ゼロトラスト時代の「穴」を塞ぐ：SSL-VPNトラフィックの検視と制御の勘所
こんにちは。ネットワークの現場で「なぜか繋がらない」「なぜか抜けてしまう」という怪奇現象と戦い続けてきた皆さんに、今日は少し踏み込んだ話をしようと思います。
かつてのVPNといえば IPsec が花形でしたが、今やその座を奪ったのは圧倒的に SSL-VPN です。ポート 443 を使ってHTTPS通信のフリをして社内へ潜り込むその姿は、ファイアウォール（FW）のルールを「素通り」させるための最適解。しかし、セキュリティ担当者から見れば、それは「制御不能な闇のトンネル」に他なりません。
ゼロトラストを標榜する我々にとって、この「闇」をどう可視化し、制御すべきか。今日はその核心に迫ります。
—
1. SSL-VPNが「素通り」してしまう理由とリスク
なぜSSL-VPNはFWを簡単に通過できるのか。それは、多くのFWが「HTTPSなら安全だろう」という性善説に基づき、TCP/443 の通信を中身を見ずに許可しているからです。
現場でよくある失敗は、IPアドレス や ポート番号 だけでアクセス制御を完結させていること。SSL-VPNのクライアントは、往々にして動的なIPレンジやCDN経由で接続を試みます。これでは、固定IPベースのホワイトリストなど一瞬で無力化されてしまいます。
—
2. 通信を可視化する：NGFWとTLSインスペクション
SSL-VPNの通信を制御する大前提は、「暗号化の中身を覗くこと」です。これには NGFW（次世代ファイアウォール）による TLSインスペクション が不可欠です。
通信フローの解像度を上げる
1. クライアントのHello: FWがサーバー証明書を動的に生成し、クライアントと「偽装ハンドシェイク」を行います。
2. 復号と検査: FW内部で一度平文に戻し、シグネチャベースで「これはSSL-VPNのパケットか？」を判定します。
3. ポリシー適用: 特定のVPN製品（AnyConnectやGlobalProtectなど）のシグネチャを検知し、ドロップまたはレート制限をかけます。
ここで重要なのは、SNI（Server Name Indication）のチェックです。ClientHello パケットに含まれるサーバー名を確認すれば、通信先がVPNベンダーのドメインかどうかは一目瞭然です。
—
3. 実践：SSL-VPNトラフィックを特定・制御するコード例
では、実際にインフラ側でどのような制御を行うべきか、いくつか具体的な手法を紹介します。
A. PythonによるHTTPヘッダー分析の自動化
自社のAPIゲートウェイを通過する通信を監視する場合、以下のコードのように User-Agent やカスタムヘッダーを確認することで、不審なVPNクライアントを弾くことができます。
import requests
def check_vpn_client(headers):
# 特定のVPNクライアントが送出する特徴的なヘッダーを検知
vpn_signatures = ["AnyConnect", "GlobalProtect", "OpenVPN"]
user_agent = headers.get("User-Agent", "")
for sig in vpn_signatures:
if sig in user_agent:
print(f"Warning: VPNトラフィックを検知: {sig}")
return False
return True
# 実際の運用例：APIリクエストの判定
headers = {"User-Agent": "Cisco AnyConnect/4.10.0"}
if not check_vpn_client(headers):
# 接続を拒否する処理
print("Access Denied.")B. curlによる接続先検証のTips
トラブルシューティング時、特定のドメインがVPN経由でルーティングされているか確認するには、curl で詳細なヘッダーと接続先IPを追いかけます。
# 接続先の証明書チェーンとSNIを確認する
# SSL-VPNのゲートウェイかどうかを見極める際の定石です
curl -vI https://vpn.example.com --tlsv1.2—
4. 運用エンジニアへの提言：泥臭いデバッグの極意
最後に、現場で役立つ「勘所」を3つ伝授します。
1. ログの相関分析を怠るな: FWのログだけでなく、PC側の Event Log や Proxy のアクセスログを時刻同期（NTP）した上で突き合わせてください。「どのプロセスが通信を開始したか」という プロセス名 まで追わないと、真の攻撃者は特定できません。
2. TLSインスペクションの証明書配布: TLSインスペクション を導入すると、必ず証明書エラーが発生します。各端末にルートCA証明書を配布する MDM（モバイルデバイス管理）の体制が整っていないなら、導入は「時期尚早」です。
3. 「拒否」ではなく「制限」から始める: いきなりVPNを全遮断すると業務が止まります。まずは特定の帯域幅を制限する QoS を適用し、ログを収集して「誰がどれだけ使っているか」というベースラインを確定させるのが、炎上を防ぐプロのやり方です。
—
まとめ
SSL-VPNは便利なツールですが、境界防御を信じ切っている組織にとっては最大の死角になり得ます。
HTTPS という皮をかぶった通信を、NGFW で剥ぎ取り、SNI や シグネチャ で正体を暴く。そして、最終的には デバイス証明書 や 多要素認証（MFA）を組み合わせた「ゼロトラスト」なアクセス制御へと移行していく。
これが、これからのインフラエンジニアに求められる「守り」の姿勢です。パケットは嘘をつきません。ぜひ、皆さんの環境でもトラフィックの「深層」を覗いてみてください。
それでは、また現場でお会いしましょう。
コメント