Microsoft におけるワイヤレス ネットワーク インフラストラクチャの強化

1990 年代後半、Microsoft は "時間、場所を問わない接続性" という自社のビジョン声明に従って、ワイヤレス ローカル エリア ネットワーク (WLAN) テクノロジを早期採用しました。勤務中の特定の時点では Microsoft の従業員 75% 以上が WLAN を使用しています。最近のワイヤレス ローカル エリア テクノロジの進歩によって、パフォーマンスと機能が大きく向上しています。Microsoft は、現行の WLAN インフラストラクチャを更新することによって、従来のワイヤード (有線) ネットワーク インフラストラクチャのパフォーマンスおよび管理の特性を備えた WLAN インフラストラクチャを作成すると同時に、モバイル作業者やリサーチおよび開発コミュニティのニーズをより完全に近い状態で解決できます。

Microsoft は世界で初めて企業ワイヤレス ネットワークを導入した企業の 1 つですが、5 年間の使用を経て、ワイヤレス ネットワーキングの新たな需要および要求度が高くなった需要に対応するため、WLAN インフラストラクチャを更新しました。Microsoft サービス情報テクノロジ (IT) グループが実装したソリューションは、"すべてオフィスのワイヤレス化" というビジョンを実現するための基盤を構成します。この導入事例は、WLAN インフラストラクチャのアーキテクチャ、エンジニアリング、および実装に携わる最高情報責任者 (CIO)、技術に関する意思決定者、企業の IT プロフェッショナルを対象としています。

トピック

	状況
	ソリューション
	利点
	まとめ
	詳細情報

状況

Microsoft は、IEEE 802.11b 規格に準拠したワイヤレス テクノロジを早期に採用して、1999 年末に WLAN の初期展開を開始しました。このインフラストラクチャは、世界 61 か国の 281 か所の建物に広がる 153 万平方メートルの Microsoft のオフィス面積をサポートします。この先駆的なビジョンにより、従業員の生産性が向上する、業界内でワイヤレス ネットワーキングの領域における主要リーダーに数えられるなどの評価を得ることができました。

最近の WLAN テクノロジの進歩によって、Microsoft の IT が最初に展開した 802.11b 準拠の WLAN インフラストラクチャと比べ、セキュリティ、パフォーマンス、および機能が大きく向上しています。最新のワイヤレス テクノロジの機能強化の利点を生かすため、事前対策として Microsoft IT は WLAN インフラストラクチャの更新に関する評価と計画を行いました。

WLAN では、データの保護が最重要事項です。主要なポイントではワイヤレス トラフィックを暗号化して傍受を防ぐ必要があります。ワイヤレス ネットワークで最初に使用されていた暗号化方法である WEP (Wired Equivalent Privacy) は強度に欠ける暗号化方法のため、容易に破られます。

IEEE 802.11i に規定された新しいワイヤレス セキュリティ規格では、WLAN 上でデータを保護する機能が大幅に強化されています。WPA (Wi-Fi Protected Access) および AES (Advanced Encryption System) は、WEP と比較してはるかに細分的で動的であり、非常に強力な暗号化を実現します。これらの新機能は、傍受に対する保護だけではなく、侵入検出や他の WLAN の攻撃に対する機能も進歩しています。

現在、ほとんどすべてのコンピュータ製造元が 802.11a、802.11b、および 802.11g 互換のワイヤレス機能を標準機能として製品に組み込んでいます。802.11 規格における新しい物理レイヤの進歩は、新しい企業 WLAN インストールの選択肢になっています。例えば、初期の WLAN のアクセス ポイント （AP) の一部はプロセッサの速度が 30 MHz でしたが、新世代の AP にはプロセッサ速度 450 〜 500 MHz を実現するチップセットおよび内部 64 ビット バス構造が装備されています。このような進歩が、ネットワーク容量の拡大、WPA および AES のセキュリティ強化、管理オーバーヘッドの減少などの追加機能の基盤となります。

