OCI Network FirewallとPalo Alto VM-Seriesの使い分け：既存Palo Alto利用環境からOCI移行する際の確認ポイント

Posted at 2026-06-04

はじめに

Oracle Cloud Infrastructure（以下、OCI）でネットワークセキュリティを設計する際、選択肢のひとつに OCI Network Firewall があります。

OCI Network Firewallは、Palo Alto Networksの技術をベースにしたOCIのマネージド型ネットワーク・ファイアウォールサービスです。

一方で、既存環境でPalo Alto Networks製品を利用しているお客様の場合、OCI移行時に以下のような検討が必要になります。

OCI Network Firewallで要件を満たせるのか

それとも

Palo Alto VM-SeriesをOCI上にデプロイすべきか

本記事では、OCI Network Firewallの概要を整理したうえで、既存環境でPalo Alto製品を利用しているお客様に対して、OCI移行時に確認すべき要件と、OCI Network Firewall / Palo Alto VM-Seriesの判断基準をまとめます。

1. OCI Network Firewallとは

OCI Network Firewall は、OCI上で利用できるマネージド型の次世代ファイアウォールサービスです。

OCIのVCN内にFirewallリソースを作成し、ルート表を使って通信をNetwork Firewallへ誘導することで、通信を検査・許可・拒否します。

通信元
  ↓
Route Table
  ↓
OCI Network Firewall
  ↓
通信先

OCI Network Firewallでは、主に以下のような通信を検査対象にできます。

インターネットとVCN間の通信
オンプレミスとVCN間の通信
VCN内のサブネット間通信
VCN間通信

Oracle公式ドキュメントでは、OCI Network FirewallはVCN向けの侵入検知・防御を備えたファイアウォールを作成するサービスであり、north-south通信およびeast-west通信の可視化に利用できると説明されています。

2. Palo Alto VM-Seriesとは

Palo Alto VM-Series は、Palo Alto Networksの仮想アプライアンス型ファイアウォールです。

OCI MarketplaceなどからVM-Seriesをデプロイし、OCI上のComputeインスタンスとしてPalo Altoのファイアウォールを構成します。

OCI Compute
  └─ Palo Alto VM-Series
       ├─ Management Interface
       ├─ Trust Interface
       └─ Untrust Interface

既存環境でPalo Altoの物理アプライアンスや仮想アプライアンスを利用している場合、既存の運用やポリシー管理を継続しやすい選択肢になります。

たとえば、以下のようなケースです。

既存でPalo Alto製品を標準としている
Panoramaでポリシーを一元管理している
既存のセキュリティポリシーや運用手順をOCIでも継続したい
PAN-OSの詳細機能を利用したい
ファイアウォール管理を既存セキュリティチームに集約したい

Palo Alto公式ドキュメントでは、VM-Series on OCIによりOCI上のワークロード保護、セグメンテーション、脅威防御、アプリケーション可視化が可能と説明されています。

3. まず押さえるべき違い

OCI Network FirewallとPalo Alto VM-Seriesは、どちらもOCI上の通信制御・検査に利用できます。

ただし、サービスの性質が異なります。

観点	OCI Network Firewall	Palo Alto VM-Series
提供形態	OCIマネージドサービス	Marketplaceからデプロイする仮想アプライアンス
ベース技術	Palo Alto Networksの技術を利用	Palo Alto Networks VM-Series
運用主体	OCIサービスとして管理	ユーザー側でVM-Seriesを管理
OS / PAN-OS管理	利用者は意識しにくい	利用者側で管理が必要
HA構成	サービス側で高可用性を提供	VM-Series側でHA構成を設計
ポリシー管理	OCI Network Firewall Policyで管理	PAN-OS / Panoramaで管理
既存Palo Alto運用との親和性	要件次第	高い
導入のしやすさ	比較的シンプル	設計・構築・運用項目が多い
細かいPalo Alto機能要件	事前確認が必要	既存Palo Alto運用に寄せやすい

判断の大きな軸は、以下です。

マネージドサービスとしてシンプルに使いたい
  → OCI Network Firewall

既存Palo Alto運用・Panorama管理・詳細なPAN-OS要件を重視したい
  → Palo Alto VM-Series

4. OCI Network Firewallでできること

OCI Network Firewallでは、主に以下のような機能を利用できます。

機能	内容
ステートフル通信制御	送信元IP、宛先IP、ポート、プロトコルに基づく許可・拒否
URL / FQDNフィルタリング	FQDNやURLリストによる通信制御
IDPS	侵入検知・防御による不正通信の検出・遮断
SSLインスペクション	TLS暗号化通信の復号・検査
VCN内通信の検査	サブネット間通信をFirewall経由にできる
VCN間通信の検査	VCN間通信をFirewall経由にできる
オンプレミス接続の検査	DRG経由通信をFirewallに誘導できる
NATルール	SNATなどのNAT制御に利用可能

