WireGuardは安全な通信路。ZTXGateがゼロトラストを追加。
WireGuardは強力な暗号化通信を実現します。しかし安全なトンネルを確立するだけでは、誰がどのリソースにアクセスできるべきかは判断できません。ZTXGateはWireGuardの上にID・デバイス・ポリシーの制御を追加します。
WireGuardが提供するもの
WireGuardは暗号鍵に基づくピア間の認証と暗号化IPトンネルを提供します。軽量で効率的な通信経路を構成できます。
WireGuard単独では把握できないもの
暗号化トンネル自体はユーザーのロール、デバイスポスチャー、アプリ単位の許可、承認の有効期限などを理解しません。これらは上位のアクセス制御が担う必要があります。
ZTXGateはデバイスIDとポリシーを結び付ける
デバイスを個別に登録し、ユーザーIDに関連付けます。管理対象端末が接続しても、到達できるリソースはポリシーで決まります。
トンネルが到達できる範囲をポリシーで決定
アプリやサーバーなどの保護対象リソースを定義し、必要なユーザーとデバイスにだけ許可します。ネットワーク参加を全リソースへの権限とみなしません。
デバイスポスチャーが追加するセキュリティ情報
対応MDM・EDRから得る準拠状況やリスク情報をポリシー入力として利用できます。外部サービスとの接続要件を考慮してください。
接続後にも権限は変わる
ロール変更、期限終了、端末の信頼性低下などを受け、実行中のアクセスを継続評価して失効できます。
期限付き・承認付きアクセス
機密システムには申請・承認と有効期限を適用できます。永久的なネットワーク権限を与える必要はありません。
IDライフサイクルも重要
OIDC認証とSCIMによるユーザー同期を利用し、組織のID変更をポリシーへ反映できます。
安全な通信に監査の文脈を追加
誰がどのデバイスからどのリソースにアクセスしたか、認証やポリシー判断がどう適用されたかを記録できます。
クライアントレスアクセスにはWireGuardクライアント不要
Webアプリの場合は、ブラウザーとZTXGateのHTTP/HTTPSプロキシを通じたアクセス経路も利用できます。非WebプロトコルにはWireGuardベースのアクセスが適しています。
| アクセス経路 | 適した用途 |
|---|---|
| WireGuardベースの管理対象アクセス | ネットワークプロトコルのアクセスが必要な端末・リソース |
| クライアントレスHTTP/HTTPS | ブラウザーからのプライベートWebアプリ利用 |
WireGuardを手動設定するだけでは不十分な理由
暗号鍵とルーティングの設定を手作業で維持しても、SCIM、承認、期限、ポスチャー、継続的失効、監査を統一したアクセス制御にはなりません。
WireGuardそのものはZTNAか
WireGuardは暗号化通信を担うトランスポートです。ZTNAにはID、デバイス、リソース単位の認可と継続的な適用が必要です。
要点
WireGuardは安全なトンネル、ZTXGateはそのトンネルで許可されるアクセスを決める仕組みです。