802.11g ではスループットが向上し、1 秒あたり 22 〜 54 メガビット (Mbps) が実現され、802.11ah では、54 Mbps 以上が確約されます。このため、Microsoft の従業員のほとんどが WLAN を唯一の接続先にできるほどの帯域幅が提供され、オフィスにイーサネット ネットワーク タップの配線を行う必要が削減されます。従業員のオフィスのワイヤード (有線) ネットワーク タップは、原則的に使用されるものではなく、例外的に使用されるものになります。スループットの向上だけではなく、将来はこの標準によってワイヤレス インフラストラクチャにおけるボイス オーバー IP （VoIP) の接続性や新製品の開発に利用できるカスタマイズ WLAN ネットワークなどの差別型サービスの基準が提供されます。これらの機能が実現されると、オフィスの完全ワイヤレス化の基盤が完成します。

Microsoft IT では、予定耐用年数に近づいた多数のアクセス ポイントのデバイス障害率の増加だけではなく、初期の WLAN のパフォーマンスの低下も大きな問題であると捉えていました。初期の WLAN においての損害をもたらす無認証アクセス ポイントの設定はセキュリティ上の大きな問題で、状況によっては無線周波数 (RF) スペクトルの妨害によりアクセス ポイント 1 つあたり 40% ものスループット低下の原因になっていました。ユーザー スループットの低下と、セキュリティの脆弱性の増大はいずれも Microsoft の生産性に直接的な悪影響を及ぼします。

新しいワイヤレス テクノロジでは、利用可能な無線周波数領域のスペクトルおよび感知機能の動的スキャンが実現されています。802.11h などの規格と一体化することにより、DCS (Dynamic Channel Selection)、TPC (Transmit Power Control)、および不正検出によって、共有スペクトル メディアをより効率的に使用できるようになります。これらの新技術を利用した製品では、高性能の管理機能と無線環境リソース診断が採用され、ネットワークの管理とセキュリティ保護がさらに効率化されています。

パフォーマンス向上の必要性以外に、初期の WLAN の機能の拡張も強く要望されていました。初期の WLAN インフラストラクチャでは、単一のネットワーク ID がブロードキャストされ、認証ユーザーのすべてがこれを使用して Microsoft 企業ネットワークに接続します。ゲストおよび隔離されたラボのネットワークでは、専用アクセス ポイントを使用した独立 WLAN インフラストラクチャが必要でした。新しいアクセス ポイントの中には、単一の物理的インフラストラクチャ上で複数の仮想ネットワークを実行し、適切なネットワークに限定してアクセスが許可されるようにユーザーをグループ化できるものもあります。これによって、WLAN インフラストラクチャを多重的に構築して、種類の異なるユーザーや、同じロケーション内の複数のサービスに分けてネットワークを提供する必要がなくなります。

Microsoft IT では、ユニットごとに個別の管理が必要な初期の WLAN 内で 5,000 以上のアクセス ポイントをサポートしています。新しい WLAN インフラストラクチャでは、アクセス ポイントの複数グループを 1 つのユニットにまとめる機能があるため、必要な管理要素が減少します。企業 WLAN の場合、この機能によって管理オーバーヘッドを大幅に削減できます。非常に高密度の展開の場合、アクセス ポイントの集約によって、管理要素を 100 分 の 1 にまで削減できます。

初期 WLAN インフラストラクチャの詳細

Microsoft が最初に導入した WLAN アーキテクチャは 802.11b および 802.1x の規格に準拠し、Microsoft のレッドモンド キャンパスおよび世界各地のリモート ロケーションにセキュリティが保護されたモバイルおよび実稼動のワイヤレス機能を初めて導入するものでした。Microsoft の WLAN 展開の最終目標は、Microsoft の建物内のワイヤード (有線) デスクトップ デバイスと同程度のシームレスなネットワークの接続性、可用性、パフォーマンスをモビリティにも提供することでした。従来の WLAN アーキテクチャは、モバイルやポータブルのワイヤレス ネットワーク環境のネットワークおよびエンド システムの基本要件をサポートしていました。

