BIG-IPとは？意味をわかりやすく簡単に解説

BIG-IPについてサーバーの負荷分散(ロードバランシング)を行う目的で導入を検討したくても、具体的な機能や仕組みが分からず困った経験はないでしょうか。BIG-IPは、負荷分散だけではなくセキュリティ対策やアクセス制御まで担うアプリケーションデリバリコントローラ(ADC)として、多くの企業のネットワーク基盤を支えています。

適切な知識を身につけることで、自社のシステムに適した最適なネットワークインフラの実現が可能です。この記事では、BIG-IPのネットワーク製品としての概要と、主要な機能モジュールや負荷分散の仕組みについて、詳しく解説します。

加えて、システムを冗長化する方法や導入するメリットも取り上げるため、全体像を体系的に把握できます。ITインフラやネットワークの管理を担当している方は、ぜひ参考にしてください。

BIG-IPは、ネットワーク上のトラフィックを制御するための極めて信頼性の高いプラットフォームです。このセクションでは、基本的な定義から専用の動作システムにまで焦点を当てて、製品の概要を整理します。

ロードバランサーからADCへ進化する

BIG-IPは、元々はサーバーへのアクセスを効率的に分散するロードバランサー(負荷分散装置)として広く普及しました。しかし、現在ではネットワーク全体の最適化や安全性を高めるアプリケーションデリバリコントローラ(ADC)へと大きな進化を遂げています。

従来の機能に加えて、セキュリティ対策やアクセス制御を1台の機器に集約できるようになりました。この統合的な仕組みが、多くの企業のインフラとして選ばれ続けている理由です。

ロードバランサーとアプリケーションデリバリコントローラの違いを比較した表は、以下の通りです。

表の通り、単なる負荷分散にとどまらない多様な役割をカバーできる点が、BIG-IPが幅広い企業で選ばれ続けている強みと言えます。

専用OSのTMOSで稼働する

BIG-IPの最大の特徴は、汎用的なオペレーティングシステムではなく、専用のオペレーティングシステムであるTMOSを採用している点です。これにより、ネットワーク処理に特化した極めて高いパフォーマンスを発揮します。

TMOSは、一般的なカーネルを介さずにハードウェアを直接制御する特殊な構造を持っています。無駄のない効率的なメモリアクセスを行うことによって、大量のトラフィックを遅延なく処理する動作を実現しました。

TMOSがもたらす主な技術的メリットは、以下の通りです。

• 独自のフルプロキシ・アーキテクチャによる細やかな制御
• ハードウェアとソフトウェアの密接な連携による高速処理
• モジュール追加による柔軟なライセンス拡張

これらの特殊な設計思想が、大量のトラフィックが集中する高負荷なエンタープライズ環境においても、安定した稼働を強力に支えています。

BIG-IPは、ライセンスを追加することによって様々な機能拡張を行えるモジュール設計を採用しています。代表的な4つのモジュールを組み合わせることによって、システムの用途に合わせた柔軟なネットワーク構築が可能です。

まずは、BIG-IPで提供される主要なモジュールの一覧とそれぞれの役割を整理します。全体の構成を把握した上で、個別のモジュールについて、詳しく見ていきましょう。

主要な4つのモジュールの概要を比較した表は、以下の通りです。

各モジュールは個別に導入できるほか、組み合わせての連携動作にも対応してきました。なお、表中のGTMは旧称で、現行の正式な製品名はBIG-IP DNSです。

WAFは機能カテゴリの呼称であり、実際にはAdvanced WAFなどの製品として提供されるため、利用できる名称や機能はライセンスや導入する製品世代によって異なります。

負荷分散を制御するLTM

LTM(Local Traffic Manager)は、同一データセンター内のサーバー群に対してトラフィックを分配する中核のモジュールです。BIG-IPの基本機能であり、最も多くのシステムで稼働しています。

細やかなルール設定によって、特定のサーバーへ処理を集中させない高度なトラフィック制御を行います。これにより、急激なアクセス増加が発生した際にもサーバーダウンを防ぐ設計が可能です。

LTMが備える主な機能は、以下の通りです。

• 複数のアルゴリズムによるインテリジェントな負荷分散
• サーバーの稼働状態を監視するヘルスチェック機能
• 同一ユーザーからの接続を維持するセッションパーシステンス

