VPNホワイトリスト制でセキュリティ強化！ドメイン・IPアドレス制限の設定方法と運用のコツ

# 基本的なドメインホワイトリスト例

# 業務必須サービス
*.office.com
*.microsoft.com  
*.google.com
*.github.com
*.slack.com

# 会社関連
*.company-domain.com
mail.company-domain.com
vpn.company-domain.com

# クラウドサービス
*.amazonaws.com
*.azure.com
*.googleapis.com

# セキュリティ関連
*.antivirus-vendor.com
*.security-service.com

# 適切なワイルドカード使用例

# ✅ 推奨：特定サービスのサブドメイン
*.office365.com        # outlook.office365.com, teams.office365.com等
*.slack.com            # app.slack.com, files.slack.com等
mail.*.company.com     # mail.tokyo.company.com, mail.osaka.company.com

# ⚠️ 注意が必要：範囲が広すぎる例
*.com                  # 危険：すべての.comドメインを許可
*.co.jp               # 危険：すべての日本企業ドメインを許可

# ✅ より安全な代替案
specific-service.com
another-service.co.jp

# ログ分析用の簡単なスクリプト例（Linux/Unix）

# DNSクエリログから頻繁にアクセスされるドメインを抽出
cat /var/log/dns.log | grep -E "query|answer" | \
awk '{print $NF}' | sort | uniq -c | sort -nr | head -50

# プロキシログからアクセス頻度の高いドメインを抽出  
cat /var/log/proxy.log | awk '{print $3}' | \
cut -d'/' -f3 | sort | uniq -c | sort -nr | head -50

# 特定期間のアクセス分析
awk '$1 > "2024-01-01" && $1 < "2024-01-31" {print $3}' \
/var/log/proxy.log | cut -d'/' -f3 | sort | uniq -c

# IPアドレスホワイトリスト設定例

# 社内システム
192.168.1.10    # メールサーバー
192.168.1.20    # ファイルサーバー  
192.168.1.30    # データベースサーバー
10.0.0.0/8      # 社内ネットワーク全体

# パートナー企業
203.104.209.0/24   # A社ネットワーク
210.123.45.100     # B社VPNゲートウェイ

# クラウドサービス固定IP
52.95.110.1     # AWS S3特定リージョン
13.107.42.14    # Microsoft 365
74.125.224.0/19 # Google Workspace

# 実際の企業環境でのCIDR設定例

# 本社ネットワーク
192.168.0.0/16      # 本社全体（約65,000台）

# 支社ネットワーク  
10.1.0.0/24         # 東京支社（約250台）
10.2.0.0/24         # 大阪支社（約250台）
10.3.0.0/24         # 名古屋支社（約250台）

# 部門別ネットワーク
172.16.10.0/24      # 開発部門
172.16.20.0/24      # 営業部門
172.16.30.0/24      # 管理部門

# DMZ（非武装地帯）
203.0.113.0/29      # 公開Webサーバー（8台まで）
203.0.113.8/29      # 公開メールサーバー（8台まで）

# 動的IP環境での自動更新スクリプト例

#!/bin/bash

# 現在の外部IPアドレスを取得
CURRENT_IP=$(curl -s https://ipinfo.io/ip)

# 前回のIPアドレスを読み込み
PREVIOUS_IP=$(cat /var/log/last_ip.txt 2>/dev/null)

# IPアドレスが変更された場合の処理
if [ "$CURRENT_IP" != "$PREVIOUS_IP" ]; then
    echo "IP変更検出: $PREVIOUS_IP -> $CURRENT_IP"
    
    # ファイアウォールルールを更新
    sudo iptables -D INPUT -s $PREVIOUS_IP -j ACCEPT 2>/dev/null
    sudo iptables -I INPUT -s $CURRENT_IP -j ACCEPT
    
    # 現在のIPを記録
    echo $CURRENT_IP > /var/log/last_ip.txt
    
    # 管理者に通知
    echo "VPN許可IPアドレスが変更されました: $CURRENT_IP" | \
    mail -s "IP Address Changed" admin@company.com
fi

# FortiGate CLI設定例

# ドメインベースのアドレスオブジェクト作成
config firewall address
    edit "allowed_domain_google"
        set type fqdn
        set fqdn "*.google.com"
    next
    edit "allowed_domain_office365"
        set type fqdn
        set fqdn "*.office365.com"
    next
end

# IPレンジベースのアドレスオブジェクト作成
config firewall address
    edit "company_network"
        set type ipmask
        set subnet 192.168.0.0 255.255.0.0
    next
    edit "partner_network"
        set type ipmask
        set subnet 203.104.209.0 255.255.255.0
    next
end

# アドレスグループ作成
config firewall addrgrp
    edit "whitelist_domains"
        set member "allowed_domain_google" "allowed_domain_office365"
    next
    edit "whitelist_networks"
        set member "company_network" "partner_network"
    next
end

