利用者の最初のVPN接続の前に何を設定しておくか

最初のVPN接続がトンネルで失敗することはほとんどありません。失敗するのは、管理されていないネットワーク上で、普通の利用者が、すでに証明書を導入した人が書いた手順に従うときです。プロファイル、信頼チェーン、資格情報はいずれも設定であり、三者とも利用者が関わる前に配布できます。その利用者に残るのは、判断を含まない四つの操作であるべきです。引き継ぎに残した余分な手順は、誰かがダイアログを読み上げることから始まるサポート通話になります。

接続プロファイルが実際に何を運ぶか

VPNプロファイルはショートカットでもブックマークでもありません。OSの接続ストアにある名前付きオブジェクトで、サーバーアドレス、トンネルの種類、認証方式、そして多くの場合、接続するタイミングを決めるルート、DNSサフィックス、トリガー規則を保持します。WindowsではこれらのフィールドがVPNv2構成サービスプロバイダーのノードに対応するため、一つのプロファイルがIntune、Configuration Manager、プロビジョニングパッケージ、手動でインポートしたXMLファイルのいずれかで届くのです。

クライアントはそのオブジェクトを決まった順序で適用します。サーバー証明書を信頼されたルートに対して検証し、トンネルを交渉し、その後にだけルーティングと名前解決を適用してから、アプリケーションがネットワークを見ます。この順序が、接続済みと表示されるのに何も読み込まれないという報告の大半を説明します。認証は成功し、実際に失敗したのはDNSかルート一覧だったのです。プロファイルは独立したスイッチの集合ではなく、順序を持つ一つのオブジェクトとして読んでください。信頼ルートが欠けていると最初の段階で失敗し、資格情報が提示される前に止まるため、サインイン要求ではなく一般的なエラーになります。

信頼の素材は最も手作業で持ち込まれやすい項目です。ゲートウェイに署名するCA証明書は最初の試行の前に存在しなければならず、サーバー名の検証は一致する名前で有効のままにしておく必要があります。テストを通すために検証を無効にすると、認証の問題が、どの利用者も気づけない静かな傍受に変わります。

利用者が決して行うべきでない四つの選択

プロトコルとトンネルの種類が最初です。プラットフォームごとに一つの対応する組み合わせを選び、ゲートウェイ側を文書化してください。よく知られたブランド名は互換性の表明ではありません。次がエンドポイントで、公開で名前解決でき、ゲートウェイが提示する証明書に一致する一つのホスト名です。認証はIDシステムに属し、証明書であれ、第二要素付きのユーザー名であれ、その両方であれ同じです。これらはいずれも利用者の好みではなく、手順の中で質問として現れるべきものではありません。

四つ目の選択は範囲です。フルトンネルか分割トンネルか、そしてどのプレフィックスとDNSサフィックスを内側に通すか。内部サフィックスのない分割トンネルは、ローカルネットワークが提供する任意のリゾルバーに名前解決を漏らし、ローカルリソースの計画のないフルトンネルはプリンターやキャプティブポータルを壊します。どちらも利用者に見える影響のある管理者の決定であり、だからこそ利用者は決着済みの状態で受け取るべきです。

接続名は地味で安定したものにしてください。利用者はサポートに読み上げ、クライアント一覧で探し、パスワード再設定の間に覚えています。移行の途中で改名すると、VPNが動くかどうかとは無関係なサポートの急増を生みます。

IDは人ごと、またはデバイスごとに配布する

プロファイルは公開で、秘密鍵はそうではありません。よくある展開の誤りは、動作する一つのプロファイルを証明書ごと書き出して配り回すことで、すべてのノートPCが一つのIDの複製になり、失効が全か無かの判断になります。代わりに、サポートされた手順で資格情報を登録してください。管理チャネルからのデバイスごとの証明書、またはIDプロバイダーからの利用者ごとの資格情報です。

デバイストンネルと利用者トンネルは異なる時点で認証し、その違いがどの資格情報を必要とするかを決めます。サインイン前に接続するデバイストンネルには、マシン証明書とシステムが利用できるプロファイルが必要です。サインイン後に始まる利用者トンネルは利用者自身の資格情報を使え、管理者権限を要求すべきではありません。誰かの朝からクリック一回を消すためだけにマシン単位のネットワークアクセスを足すのは悪い取引です。無人のデバイスが届く範囲を広げてしまうからです。

登録は復旧経路が決まる場所でもあります。証明書の更新やパスワード変更はトンネルが落ちている間にデバイスへ届く必要があるため、プロビジョニング、IDプロバイダー、ゲートウェイがその方法に合意していなければなりません。プロファイルを直す唯一の道がそのプロファイルの提供するトンネルなら、鍵は箱の中に閉じ込められています。

配布チャネルをクライアントに合わせる

ネイティブクライアントとサードパーティのクライアントは配布方法が異なります。WindowsのプロファイルはIntuneやConfiguration Managerを介してVPNv2 ProfileXMLとして配布できますが、すべてのノードがすべての管理画面で公開されているわけではなく、ルーティング、DNS、トリガーの設定はツールとWindowsのバージョンによって異なります。ゼロタッチ展開を約束する前に、どのフィールドが配布可能かを確認してください。プロファイルオプションのリファレンスには、一部の配布経路がまだ設定できない項目が記載されています。

ベンダーのクライアントは第二の層を加えます。バイナリ、プロファイル、ヘッドエンドのポリシーが別々の成果物だからです。たとえばCisco Secure Clientはパッケージとそのプロファイルの両方を事前配布でき、クライアントのバージョンはゲートウェイの構成と調整する必要があります。パッケージだけを入れると、利用者はウィザードの中に残されます。

どのチャネルを選んでも、プロファイルの唯一の情報源を一つ保ってください。古いパッケージが次の確認で上書きする修復済みプロファイルは繰り返すインシデントであり、持続する解決は各マシンでの手作業ではなく、版管理された構成です。

新しい利用者として引き継ぎを試し、次に復旧を試す

管理者の保存済みセッションや事前登録済みの証明書を使わず、一度も接続したことのないデバイスで通常のアカウントによるパイロットを行います。プロファイルが一覧に現れ、サインイン要求が手順と一致し、名前付きの内部リソースが開くことを確認し、その後は接続アイコンで止めずに名前解決とルーティングの範囲を確認します。

デバイスのプロファイルストアに問い合わせ、テストが印象ではなく証拠を生むようにします。

Get-VpnConnection -AllUserConnection | Select-Object Name, ServerAddress, TunnelType, AuthenticationMethod, SplitTunneling
Get-VpnConnection -Name "Corp VPN" | Format-List
Test-NetConnection intranet.example.com -Port 443

次に、利用者が実際に出会う出来事を順に試します。強制的なパスワード再設定、更新された証明書、押し出されたクライアント更新、そしてパイロットの誰も使ったことのないネットワークです。どれも、手順が説明するとおりに動作するか失敗するべきです。VPNポートを遮断するネットワークも試してください。ホテルのWi-Fiでの最初の試行は、自宅での成功が助けにならなくなる場所だからです。各結果の横にクライアントのバージョンとOSのビルドを記録してください。次の報告はそれらなしで届きます。

利用者向けの引き継ぎは四行に保ちます。接続名、期待されるサインイン、成功を証明するリソース、そしてエラー文の送り先です。障害を示すために誰かにパスワードや書き出した鍵を求めてはいけません。アーキテクチャ、プロファイルの内部、復旧手順は管理者のランブックに属し、試験したクライアントのバージョンの隣に保管します。