サーバーの前に防御壁を立てる
セキュリティ対策

VPSというのは、ネット上に借りる自分専用のサーバーです。

月額も安いし、自由度も高い。

自分でプログラムを動かしたり、社内システムを置いたり、AIエージェントを24時間動かしたりするにはかなり便利です。

うちもVPSを使っています。

そして自分自身は、サーバー関係もある程度分かるので、今の使い方でも問題ないと思っています。

でも最近、少し気になっていました。

自分は「VPSは簡単に使えます」と発信している。

それを見て、これまでサーバーを触ったことがない人もVPSを使い始めるかもしれない。

だったら、

「VPSは便利ですよ」

だけでは足りないなと。

セキュリティについても、もう少し安全側の仕組みまでセットで伝えるべきだと思いました。

VPSは普通に世界中から見られています

今回、改めてうちのVPSの状態を調べました。

うちは従業員10人くらいのEC会社で、1台のVPSに約40本の社内システムを置いています。

当然、ログインしないと使えません。

サーバーへの接続も鍵がないと入れないようにしていて、不正なアクセスを自動的に締め出す仕組みもあります。

なので、何も対策していなかったわけではありません。

実際、今のままでも運用して問題ない水準でした。

ただ、実際のアクセスを調べてみると、

サーバーを操作する入口への不正な試みが、

全部失敗しています。

それでも1日1,200回です。

Webへの通信も7日間で約30万件ありました。

83％は社内からですが、外部から来た通信のかなりの割合は、サーバーの穴を探しているようなアクセスでした。

別にうちが狙い撃ちされているわけではありません。

インターネットにサーバーを公開していれば、こういうアクセスは普通に来ます。

でも初心者の人が、

「パスワードを強くしたから大丈夫」

「ログイン画面があるから大丈夫」

と思ってVPSを使うのは、ちょっと違うなと思いました。

Cloudflareがいいらしい

そんな中、AI界隈でCloudflareの評判がかなりいい、という話をよく聞くようになりました。

Cloudflareは簡単にいうと、

自分のサーバーの前に立って、怪しいアクセスから守ってくれるサービスです。

これはよさそうだなと思って、ChatGPTにも相談しました。

すると、

Cloudflareを使えば、VPSを今より安全にできる。

という提案になりました。

そこで、うちでも導入できないか、AIの情シス担当に実際の環境を調べてもらいました。

調べた結果、うちにはCloudflareは合わなかった

Cloudflare自体が悪いわけではありません。

むしろ、多くのWebサイトではかなり有効なサービスだと思います。

ただ、うちの場合は、

• 今のドメインやメールの設定への影響
• 社内システムで大きなファイルを扱うこと
• 今使っているセキュリティの仕組みとの兼ね合い
• 外部サービスを1つ増やすことで止まる場所も1つ増える

このあたりを考えると、

うちの環境には、そのまま入れるのはあまり向いていない

という結論になりました。

一般論ではよさそうでも、自社に合うとは限らない。

これは今回かなり勉強になりました。

もっと簡単な方法もある

ここで、会社によってはもっと簡単な方法もあります。

これです。

固定IPというのは、簡単にいうと会社のネット回線につく「変わらない住所」です。

VPS側で、

「この会社の住所から来た通信だけ通す」

と決めてしまえば、それ以外の場所からは入口まで来られなくなります。

会社の中からしかVPSを使わないのであれば、これはかなり手軽で分かりやすい対策です。

むしろ、初心者の人にはまずこれでもいいと思います。

ただ、うちはこの方法だけでは使えませんでした。

在宅や外部の業務委託者など、会社の外からも社内システムへアクセスするからです。

なので、会社の固定IPだけに絞ってしまうと、必要な人まで入れなくなります。

そこで、もう少し柔軟に使える方法を選びました。

では、どうするか

今回やりたかったことはシンプルです。

世界中の誰でもVPSの入口まで来られる状態を、もう少し安全にしたい。

だったら、

許可したパソコンしか、その入口まで来られないようにすればいい。

そこで使うことにしたのがTailscaleです。

Tailscaleも難しく考える必要はありません。

簡単にいうと、

会社のパソコンやVPSを、許可した機器だけが入れる専用ネットワークでつなぐ仕組みです。

今までは、

という状態でした。

これを、

に近づけます。

つまり、

という考え方です。

うちはTailscaleを使うことにしました

もともとTailscaleは社内で使っていました。

なので新しいサービスを一から入れるのではなく、その仕組みをVPSの安全対策にも使うことにしました。

VPSをTailscaleにつなぎ、

サーバーを操作する入口は、

• 社内
• 許可された端末

からしか届かないようにしました。

今までのように、世界中から入口まで来て、

そこで鍵があるかどうかを試される。

という状態から、さらに一段手前で止める形です。

従業員の使い方は変えない

セキュリティを強くすると、

「毎回これを起動してください」

「このボタンを押してください」

「このURLに変えてください」

となりがちです。

それはやりたくありません。

面倒な仕組みは、そのうち守られなくなるからです。

なので今回は、

利用者の操作は今までとほとんど変えない

ようにしました。

いつものURLを開く。

裏側で安全な経路を通る。

これだけです。

外部の業務委託者も、使うシステム自体は変えません。

パソコン側に接続設定を追加するだけです。

一気に全部閉じなかった

今回、サーバーを操作する入口はすぐに絞りました。

ただし約40本ある社内システムについては、すぐ全部を閉じませんでした。

調べてみると、まだTailscaleに入っていない端末から使っているケースが数件見つかったからです。

セキュリティを強くした結果、

月曜日に出社したら仕事できません。

では意味がありません。

なので1週間、実際の利用状況を確認します。

問題がないことを確認してから、

社内か、許可された端末からしか社内システムを使えないようにします。

戻せる状態で進めた

こういう変更は、セキュリティを強くすること以上に、

失敗したときにすぐ戻せること

が大事だと思っています。

今回も、変更するときは、

失敗したら自動的に元へ戻る仕組みを入れてから実行しました。

そして、

• 社内から使える
• 許可した端末から使える
• 外からは入れない

これを確認してから確定しました。

新しく入れた仕組みが止まったときに分かるように、監視も追加しています。

今回の追加費用は0円

結果として、

もともと使っていたTailscaleの使い方を広げただけです。

検討から、サーバー操作用の入口を絞るところまで1日。

最初は、

Cloudflareを使ったほうがいいのでは。

というところから始まりました。

でも実際に調べたら、

うちは今あるTailscaleを使うほうが合っていました。