こんにちは！インフラやセキュリティの世界へようこそ。新人のIT担当者や、これからセキュリティの勉強を始める開発者の皆さん、日々の業務お疲れ様です。
「VPN」や「認証連携」って、なんだか名前からして難しそうですよね。英語の頭文字が並ぶと、それだけでアレルギーが出てしまいそうになる気持ち、すごくよく分かります。でも、安心してください！一歩ずつ、身近な例えから紐解いていけば、決して越えられない壁ではありません。
今回は、会社のネットワークを守るための最前線である「ファイアウォールでのVPN終端と認証連携（MFA）」について、一緒に楽しく学んでいきましょう！
—
1. 家の鍵で例える「リモートアクセスVPN」の基本
まずは、リモートアクセスVPNって一体なんなのか、私たちの日常生活に置き換えて考えてみましょう。
皆さんが住んでいる「会社のオフィス」という安全な要塞があるとします。これまでは、その要塞の中（オフィス内）にいる人だけが、大事な金庫（社内サーバー）にアクセスできました。しかし、リモートワークが当たり前になった今、自宅や外出先のカフェからでも、会社の金庫にアクセスしたいですよね。
ここで登場するのが「リモートアクセスVPN」です。
これは、自宅から会社の要塞までを繋ぐ「秘密の専用地下トンネル」のようなものです。このトンネルを通れば、外の世界から盗み見られることなく、安全に会社のネットワークへ入り込むことができます。
泥棒の手口：VPNゲートウェイという「合鍵」の狙い
しかし、この秘密のトンネルの入り口（VPNゲートウェイ、つまりファイアウォールなどの機器）が、もしガバガバだったらどうなるでしょうか？
泥棒（攻撃者）は、この入り口の鍵を見つけようと必死になります。
よくあるのが、「パスワードリスト攻撃」や、VPN機器自体の「ゼロデイ脆弱性（メーカーがまだ気づいていないシステムの穴）」を突く手口です。
もし、社員のA君が、自宅のペットの名前をそのままVPNのパスワードにしていたら……？ 泥棒は簡単にその鍵を破り、秘密のトンネルを通って会社の金庫までまっしぐらに侵入してしまいます。これが、昨今ニュースでよく聞く「VPNを踏み台にしたランサムウェア感染」の正体です。
—
2. 「多要素認証（MFA）」で二重の鍵をかける
「パスワードだけで会社に入れる」というのは、例えるなら「オートロックのマンションだけど、ペラペラのプラスチックカード1枚で開いてしまう状態」です。これでは心細いですよね。
そこで必要になるのが、多要素認証（MFA: Multi-Factor Authentication）です。
MFAを取り入れると、VPNの入り口でこう言われます。
1. 知っていること（パスワード）：あなたが設定した合言葉
2. 持っていること（スマホのアプリやハードウェアトークン）：あなたの手元にあるスマホに飛んできた「今だけの数字（ワンタイムパスワード）」
泥棒がもしA君のパスワード（知っていること）を偶然盗み出せたとしても、A君のスマホ（持っていること）までは盗めません。だから、入り口でピシャリと侵入を防ぐことができるのです。
—
3. RADIUSやLDAPってなに？仕組みを優しく解説
「でも、社員全員分のスマホ認証やパスワードを、ファイアウォール1台ずつに設定するのって大変そう……」
そう思ったあなたは鋭いですね！数百人、数千人の社員がいる企業で、そんな面倒な管理をしていたら情報システム部門がパンクしてしまいます。
そこで活躍するのが、RADIUS（ラディウス）やLDAP（エルダップ）といった「認証の裏方さんたち」です。
- LDAP（Active Directoryなど）：社員名簿のデータベース。「A君の部署はどこか」「パスワードは合っているか」を管理する巨大な名簿屋さんのようなものです。
- RADIUSサーバー：ファイアウォールと名簿屋さん（LDAP）の間の「通訳兼ガードマン」。ファイアウォールが「この人を通していい？」と聞くと、RADIUSが名簿を確認し、さらにMFAの仕組みと連携して「OK、通してよし！」と返事をします。
