境界防御の幻想とIPv6リーク：VPNトンネルの「裏口」をどう塞ぐか
ネットワークスペシャリストとして長年現場に立っていると、「VPNを張ったからもう安心だ」という言葉を耳にするたびに、背筋が凍る思いがする。現代のネットワークにおいて、VPNクライアントを導入しただけで安全が担保される時代はとうに終わった。特に、インフラエンジニアやテックリードが軽視しがちな「IPv6リーク」は、現代のネットワークスタックにおける致命的な脆弱性だ。
今回は、パケットレベルの挙動から、なぜVPNトンネルが「IPv6」というバイパスを許してしまうのか、そしてそれをどう封じ込めるべきかを、実務レベルの知見で掘り下げていこう。
—
なぜVPNはIPv6を「素通り」させるのか
現代のLinuxカーネルやWindowsのネットワークスタックにおいて、IPv4とIPv6は並列して稼働するデュアルスタック環境が標準だ。VPNクライアントの多くは、依然としてIPv4パケットのルーティングテーブル書き換えに主眼を置いている。
ここで恐ろしいのは、OSが「ルーティング優先順位（RFC 6724）」に従って通信を試みる点だ。もしVPN接続がIPv4トンネルのみを対象としていた場合、OSは「IPv6の方が効率的（あるいは優先度が高い）」と判断し、暗号化されたトンネル（tun0等）を無視して、物理ネットワークインターフェースから直接IPv6パケットを流出させる。
これが「IPv6リーク」の正体だ。DNSクエリが暗号化されずにISPへ筒抜けになるだけでなく、IPアドレスがそのまま外部にさらされる。公共Wi-Fiのカフェで作業しているつもりが、あなたの通信は丸裸で空中に舞っているのと同じだ。
—
パケットレベルで見る「バイパス」の発生メカニズム
パケットキャプチャを仕掛けてみると、挙動は一目瞭然だ。tcpdumpでインターフェースを覗くと、本来なら 10.8.0.x のようなVPN内網IPから出るべきパケットが、物理NIC（wlan0など）からグローバルな 2001:db8:: などのアドレスで送出されているのが確認できる。
トラブルシューティングの定石：ルーティングテーブルの確認
まずは、Linux環境で現在のルーティングポリシーを確認してほしい。
# ルーティングテーブルの確認（IPv6の優先度をチェック）
ip -6 route show
# もし物理NICへのデフォルトルートが優先されていれば、それがリークの入り口
# default via fe80::xxxx dev wlan0 proto ra metric 600ここで重要なのは、metric値の設定だ。VPN接続時にトンネル側のメトリックを物理NICよりも小さく設定し、OSに対して「IPv6通信は必ずトンネルを通せ」と強制する必要がある。
—
現場で即効性のある「封じ込め」戦略
パケットレベルのチューニングなしに、VPNの安全性は語れない。以下の3つのアプローチで「裏口」を物理的に塞ぐのが、我々プロの現場での解法だ。
1. IPv6スタックの無効化（最も確実な物理遮断）
セキュリティポリシーとしてIPv6が必須でない環境であれば、カーネルパラメータで無効化するのが最も堅牢だ。
# /etc/sysctl.conf に追記し、カーネルレベルでIPv6を無効化
net.ipv6.conf.all.disable_ipv6 = 1
net.ipv6.conf.default.disable_ipv6 = 1
net.ipv6.conf.lo.disable_ipv6 = 1
# 設定を即時反映
sudo sysctl -p2. ポリシーベースルーティングによる「強制トンネリング」
IPv6を無効化できない場合（IPv6オンリーの環境や社内要件がある場合）、ip ruleを使用してトラフィックを強制的にルーティングする。
# トンネルインターフェース（tun0）経由の通信を優先するルールを追加
sudo ip -6 rule add from all lookup main priority 100
# 物理NIC（wlan0）経由の通信を拒否するルールを追加
sudo ip -6 route add unreachable default dev wlan03. TLSハンドシェイクとバッファチューニングの最適化
トンネル経由での通信が遅いという苦情は、多くの場合、TCPバッファとMTUの不整合に起因する。VPNオーバーヘッド分を考慮し、MSS（Maximum Segment Size）を調整することで、RTT（Round Trip Time）の大幅な改善が見込める。
# TCPウィンドウサイズのチューニング例
# 高速回線でスループットを最大化する（/etc/sysctl.conf）
net.ipv4.tcp_window_scaling = 1
net.ipv4.tcp_rmem = 4096 87380 16777216
net.ipv4.tcp_wmem = 4096 65536 16777216—
最後に：ネットワークを信じるな
「VPNを張ったから安全」というのは、単なる思考停止だ。ゼロトラストの観点に立てば、ネットワーク層（レイヤー3/4）のトンネルは、単なる暗号化されたパイプに過ぎない。そのパイプから漏れ出しているパケットがないか、常に監視し、カーネルパラメータを泥臭く調整し続けることこそが、エンジニアとしての真の境界防御である。
今日のインフラアーキテクトに求められているのは、GUIのVPNスイッチをオンにすることではない。パケットが物理的な導線を通り、どのようなヘッダーを付与され、どのルートを通って外部へ出ていくのかを、脳内で可視化できる能力だ。
次にカフェでWi-Fiに繋ぐとき、あなたのOSはどのインターフェースからパケットを送り出そうとしているか。一度、ip routeを叩いて確認してみてほしい。それが、セキュリティスペシャリストへの第一歩だ。
コメント