VPNの「ID/パスワードだけ」はもう卒業だ。ゼロトラスト時代のMFA統合術を叩き込む
「VPNのパスワードが漏れた」。深夜3時に管理者のスマホが鳴り響く、あの悪夢のようなアラート。正直、もうこりごりだろう？
境界防御が崩壊しつつある現代において、リモートアクセスVPNの認証を「IDとパスワード」だけで済ませるのは、玄関に鍵をかけず、番犬に「吠えないでね」と頼んでいるようなものだ。今回は、VPNに多要素認証（MFA）を統合し、セキュリティを強固にするための「実戦的な作法」を伝授する。
なぜRADIUSやSAMLが必要なのか
VPN機器（ゲートウェイ）でローカルユーザーを管理するのは、小規模な環境ならいい。だが、ユーザーが100人を超えた瞬間、それは管理コストという名の負債に変わる。
我々が目指すべきは、認証の「外部化」だ。
- RADIUS: ネットワーク認証の古典にして鉄板。多くのVPN機器が対応しており、OTP（ワンタイムパスワード）サーバーと連携させる際の中継役として非常に優秀だ。
- SAML: 今どきのクラウドネイティブなアプローチ。IdP（OktaやAzure ADなど）に認証を丸投げし、認証成功後に発行される「アサーション」をVPNゲートウェイが受け取る仕組み。モダンなゼロトラスト環境ならこちらが本命だ。
RADIUSを使ったMFA統合フロー
まずは、現場で最も遭遇するであろう RADIUS による OTP 統合のシーケンスを整理しよう。
1. Access-Request: VPNクライアントがID/パスワード（またはパスワード＋OTP）を送信。
2. Access-Challenge: RADIUSサーバーが「OTPを入力しろ」と挑戦を返す。
3. Access-Accept: 認証成功。VPNトンネルが確立する。
実践的なRADIUS設定の勘所
RADIUSサーバー（FreeRADIUSなど）を設定する際、最もハマりやすいのが Secret の不一致と、認証タイムアウトだ。
# FreeRADIUSのクライアント設定例 (clients.conf)
client vpn-gateway-01 {
ipaddr = 192.168.1.50 # VPNゲートウェイのIP
secret = SuperSecretKey123 # 共有鍵。絶対に漏らすな
shortname = vpn-gw
}ここで重要なのは、Secret を「なんとなく」で決めないことだ。RADIUSパケットは共有鍵でMD5ハッシュ計算される。ネットワーク上でパケットキャプチャを仕掛けた際、この鍵が短いと総当たりで解読されるリスクがある。最低でも32文字以上のランダムな文字列を使うのが、ベテランの流儀だ。
SAMLによる認証の「モダン・ハンドシェイプ」
SAML認証の場合、VPNゲートウェイは「サービスプロバイダー(SP)」として振る舞う。
認証フローの解像度を上げる
1. ユーザーアクセス: クライアントがVPNへ接続を試みる。
2. リダイレクト: VPNがユーザーを IdP のログイン画面へ飛ばす。
3. 認証とMFA: IdP側でID/パスワード＋プッシュ通知等のMFAを実行。
4. アサーション送信: ブラウザ経由で SAML Response が VPN へ戻る。
この時、POST リクエストに含まれる SAMLResponse は必ず Base64 でエンコードされている。トラブルシューティングの際、この中身を確認したいなら、Pythonでサクッとデコードするのが一番早い。
import base64
import zlib
# SAMLレスポンスのデコード例
saml_b64 = "PHNhbWxwOlJlc3BvbnNlIHhtbG5zOnNhbWxw..." # 実際はここに長い文字列が入る
decoded_xml = base64.b64decode(saml_b64)
# deflate圧縮されている場合はzlibで解凍
print(decoded_xml.decode('utf-8'))実務で役立つデバッグの鉄則
「認証が通らない」というトラブルの9割は、設定ミスではなく「時間」か「証明書」にある。
- 時刻同期 (NTP): SAMLはアサーションの有効期限（
NotOnOrAfter）が厳格だ。VPNゲートウェイとIdPの時計が数分ずれているだけで、認証は問答無用で拒否される。必ず両方のNTP設定を確認せよ。 - 通信経路の遮断:
curlを使って、VPNゲートウェイからRADIUSサーバーやIdPのエンドポイントへ疎通できるか、常に確認する癖をつけよう。
# RADIUSポート(1812)の疎通確認（UDPなので注意）
nc -zuv 192.168.1.10 1812
# IdPのメタデータ取得確認
curl -Iv https://idp.example.com/metadata.xml最後に：完璧なセキュリティなど存在しない
VPNにMFAを統合するのはあくまで「第一歩」だ。これだけで万全だと慢心してはいけない。
認証を突破された後に備え、VPN接続後の「認可」を厳格に制御すること。特定のIP/ポート以外へのアクセスを禁止する、あるいは「デバイス証明書がないPCからの接続は拒否する」といった、もう一枚の防壁を組み合わせることで、初めて「ゼロトラスト」の入り口に立てる。
ネットワークエンジニアの仕事は、一度構築したら終わりではない。日々変わる脅威トレンドを追いかけ、泥臭くパケットを追い続けること。それが、我々の誇りであり、守るべき境界線だ。
さあ、次は君の環境で Access-Accept のログを見る準備はできているか？
コメント