さよなら「境界線」！レガシーアプリをゼロトラストの守護下に置く、魔法のトンネル術
こんにちは！ネットワークセキュリティの世界へようこそ。
現場でインフラを触っていると、「クラウド全盛の時代に、まだこの古いシステム（レガシーアプリ）が動いているのか…」と頭を抱える瞬間、ありますよね。
Webブラウザで動くモダンなアプリなら、今流行りの「ゼロトラスト」で簡単に守れるけれど、SSHやRDP、あるいは謎のTCP独自プロトコルで動く古いシステムは、どう扱えばいいの？と悩む方も多いはず。
今日は、そんな「Webじゃない子たち」を、最新のセキュリティ環境であるZTNA（ゼロトラストネットワークアクセス）の守護下に引き入れるための「魔法のトンネル」について、現場の知見を交えてお話しします。
—
そもそも「境界型防御」と「ゼロトラスト」って何が違うの？
昔のセキュリティは、「会社の中にいれば安全、外は危険！」という城壁モデル（境界型防御）でした。城門（VPNゲートウェイ）さえ守っていれば、一度中に入った人は誰でも自由に歩き回れたのです。
しかし、今は違います。「中も外も等しく危険」と考え、「誰が、どんなデバイスで、何にアクセスしようとしているか」を毎回厳密にチェックするのがゼロトラストです。
Webアプリなら、このチェックは「ブラウザ」がやってくれます。でも、SSHやRDPにはそんな機能はありませんよね。そこで登場するのがプロキシ技術とTCPトンネリングなんです。
—
郵便配達で例える「TCPトンネリング」
難しいパケットの話は一旦置いておきましょう。TCPトンネリングを「国際郵便」に例えてみます。
あなたが海外の友人（レガシーサーバー）に手紙を送りたいとします。でも、途中の国々（インターネット）は危険がいっぱい。そこで、「専用の頑丈なカプセル（トンネル）」を使います。
1. 入り口（ZTNAコネクタ）： あなたのPCから出た手紙を、専用の頑丈なカプセルに封入します。
2. 配送（トンネル）： カプセルは途中の検問所（ZTNAプロキシ）で「この人は許可されているか？」という厳重な審査を受けます。
3. 出口（アプリケーションコネクタ）： 審査をクリアしたカプセルだけが、サーバーの目の前まで届き、そこで開封されて手紙が渡されます。
サーバーは「なんだかよく分からないけど、目の前に手紙が届いたぞ」と認識するだけ。サーバー自身は、自分がインターネットに晒されていることにすら気づきません。これが「隠蔽」の力です。
—
実践：SSH通信をZTNAの傘下に入れる
では、具体的にどうやって守るのか。ここでは、多くのZTNA製品が採用している「TCPフォワーディング」の仕組みを、設定のイメージで解説します。
例えば、社内の古いLinuxサーバーへSSH接続する場合、以下のようなイメージで設定を行います。
1. サーバー側の設定（アプリケーションコネクタ）
サーバーのすぐ近くに「コネクタ」という小さな番人を立たせます。この番人は、外からの通信を待ち受けています。
# アプリケーションコネクタの設定例（概念イメージ）
app_connector:
name: "legacy-ssh-connector"
target_host: "192.168.10.5" # 守りたいサーバーのIP
target_port: 22 # SSHのポート
allowed_users: # 誰がアクセスできるか制限
- "admin@example.com"2. クライアント側の設定
自分のPCには、専用の小さなソフトを入れておきます。このソフトが、あなたのSSH通信を自動的に「トンネル」へ流し込んでくれます。
# クライアント側でトンネルを確立するコマンド例
# これを叩くと、PC上の 127.0.0.1:2222 へのアクセスが
# 安全なトンネルを通って 192.168.10.5:22 に転送されます
ztna-client connect --target-host 192.168.10.5 --local-port 2222これで、あなたは ssh user@127.0.0.1 -p 2222 と入力するだけで、安全に社内サーバーへ繋がれるようになるのです。
—
なぜこの方法が「最強」なのか？
1. ポートを閉じる（ステルス性）： サーバーのポートをインターネットに開放する必要がありません。攻撃者にはサーバーの姿が見えない（ポートが空いていない）ため、攻撃のしようがないのです。
2. IDベースの統制： 「IPアドレス」ではなく「社員のID」で通信を許可できます。「誰が、いつ、どのサーバーに触ったか」が丸見えになるので、監査も非常に楽になります。
3. 泥臭い環境にも対応： プロトコルが何であれ、TCPで動くものなら何でもこのトンネルを通せます。古いデータベースや、社内専用の独自アプリケーションでも同じ仕組みで守れるんです。
—
最後に：一歩ずつ進めば怖くない
初めてインフラを触る方にとって、ネットワークの配線やプロトコルの仕組みは迷路のように感じるかもしれません。でも、まずは「通信をカプセルに入れて、信頼できる人だけに通す」というイメージを持ってください。
レガシーなシステムは、実は「最新のセキュリティ技術」で守ってあげることで、その寿命をグッと延ばすことができます。
まずは社内の小さなツールから、この「トンネル」を試してみてください。もし設定でつまずいても、それは「ネットワークの守りが固い証拠」。一つずつ、一緒にクリアしていきましょう！
それでは、また次回の記事でお会いしましょう！Happy Hacking!
コメント