802.11b および 802.1x に準拠した WLAN アーキテクチャの展開によって、Microsoft Windows オペレーティング システムの開発グループおよび Microsoft リサーチ グループは、企業規模の WLAN 上で NDIS (Network driver interface specification) ドライバおよびモバイル アプリケーションの実験を初めて実行できる機会を得ました。

この WLAN システム アーキテクチャは、Microsoft 企業のワイヤード (有線) ネットワーク インフラストラクチャに付属するネットワークで、建物ルーター内の分散レイヤでワイヤード (有線) の Microsoft 企業ネットワーク インフラストラクチャに接続する完全分離オーバーレイで構成されていました。専用 WLAN スイッチは、建物のワイヤード (有線) クロゼットの全体に配置され、クロゼット スイッチ 1 つに対して最大で 24 個までのアクセス ポイントが接続されました。

WLAN には、ワイヤード (有線) の Microsoft 企業ネットワークとは異なる IP アドレス領域が割り当てられました。面積および使用人数を基準にして各建物に固有の IP サブネット マスクが指定されました。プライベート クラス B のアドレス領域が使用され、WLAN アクセス ポイントと Microsoft 企業ネットワークのトラフィックとの分離、および将来における WLAN サービスによるワイヤード (有線) の Microsoft 企業ネットワーク サービスの中断の回避が図られました。これによって、運用の担当者は、IP アドレスでワイヤレス ユーザーを迅速に特定し、WLAN 固有のセキュリティ対策を容易に割り当てることができます。

Microsoft WLAN の全体が SSID (Single Service Set Identifier) によってサポートされ、社内全体に統一的に WLAN サービスが提供されることによって、ワイヤレス ユーザーもワイヤード (有線) ユーザーと同様に企業ネットワーク リソースにアクセスできます。社内全体に同じ SSID を設定することによって、管理者は、ドメイン レベルでグループ ポリシー オブジェクト (GPO) を適用してユーザーおよびデバイスのワイヤレス設定を構成したり、制限できます。

初期の WLAN に組み込まれたネットワーク サービスの機構には、デバイスの Active Directory 自動登録とユーザー認証によってアクセス ポイントに証明書を発行する公開キー基盤 (PKI)、および Microsoft WLAN トラフィックとコンテンツのすべてが可能な限り信頼可能でセキュリティが保護された方法で配信されることを保証するデータ プライバシー (WEP 、802.1x のキー配布、WEP セッションのキーの回転を使用) などがありました。

初期に手動で計画され実行された 2.4 GHz アクセス ポイントの無線周波数セルのデザインは、18 m x 18 m の 324 平方メートルのセル間隔で5 GHz の受信可能範囲パターンを基準にしました。建物内のアクセス ポイントごとに 25 ユーザーのユーザー密度をサポートできるように 2.4 GHz の無線周波数セル サイズを縮小するため、2.4 GHz アクセス ポイントの電力は 30 ミリワット (mW) に削減し、送信速度は 5.5 および 11 Mbps に制限されました。これによって、無線周波数受信可能範囲を多重的に提供するセル オーバーラップ パターンを備える一方で、建物内のアクセス ポイント全体でエンド ユーザーの無線接続の配信と負荷分散が向上できました。

ページのトップへ

ソリューション

初期の WLAN は、単一の物理的インフラストラクチャで重要なサービス 1 つを提供しましたが、新しい WLAN は、単一の物理的インフラストラクチャで複数の仮想サービスを提供するようにデザインされ、さらにセキュリティ保護の強化、パフォーマンス、機能、管理性が向上しています。