これらの制御を適切に組み合わせることによって、負荷変動時にもシステムの安定したサービス稼働を実現できます。

広域DNSを処理するGTM

GTM(Global Traffic Manager、現行の製品名はBIG-IP DNS)は、地理的に離れた複数のデータセンター間でトラフィックを最適化するDNSモジュールです。接続先のサーバーは、設定したロードバランシング方式やサーバーの稼働状態、地理情報などの条件をもとに選択されます。

これによって、災害や障害によるサービス中断を回避する設計が容易です。オンプレミスとクラウドを併用するマルチクラウド環境において、拠点の異常を検知した際には稼働中のサーバーへ切り替えを行います。

GTMが提供する主なメリットは、以下の通りです。

• 地震などの大規模災害に備えるディザスタリカバリの実現
• 地理的に近い拠点を優先する設定によるレスポンスの高速化
• 複数拠点へのアクセスを分散することによる通信帯域の節約

サービスの継続性と快適な通信環境を、拠点間の物理的な距離に関わらず両立させるために欠かせない機能と言えます。

セキュリティを保護するWAF

WAF(Web Application Firewall)モジュールは、Webアプリケーションに対する悪意のある攻撃を遮断する役割を担います。従来のネットワークファイアウォールでは防げない、SQLインジェクションやクロスサイトスクリプティングなどの攻撃を検知する機能です。

BIG-IPではこの機能がAdvanced WAFなどのライセンス製品として提供されており、利用できる防御機能や対象製品はライセンス内容によって異なります。

システムの脆弱性を狙った脅威から、内部のデータベースを保護する仕組みです。セキュリティシグネチャを定期的に更新することによって、既知の攻撃パターンを一時的に遮断できますが、ベンダーが提供する修正パッチの適用や脆弱性管理、監視と組み合わせて運用する必要があります。

WAFモジュールが防御する主な攻撃タイプは、以下の通りです。

• データベースの不正操作を狙うSQLインジェクション
• Webページに悪意のあるスクリプトを埋め込み、利用者のブラウザ上で実行させるクロスサイトスクリプティング
• サーバーの処理能力を意図的に麻痺させる不正リクエスト

機密情報を扱うECサイトや会員制サービスにおいて、不正アクセスやデータ漏えいを防ぐ特に有効な対策となります。

アクセス制御を提供するAPM

APM(Access Policy Manager)は、ユーザーの認証や認可、デバイスのアクセス制限を一元管理するモジュールです。社内システムやクラウドサービスへのアクセスを1つの窓口に集約し、安全な接続環境を提供します。

これによって、複数のパスワードを使い分ける手間を省くシングルサインオン(SSO)の導入が可能です。接続する端末から取得できる情報をもとにアクセス・ポリシーを設定すれば、古いOSの端末からのアクセスを制限する運用も実現できます。

APMで利用できる主な認証方式を以下にまとめました。

• ユーザーIDとパスワードによる基本的なフォーム認証
• デバイス証明書を用いた強固なクライアント認証
• 外部の認証サーバーと連携する認証サービス

多様な働き方が広がる現代のビジネス環境において、社外からのアクセスも含めた柔軟かつ安全なアクセス制御を実現します。

BIG-IPの最も基本的な役割は、クライアントからのリクエストを適切に複数のサーバーへ配分することです。

ここでは、BIG-IPが負荷分散を実現するために利用している3つの主要な仕組みについて、順番に解説します。

負荷分散を支える中核機能の一覧は、以下の通りです。

これら3つの仕組みが緊密に連携し合うことによって、サーバー1台に負荷が偏らない安定した負荷分散処理を継続的に実現しています。

リクエストを振り分けるアルゴリズム

BIG-IPは、サーバーへのトラフィックを効率的に分散するための多様な計算手法(アルゴリズム)を備えています。

システムの特性やサーバーの処理能力に合わせて、複数のアルゴリズムから最適な振り分け方式を選択することが可能です。

代表的な振り分けアルゴリズムは、以下の通りです。

• 順番に均等へリクエストを割り当てるラウンドロビン
• 接続数が最も少ないサーバーを優先する最小コネクション
• サーバーの処理性能に応じて重み付けを行うレシオ

最適なアルゴリズムは、接続の継続時間やサーバーの処理能力、アプリケーションのセッション管理方式、パーシステンス設定などによって異なるため、自社のワークロードに合わせて検証しながら選定する必要があります。

