個人 VPN 上の仕事用ノート PC：実際に何が越えるのか

会社のノート PC を自宅の VPN に接続すると、その PC は同時に 二つの場所に置かれることになります。ここで興味深い問いは、不安を煽る問いよりも小さく、はるかに役に立ちます。オフィスと自宅の間に誰かがイーサネットケーブルを敷いたわけではなく、どのルートも自宅ネットワークを社内サブネットの延長にはしません。存在するのは両方の環境にアクセスできる 一つのエンドポイントであり、その間で実際に何が移動できるかを 三つの別々の仕組みが決めています。エンドポイントから外側へこの三つをたどると、ラベルの議論ではなく管理者が行動できる答えが得られます。

ネットワーク図ではなく、エンドポイントから始める

エンドポイントは 二つの接続が出会う場所なので、レビューはそこから始まります。どのプロセスが動き、何に到達でき、誰がそれらを制御しているのか。ノート PC につながる 二つのクラウドを示す図は正確ですが役に立ちません。存在しないかもしれないリンクを示唆するからです。代わりに、各環境と通信できるアプリケーションの一覧を置き、それぞれがどのアカウントで動いているかを記録します。この枠組みはレビューを釣り合いの取れたものにもします。二本のトンネルを持つノート PC は、つながった 二つのネットワークと同じ対象ではないからです。

その一覧がレビューの残りの部分が依拠する棚卸しです。同期クライアント、両方の環境にサインインしたブラウザープロファイル、資格情報を持つビルドエージェントが含まれていれば、レビューにはすでにその対象があります。

三つの通過点を、個別に検討する

アプリケーションのアクセスが最初の通過点で、何の転送も必要としません。エンドポイント上のブラウザーのタブ、同期クライアント、ビルドエージェントは、一方の環境のリソースから読み取り、もう一方の環境のリソースへデータを送信できます。この能力は、OS がインターフェース間でパケットを転送するかどうかとは無関係に存在し、橋がないからリスクがないと結論づけるときに人々が見落とす仕組みがこれです。したがって、インターフェースの一覧を読むよりもアプリケーションの一覧を読むほうが情報量が多くなります。

アイデンティティとデータが 二つ目の通過点を形成します。社内資格情報、セッション Cookie、ダウンロードした文書、管理権限はエンドポイント上にあり、別のネットワークに接続してもそれ自体ではそれらが開示されるわけではありません。変わるのは、それらの資格情報を保持している間にエンドポイントへ影響を与えうる当事者の集合であり、これはルーティングではなく個人ネットワークの信頼性についての問いです。これはエンドポイントの所有者だけでは下せない判断であり、転送ルールがないことでは答えになりません。

ネットワーク転送が 三つ目で、ノート PC を中継装置に変えうる唯一のものです。IP 転送、インターネット接続の共有、プロキシ、ブリッジ機能のいずれでも可能で、いずれも有効か無効かのどちらかである構成です。VPN クライアントの有無から推測するのではなく、その状態を直接調べてください。管理された端末では答えは通常いいえであり、確認すれば想定が記録に値する事実になります。

二つのネットワークではなく、一つのリソースを求める

実際の要件のほとんどは、最初に見えるより狭いものです。一つのコンソール、一つのファイル共有、一つの社内 Web アプリケーション。要件をそのように述べ、そのリソースがそもそもこのエンドポイントに属するかをリソースの所有者に決めてもらいましょう。二つのネットワークを結合する形の要求は承認しにくく拒否しやすいものです。名前を挙げた 一つのサービスへの要求には答えがあります。

答えがはいなら、サポートされる最も狭い経路を選び、組織の既存の統制の内側に保ってください。管理された 二つ目のプロファイルや範囲を限定したアプリケーション登録は監視とポリシーを保ちます。競合する個人設定はそれらを静かに置き換え、次の更新後にどちらが勝つかを誰も知りません。

DNS とルートの影響を含める

二つ目のプロファイルが有効になった瞬間に名前解決が変わります。個人のクライアントは独自のリゾルバーを押し込むことがあり、ブラウザーは独自の暗号化 DNS を使うことがあり、ポリシーテーブルは社内構成が想定するのとは別のサーバーへ内部名を振り分けることがあります。いずれも転送を必要とせず、いずれも内部ホスト名を誤った場所へ送りえます。

Resolve-DnsName intranet.corp.example -Type A
Get-DnsClientNrptPolicy -Effective
route print 0.0.0.0

二つ目のプロファイルが接続する前と後に、その 三つの出力を取得します。それらの差が実際に利用者に届く影響であり、チケットが説明するルーティング変更より大きいことがよくあります。両方の取得結果を残し、後から確認する人が意図ではなく変化を見られるようにします。

検証し、出口を確保する

承認済みのアプリケーションは、同じ端末上の管理者シェルからではなく、実際のプロセスと利用者のコンテキストから試してください。そのうえで、設計が求める場所で無関係な宛先が到達不能のままであることを確認します。誰も試していない境界は、誰も主張できない境界です。個人のトンネルを切断すれば以前の状態に戻るはずであり、その復元は誰かが見ているうちに確認する価値があります。

Test-NetConnection -ComputerName files.corp.example -Port 443
Get-NetConnectionProfile

ゼロトラストアーキテクチャに関する NIST の指針はここで役に立ちます。ネットワーク上の位置を自動的な信頼の源から外すからであり、それはまさに争点となっている前提です。問いは、自宅ネットワークが本質的に信頼できるかどうかではなく、誰がどのリソースに、どのエンドポイントから、どの強制点を通って到達できるかです。この三つに答え、証拠を判断と一緒に残してください。