OCI Network Firewallは、OCIのルート表と組み合わせて利用します。

たとえば、オンプレミスからVCNへの通信を検査したい場合は、DRGから入ってきた通信をNetwork Firewallへ向けるようにルートを設計します。

オンプレミス
  ↓
DRG
  ↓
OCI Network Firewall
  ↓
Private Subnet

5. Palo Alto VM-Seriesでできること

Palo Alto VM-Seriesは、Palo Altoの仮想ファイアウォールをOCI上で動かす方式です。

OCI上のComputeインスタンスとしてデプロイし、複数のVNICを使って管理用・Trust用・Untrust用などのインタフェースを構成します。

Palo Alto公式ドキュメントでは、OCI上でVM-Seriesをデプロイする場合、管理インタフェースと2つのデータインタフェースのために、少なくとも3つのVNICが必要と説明されています。

VM-Series
  ├─ Management VNIC
  ├─ Untrust VNIC
  └─ Trust VNIC

VM-Seriesが向いているのは、既存Palo Alto環境との継続性を重視する場合です。

たとえば、以下のような要件です。

PanoramaでOCI上のFirewallも管理したい
既存のPAN-OSポリシー運用を踏襲したい
既存Palo Altoの運用チームがそのまま管理したい
Palo Altoの詳細な機能・ライセンス要件がある
既存環境と同じ監査・ログ運用を求められる
お客様のセキュリティ標準がPalo Alto製品で統一されている

6. 構成面での比較

観点	OCI Network Firewall	Palo Alto VM-Series
構成の考え方	OCIのFirewallリソースを作成し、ルートで誘導	VM-SeriesをComputeとしてデプロイし、VNICとルートで構成
HA設計	マネージドサービスとして高可用性を利用	Active/Passive HAなどを設計・構築
スケール設計	サービス仕様に従う	シェイプ、ライセンス、台数、LB構成などを設計
ネットワーク設計	Firewall用サブネットとルート表設計が中心	管理/Trust/Untrustサブネット、VNIC、ルート表設計が必要
運用負荷	比較的低い	高め
既存Palo Alto構成の踏襲	限定的	しやすい

OCI Network Firewallは、OCIネイティブなマネージドサービスとして利用できるため、構成は比較的シンプルです。

一方で、VM-Seriesは柔軟性が高い分、アプライアンスとしての設計・構築・運用を考える必要があります。

7. セキュリティ機能面での比較

観点	OCI Network Firewall	Palo Alto VM-Series
L3/L4制御	対応	対応
ステートフル制御	対応	対応
URL / FQDN制御	対応	対応
IDPS	対応	対応
SSL復号・検査	対応	対応
既存PAN-OS機能の完全踏襲	要確認	しやすい
Panorama連携	要件確認が必要	適している
既存ルール移行	そのまま移行できるとは限らない	既存運用に寄せやすい
詳細なセキュリティプロファイル	要件確認が必要	Palo Alto標準運用に寄せやすい

ここで重要なのは、OCI Network FirewallもPalo Alto Networksの技術を利用したマネージド型NGFWである一方、既存Palo Altoの設定や運用をそのまま移植できるサービスではない という点です。

既存環境のPalo Altoで利用している機能がある場合は、以下を確認します。

その機能がOCI Network Firewallで利用できるか
同等の制御をOCI Network Firewall Policyで表現できるか
既存のログ・監査・運用方式を維持できるか

同等要件を満たせない場合は、VM-Seriesを選択する理由になります。

8. 非機能要件で比較すべきポイント

Firewall選定では、機能要件だけでなく非機能要件が非常に重要です。

観点	確認ポイント
可用性	障害時にどの程度自動復旧できるか
性能	必要スループット、セッション数、復号時性能
運用性	誰が、どの画面で、どの手順で運用するか
監視	メトリック、ログ、アラート、既存監視連携
変更管理	ルール変更の承認・反映方法
ログ保管	どこに、どの期間、どの形式で保管するか
ライセンス	サブスクリプション、BYOL、Marketplace費用
障害対応	障害時の責任分界、問い合わせ先、切り分け方法
DR	別リージョン構成、ポリシー同期、復旧手順
運用標準	既存セキュリティ運用標準に合うか

特に既存Palo Altoユーザーの場合、以下が重要です。

既存のPalo Alto運用標準をOCIでも継続する必要があるか
Panorama管理が必須か
既存ルールセットをどこまで流用したいか
既存SOCや監視基盤との連携が必須か