新しい WLAN インフラストラクチャの目標

Microsoft IT は、即座に手に入れられる利点とオフィスの建物全体を完全にワイヤレス化するビジョンに対応する将来の機能の基盤を得ることなどを WLAN の目標としています。新しい WLAN ソリューションは、Mictosoft のロケーションのほとんどでデスクトップに完全ワイヤレス接続を実現できるサービスの分類、インフラストラクチャの総合的なコストの削減、WLAN パフォーマンスの包括的な向上によってこれらの目標に対処します。

次の表は、新しい WLAN の目標のそれぞれとそれに応じた主要な利点の概略を優先度順に示しています。

表 1: 新しい WLAN の目標

最も重要なこととして、新しい WLAN には 802.11i 規格の WPA および AES 機能が装備されているため、既存の WEP ベースの暗号化におけるセキュリティの脆弱性が解決できることが挙げられます。セキュリティ関連の目標には、これ以外にもすべてのインフラストラクチャ デバイス間の相互認証、セキュリティが保護された WLAN プロビジョニング、分散システムにおけるネットワークのワイヤレス側、ワイヤード (有線) 側かを問わないアクセス ポイント間通信などがあります。一例として、アクセス ポイントとリモート認証ダイヤルイン ユーザー サービス (RADIUS) サーバー間でインターネット プロトコル セキュリティ (IPSec) 接続を確立する機能を使用した、RADIUS 共有シークレットに対する辞書攻撃からの防御が挙げられます。

セキュリティの強化が解決されると、次の目標は全オフィスをワイヤレス化する基盤の構築に関連する事項になります。少なくとも、"ワイヤレス専用" オフィス ネットワーク インフラストラクチャをインストールするには、次の 3 つの重要機能領域をサポートできる WLAN が必要です。

ユーザーが複数のブロードキャスト ネットワーク SSID を利用できるようにすると、単一の物理的な WLAN インフラストラクチャ上に複数の仮想ネットワークを実行する機能が実現され、複数のネットワークのそれぞれにインフラストラクチャを展開する場合と比較して資本と運用コストを削減できます。QoS によって、1 つの物理的 WLAN インフラストラクチャ上での VoIP 接続が実現され、サービスで使用される帯域幅が保証されます。

図 1 は、複数の仮想ネットワークを使用する際の一般的なシナリオです。

図 1: 複数の仮想化ネットワーク (ゲストのインターネットアクセス、データの企業ネットワーク、および音声サービスの企業ネットワーク)

このシナリオでは、サービスおよびセキュリティ要件がそれぞれ異なる複数のデバイスが、その要件および認証レベルに従って適切なネットワークへのアクセスを取得します。たとえば、ゲスト ユーザーや認証資格情報のないデバイスは、インターネット アクセスのみに限定されたネットワークに分離されます。適切なアクセス権限によって認証された音声およびデータのユーザーとデバイスは、適切な帯域幅が予約された企業のメイン ネットワークへのアクセスが許可されます。このモデルは、初期検疫ネットワークを組み込んで、認証やウイルス検出の無検出完了などの基準に従ってその先のネットワーク アクセスを承認するかどうかを決定するように拡張できます。

この新しい WLAN では、SSID のそれぞれに応じた固有のセキュリティ コンテキストを使用することもできます。たとえば、EAP-TLS を企業 SSID に、PEAP/MSChap-v2 をゲスト SSID に、さらに WEP を音声 SSID にというように、それぞれ異なるセキュリティ コンテキストを設定することもできます。

WLAN 上で VoIP サービスを実行するには、QoS による帯域幅割り当ての保証だけではなく、802.11i、802.11k、および最終的には 802.11r の高速ローミングと事前認証キャッシュ機能が必要です。これらの機能では、ユーザーが新しいアクセス ポイントの受信可能範囲に移動したときに 50 ミリ秒未満のアクセス ポイント間のハンドオフに対処します。同様に、WLAN で VoIP を実行するワイヤレス オフィスの展開のすべてにおいて、将来は Enhanced 911 (E911) 緊急通報サービスのサポートも要件になります。通報サービスは、周縁部およびクライアントのセキュリティの強化および資産追跡の強化も規定します。

