常時接続VPN：経路・権限・セッションを分けて考える

トンネルを四六時中開いておくことは設計上の選択であり、妥当な版と不注意な版がある。終日セントラルアプリを必要とし、夜間のバックアップ処理もある支店には理由がある。ホテルの部屋で三日間つなぎっぱなしのノートPCは事故だ。

どちらも同じ緑のアイコンを表示し、トンネルがどれだけ開いているかを尋ねれば同じように答える。その数字は興味深いものではない。重要なのは、接続が何を利用可能に保ち、誰に対して、何が実際にそれを終わらせるかだ。

別々に動く三つの時計

一つ目の状態は経路だ。トンネルとそのポリシーはサービス群を到達可能にし、通信のないリンクは次の要求に備えて待機できる。どれだけ待機するかは実装の判断であり、普遍的なタイマーではない。

二つ目の状態は権限だ。受け入れられた身元や端末は、その経路を使うことを許可されうる。この許可は役割が変わる、端末が失われる、侵害が疑われるといったときに変わるべきであり、パケットが流れているかとは独立だ。

三つ目の状態はアプリケーション自身のセッションだ。データベースのクライアント、リモートデスクトップ、ウェブアプリは別々に認証し、独自の状態を保つ。トンネルを閉じても、そのどれかが必ず終わるわけではない。

この三つを一つの問いとして扱うレビューは、アイドルタイマーの議論に行き着く。三つはそれぞれ単独で健全にも壊れてもよく、一つでの所見は他についてほとんど語らない。三行のチェックリストは、一つのタイムアウト値の議論に勝る。状態ごとに答えを分けて書くこと。

トンネルは経路であり、徽章ではない

確立したトンネルは、二つの端点の間に保護された経路があることの証拠だ。どちらかの端点の背後のあらゆるプロセスが、反対側のあらゆるサービスに届くべきだという証拠ではない。

NISTのゼロトラスト指針は同じことを逆から述べる。ネットワーク上の位置を暗黙の信頼とみなすべきではない。拠点間のリンクは輸送の事実であり、一つのホストが一つのアプリを使う許可は、独自の持ち主を持つ別の判断だ。

侵害された相手でも、到達を許されたサービスを通じて有害な行動を試みうる。フィルタリングと監視は個別のリスクを減らすが、端点の侵害の結果を消しはしない。経路のために設計し、サービスのために許可する。

恒久的な拠点リンクを正当化する

常時接続の擁護できる版は、目的を正確に名指しする。どの送信元、どの宛先、どちらの向き、そして各エントリの持ち主は誰か。支店の全ホストに全セントラルサブネットを許す支店ファイアウォールは、名指しされた目的のためにリンクを保ったのではない。後で誰かが思いつくあらゆるもののために保ったのだ。

相手が必要な信頼水準に届かないなら、境界を狭めるか取り決めを変える。時折の手動切断に頼るのはプロセス管理であり、プロセス管理はインシデントで不便になったまさにそのときに最も信頼できない。

正当化は設定と一緒に保つ。書かれた目的のある恒久例外は見直し、撤回できる。目的のない例外は既定で恒久になる。

鍵の交換は失効ではない

鍵を日程に従って交換することは保護のライフサイクルを保つ。素材を更新し、機密性を保つ。しかし端点の権利を取り上げはしない。

端点がまだ有効な資格情報とそれを受け入れるアクセスポリシーを持つなら、次の交渉は同じ許可された経路を復元する。だからこそ毎時の鍵ローテーションは紛失端末への答えにならない。身元がまだ信頼される限り、紛失した端末もまたローテーションする。日程より先に権利を確認すること。ローテーションは衛生であり、失効はアクセスの判断だ。

失効は独自の遅延を持つ別の仕組みだ。失効した証明書、無効化されたアカウント、変更されたグループ、削除されたネットワーク規則。それぞれ効く時点が違い、すでに確立したセッションへの振る舞いも異なる。

すでに動いているものを終わらせる

アクセスが外されたとき、実装が確立済みのセッションに何をするかを尋ねる。終了させることも、期限切れを待つことも、その間の文書化された振る舞いを適用することもある。明日の受入れ変更が今日のアプリ接続を閉じるとは考えないこと。

対話的アクセスでは、セッション制限と無操作の規則をネットワークチームだけでなく、身元とVPNの持ち主の手に置く。拠点サービスでは、保守、障害、セキュリティ事故の際にアクセスを止める手順を定める。

そのうえで三つの結果を試す。許可された作業は依然として動き、無関係なサービスは拒否され、削除手順は文書化された結果を生む。常時接続の設計は、目的、許可、停止能力がすべて書かれ演練されて初めて受け入れられる。そうでなければ、理由より長く生きた便利さだ。