小規模オフィスのVPN：ドメインコントローラーから切り離す

事務所の唯一のWindowsサーバーがVPNも終端すべきかは、三つの条件で決まります：ディレクトリ上でインターネット向けソフトウェアをどれだけ動かすことを許容するか、その役割なしに遠隔ユーザーを認証できるか、そしてホストの再起動時に管理アクセスがどうなるかです。三つのうちどれか一つでも悪い答えなら、役割を分けてください。事務所が小さいことは予算を変えるだけで、リスクは変えません。

ドメイン内のすべてのマシンはドメインコントローラーを信頼しますが、VPNゲートウェイはインターネット上の誰からでも到達できます。この非対称性が論拠のすべてです。

異なる露出プロファイルを持つ二つの仕事

ゲートウェイは外部からの接続を受け入れるため、そのリスナー、TLSスタック、認証面はすべて信頼できないネットワークから到達可能です。ディレクトリは他のマシンが信頼する権限を保持しており、そのためMicrosoftの堅牢化ガイダンスはドメインコントローラーの役割とそのホスティング環境を特に機微なものとして扱います。そのホストに追加されるサービスはどれも、ディレクトリの信頼上の位置を継承しつつ、独自の攻撃面を加えます。インストールの手軽さは信頼の境界ではありません。

役割を分けても依存関係は消えません。遠隔ユーザーには依然として認証、ルート、DNS、アクセス規則が必要であり、それらを飛ばすゲートウェイはより安全なのではなく、ただ役に立たないだけです。

ディレクトリの役割なしでの認証

ゲートウェイは、サポートされた外部連携を通じて、ディレクトリ自体をホストせずに資格情報を検証できます。その連携が何であれ、認証に必要な属性を読むだけでそれ以上は不要な、目的に合った権限のアカウントを与えてください。VPNユーザーを認めるのに、通常のアカウントをドメイン管理者にする必要は決してなく、ゲートウェイがディレクトリの複製を保持する必要も決してありません。

次に、遠隔クライアントが実際に必要とするネットワーク経路を限定します。内部ファイルサービス一つへのアクセスと、そのワークフローが依存する名前解決およびIDサービスは、定義された経路の集合です。VPNプールからドメインコントローラーのすべてのポートやすべての管理インターフェースを許可する理由にはなりません。

一つのホストは依然として一つの故障ドメイン

一つのハイパーバイザー上の二つのゲストは、オペレーティングシステムの構成を分けても、運命は分けません。ハイパーバイザーの管理者、仮想スイッチング、ストレージ、バックアップは設計の一部であり続け、ホストの再起動は両方のサービスを一度に失わせます。図にVMが二つあるからといってそれを高可用性と呼ぶのは、よくある高くつく誤りです。戻る唯一の経路がそのホスト上のVPNを通るなら、障害は修理に必要な接続を奪います。

そこで、トンネルに依存しない独立した管理経路を計画し、保守中に何が利用可能なままかを書き留めてください。ゲートウェイの更新とディレクトリの保守は別々に予定し、各中断がどのユーザーやアプリケーションに触れるかを記します。

VPNを直すためにVPNが稼働していることを要する保守ウィンドウは、保守ウィンドウではありません。

締め出されずに移行する

役割がすでに一つのインストールを共有しているなら、急な遠隔移行は避けてください。ゲートウェイが今日所有するもの、つまりアドレス、転送規則、NAT、DNS設定、認証構成、公開されたサービスを棚卸しします。リスナーを移す前、または既定ルートを変える前に、交換先と戻り道の両方を用意してください。そのうえで、新しい境界を通して普通の遠隔ユーザーの実際の作業を試し、不要な管理アクセスが依然として失敗することを確認します。

目的はより美しい図ではありません。事務所全体のディレクトリ信頼を支える箱に触れずに、VPNを修理または再構築できることです。これは別の目的であり、二つ目のサーバーを必要とするのはそのうち一つだけです。

いずれにせよ決定を記録し、それを再び開く条件も含めてください。小さな事務所は成長し、一つのサーバーに合った答えが次に合うとは限りません。