RDP と VPN：サーバーに本当に必要なのはどちらか

していると思い込んでいる比較

「RDP か VPN か」は 2 つのリモートアクセス技術の選択のように聞こえます。そうではありません。VPN は RDP を置き換えるのではなく、誰が RDP に到達してよいかを決めるものです。最後に使うのは変わらずリモートデスクトップです。本当の問いは、RDP サービスがインターネット全体に対して待ち受けているのか、それとも扉をあなたが管理する私設ネットワークに対して待ち受けているのか、です。

そう捉えると、セキュリティ上の比較は僅差ではありません。VPN は露出を取り除き、直接の RDP は露出を管理します。まともな堅牢化ガイドはどれも VPN を使えと言い、まともな堅牢化ガイドはどれも正しいのです。

それでも膨大な数の本番サーバーが直接公開されており、しかもそれを運用しているのはそうしたガイドを読んだ人たちです。これは切り捨てずに真面目に受け止める価値があります。理由はたいてい本物だからです。

VPN が実際に変えるもの

前段に VPN を置けば、RDP サービスはインターネットから到達できなくなります。この 1 点だけで問題が一群まるごと消えます：

• スキャナーが見つけてこなくなります。ログイン失敗の量は事実上ゼロになり、セキュリティログが再び読めるものになります。
• RDP 自体の認証前脆弱性が緊急事ではなくなります。未認証の誰もサービスに到達できないなら、次の RDP の CVE は対応を計画するパッチであって、対処すべきインシデントではありません。
• 資格情報攻撃はまず VPN の認証を通らねばならず、多要素を課せる場所が 1 つ増え、見直すべきログも 1 つ増えます。
• 各サーバーで個別に公開されたサービスではなく、単一の監査可能な入口が手に入ります。

運用にかかるもの

VPN が勧められながら導入されない理由は、コストが金銭ではなく運用であり、予算ではなく人に降りかかるからです。

アクセスが必要な人ごとにクライアント、資格情報、動く設定が必要になります——2 週間だけ加わる委託先も、スマートフォンの同僚も、VPN のポートを塞ぐホテルのネットワークから深夜 3 時に当番に当たる人も含めて。

VPN そのものが重要インフラになります。落ちれば誰も何にも到達できず、それを直すべき人たちも到達できません。監視とパッチ、そして専用の緊急経路が必要で、VPN 装置自体がいくつかの大規模侵害で侵入口になってきました。

そして中途半端に導入した組織に特有の壊れ方があります。VPN は入ったが、顧客が接続できるように 1 台だけ「一時的に」直接公開のまま残され、その例外はそれに同意したことを覚えている全員より長生きする。文書化され守られている直接公開のほうが、誰も監査しない VPN の背後にある文書化されていない公開より安全です。

直接の RDP が正当な選択になるとき

妥協ではありません。実際にそれが優れた技術判断になる状況があります。

アクセスが必要な人たちがあなたの管理下にないとき。顧客所有のサーバー、外部の委託先、機材をやり取りする代理店：自分が管理していない組織に VPN の資格情報を発行することはできません。

サーバーが 1 台か数台のとき。2 台を守るために VPN 基盤を立てて維持するのは割の悪い取引で、しかも VPN のほうが壊れやすい部分になります。

アクセスがどこからでも即座に必要なとき。ホテルや企業のネットワークが VPN プロトコルを塞ぐ頻度は、インシデント中の「つながらない」が現実的な運用リスクになる程度には高いのです。

そうした場合の誠実な立場はこうです。サービスは公開されており、実際に機能している代償措置が必要である——全アカウントの MFA、NLA、最新のパッチ、そして繰り返し失敗する送信元の自動遮断。この組み合わせは、チームの半数が迂回する VPN よりはっきり強力です。

その中間にある選択肢

選択は二者択一ではなく、よく管理された環境の多くは中間に落ち着きます。

• リモートデスクトップゲートウェイ——RDP を 443 番の HTTPS でトンネルするため、他のすべてを塞ぐネットワークからでも使え、認証とログのある単一の入口が手に入ります。効果は VPN 寄り、運用コストは RDP 寄りです。
• 踏み台・ジャンプホスト——堅牢化して重点的に監視する 1 台だけを公開し、他はそこからのみ到達可能にします。注意深く見張れる場所にリスクを集中させる方法です。
• クラウド事業者のセッションマネージャー——受信ポートなしでブラウザーやエージェント経由の access。提供している事業者上にサーバーがあるなら非常に良く、ないなら使えません。
• ゼロトラストネットワークアクセス——ネットワーク層のトンネルなしに、アプリ単位で ID を意識したアクセス。業界が向かっている方向で、それ相応のサブスクリプションと導入コストが伴います。
• 送信元制限付きの RDP——トンネルなし、既知アドレスの短い一覧だけを通すファイアウォール。最も安価な本物の対策で、誰かが出張するその日まで機能します。

決め方

たいていは 2 つの問いで決まります。アクセスが必要な全員が、働くすべてのネットワークから確実に VPN に到達できますか。そして、その VPN にパッチを当て監視し続ける人がいますか。

両方「はい」——VPN を使い、ここで終わりにしてください。より強い設計であり、そのコストは負担できます。

どちらかが「いいえ」——サービスが公開されていることを正直に認め、迂回される VPN を導入するのではなく、代償措置をきちんと作ってください。すなわち、どこでも MFA、NLA 有効、パッチ最新、組み込み Administrator アカウントの無効化、そして繰り返し失敗する送信元の自動ファイアウォール遮断です。

到達可能なまま残るサーバーについて、RDP Protector はこの最後の部分を担います——サブネット遮断、恒久かつ再起動耐性、何かを遮断する前にあなた自身のアドレスをホワイトリストへ、そしてポートは決め打ちせずレジストリから検出。VPN の背後でも動かす価値があります。そこで残るログイン失敗は境界の内側から来るものであり、まさにあなたが最も知りたいトラフィックだからです。