そこで最近、VPN 技術を勉強しています。
まだよく分からないところがあります。
たとえば、私がリモート開発者で、VPN を使用して会社の SVN サーバーとインスタント メッセージング サービスにアクセスするとします。
リモート ワーカーが、ローカル ワーカーに対して、会社のローカル ネットワーク上にいるかのように見せることには、どのような意味があるのでしょうか。
ローカル ネットワークのサービスが必要な場合 (たとえば、インスタント メッセージング システム)、管理者は、そのサービスをルーターを経由してインターネット経由でリモート ワーカーに到達するように構成するだけでよいのではないでしょうか。
リモートワーカーとルーター間の会話を暗号化して、中間者攻撃を防ぐこともできます。
現時点では仮想ネットワークの必要性がわかりません。
答え1
VPN にはさまざまな用途がありますが、おっしゃることは正しいです。インターネット経由でリモート ワーカーに送信されるよう設定することもできます。ただし、
- 重要なサービスがインターネットに公開されることになります
- インターネットに公開すると、スクリプトキディが侵入を試みることになる。
- 機密扱いの企業データをインターネットに公開する可能性があります (個人的には、バージョン管理システムが機密の企業コードをインターネットに漏洩し、アップデートで発生したバグが原因で Google にインデックスされたケースを見たことがあります)
- 公開するソフトウェアに脆弱性があれば、それを全世界に公開することになる。
- 多くのソフトウェアには暗号化機能がありません
- 多くの社内ソフトウェアには認証がほとんどまたは全くありません
非常によく考えられたセキュリティ計画がない限り、このようなサービスをインターネット上に公開することは無責任で危険です。
従業員にサービスへのアクセスに VPN の使用を義務付けると、これらの問題がほぼすべて軽減され、その他のメリットも得られます (VPN での 2FA 認証など)。
中間的な方法として、アプリケーションプロキシ（Azure のアプリ プロキシ）はインターネットにサービスを公開する後にのみ認証されています。これらは VPN よりも手間が少ないため、人気が高まっています。
また、会社のファイル サーバーをインターネットに広く公開しますか? 会計データベースはどうですか? 内部ネットワークに分離しておいた方がよいものがたくさんあります。
答え2
マーク・ヘンダーソンは良い点を指摘したと思いますが、最も重要な点を忘れていると思います。
ローカル ネットワークのサービスが必要な場合 (インスタント メッセージング システムなど)、管理者は、そのサービスをルーターを経由してインターネット経由でリモート ワーカーに到達するように構成するだけでよいのではないでしょうか。
確かに可能ですが、現実的に考えてみると、維持しやすく、より安全なものは何でしょうか。
- IPSec/OpenVPN のような適切に形成された VPN 標準よりも安全性が低い可能性が高い複数のサービス (セキュリティの脆弱性、証明書、世界全体からの複数のログイン試行) を管理しますか?
- VPNサーバーをセットアップし、クライアントを1つのサービスとして構成します。しない適切な再構成とメンテナンスを行わないと、永遠に弾丸プロフのままになります。
今日は SVN が必要で、明日は他の会社のドキュメントにアクセスするために SMB が必要になり、その翌日にはコンピューターを起動して RDP 経由でリモートで作業したいと思うかもしれません。他にも同様の例が 10 個あります。4 つの単語 - 管理者は一度にすべてを実行し、柔軟性、スケーラビリティ、セキュリティ、承認を実現しました。
ところで：
リモートワーカーとルーター間の会話を暗号化して、MITM 攻撃を防ぐこともできます。
の暗号化MITM を防ぐために設計されたものではありませんが、整合性メカニズムは MITM を防ぐために設計されています。
答え3
VPN はどこからでもアクセスできますか? すでにセキュリティ保護されていますか? 従業員は同じ LAN 上にいるように見えるため、ネットワークについて再設定する必要はありません (別の国/惑星/世界にいても)。誰が何を行うか、何人がいつアクセスできるかを 1 か所で管理できますか?
これらのうちどれが一番便利なのかはわかりませんが、VPN は、まだ存在していなかったら発明されていたであろう素晴らしいツールです。