とことこロゴス
SSL-VPN
TLSで保護した通信を利用し、社外の端末から社内のアプリケーションやネットワークへ接続するVPNである。代表的な実現方式に、リバースプロキシ、ポートフォワーディング、L2フォワーディングがある。
イマシルちゃんの解説
自宅から会社のシステムへ、安全に接続したいことがあるよね。
SSL-VPNは、Webの暗号化にも使うTLSの通信路で、社外の端末と社内側の接続装置を結ぶ仕組みだよ。
ブラウザから社内のWeb画面だけを利用する方式もあれば、専用ソフトでいろいろな通信を運ぶ方式もあるんだ。
接続装置は利用者を認証し、許可された社内の接続先へ通信を取り次ぐよ。
使うアプリによって通信の運び方が変わるため、必要なソフトや設定も異なるの。
会社につながったからといって何でも使えるわけではなく、許可するシステムの範囲を決めて利用するんだ。
この解説はわかりやすかったですか？
より深い解説
社外からの接続を保護する
SSL-VPNは、社外からの通信を受けるVPNゲートウェイと端末の間を保護する。名称にはSSLが残っているが、現在の安全な構成で使うのはTLSである。古いSSLを有効にする意味ではない。
TCP 443などHTTPSと同じポートを使える実装が多い。ただし、ファイアウォールやプロキシの制限を必ず通過できるという意味ではない。通信先の許可、証明書検証、製品が使う転送プロトコルなどが関係する。
三つの方式で何を中継するか
| 方式 | 中継の単位・用途 | 端末側に必要なもの |
|---|---|---|
| リバースプロキシ方式 | 主にHTTP/HTTPSのWebアプリケーション | 通常はWebブラウザ。VPN専用クライアントは不要 |
| ポートフォワーディング方式 | 設定したサーバ・ポートへのアプリケーション通信 | 通信を取り込むクライアントモジュール |
| L2フォワーディング方式 | 仮想インタフェースへ渡した広い範囲の通信 | 専用VPNクライアントと仮想NIC |
この分類は従来から使われる実現方法の整理であり、製品によってWebモード、トンネルモードなどの名称も使う。利用できるOSやアプリケーション、転送するプロトコルは製品仕様を確認する。
Webの要求を代理で処理する
リバースプロキシ方式では、ブラウザがVPNゲートウェイへHTTPSで接続し、ゲートウェイが社内Webサーバへの要求を代行する。利用者の認証やアクセス許可をゲートウェイに集められる。Webページのリンクなどを書き換えて中継する実装もある。
ブラウザだけで使いやすい一方、通常のRDPクライアントや任意のTCP/UDPアプリケーションがそのまま使えるわけではない。ブラウザ上で別のアプリケーションを代理実行する追加機能がある場合は、その機能の対応範囲で利用する。
決まったポートへの接続を運ぶ
ポートフォワーディング方式では、端末上のモジュールが受けた接続をTLSのトンネルへ送り、VPNゲートウェイが指定の社内サーバへ接続する。対応付けには宛先アドレスとポート番号を使う。Web以外のアプリケーションも扱えるが、接続先や使用ポートをあらかじめ特定できることが基本になる。
例えば、端末上でlocalhostのTCP 3389番を待ち受け、その通信を社内のRDPサーバの3389番へ中継する設定を考える。RDPクライアントは自分自身のモジュールへ接続し、モジュールがVPN装置を介して社内へ運ぶ。localhostはVPN装置のアドレスではない。ローカルの待受けを13389番など別の空き番号へ変える構成も可能である。
固定したTCPポートだけで使うアプリケーションなら、この方式で足りる場合がある。一方、通信中に動的なポートを追加するアプリケーションでは、個別の転送設定だけで対応できないことがある。TCPのみ対応する製品とUDPも扱う製品があり、「ポートフォワーディングなら必ずUDPも使える」とは限らない。RDPも構成によってUDPを併用するため、必要な機能の条件を確認する。
仮想インタフェースへ通信を取り込む
L2フォワーディング方式では、VPNクライアントが端末に仮想NICを作り、VPN用のIPアドレスや経路を設定する。アプリケーションが送る通信をそのインタフェースへ渡し、VPNクライアントが保護してゲートウェイへ運ぶ。ゲートウェイは中身を取り出して社内へ中継し、応答も同じ接続を通して戻す。
アプリケーションごとに固定のポートを一つずつ対応付ける方式より広い通信に対応し、ポート番号が動的に変化するアプリケーションも扱いやすい。通常の社内アドレスへ接続するアプリケーションを使えるが、実際に通せる通信はアクセス制御やルーティングにも従う。
この名称だけで、端末と社内LANが必ず同じブロードキャストドメインになると判断してはいけない。仮想インタフェースでIPパケットを運ぶトンネルなど、カプセル化する層や通信範囲には実装差がある。専用クライアントの導入権限や、家庭内LANとのアドレス重複も確認する。