SASE導入時の設計ポイント：社外の通信とプロキシ廃止¶

最終確認: 2026-09-29
SASEの全体像に戻る

30秒で復習¶

答え： できる。会社のPCに入れたSASEエージェントが、どのWi-Fiにつないでも通信を自動で近くのPoPへ転送するため、場所に関係なく同じルールで検査・記録できる。これまで社外では「無防備な直接接続」だった部分をカバーできるのが、SASEの大きなメリット。

従来：PC → カフェのWi-Fi → インターネット（会社のチェックなし・ログなし）
SASE：PC → カフェのWi-Fi → SASEのPoP（SWG等で検査） → インターネット

項目	内容
転送範囲	「全通信」「Webだけ」「社内アプリ（ZTNA）だけ」など、どこまでSASEに通すかを選べる
例外（バイパス）	Teamsの音声・映像など遅延に弱い通信は、SASEを通さず直接接続させることがある
キャプティブポータル	ホテルや空港のWi-Fiのログイン画面が、エージェントのせいで表示されないことがある。多くの製品に検出して一時的に通す機能がある
対象端末	対象は基本的にエージェントを入れた会社管理の端末。私物端末やスマホは別の方式（ブラウザ経由のアクセス、MDMでの構成など）を検討する
エージェント停止時	ユーザーがエージェントを止められないようにし、止まった場合に通信させるかどうか（fail-close / fail-open）を決める

答え： SWGは「クラウド版のプロキシ」なので、最終的には廃止できるケースが多い。ただし、いきなり全部やめるのはNG。プロキシに依存しているものを棚卸ししてから段階的に移行する。

チェック項目	なぜ困るか	対策の例
サーバー・業務システム	サーバーはエージェントを入れにくく、プロキシ経由でWindows Updateや外部APIへ通信していることがある	拠点トンネル経由にする、SASEのサーバー向け機能を使う
送信元IPの固定	取引先やSaaSが「自社プロキシのIPからだけ許可」としている	SASEの専用送信元IP（Dedicated IP）を用意し、相手先の許可リストを変更してもらう
エージェントを入れられない機器	複合機・IoT・工場の機器など	拠点トンネルでカバーする
PACファイル・プロキシの直書き	古いアプリがプロキシのホスト名とポートを決め打ちしている	設定を洗い出して修正する
SSL/TLS検査の証明書	検査用ルート証明書を配らないと証明書エラーが大量に出る	Intune等で事前配布し、検査対象外（金融・医療サイト等）も設計する
ログの保管	監査・法令対応で「プロキシログを◯年保管」というルールがある	SASEのログ保管期間を確認し、足りなければSIEMへ転送する
HTTP/HTTPS以外の通信	FTPや独自プロトコルなど	FWaaSで扱えるか確認する

※ 外部から社内システムを公開するリバースプロキシは別物。ZTNAやアプリプロキシへの置き換えを別に検討する。

エージェント・SASE障害時の動作：通信させない（fail-close）か、直接通信させる（fail-open）かを、安全性と業務継続のバランスで決めておく。
コストは全体で比較：プロキシ単体ではなく、VPN装置・拠点ファイアウォール・保守費・回線もまとめて減らせるかで判断する。