設定のイメージを持ってみよう
例えば、企業のファイアウォール（ここでは一般的なCisco ASAやFortiGateなどをイメージしてください）に、RADIUSサーバー（FreeRADIUSやMicrosoft NPSなど）を連携させる設定は、次のようなイメージになります。
[ユーザーのPC]
↓ ① VPN接続要求（ID + パスワード + MFAコード）
[ファイアウォール (VPN終端)]
↓ ② 「この認証情報合ってる？」とRADIUSへ問い合わせ
[RADIUSサーバー]
↓ ③ 「名簿(LDAP)でパスワード確認し、MFAもOKかチェックするね」
[LDAPサーバー / MFAクラウド]
↓ ④ 認証結果を返す
[ファイアウォール]
↓ ⑤ 接続許可！社内ネットワークへようこそこれを実務の設定ファイル風に少しだけ覗いてみましょう（※あくまで概念的な設定例です）。
# ファイアウォール側でのRADIUSサーバーの定義例
# 「auth-server」という名前で、社内のRADIUSサーバーのIPと秘密鍵を設定します
radius-server host 192.168.10.50 {
key "SuperSecretRadiusKey123" # 機器同士が通信するための秘密の合言葉
timeout 5 # 応答がない場合のタイムアウト秒数
retries 3 # リトライ回数
}
# VPN接続時に、先ほど定義したRADIUSサーバーを使って認証を行うように指定
authentication-group vpn-auth-group {
method radius
}このように、認証の仕事を「専門のサーバー（RADIUS）」に肩代わりさせることで、ファイアウォール側はスッキリと安全に保たれるのです。
—
4. 現場のセキュリティ担当者が陥る「盲点」と対策
さて、ここまで読んで「よし、VPNにRADIUSとMFAを導入すれば完璧だ！」と思ったそこのあなた。少し待ってください。私たちホワイトハッカーが現場のインシデント調査に入ると、よく次のような「うっかりミス」や「攻撃者の盲点」に遭遇します。
盲点①：VPNゲートウェイ自体のアップデートをサボっている
「認証を厳しくしたから大丈夫」と安心してしまい、ファイアウォールやVPN装置のファームウェア（OS）を何年もアップデートしていないケースです。
泥棒は、入り口の鍵（パスワード）を破るのが面倒だと気づくと、「鍵穴そのものの設計ミス（脆弱性）」を突いてこじ開けようとします。メーカーからセキュリティパッチ（修正プログラム）が出たら、面倒くさがらずに速やかに適用することが鉄則です。
盲点②：不要になった退職者のアカウントが生きている
RADIUSやLDAPの元となる社員名簿（Active Directoryなど）で、退職した人のアカウントが無効化されずに残っているケースです。
これは、「引っ越した前の住人が、いまだに合鍵を持ったまま家に入り放題になっている状態」と同じです。人事部門と連携し、退職者のアカウントは即座に無効化するフローを絶対に作りましょう。
—
一歩ずつ対策を学んでいきましょう！
ファイアウォールにおけるVPN終端と認証連携、いかがでしたでしょうか？
最初は難しい用語が多くてチンプンカンプンだったかもしれませんが、「自宅の頑丈な鍵（ファイアウォール）」「専門のガードマン（RADIUS）」「スマホによる二段階の鍵（MFA）」というイメージを持てば、ぐっと身近に感じられたのではないでしょうか。
セキュリティの対策に「これで100%安全」というゴールはありません。しかし、今日学んだ基礎をしっかりと押さえておけば、会社の大切な情報資産を狙う悪意ある攻撃者から、確実に守りを固めることができます。
焦らず、一歩ずつ、安全なインフラ作りを楽しんでいきましょう！それではまた次回のブログでお会いしましょう。
コメント