［米国］
マイクロソフト、VPNトンネリングの新プロトコル「SSTP」を開発──ポート遮断の問題に対応

（2007年01月22日）

　米国マイクロソフトは現在、Windows Vistaおよび次期Windows Server（開発コード名：Longhorn Server）に実装予定のVPN（Virtual Private Network）トンネリング・プロトコルを開発している。同プロトコルにより、しばしば問題になるポートの遮断に干渉されることのないリモート・アクセスが可能になるという。

　このプロトコル仕様は「SSTP（Secure Socket Tunneling Protocol）」と呼ばれるもので、SHTTP（Secure-HTTP）を経由するVPNトンネルを生成する。マイクロソフトによると、SSTPのメリットは、PPTP（Point-to-Point Tunneling Protocol）もしくはL2TP（Layer 2 Tunneling Protocol）を利用したVPN接続が遮断されることで起こる問題を解消できる点にある。ただし、SSTPはリモート・アクセス専用のトンネリング・プロトコルであり、サイト間のVPNトンネルには対応していない。

　SSTPを採用した場合でも、エンドユーザーが行うVPN操作手順は従来と変わらない。VPNトンネルをベースとするSSTPは、マイクロソフトのVPNクライアントおよびサーバ・ソフトウェアのインタフェースに直接接続させることができる。

　SSTPはVistaの「Service Pack 1」およびLonghorn Serverからサポートされる予定だ。Vista SP1のリリース時期は確定していないが、Longhorn Serverのほうは今年第2四半期に出荷される見込みである。正式出荷に先立ち、2007年前半に提供されるLonghorn ServerのBeta 3でもSSTPが実装されるという。

　なお、マイクロソフトの関係者は、具体的な社名は明かさなかったものの、複数のパートナー企業と協力して、Vista以外のクライアント・デバイスにSSTPを追加する作業を進めていると話している。

　Longhorn ServerでのSSTPサポートは、マイクロソフトの「RRAS（Routing and Remote Access Server）」の一部となる予定だ。SSTPの場合、PPTPやIPSecの代わりにSSL（Secure Socket Layer）を用いるほか、すべてのSSTP通信はTCPポート443番を使用する。

　前述の関係者によると、SSTPではSSL 3.0およびHTTP 1.1と64ビット長の暗号化標準を組み合わせているが、マイクロソフトではSSTPを標準化しようとは考えていないという。「SSTPは単なるトンネリング・プロトコルであり、SSL VPNと直接比較できるものではない」と同氏は述べている。

　とはいえ、SSTPにより、SSLを経由したフルネットワークへのVPN接続が実現することは確かである。マイクロソフトのRRAS担当主任プログラム・マネジャー、サミール・ジャイン氏も、「SSTPを用いれば、より包括的なSSL VPNソリューションの土台になる標準的なSSLトンネルをRRASで生成することが可能になる。サーバにおいても、SSTPを利用して特定のIPおよびサブネットをブロックできる」と説明する。

　さらにマイクロソフトは、IPv6ネットワーク上でSSTPトンネルを使用できるよう、SSTPを完全なIPv6対応にする意向だという。また、PPPv6パケットについても、SSTPトンネルを介して送信できるようにしたいとしている。

　ジャイン氏によると、SSTPは特定のアプリケーションに依存せず、あらゆるアプリケーションもしくはプロトコルのトンネリングをサポートするという。マイクロソフトは現在、「Outlook」クライアントから「Exchange」への接続を試みるRPC（Remote Procedure Call）をルーティングするのに、SHTTPを介した接続方法を採用しているが、この技術はExchangeにしか対応していない。

　マイクロソフトは、まもなく登場するNAP（Network Access Protection）技術とSSTPを組み合わせる計画も温めている。NAPは、クライアントからのネットワーク接続を許可する前に、その安全性を確認する技術である。

　「SSTPはRRASに含まれる通信プロトコルであり、ネットワークにおけるNAPのポリシー実行点として機能する。1セットのポリシーでSSTP、PPTP、L2TPトンネルをカバーできる」（ジャイン氏）

　またSSTPは、クライアントからサーバへ単独のSHTTP経路を通って伝送され、ネットワークの使用効率向上に貢献し、スマートカードやRSA SecurIDトークンといった強力な認証技術もサポートする。リモート・アクセス・ポリシーや、「Connection Manager Administration Kit」を用いたプロファイル生成など、現行のRSA機能にも対応する見込みだ。

(ジョン・フォンタナ／Network World オンライン米国版)