新しいサービス以外に、負荷分散 (802.11v で規定の予定)、メディアのアクセスおよびスループットを向上する無線周波数リソースの配信の向上など、エンド ユーザー側における品質の強化も目標としています。共有メディア上の全クライアントの飽和度を減少するため、WLAN を介した IP マルチキャスト機能も要望されています。

新しい WLAN インフラストラクチャと展開の重要事項

新しい WLAN インフラストラクチャでも、初期の WLAN の 2.4 および 5 GHz の両方のアクセス ポイントと同じ物理セル デザインが使用されます。これ以外の点では、両インフラストラクチャで共通することはほとんどありません。セル デザインは同じですが、電力と周波数の設定は動的に行われるようになりました。新しいアクセス ポイントには、無線周波数妨害などの環境の変化を検出し、自己調整によって、周辺領域における信号強度を最適化する機能があります。

新しい WLAN インフラストラクチャは、現実に既存の AP と並列的に展開でき、特定のロケーションにおいてシームレスな切り替え期間を設けることができます。いつ旧 WLAN から新しい WLAN への切り替えられたかは、エンド ユーザーに気付かれずに行うことができます。ただし、パフォーマンスの向上や新機能が使用可能になることで、エンド ユーザーが気付くことは考えられます。並列展開によって、特定のロケーションで新しいインフラストラクチャの試行を行うことができます。旧 ＷＬＡＮ のアクセス ポイントは、新しい WLAN への切り替えが透過的に行われた後に撤収されます。

初期のアクセス ポイントで発生していたインストール上の問題の多くは、新しいアクセス ポイントによって解決されます。デバイスのほとんどすべてが天井裏に配置され、プレナム規格が適用されるため、耐火性の格納装置に入れられ各デバイスに電力が供給されます。初期のアクセス ポイントの導入時には、Microsoft IT がプレナム規格ハウジングを特別注文し、専用の低電圧電力配信ソリューションを考案する必要がありましたが、新しいアクセス ポイントは、完全にプレナム規格が適用され、独自の低電圧電力ソリューションが設定されているため、インストール コストが大幅に削減されます。

新しい WLAN ではモビリティも強化されています。新しい WLAN では、シームレスな IP モビリティ、および建物間のローミングがサポートされ、単一の建物内では、エンド ユーザーのモビリティに対する制限がなくなりました。レッドモンド キャンパスでは、一部の建物間の屋外 WLAN 迂回中継によって、データと VoIP サービス利用の連続性に備えました。

Windows 証明書サービスおよびインターネット認証サービス (IAS) を使用する既存の PKI および RADIUS サーバー インフラストラクチャは、新しい WLAN でも必須の 802.1x 証明書ベースの認証のサポートを継続します。ただし、Microsoft IT は、新しいアクセス ポイントの高速ローミング機能の一部である便宜的キー キャッシュおよび事前認証によって、サーバーの認証負荷が大幅に減少すると予測しています。

運用面では、新しい WLAN によって Microsoft IT は、特定のサイトのアクセス ポイントのグループを単一のユニットとして管理できるようになりました。特定のアクセス ポイント グループの構成の設定とポリシーはすべて 1 つのマスタ スイッチに格納されます。これによって、Microsoft の WLAN の管理要素数が、数千から数十にまで減少しました。マスタ スイッチは、ワイヤード (有線) ネットワークの重複スイッチと同様に多重的に展開して、単一障害点の発生を回避することもできます。

新しい WLAN の将来の拡張

新しい WLAN の目標のいくつかは、現時点で達成されていますが、近い将来のインフラストラクチャの拡張を待って利用可能になる機能もあります。たとえば、AES などの 802.11i のセキュリティ機能の進化は、クライアント デバイスが AES をサポートするハードウェアが組み込まれた新しいデバイスに置き換えられないと、導入できないものもあります。同様に、VoIP サービスを利用するクライアント デバイスの多数は、まだ存在せず、新しい WLAN を介する音声、ビデオ、およびデータの集中化は、今後 2 年を経て達成できると予測されています。

