「VPNに繋げば安心」はもう古い？SSL-VPNとMFA・SSOで守る、現代の「身元確認」の作法
こんにちは。ネットワークの深淵を覗き続けて早幾年、現場の泥臭いトラブルと格闘してきたセキュリティスペシャリストです。
さて、皆さんは「VPN」と聞くと何を想像しますか？「会社への秘密の直通トンネル」でしょうか。確かに昔はそうでした。でも、今の時代、そのトンネルが「誰でも入れる公衆トイレ」になってしまったらどうでしょう？ 怖いですよね。
今回は、VPN接続の入り口で、「あなたは本当に本人ですか？」という確認（MFA）と、「一度の鍵でどこまで行けるか？」という管理（SSO）を、いかにエレガントに統合するか、その舞台裏を紐解いていきましょう。
—
1. 郵便配達で例える「アイデンティティ認証」の仕組み
皆さんが自宅に荷物を届けるとき、宅配便のドライバーさんはどうやって「あなた」を特定しますか？
単に「名前」を言うだけでは足りませんよね。そこで登場するのが、以下のステップです。
1. 身分証の提示（認証）: 免許証やマイナンバーカードを見せる。
2. プラスαの証拠（MFA）: 「玄関のオートロックを開ける鍵を持っている」という事実。
3. 通行証の交付（SSO）: 荷物を受け取ったら、ビル全体の入館許可証を渡される。
SSL-VPNもこれと同じです。IDとパスワードという「名前」だけで通してしまうのは危険。だからこそ、MFA（多要素認証）を組み合わせて、「スマホの通知を承認する」という「本人しか持っていないモノ」を要求するわけです。
—
2. 認証の「黒幕」たち（RADIUS, LDAP, SAML）
認証の現場では、いくつかのプロトコルが裏方として動いています。
- LDAP: 巨大な社員名簿です。「誰が誰か」を管理するデータベースですね。
- RADIUS: 認証の「受付係」です。VPN装置が「この人、通していい？」と聞くと、RADIUSが「名簿（LDAP）」と照らし合わせて「OK」を出します。
- SAML/OIDC: 最近のトレンドです。Webサイトにログインする感覚で、「認証画面」をGoogleやMicrosoftといった外部の専門家に丸投げする仕組みです。
—
3. 実践！SSL-VPNにMFAを組み込む設定のコツ
では、実際に現場でよくある構成をイメージしてみましょう。VPN装置（ここでは一般的なVPNゲートウェイを想定）で、LDAPでユーザーを検索し、RADIUS経由でMFAを行う設定例です。
# 認証サーバーの設定例（擬似コマンド）
# 1. まずは社員名簿（LDAP）の場所を教えます
set auth-server ldap "LDAP_SERVER_01"
set ip 192.168.10.5 # 社員名簿サーバーの住所
set base-dn "dc=company,dc=jp" # 名簿の階層
set bind-dn "cn=admin,dc=company,dc=jp" # 検索に使う管理者権限
# 2. 次に、MFAを行う受付係（RADIUS）を設定します
set auth-server radius "MFA_RADIUS_SERVER"
set ip 192.168.10.10 # MFA連携サーバーの住所
set secret "StrongPassword123" # 秘密の合言葉（共有鍵）
set timeout 5 # 返事がなければ諦める時間
# 3. これらをVPNのログイングループに割り当てます
set vpn-group "Remote_Access_Users"
set primary-auth "LDAP_SERVER_01"
set secondary-auth "MFA_RADIUS_SERVER" # ここが二要素目のカギ！ポイントは、secondary-auth（二次認証）としてRADIUSを指定している点です。これにより、「パスワードを入力したあとに、スマホに通知が飛んでくる」という二段構えが完成します。
—
4. なぜ「SSO（シングルサインオン）」が重要なのか？
「認証は一回でいいじゃん！」と思うかもしれませんが、業務で使うツール（Slack、Microsoft 365、社内ポータルなど）が増えるたびにログインを求められたら、ユーザーは面倒でパスワードをメモ帳に書くようになります。これがセキュリティ事故の元です。
SAMLを使ったSSOであれば、「VPNに入るときに一度だけログインすれば、あとは社内リソースの鍵を自動で持たせてくれる」という体験が実現できます。これが現代のゼロトラストの第一歩です。
—
最後に：完璧なシステムなんてない、だからこそ「疑う」
ネットワークのエンジニアとしてお伝えしたいのは、「仕組みを作って終わりではない」ということです。
MFAを突破しようとする攻撃者は常に進化しています。VPN装置のパッチ適用はもちろん、ログを確認して「深夜3時に海外からログインを繰り返している異常なパケット」がないか、目を光らせておくこと。それが、凄腕エンジニアの「現場力」です。
一歩ずつで構いません。まずは「自分のVPN接続は、パスワード一つで入れてしまっていないか？」と疑うことから始めてみてください。そこから、より強固な要塞作りが始まります。
また次回の記事でお会いしましょう。ネットワークの守護者を目指す皆さんを、これからも応援しています！
コメント