- ファイアウォールにVPN機能を組み込むことは、一見便利ですが問題もあります。
- ファイアウォールとVPNを分けて、それぞれに特化したシステムを使った方が管理しやすいことも多いのです。
- 特に、大規模な組織やクラウドサービスを主に使う場合、UTM（統合脅威管理）は適していません。
「Keep It Simple and Stupid」ということかぁ。
外部から社内システムにリモートアクセスするより、直接クラウドサービスを利用するようにした方が安全なんだね。
1. FWにVPNを組み込む運用とは？
「FWでVPNを使わない方がいい1」って聞いたんだけど、どういうこと？
VPNを使った方が安全なんじゃないの？
ここで問題になっているのは、
「FWとVPNという本来は違う機能をひとまとめにすること」
についての是非です。
「ファイアウォール（FW）」も「インターネットVPN」も、ネットワークセキュリティに関係していますが、方向性は異なります。
既存の「ファイアウォール（FW）」に「インターネットVPN」の機能を組み込むのは、ネットワークセキュリティ（安全性）とリモートアクセス（利便性）を一元的に管理するためです。
FWで外部からの不正なアクセスから社内ネットワークを保護すると同時に、VPNでリモートワーカーからの安全なアクセスを提供することができるからです。
「インターネットVPN（Virtual Private Network）」は、インターネットを介して暗号化されたトンネルを作成し、リモートアクセスや拠点間通信を実現する技術です。
1-1. FWにVPNを組み込んだ経緯
FWにVPNを組み込むようになったのは、通信技術の進歩とともにネットワークセキュリティとリモートアクセスに対するニーズが高まってきたことと密接に関連しています。
そのニーズに対応するため、ファイアウォール、VPN、その他のセキュリティ機能を単一のデバイスに統合した「UTM（Unified Threat Management：統合脅威管理）」という手法が生まれました。
つまり、「FWにVPNを組み込む」ことは、UTMを利用することと同じ意味合いを持ちます。
- インターネットの普及（1990年代）
1990年代にインターネットが普及し始めると、企業はインターネットを介して社内ネットワークにアクセスする必要性が高まりました。
当初、専用線を使用していましたが、コストが高く柔軟性に欠けていました。 - VPNの登場（1990年代後半）
1990年代後半、VPNの概念が登場しました。
VPNを使用することで、インターネット上に安全な通信トンネルを作成し、リモートアクセスを実現できるようになりました。 - ファイアウォールの進化（2000年代初頭）
2000年代初頭、ファイアウォールは、単なるパケットフィルタリングから、より高度な機能を備えたステートフルインスペクションファイアウォールへと進化しました。 - UTMの登場（2000年代中頃）
2000年代中頃、UTM（Unified Threat Management）の概念が登場しました。
UTMは、ファイアウォール、VPN、アンチウイルス、侵入防止システム（IPS）などの複数のセキュリティ機能を単一のデバイスに統合したものです。 - FWでのVPN使用の普及（2000年代後半）
多くの企業がネットワークセキュリティとリモートアクセスを一元的に管理するために、ファイアウォールにVPN機能を組み込むようになりました。
2. FWにVPNを組み込む問題点
ファイアウォールにVPN機能を組み込めば、一見便利で効率的に見えます。
しかし、実際には複雑性が増し、かえって運用やメンテナンスが難しくなる問題点も表面化してきました。
- クラウドサービスの普及と新たな課題（2010年代）
2010年代に入ると、クラウドサービスの普及により、ネットワークのセキュリティ要件が大きく変化しました。
クラウドサービスを利用する際、従来のFWでのVPN使用では、十分な柔軟性とスケーラビリティを提供できない場合があります。 - ゼロトラストセキュリティモデルの台頭（2010年代後半）
2010年代後半、ゼロトラストセキュリティモデルが注目を集めるようになりました。
このモデルでは、ネットワークの境界に関係なく、すべてのアクセスを検証し、制御します。
これにより、従来のFWでのVPN使用の限界が明らかになってきました。
最近のセキュリティトレンドと運用の観点からは、ファイアウォールでVPNを使用することには、いくつかの重要な懸念事項があるのです。
2-1. UTMは小規模向けだがクラウドには不適
UTMは、中小企業のシンプルな社内ネットワークでは有効です。
しかし、大規模な組織やクラウドサービスをメインに利用する場合には、あまり効果的ではないからです。
FWでのVPN使用から、より柔軟で拡張性の高いソリューションへの移行を検討する組織も出てきています。
クラウドサービスは、中小企業でも利用が当たり前になっているよね。
2-2. 代替アプローチ
FW、VPNの方法の本質的な問題点は、「信頼できるユーザー」と「そうでないユーザー」を区別することです。
一度、信頼が確立してしまうと内部ネットワークで（比較的）自由にアクセスできてしまうからです。
そのため、管理の行き届いていないVPNが、不正アクセスの被害を大きくしてしまうことがあります。
とくに、ファイアウォールとVPNが一体化していると管理が複雑だからです。
2-3. ゼロトラストとSASE（Secure Access Service Edge）
そもそも「信頼できるユーザー」を区別せず、個別のデータごとにアクセスの認証をする「ゼロトラストセキュリティモデル」が注目されています。
ゼロトラストセキュリティモデルの原則に基づいて設計されたサービスの一例として、Google Document や OneDrive、Dropboxなどがあります。
ユーザーは、ネットワークの場所や状態に関係なく、個別に認証および認可され、きめ細かなアクセス制御が適用されます。
企業システムでは、有力なのがクラウドベースのセキュリティモデルである SASE（Secure Access Service Edge）です。
社内システム・ネットワークを構築してVPNでアクセスするのではなく、クラウドベースのサービスに移行してすべてのアクセスを個別に認証するようにするのです。
SASEは、ネットワークセキュリティとアクセス管理機能をクラウドで提供するサービスモデルです。
これには、ファイアウォール、VPN、ゼロトラストネットワークアクセス（ZTNA）、クラウドアクセスセキュリティブローカー（CASB）、セキュアWebゲートウェイ（SWG）などの機能が含まれます。
ちなみに、Google Documentは、SASEの原則やコンセプトを部分的には具体化したサービスですが、完全なSASEソリューションとは言えません。
Google Documentは文書作成と共同編集に特化したサービスであり、ネットワークセキュリティ、ファイアウォール、VPN、CASBなどの機能は提供していないからです。
（補足）
- ごごてぃさん: 「FWでVPN使うのはもうやめたほうがいい気がする。 / X