9. 性能面での確認ポイント

OCI Network Firewallでは、Oracle公式ドキュメント上、スループットとして 4Gbps が提供されると説明されています。

この数値が要件に合うかを確認します。

確認すべき性能要件

項目	確認内容
通常時スループット	平常時に必要な通信量
ピーク時スループット	バッチ、バックアップ、月末処理などの最大通信量
SSL復号時性能	TLS復号・検査を行う場合の性能
同時セッション数	大量接続があるか
新規接続数	短時間に大量接続が発生するか
east-west通信量	VCN内・VCN間通信をどの程度検査するか
north-south通信量	インターネット・オンプレミス接続をどの程度検査するか

要件がOCI Network Firewallの仕様に収まる場合は、マネージドサービスとして利用しやすいです。

一方、より細かい性能設計、複数台構成、既存Palo Altoの性能モデルに合わせた設計が必要な場合は、VM-Seriesを検討します。

10. 運用面での比較

観点	OCI Network Firewall	Palo Alto VM-Series
パッチ管理	利用者側の負担は小さい	PAN-OS管理が必要
HA運用	マネージドサービスとして利用	HAペアやフェイルオーバー設計が必要
設定管理	OCI Network Firewall Policy	PAN-OS / Panorama
ログ確認	OCI Logging等との連携を検討	Palo Altoログ運用を踏襲しやすい
監視	OCI監視と組み合わせる	Palo Alto監視運用を踏襲しやすい
障害切り分け	OCIサービスとして切り分け	OS/VM/PAN-OS/OCIネットワークを含めて切り分け
運用担当	OCI管理者寄り	ネットワーク/セキュリティ管理者寄り

運用負荷を下げたい場合は、OCI Network Firewallが有力です。

一方で、既存のPalo Alto運用チームがあり、ルール管理・ログ監視・障害対応を既存プロセスに合わせたい場合は、VM-Seriesが合う可能性があります。

11. OCI Network Firewallを選びやすいケース

以下のような場合は、OCI Network Firewallを優先して検討しやすいです。

ケース	理由
マネージドサービスを使いたい	Firewall VMの管理負荷を減らせる
OCIネイティブに構成したい	OCIルート表やポリシーで管理しやすい
標準的なNGFW機能で要件を満たせる	L3/L4制御、URL/FQDN、IDPS、SSL検査などに対応
高可用性をシンプルに確保したい	Regional Firewallにより高可用性を利用しやすい
初期構築をシンプルにしたい	VM-Seriesより構築要素が少ない
既存Palo Alto運用の完全踏襲が不要	OCI側の運用に寄せられる

構成イメージ

Internet / On-Premises / Other VCN
          ↓
Route Table
          ↓
OCI Network Firewall
          ↓
Application Subnet

12. Palo Alto VM-Seriesを選びやすいケース

以下のような場合は、Palo Alto VM-Seriesを検討します。

ケース	理由
既存Palo Alto運用を継続したい	既存の運用・監視・手順を流用しやすい
Panorama管理が必須	既存の集中管理に統合しやすい
既存ポリシーをできるだけ踏襲したい	PAN-OS前提の運用に合わせやすい
詳細なPalo Alto機能要件がある	OCI Network Firewallで満たせない要件がある場合
既存SOC連携がPalo Alto前提	ログ・アラート運用を継続しやすい
性能・台数設計を細かく行いたい	シェイプや台数、LB構成などを設計できる
ライセンス運用がPalo Alto前提	BYOLや既存契約を活用する場合

構成イメージ

Untrust Subnet
      ↓
Palo Alto VM-Series
      ↓
Trust Subnet
      ↓
Application Subnet

また、VM-Seriesでは管理用インタフェース、Trust / Untrustなどのデータインタフェース、ルート表、HA構成、監視、ライセンス、Panorama連携を含めて設計する必要があります。

13. お客様に確認すべき機能要件

既存環境でPalo Alto製品を利用しているお客様には、まず現在使っている機能を確認します。

確認項目	確認内容
通信制御	IP、ポート、プロトコル、アプリケーション単位の制御要件
URLフィルタリング	URLカテゴリ、FQDN、許可リスト、拒否リスト
脅威防御	IPS、アンチウイルス、アンチスパイウェアなどの利用有無
SSL復号	inbound / outboundの復号要件
NAT	SNAT、DNAT、既存NATルール
VPN機能	Firewall自体でVPNを終端しているか
ログ要件	どのログを、どこへ、どの形式で送るか
管理方式	Panorama利用有無
既存ルール移行	既存ポリシーをどこまで流用したいか
監査要件	変更履歴、承認フロー、ログ保管期間

