Arcserve Cyber Resilient Storage（以下、CRS と略記）は、Arcserve UDP復旧ポイント サーバのデータを守るオンプレミス向けのイミュータブル ストレージとして、多くの企業で導入が進んでいます。しかし、この堅牢なストレージを導入する際、意外と見落とされがちなのが「ネットワーク設計」です。
CRSはネットワークを通じて様々なコンポーネントと通信を行います。単一のネットワーク インターフェースですべての通信をまかなうことも可能ですが、エンタープライズの運用環境においては、役割ごとにネットワークを分離する構成もご検討ください。本記事では、CRSにおける「バックアップ データ転送用ネットワーク」と「管理・時刻同期用ネットワーク」を分離する構成案と、そのメリットについて解説します。
Arcserve CRSにおける主要な通信要件
ネットワークを分離する理由を理解するために、まずはCRSがどのような通信を行っているのか、主要なネットワーク要件を整理しておきましょう。
1. バックアップ データ転送通信（RPSとの通信）
CRSは、Arcserve UDPの復旧ポイントサーバ（RPS）のバックアップ データを保管します。この通信はLAN内で行われ、TCPの5000番から5099番ポートを使用します。バックアップやリストアの際には、大容量のデータ トラフィックがこのポートを通じてやり取りされます。
2. システム管理通信（SSH接続）
CRSは、専用コマンドのみを受け付けるセキュアなLinuxベースのOSで稼働します。日常的なステータス確認、設定変更、トラブル シューティングなどは、管理者端末からSSHクライアント（Tera Termなど）を用いてリモートで行えます。この通信には標準的なTCPの22番ポートが使用されます。
3. 時刻同期通信（NTP/NTS通信）
イミュータブル ストレージにおいて、「時刻」は最も重要な要素の一つです。指定した日時になるまでデータを削除させないという仕組みは、システム時刻の正確性に依存しているからです。そのためCRSでは、公開CA発行の証明書を備えたNTS（Network Time Security）対応のNTPサーバとの時刻同期が求められます。この通信には、UDP 123番およびTCP 4460番ポートが使用されます。
これらに加え、システムアップデート（TCP 443）やDNS名前解決（TCP/UDP 53）、テクニカル サポートへのログ送信など、インターネットへのアウトバウンド通信が存在します。
※ CRSからインターネットへの通信は、ステートフル インスペクションに対応したファイアウォール配下でもサポートされます。
推奨構成：データ ネットワークと管理ネットワークの分離
前述の通り、CRSには大きく分けて「バックアップ データを処理する通信」と、「システムの管理・維持に必要な通信」の2種類が存在します。これらを分離するのが、今回推奨するネットワーク構成です。
• インターフェース1 ＝ システム管理・時刻同期ネットワーク
- 用途：SSHによるリモート管理、NTSによる時刻同期、DNS、システム アップデートなど。
- 接続先：管理セグメント、およびインターネット（外部）へアクセス可能なセグメント。
• インターフェース2 ＝ バックアップ データ転送ネットワーク
- 用途：RPSからのバックアップ データ受信（TCP 5000～5099）。
- 接続先：バックアップ専用の高速な閉域LANセグメント。
このようにネットワークを分離することで、システム全体にどのような恩恵があるのでしょうか。
