とことこロゴス
メニュー

イントラネット

読み：いんとらねっと　／　英語表記：Intranet

TCP/IPやWebなどインターネットと同じ技術で構築し、組織内部の利用者だけが使う私的なネットワークである。外部との接続点ではファイアウォールなどで通信を制限し、部外者が利用できないようにする。

イマシルちゃんの解説

会社では、社内の掲示板や申請の画面、ファイル共有のように社員だけが使うシステムがたくさんあるんだ。
昔は、こうしたシステムごとに別々の専用ソフトを用意することが多かったの。
そこで社内でもインターネットと同じ通信の仕組みを使い、Webブラウザから社内の情報を見られるようにしたんだ。
このように社員向けに作ったネットワークの形態をイントラネットというよ。
外の世界と同じ技術を使えるのに、使える人は社内に限られるのがうれしいところなんだ。

より深い解説

定義と位置付け

イントラネット（intranet）は、特定の通信規格の名前ではなく、ネットワークの利用形態を表す言葉である。「intra-」は「内部の」を意味し、インターネット（internet）と同じ技術を組織の中で使うことを示す。RFC 4949をもとにしたNISTの用語集では、組織が自らの内部目的のために使い、通常は私的で部外者に閉じたネットワークとされている。

ここで重要なのは、使う技術ではなく「誰が使えるか」で区別している点である。プロトコルはインターネットと同じTCP/IP、HTTP、DNS、SMTPなどであり、汎用の機器やソフトウェアをそのまま使える。業務システムをWebアプリケーションとして作れば、端末側にはWebブラウザがあればよい。

構成要素

イントラネットは、一つの機器ではなく複数の要素の組合せで成り立つ。

要素役割代表的な技術
社内LAN事業所内の端末とサーバを結ぶイーサネット、無線LAN、VLAN
拠点間の接続本社と支社、データセンターを結ぶIP-VPN、広域イーサネット、インターネットVPN
アドレスと名前解決社内の機器を識別し、名前で呼び出すプライベートIPアドレス、社内DNS
社内向けサービス情報共有や業務処理を提供する社内ポータル、グループウェア、業務Webシステム
認証基盤利用者を確認し、利用できる範囲を決めるディレクトリサービス、シングルサインオン
外部との境界インターネットとの通信を制御するファイアウォール、プロキシサーバ、DMZ

社内の機器には、インターネット上で経路制御されない専用の範囲のアドレスを割り当てることが多い。RFC 1918は、この用途に次の3つの範囲を確保している。

範囲アドレス数の目安
10.0.0.0/8約1,677万
172.16.0.0/12約105万
192.168.0.0/16約6.5万

これらのアドレスのままではインターネットと直接通信できない。社内の端末がWebサイトを閲覧するときは、境界でアドレスとポート番号を変換するNAPTを使うか、代わりに接続するプロキシサーバを経由する。

インターネット・エクストラネットとの比較

三つの言葉は技術ではなく、利用者の範囲と管理のしかたで区別する。

観点インターネットイントラネットエクストラネット
利用者不特定多数自組織の構成員自組織と特定の取引先
管理主体多数の組織が分散して運用自組織自組織と参加組織の取決め
主な用途公開情報の閲覧、一般向けサービス社内の情報共有、業務システム受発注、在庫・納期の共有
基本の技術TCP/IPTCP/IPTCP/IP

イントラネットの一部を、取引先などの決められた外部の組織にも開放したものがエクストラネットである。開放する範囲を、社内専用の資源と同じ区画に置かないことが設計の基本になる。

社外から使う場合

自宅や出張先から社内のシステムを使うときは、インターネット上の通信を暗号化してイントラネットにつなぐリモートアクセスVPNを使うことが多い。認証された端末には社内のアドレスが割り当てられ、社内にいるときと同じようにサーバへ接続できる。

このとき、社内のサーバ名をどのDNSサーバで解決するかに注意する。同じドメイン名でも、社内からの問合せには社内のアドレスを、外部からの問合せには公開用のアドレスを返すように、DNSを内部向けと外部向けに分けて運用することがある。VPN接続中の端末が外部向けのDNSに問い合わせると、社内のサーバ名を解決できない。

境界で守る考え方の限界

イントラネットは、境界のファイアウォールの内側を信頼し、外側を信頼しないという境界防御の考え方と結び付いてきた。しかし、内部の端末がマルウェアに感染すると、内側から社内のサーバへ自由に接続できる構成では被害が広がる。クラウドサービスの利用や在宅勤務が増え、守るべき資源と利用者が境界の外にも存在するようになった。

この状況に対し、ネットワーク上の位置だけで信頼せず、資源へのアクセスごとに利用者と端末を確認する考え方がゼロトラストである。NIST SP 800-207は、資産や利用者アカウントに暗黙の信頼を与えないことを前提にしている。これはイントラネットが不要になるという意味ではない。社内のネットワークでも、部署やサーバの役割ごとに区画を分け、区画間の通信を制限することが求められる。

設計・運用での注意点

論点注意すること
アドレス設計拠点間や合併先、VPN接続元の自宅ネットワークとアドレスが重なると、経路を正しく決められない
名前解決社内DNSと外部DNSの使い分け、VPN接続時の参照先を決める
内部の区画化VLANや内部のファイアウォールで、部署・サーバ群ごとに通信を制限する
外部への通信プロキシやファイアウォールでWeb閲覧やメール送信の経路を限定し、ログを残す
公開サーバの配置外部に公開するサーバは社内LANではなくDMZに置く

アドレスの重なりは特に見落としやすい。自宅のルータが192.168.1.0/24を使い、社内のサーバも同じ範囲にあると、VPN接続中の端末はその宛先を自宅側と判断することがある。社内では利用者の家庭で使われにくい範囲を選ぶ、といった配慮が必要になる。

午後での問われ方

参考資料

この用語が出てくる記事

↑