セッションを維持するパーシステンス

Webアプリケーションの中には、ログイン状態やカート情報を維持するために、同一のサーバーへ接続し続ける必要があるシステムが存在します。

その際に必要となる機能が、接続先を特定のサーバーに固定するセッションパーシステンス（セッション維持）です。

BIG-IPがセッションを固定するために用いる主な方式を以下にまとめました。

• クライアントのIPアドレスを識別するソースIPアドレス方式
• F5独自のCookie情報をブラウザに保持させるCookie方式
• SSL/TLS接続の識別子を利用するSSLセッションID方式

ソースIPアドレス方式は、NATやプロキシ配下で複数の利用者が同一の送信元IPアドレスとして観測される環境では、利用者ごとの識別が難しくなる場合があります。Cookie方式であれば、そうした環境でも接続先サーバーを識別しやすくなりますが、Cookieを保存できないクライアントやプライバシー上の理由でCookieを利用しないアプリケーション設計では採用できません。

SSLセッションID方式は、TLS 1.3環境では従来のセッションIDによる再開が廃止されPSKベースのセッションチケットに置き換わっているため、採用時にはTLSの設定やアプリケーションのセッション設計、NAT・プロキシ環境を踏まえて選定・検証する必要があります。

サーバーの状態を監視するヘルスチェック

負荷分散を行っている最中には、特定のサーバーでシステムダウンが発生してしまうことも想定されるケースです。

BIG-IPは、サーバーの稼働状態をリアルタイムで監視するためのヘルスチェック（モニター）機能を搭載しています。

異常を検知した際には、該当するサーバーを自動的に負荷分散の対象から除外することによって、ユーザーへの影響を未然に防ぐ仕様です。

代表的なヘルスチェックの監視方法は、以下の通りです。

• ポートの応答を確認するシンプルなTCPモニター
• 特定のWebページを要求して応答を検証するHTTPモニター
• スクリプトを用いて複雑な動作を検証する外部モニター

監視が失敗した際には、処理の割り当てをいったん停止し、復旧を確認した後に自動で配信を再開する仕組みとなっています。

BIG-IPを導入してシステムの可用性を高めるためには、2台の機器を組み合わせた冗長化構成(Device Service Clustering、DSC)の構築が効果的です。片方の機器に障害が発生した際、もう片方の待機機器へ処理を引き継ぐネットワーク経由のFailOverを中心に構成を整備します。

冗長化を構成する接続方式の分類と特徴を比較した表は、以下の通りです。

Device Service Clusteringの構成では、ネットワーク経由のFailOverを基本としつつ、対応するプラットフォームであればSerial FailOverを補助的な経路として併用する設計が実務で推奨されます。対応可否は、導入する機種やTMOSのバージョンごとに公式ドキュメントで確認してください。

シリアルケーブルでFailOverする

シリアルケーブルでFailOverする方式は、2台のBIG-IPを専用の物理ケーブルで直接接続して稼働状態を監視し合う方式です。対応するプラットフォームや機種、TMOSのバージョンによって、利用可否が異なるため、導入前に公式ドキュメントで対応状況を確認する必要があります。

この方式では、ネットワークの遅延やパケット詰まりといった外部要因に左右されない、安定した稼働検知が可能です。

物理的な信号を用いた生存確認は、双方が同時にアクティブ状態(アクティブ/アクティブ状態)になるリスクを抑える手段の一つですが、確実な回避にはDevice Service Clusteringの設定やトラフィックグループ、複数の通信経路を組み合わせた構成の検証が欠かせません。

シリアルケーブル方式における主な強みと注意点は、以下の通りです。

• 専用の物理回線を使用するため、パケットロスによる誤検知を回避できる点
• ハードウェアの距離制限があるため、同一ラック内での設置が前提となる点
• 万が一のケーブル断線に備えて、他の監視経路を併用する必要がある点

物理的な接続による検知は有効な手段の一つですが、設置レイアウトの制限を事前に把握しておく必要があります。そのため、単体での運用ではなくネットワーク経由の監視と組み合わせることが推奨される設計手法です。

ネットワーク経由でFailOverする

ネットワーク経由でFailOverする方式は、LANケーブルを通じてお互いにハートビート信号を送受信する監視方法です。この方法を採用することによって、筐体同士が離れた場所に設置されている環境であっても冗長構成を組めます。

