境界防御の終焉と「見えざる」HA：VPNゲートウェイ冗長化の深淵
ゼロトラストアーキテクチャが叫ばれて久しいが、依然としてエンタープライズの現場では、レガシーなVPNゲートウェイが「最後の砦」として鎮座している。VPNが単なるリモートアクセス手段であるという認識は甘い。それは、認証・暗号化・トンネリングという、OSI参照モデルの各レイヤーが複雑に絡み合う、最もデリケートな境界線だ。
今回は、VPNゲートウェイのHA（高可用性）構成において、単なる「切り替わり」の先にある、パケットロスを許容しないアーキテクチャの真髄に迫る。
VRRPの限界と「セッション同期」のリアル
多くのエンジニアは VRRP（Virtual Router Redundancy Protocol）を冗長化の銀の弾丸だと信じている。しかし、VPNにおいて VRRP によるIPの引き継ぎだけでは不十分だ。なぜなら、VPNゲートウェイが保持しているのは単なるルーティングテーブルではなく、暗号化セッションのステート情報（SA: Security Association）だからだ。
もしアクティブ機が沈黙し、スタンバイ機へ切り替わった際、セッション情報が同期されていなければ、クライアント側のTCPコネクションはすべてリセットされる。VPNクライアントが再接続を試み、TLSハンドシェイクをやり直す……この数秒間のダウンタイムが、Webアプリケーションのトランザクションを破壊し、ユーザーの「VPNが切れた」という不満に直結する。
ステートフルフェイルオーバーの要諦
真に可用性を担保するには、以下の二点が不可欠となる。
1. セッション同期プロトコル: 独自のHA専用リンクを通じて、暗号化キーやシーケンス番号をミリ秒単位で共有する。
2. Gratuitous ARP (GARP) の最適化: スイッチ側のMACアドレステーブルを即座に更新させ、パケットを新ゲートウェイへ導く。
パケットレベルでの最適化：RTTとバッファのチューニング
VPNにおける最大の敵は「レイテンシ」と「パケットの順序逆転」だ。特にグローバル環境では、物理的な距離に起因するRTT（Round Trip Time）の増加が、TCPのハンドシェイクを極限まで鈍らせる。
ここで重要になるのが TCP Window Scaling とバッファの最適化だ。VPNゲートウェイのカーネルパラメータを調整し、回線品質に応じたウィンドウサイズを動的に制御する。
# LinuxカーネルにおけるTCPバッファの最適化例
# 大容量通信を想定し、初期ウィンドウと最大バッファを引き上げる
sysctl -w net.ipv4.tcp_rmem="4096 87380 16777216"
sysctl -w net.ipv4.tcp_wmem="4096 65536 16777216"
sysctl -w net.ipv4.tcp_window_scaling=1
# BBR輻輳制御アルゴリズムの有効化（パケットロスに強い通信を実現）
sysctl -w net.core.default_qdisc=fq
sysctl -w net.ipv4.tcp_congestion_control=bbrBBR（Bottleneck Bandwidth and RTT）を有効にすることで、VPNトンネル内でのパケットロスによるスループット低下を劇的に抑制できる。これは、物理環境からクラウドVPNへ移行する際、真っ先に手を付けるべきチューニングポイントだ。
トランスポートセキュリティの最適化
VPNにおいて、TLSハンドシェイクはコストの高い処理だ。特に ECDHE（楕円曲線ディフィー・ヘルマン鍵共有）を多用する場合、CPU負荷が急増する。
もしゲートウェイがハードウェアアクセラレータを備えていないのであれば、TLS 1.3 への完全移行を強く推奨する。TLS 1.3 では、ハンドシェイクの往復回数が削減（0-RTTまたは1-RTT）されており、接続開始時の遅延を物理的に削ぎ落とせる。
また、MTU と MSS の不整合によるフラグメンテーションには細心の注意を払うべきだ。VPNのオーバーヘッドを考慮し、以下のように MSS を調整することで、不要なフラグメンテーションを防ぎ、CPU負荷を大幅に軽減できる。
# iptablesを用いて、VPN経由のパケットのMSSを1360バイトに固定
# これによりパケット分割を防ぎ、通信効率を最適化する
iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --set-mss 1360セキュリティスペシャリストとしての「締め」
VPNゲートウェイのHA構成は、単に「止まらない」ことを目指すのではない。「ユーザーが切断に気づかないレベルの透過的な切り替え」こそが、インフラアーキテクトが目指すべきゴールだ。
しかし、技術的な最適化を追求する一方で、忘れてはならないのは「可視性」である。どのIPが、いつ、どの程度の帯域を消費しているのか。フェイルオーバー発生時に、どのセッションが復旧せず、どのセッションが生存したのか。これらのログを SIEM 等で相関分析できないVPNは、もはやブラックボックスに過ぎない。
ゼロトラストへの過渡期において、VPNは「必要悪」かもしれない。だが、その必要悪を極限までチューニングし、堅牢に運用する。それが、泥臭くも崇高なネットワークエンジニアリングの醍醐味であるはずだ。
次は、VPN上のトラフィックを eBPF を用いてカーネルレベルで監視し、異常な暗号化トラフィックを即座に遮断する手法について深掘りしようと思う。ネットワークの奥底に潜む真実を、また一緒に紐解いていこう。
コメント