VPNを二つ同時に使う？まずエンドポイントの境界を定める

二つのVPNクライアントを同時に接続すると、一つのエンドポイントが二つのリソースドメインに置かれることになる。これはルーティングの問題である前に認可の問題だ。トンネルが暗号化されているからといって、そのノートPC上のアプリが両方のネットワークに到達すべきかどうか、あるいは一方のネットワークのピアがそれを経由してもう一方に到達すべきかどうかは何も語らない。以下の確認を順番に進め、誰も答えられない最初の項目で止める。その答えなしに重なりを承認することこそ、便利な取り決めが静かにブリッジへ変わる道だ。

各ネットワークでその人が必要とするリソースは何か、そして両方のネットワークの所有者が一台の端末からの同時アクセスを許可しているかを、実際の業務から確かめる。

重なりを誰が許可するかを確認する

同じユーザーをそれぞれ認証する二つのネットワークでも所有者は別々であり、その所有者は別の場所にも接続された端末について相容れない前提を持っていることがある。何かを設計する前に両方へ尋ねる。隔離されたノートPC向けに書かれたリモートアクセス方針は、同時にパートナーネットワークの内側にあるマシンについては何の答えも持たないことが多い。

答えを書面で得て、変更記録と一緒に保管する。片側が拒否すれば、この一覧の残りは机上の話であり、設計レビューを一回節約できたことになる。

二つのインターフェースをルーターとして扱わない

二つのアクティブなインターフェースがあっても、その端末が自動的にルーターやイーサネットブリッジになるわけではない。何かを通過経路と呼ぶ前に、対応している転送、ブリッジ、NAT、プロキシの設定を確認し、端末がすでに持つ無関係な許可済みルーティング業務は維持する。ローカルのコンテナネットワークや仮想化ホストを動かすノートPCは、ここでは中立な観察者ではない。

要件が本当にAからBへの通過であるなら、それは所有者、監査可能なルールセット、変更手順を持つネットワーク機器に属する。ワークステーション経由で偶発的にやってしまうことが、この確認が防ぐために存在する結果だ。

エンドポイントをアクセスポイントとしても扱う

端末は両方のネットワークのクライアントであるだけではなく、サービスを提供するホストでもある。そのマシン上で許可されたサービスは、ホストのファイアウォールとクライアントの方針に従ってVPNピアから到達可能になりうる。つまりノートPC上の開いた管理ポートは今やリモートネットワークの攻撃面の一部だ。ルートを論じる前に何が待ち受けているかを列挙する。バインドされたデバッグポート一つが、どんなトンネル方針よりも重い。ホストのサービスは想定された送信元と目的に限定する。

各リモートネットワークを、通信が暗号化されて届いたという理由で広い信頼を与えるのではなく、明示的な許可を持つリソースドメインとして扱う。 NISTのゼロトラストアーキテクチャ は、リソースの認可をネットワーク位置への暗黙の信頼から切り離す。二重トンネルのノートPCが曖昧にするのはまさにこの区別だ。

ここでさらにもう一つ問う。ローカルサービスや許可されたアプリが侵害された場合、その足場からどのリソースと資格情報に到達できるようになるかを書き留める。それが設計全体の本当のリスク記述だからだ。

脅威モデルに合う作業境界を選ぶ

アプリ単位のルーティングはプログラムを想定したトンネルに割り当てられ、別々の作業プロファイル、ユーザー、対応している仮想ワークスペースは、プラットフォームに応じてIDとデータの境界を追加できる。境界はデモではなく脅威モデルに合わせる。IDの分割を伴わないルーティングの分割では、一つのブラウザプロファイルが両方のセッションを保持したままになる。

ネットワーク名前空間はルーティングとネットワーク状態を分離するが、ファイルシステムのすべてのパス、クリップボード、資格情報エージェントを分離するわけではない。仮想マシンや管理プロファイルにも、意図的な共有とホスト管理の方針が要る。どのフォルダ、認証ヘルパー、コピーと貼り付けの経路が利用可能なままかを記録する。二つのドメイン間で実際にデータを運ぶのはこれらの経路だからだ。

逐次の作業なら、同時アクセスを維持するよりも意図的な切り替えのほうがたいてい単純だ。依存する操作を終えてから、曖昧なコンテキストにバックグラウンドツールを結びつけたままにせず、次のワークスペースのIDとルートを確認する。

承認はスローガンではなく作業として書く

承認記録は作業のように読めるべきだ。サポート用ワークスペースはネットワークAのサービスコンソールとネットワークBのチケットポータルに到達できるが、AからBへの許可された転送はなく、共有の資格情報エージェントもなく、自動のファイル同期もない。その文の各節は、設定して試験できる何かに対応している。

次に、肯定例だけでなく否定例を確認する。境界の外にあるべきリソースに到達を試み、ホストのサービスが反対側から応答していないことを確かめ、資格情報ヘルパーが両方のドメインに黙って応じていないことを確認する。

記録はチケットだけでなく端末と一緒に保管する。この取り決めを引き継ぐ次の人が、どの境界が意図的だったのか分かるようにするためだ。トンネルが二つあり書かれた境界がないノートPCは、設定ミスと区別がつかない。