PPTP/MS-CHAPv2 の廃止：レガシー VPN の手順書

毎月ローテーションして金庫に保管する二十文字のパスワードでも、MS-CHAPv2 で動く PPTP サーバーが現代的な VPN になるわけではありません。パスワードは交換への入力であり、その弱さは交換そのものにあります。この手順書は、そのサーバーを引き継ぎ、依存する拠点を止めずに利用者を移す必要がある人に向けたものです。各手順は、後で誰かに「なぜアクセスが急に変わったのか」と聞かれたときに必要な記録を残すので、順番に進めてください。

何かに触れる前に構成を書き出す

PPTP という語には三つの層が畳み込まれており、それぞれが別の形で破綻します。トンネルは PPTP そのもので、GRE と TCP 1723 です。認証はサーバーが提供する PPP 方式で、ここでは MS-CHAPv2 です。リンク保護は MPPE で、その鍵はこの認証交換から導かれます。三つとも名指ししておけば、後日の修正が誤った層に当たることはありません。

ウィキのページを信じるのではなく稼働中の設定を読み、ファイル、リスナー、最後に認証されたセッションを記録します。

grep -RniE 'mschap|mppe|require-mppe' /etc/ppp/options.pptpd /etc/pptpd.conf
ss -lntp 'sport = :1723'
journalctl -u pptpd -n 40 --no-pager

Windows のリモート アクセス ロールでは同じ棚卸しが二つのコマンドから得られ、ロールは複数の方式を同時に広告できても現場のクライアントは常に最も弱い方式しか交渉しないため、二つ目が重要です。

Get-VpnAuthProtocol
netstat -ano | findstr :1723

今日トンネルが実際に何を運んでいるかを決める

代替を選ぶ前に、持ち歩くノート PC、支店ルーター、決済端末、現場のタブレット群といった利用者を洗い出します。内部のホスト一つに届けばよい利用者は移しやすいものです。再書き込みできないハードウェアに埋め込まれた利用者は、クライアント更新ではなく中間ゲートウェイを必要とするかもしれず、その判断は移行の途中ではなく計画に属します。

次に、ログイン交換を観察したり影響を与えたりできる攻撃者が何を得るかを問います。MS-CHAPv2 では利用者のパスワードをオフラインで復元できる材料が答えに含まれ、長さとローテーションが設計を直さないのはまさにそのためで、復元された秘密は利用者が使い回したすべてのシステムで有効です。

MPPE も、鍵がその交換から来るため同じ弱さを受け継ぎ、現代の AEAD 暗号が持つパケット単位の完全性や再生の扱いを与えてはくれません。きれいに認証されたセッションが証明するのは、設定された検査との互換性だけです。

短い昼休みも利用者の少なさも、暗号上の性質を運用ポリシーの性質に変えるものではありません。

移行は一つの保守時間帯で行う

代替を立ち上げ、一つのパイロット群で証明してから、古いリスナーは静かな退避先として残さず停止します。誰でもまだ到達できる退避先は移行ではなく、切り替える手間をかけない利用者にこそ弱い交換を開いたままにします。

sudo systemctl disable --now pptpd
sudo ss -lntp | grep -E ':(1723|1194|51820)\b'
sudo nft list ruleset | grep -i gre

同じ時間帯にファイアウォールの経路も閉じます。GRE には覚えておくポートがないため、番号でプロトコル 47 を許可する規則は見落とされやすく、デーモンが消えた後もサービスに到達できてしまいます。削除した規則、元の位置、理由を記録し、後日の変更レビューが誤って元に戻さないようにします。

資格情報は設定とは別に扱います。クライアント プロファイルの削除は失効ではなく、他所でまだ認証できるアカウントは廃止されていません。

代替が PPTP の仕事を果たしているか検証する

チェックリストは「つながるか」ではありません。認証、アドレス割り当て、DNS 解決、経路選択、再接続の挙動、ピア検証がすべて代替の下で成り立つかです。それぞれをパイロット端末で、その順に試し、観察した結果を期待の隣に書きます。

ip -4 addr show tun0
ip route get 198.51.100.23
resolvectl query intranet.example.net

インターフェースにアドレスがあることは交渉が完了した証拠です。遠端が期待どおりの経路を許可した証拠ではなく、上の問い合わせはこのホストについてのみ答え、転送された LAN については答えません。リゾルバーの応答はリゾルバーへの到達を示すだけで、分割 DNS のポリシーが正しい名前をそこへ送っていることまでは示しません。

最も多くの代替が後退する箇所なので、再接続の検証は最後に、ノート PC をスリープさせ、ネットワークを変え、古い経路を残さずトンネルが再確立されることを確かめる形で行います。

切り戻し、失効、そして残す記録

切り戻しはサービスを戻しますが安全性は戻さず、この違いは窓が開く前に声に出して言う必要があります。新しい経路が失敗したら、全員に PPTP を戻すのではなく、二つ目の現代的エンドポイントか一時的なゲートウェイで利用者を戻します。古いプロトコルに非常口を一つ残すことは、いま記録した露出を広げます。

切り替え後、PPTP で認証したアカウントを失効させ、保存されたプロファイルを失効させ、誰も覚えていない災害復旧コピーも含めて、すべてのエッジ機器から GRE の規則が消えたことを確認します。

短い記録として、見つけたプロトコル、各リスナーが止まった日付、代替が対応するクライアントの版、決定を再び開ける所有者を残します。パスワードの衛生はその後も重要ですが、ふさわしいプロトコル上の衛生としてであり、古いものを生かす論拠としてではありません。