BIG-IPに搭載されているMGMTポートや通信トラフィックが流れる通常のLANポートを監視経路として指定します。

ネットワーク経由の冗長化における主なメリットは、以下の通りです。

• 物理的な距離制約を受けずに、異なるラック間やフロア間で冗長化できる点
• 複数のポート（MGMTポートとLANポート）をハートビート経路に設定できる点
• ケーブルの追加投資を抑えて、既存のスイッチ経由で監視網を構築できる点

ただし、LANの帯域が逼迫した際には、相手からの信号が途絶えて双方が同時に稼働状態になる危険性が存在します。トラブルを防ぐためには、複数の通信経路を冗長化経路として定義する設定の導入が前提となります。

BIG-IPを導入することによって、自社のシステム規模やインフラ環境に応じた柔軟な展開方法を選択可能です。物理ハードウェアと仮想化アプライアンス（Virtual Edition）の2種類の形態が用意されています。

物理アプライアンスと仮想アプライアンスの展開形態を比較した表は、以下の通りです。

自社の予算や構築までの期間、要求されるスループット性能に合わせて最適な形態を選択することが推奨されます。

物理ハードウェアで展開する

物理ハードウェアによる展開は、専用に設計された専用アプライアンスを自社データセンターなどのラックに直接設置して運用します。汎用的なサーバーでは対応が困難な膨大な通信パケットであっても、処理遅延を最小限に抑えられる点が大きな特徴です。

機種によっては、SSL暗号化通信の復号処理などを高速化する専用のアクセラレーションチップを搭載しており、対応モデルではCPUに過度な負荷をかけることなく安定したトラフィック制御動作を実現できます。搭載するハードウェア構成や得られる性能は機種ごとに異なるため、導入前に個別のデータシートとライセンス条件を確認する必要があります。

物理ハードウェアを選択する主なメリットは、以下の通りです。

• ネットワークスイッチ等との物理的な連携が容易である点
• 他の仮想環境やゲストOSの負荷による影響を受けにくい点
• 対応機種ではハードウェアレベルでの暗号化処理によりセキュリティを高められる点

大容量のデータ通信が日常的に発生するエンタープライズシステムにおいて、物理筐体による展開が強力な選択肢となります。

Virtual Editionで展開する

Virtual Edition（VE）は、VMwareなどのハイパーバイザー（仮想化基盤）や主要なパブリッククラウド環境の上でソフトウェアとしてBIG-IPを動作させる展開形態です。物理的な機器を購入してデータセンターへ運ぶ手順が不要なため、導入にかかる初期時間を劇的に短縮できる点が魅力と言えます。

また、対応するバージョンや基盤であれば、トラフィック量の増減に応じて仮想CPUやメモリなどの割り当てリソースを変更する運用も可能です。実際に利用できる機能や自動化の範囲は、クラウド別の公式互換性情報や利用しているTMOSのバージョンによって異なるため、導入前に確認しておく必要があります。

Virtual Editionを採用する主なメリットを以下にまとめました。

• ハードウェア調達の待ち時間が発生せず即座に構築を開始できる点
• 開発環境や検証環境向けに、対応バージョンであれば低コストで幅広い機能を導入できる点
• 対応するクラウド・構成であれば、パブリッククラウドが提供するオートスケーリング機能と連携できる点

オンプレミスからクラウドへの段階的な移行や柔軟性が求められるモダンなWebシステムにおいて、有力な選択肢となる展開手法です。

BIG-IPの導入や運用に関して、よく寄せられる質問をQ&A形式で紹介します。構築時や脆弱性対応の検討において、役立つ内容です。

BIG-IPを構築する際の注意点はありますか？

冗長化構成を組む際は、アクティブ/アクティブ状態が発生しないように監視経路を複数確保することが推奨されます。また、対応機種でシリアルケーブルによるFailOverを選択する場合は、専用ケーブルの規格上、筐体同士の設置距離に制限がある点に注意が必要です。

ネットワーク経由のFailOverであれば離れた拠点間でも構成できますが、その場合は到達性や遅延、冗長経路を事前に確認しておく必要があります。

BIG-IPの脆弱性への対策はどのように行いますか？

開発元から提供される最新のセキュリティシグネチャやパッチを定期的に適用する運用を整備します。脆弱性管理アセットを適切に把握し、迅速にパッチ適用を実施することが最も効果的な手段です。