VPN移行：ライセンス・機能・ポリシーを一つの記録に

古いコンセントレータでまだ動いているセッションは、移行がほぼ完了した証拠のように感じられます。しかしそれは在庫の一品目にすぎず、最も面白みのない品目です。切り替えに必要なのは、対象ゲートウェイ、サポート対象クライアント、購入した権利、適用される受け入れポリシーを、誰かが所有する一つの成果物として結びつける記録です。それがなければ、移行はそれぞれ単独では妥当に見える前提の連なりにすぎません。

四つの列であって、一つのチェックリストではない

ハードウェアが担えるもの、契約が許すもの、ルールセットが認めるものは三つの別々の問いであり、これらを混ぜると誰も監査できない計画になります。別々の列に保ち、それぞれに出典を明記させてください。 接続を受け入れる端末は、端末が接続できることを証明するだけで、機能の範囲や計数の基準については何も説明しません。互いに食い違う三つの列は、自信ありげに聞こえる一つの段落よりはるかに有用です。

記録は、四つの列すべてを記入する権限を持つ人が埋めたときに完成します。誤った所有者が署名した列は、日付の入った噂です。

プラットフォームと権利

サポート対象のゲートウェイ、クライアントのオペレーティングシステム、認証経路、管理ツールを記録します。古いプロファイルがまだ開くというだけの理由で旧式クライアントを生かし続けるのは、ベンダーがもはや守らないかもしれない互換性の主張をそのまま信じることになるため、避けてください。現在のサポート表明を、配備予定のリリースと突き合わせて確認します。

権利については、製品、ライセンス種別、期間、計数基準を記録し、アカウント所有者を通じて突合します。過去のセッションカウンタから権利を推測するのは、組織が切り替え後に不足を発見する方法であり、その前ではありません。

ベンダーの注文ガイドは、こうした区別がなぜ重要かを示します。たとえばCiscoのSecure Client注文ガイドは、Advantage、Premier、VPN Onlyの各階層を分け、それぞれに独自の指標と機能範囲があります。古いラベルを機械的に訳すのではなく、現在の契約を使ってください。

機能と適用ポリシー

配備が実際に必要とする能力とは、許可されるトンネルモード、デバイス評価、認証連携、その他のモジュールです。機能はサポートされていてもライセンスがない場合も、ライセンスがあっても選択したリリースで未サポートの場合もあるため、それぞれについてサポートと権利を別々に確認してください。両方の問いに「はい」と答える行だけが意味を持ちます。

対象がASAの場合、機能の列は契約からではなく実機から読み取るため、切り替え日の前にゲートウェイを取得してください。 show vpn-sessiondb summary は稼働中セッションの棚卸しと、権利を測る基準となる計数を示し、 show vpn-sessiondb detail anyconnect は各帰属セッションが実際に使ったクライアント種別とプロファイルを示し、 show running-config webvpn はそれらのセッションが依存するゲートウェイ設定を取得しますが、これはライセンス文書が決して含みえない記録の一部分です。

show vpn-sessiondb summary
show vpn-sessiondb detail anyconnect
show running-config webvpn

切り替え後、同じ三つを新しいゲートウェイで実行し、取得した写しと差分を取ります。セッション数が動くのは想定内ですが、片側だけに現れるクライアント種別やwebvpnスタンザこそが発見であり、チケットのコメントではなく説明を添えて記録に属します。次のレビュー担当者が何を比較したのかを見たがるため、差分だけでなく生の取得結果も保存してください。別ベンダーでは同等物はそのプラットフォーム自身のセッションテーブルとプロファイル出力で形式は一致しないため、テキストではなく、そこに投げかける問いを比較してください。

次に、利用者とデバイスを対象側のルール、リソース権限、拒否時の挙動にマッピングします。機能を有効にするライセンスはそれを実際に行使する設定ではなく、その二つの間の隙間にこそ移行の驚きの大半が住んでいます。

拒否のケースも許可のケースと同じ丁寧さで書き留めます。管理者が接続できることだけを示す計画は、最も簡単な経路を試しただけで、境界を一つも試していません。

判断の両側で受け入れる

切り替え前に、想定するクライアント種別、認証方式、リソースにわたって承認済みの受け入れ計画を実行します。拒否されるべきデバイスまたは身元を含め、どのルールがそれを選び、結果のセッションがどこまで到達しうるかを確認します。変更ウィンドウが開く前に拒否ケースで合意しておき、時間の圧力で誰かが黙って落とせないようにします。拒否ケースのない計画は、順調な経路だけを試して他は何も試していません。

ロールバック経路と、移行対象に依存しない管理経路を用意します。設定と身元記録は安全に保存し、時代遅れの暗号設定は先へ持ち越さず置き去りにします。ライセンス識別子や利用者記録を公開メモに貼り付けないでください。

所有者に権利とポリシーの対応付けを一緒に署名させます。完成した記録は、組織が配備することを許されているのは何か、そしてどのルールが実際に利用者を受け入れ制約するのかという二つの問いに同時に答えます。