ここで重要なのは、単に「Palo Altoを使っている」ではなく、Palo Altoのどの機能を使っているか を棚卸しすることです。

14. お客様に確認すべき非機能要件

次に、非機能要件を確認します。

確認項目	確認内容
必要帯域	平常時・ピーク時の通信量
可用性要件	単一障害時に通信継続が必要か
RTO / RPO	Firewall障害時やDR時の復旧要件
運用体制	OCI運用チームが管理するか、既存NW/Secチームが管理するか
監視体制	既存監視基盤へ統合するか
変更管理	ルール変更の承認・適用フロー
障害対応	障害時の一次切り分け担当
ログ保管期間	セキュリティ・監査上の保持期間
コスト	マネージドサービス費用、VM費用、ライセンス費用
将来拡張	VCN追加、リージョン追加、拠点追加

この確認結果をもとに、OCI Network Firewallで十分か、VM-Seriesが必要かを判断します。

15. 判断基準の整理

OCI Network Firewallでよい可能性が高いケース

OCIネイティブなマネージドFirewallを使いたい
標準的なNGFW機能で要件を満たせる
Firewallアプライアンス運用を減らしたい
既存Palo Alto運用の完全踏襲は不要
スループット要件がサービス仕様に収まる
OCIのルート表・ポリシー運用に寄せられる

Palo Alto VM-Seriesを選ぶべき可能性が高いケース

Panorama管理が必須
既存Palo Altoポリシーをできるだけ流用したい
既存SOC/監視基盤がPalo Altoログ前提
OCI Network Firewallでは満たせない機能要件がある
性能・台数・ライセンスを細かく設計したい
既存セキュリティ標準がPalo Alto VM-Series前提

判断の進め方

1. 既存Palo Altoで使っている機能を棚卸し
2. OCI移行後の通信経路を整理
3. 必要な検査ポイントを整理
4. OCI Network Firewallで対応可能か確認
5. 不足機能や運用要件があればVM-Seriesを検討
6. 性能・可用性・運用・コストで比較
7. PoCでログ、通信制御、運用手順を確認

16. PoCで確認すべきポイント

本番採用前には、PoCで確認することを推奨します。

確認項目	内容
通信経路	想定した通信がFirewallを経由するか
ルール制御	許可・拒否ルールが期待どおり動作するか
URL / FQDN制御	必要な宛先制御ができるか
IDPS	検知・遮断・ログ出力が要件に合うか
SSL検査	復号対象、除外対象、証明書運用に問題がないか
ログ出力	必要なログが取得できるか
監視連携	既存監視やSOC運用に乗せられるか
性能	想定トラフィックで遅延やボトルネックがないか
障害時動作	フェイルオーバーや経路切替を確認できるか
運用手順	ルール変更、障害対応、ログ調査が運用に合うか

特に、既存Palo Alto環境からの移行では、既存ルールがそのまま使えるか よりも、OCI上で同等のセキュリティ要件を満たせるか を確認することが重要です。

17. まとめ

OCIでFirewallを検討する場合、OCI Network FirewallとPalo Alto VM-Seriesのどちらを選ぶべきかは、お客様の要件によって変わります。

OCI Network Firewallは、Palo Alto Networksの技術を利用したOCIのマネージド型Network Firewallです。

OCIネイティブに構成でき、アプライアンス運用を減らしながら、ステートフル制御、URL/FQDNフィルタリング、IDPS、SSLインスペクション、VCN内・VCN間通信の検査などに対応できます。

一方、既存環境でPalo Alto製品を利用しており、Panorama管理、既存ポリシー運用、既存SOC連携、詳細なPAN-OS機能要件がある場合は、Palo Alto VM-Seriesを検討する必要があります。

判断の目安は以下です。

マネージドサービスとしてシンプルに運用したい
OCIネイティブなFirewallで要件を満たせる
  → OCI Network Firewall

既存Palo Alto運用を踏襲したい
Panoramaや詳細なPAN-OS要件がある
  → Palo Alto VM-Series

重要なのは、最初からどちらかを決め打ちしないことです。

まずは既存Palo Alto環境で利用している機能、通信経路、ログ要件、運用体制、性能要件を棚卸しし、OCI Network Firewallで対応可能かを確認します。

そのうえで、不足する機能や運用要件がある場合に、Palo Alto VM-Seriesを選択肢として検討する流れが現実的です。

参考情報

You get articles that match your needs
You can efficiently read back useful information
You can use dark theme

What you can do with signing up