円/SIM・日
• Gate オプション - 無料
• VPGカスタムIPアドレスレンジ機能 – 無料
料金

85. 《 株式会社ソラコムのビジョン 》
世界中のヒトとモノをつなげ
共鳴する社会へ