これ以外の将来の拡張には、特定のラボの要件に応じたサービスのカスタマイズ、Microsoft Network Protection Initiative (NAP) に組み込まれる仮想検疫ネットワークの実装などがあります。

一般に、WLAN の仮想化機能によって、非常に柔軟に将来のサービスをインフラストラクチャに展開できるようになります。

ページのトップへ

利点

新しい WLAN によってもたらされる最も明白なビジネス上の利点は、ネットワークを使用する Microsoft の従業員、製造元、パートナーが感得できるモビリティと柔軟性の強化です。従業員は、デスクやオフィスから解放され、生産性の増強が実現されます。従業員の生産性の増強の例としては、次のものが挙げられます。

Windows 製品グループおよび Microsoft IT が実現したその他の利点には次のものが挙げられます。

これらの領域すべてを合わせると、従業員の生産性の向上によって WLAN アップグレードの費用に対する投資収益率 (ROI) が緩やかに拡大します。2003 年 10 月に Microsoft IT が行ったアンケートによると、従業員は初期の WLAN の使用によって 1 日あたり 1.5 〜 2 時間の生産性の向上を認めていることがわかりました。

新しい WLAN は、従来認識されていた利点を向上して増幅するだけではなく、まったく新たに次のような拡張とコスト軽減も可能にします。

ページのトップへ

まとめ

Microsoft の WLAN の初期インストールは、従業員のモビリティおよびセキュリティが保護されたワイヤレス ネットワーキングをサポートする製品の開発に多大な革新をもたらしましたが、元来、テクノロジの更新が必要になるため 3 年しか存続されないと計画されていました。Microsoft の従業員の 75% 以上が勤務中に WLAN を使用し、平均で 1.5 〜 2.0 時間の生産性の拡大を認識しています。

今後の 2 年間で、ローカル エリアおよび広域のワイヤレス テクノロジの主眼は音声、ビデオおよびデータの集中化を目指すとされます。エンド ユーザー サービスが集中的なデータ ネットワークで実行されるというコンセプトは、将来のワイヤレスの接続性のレベルを大きく向上させます。このような機能に対する基盤の整備には、帯域幅の拡大、WLAN 上で差別化されたサービスを処理する機能、およびセキュリティを保護しながらそれぞれを分離する機能が要求されます。

Microsoft では、オフィスの建物すべてをワイヤレス化するというビジョンを究極の目標としています。従来の 802.11b および 802.1x ベースのアーキテクチャは、モバイルを使用する従業員のこれまでの基本的な要件をさまざまに解決してきましたが、主として帯域幅の制約によって、WLAN では進歩的な機能への対応ができませんでした。このようなワイヤレス ネットワーキングに対する現在および将来の要求に応じるため、Microsoft は、最新のコンポーネントと機能を組み込む WLAN インフラストラクチャの完全な更新に着手しました。

ページのトップへ

詳細情報

Microsoft 製品またはサービスの詳細については、Microsoft Sales Information Center、(800) 426-9400 (アメリカ国内)、Microsoft Canada Information Centre、(800) 563-9048 (カナダ国内) にお問い合わせください。米国 50 州とカナダ以外のお客様は、最寄りの Microsoft オフィスまでご連絡ください。World Wide Web 上の情報については、次のアドレスにアクセスしてください。

http://www.microsoft.com/japan/

http://www.microsoft.com/itshowcase (英語)

http://www.microsoft.com/japan/technet/itsolutions/msit/default.mspx

このドキュメントに関するご質問、ご意見、またはご提案をお寄せいただく場合、または Microsoft IT ショウケースに関する詳細については、showcase@microsoft.com まで電子メールをお送りください (英語のみ)。

ページのトップへ