# ポリシー設定（VPNユーザーからのアクセス制御）
config firewall policy
    edit 1
        set name "VPN_Whitelist_Policy"
        set srcintf "ssl_vpn_tunnel"
        set dstintf "wan1"
        set srcaddr "all"
        set dstaddr "whitelist_domains" "whitelist_networks"
        set action accept
        set schedule "always"
        set service "ALL"
    next
end

{
  "ClientVpnEndpoint": {
    "ClientVpnEndpointId": "cvpn-endpoint-123456789",
    "Description": "Whitelist Enabled VPN",
    "Status": {
      "Code": "available"
    },
    "CreationTime": "2024-01-01T00:00:00.000Z",
    "DnsName": "*.cvpn-endpoint-123456789.prod.clientvpn.region.amazonaws.com",
    "ClientCidrBlock": "10.0.0.0/16",
    "DnsServers": ["8.8.8.8", "8.8.4.4"],
    "SplitTunnel": true,
    "SecurityGroupIds": ["sg-whitelist-rules"],
    "TransportProtocol": "udp",
    "AuthenticationOptions": [
      {
        "Type": "certificate-authentication"
      }
    ]
  }
}

# AWS CLI でのセキュリティグループ設定

# ホワイトリスト用セキュリティグループ作成
aws ec2 create-security-group \
    --group-name vpn-whitelist-sg \
    --description "VPN Whitelist Security Group"

# HTTPS（443）で特定ドメインのIPレンジを許可
aws ec2 authorize-security-group-egress \
    --group-id sg-12345678 \
    --protocol tcp \
    --port 443 \
    --cidr 142.250.0.0/15  # Google IP range

# 社内ネットワークへのアクセス許可
aws ec2 authorize-security-group-egress \
    --group-id sg-12345678 \
    --protocol tcp \
    --port 1-65535 \
    --cidr 192.168.0.0/16

# デフォルトのインターネットアクセスを拒否
aws ec2 revoke-security-group-egress \
    --group-id sg-12345678 \
    --protocol all \
    --cidr 0.0.0.0/0

# OpenWrt ルーターでのiptables設定例

# デフォルトでインターネットアクセスを拒否
iptables -P FORWARD DROP

# VPNインターフェースからの特定ドメインのみ許可
# ※事前にドメインのIPアドレスを調査して設定

# Google サービス（例：74.125.0.0/16）
iptables -A FORWARD -i tun0 -d 74.125.0.0/16 -j ACCEPT

# Microsoft サービス（例：13.107.0.0/16）  
iptables -A FORWARD -i tun0 -d 13.107.0.0/16 -j ACCEPT

# 社内ネットワーク
iptables -A FORWARD -i tun0 -d 192.168.0.0/16 -j ACCEPT

# DNS クエリは許可（白リスト済みドメインの名前解決用）
iptables -A FORWARD -i tun0 -p udp --dport 53 -j ACCEPT
iptables -A FORWARD -i tun0 -p tcp --dport 53 -j ACCEPT

# 戻りパケットは許可
iptables -A FORWARD -i eth0 -m state --state ESTABLISHED,RELATED -j ACCEPT

# Pi-hole設定例（WhitelistモードでDNSフィルタリング）

# Pi-holeをWhitelist専用モードに設定
pihole -a -s disable

# 許可するドメインをWhitelistに追加
pihole -w google.com
pihole -w microsoft.com  
pihole -w github.com
pihole -w company-domain.com

# サブドメインも含めて許可する場合
pihole -w -wild *.office365.com
pihole -w -wild *.amazonaws.com

# 設定をリロード
pihole restartdns

# Whitelistの内容確認
pihole -w -l

# 自動メンテナンススクリプト例

#!/bin/bash

# 設定: ログファイルと設定ファイルのパス
LOG_FILE="/var/log/vpn_access.log"
WHITELIST_FILE="/etc/vpn/whitelist.conf"
REPORT_FILE="/tmp/vpn_maintenance_report.txt"

echo "=== VPNホワイトリスト メンテナンスレポート ===" > $REPORT_FILE
echo "実行日時: $(date)" >> $REPORT_FILE

# 1. 過去30日間の未許可アクセス試行を分析
echo -e "\n## 上位ブロックドメイン (過去30日)" >> $REPORT_FILE
awk -v date=$(date -d '30 days ago' +%Y-%m-%d) \
    '$1 >= date && $0 ~ /BLOCKED/ {print $NF}' $LOG_FILE | \
    sort | uniq -c | sort -nr | head -20 >> $REPORT_FILE

# 2. 現在のホワイトリストで未使用のエントリを検出
echo -e "\n## 未使用の可能性があるホワイトリストエントリ" >> $REPORT_FILE
while read domain; do
    if ! grep -q "$domain" $LOG_FILE; then
        echo "- $domain (アクセス記録なし)" >> $REPORT_FILE
    fi
done < $WHITELIST_FILE

# 3. 新規追加候補の提示
echo -e "\n## 新規追加候補ドメイン" >> $REPORT_FILE
awk '$0 ~ /LEGITIMATE_REQUEST/ {print $NF}' $LOG_FILE | \
    sort | uniq -c | sort -nr | head -10 >> $REPORT_FILE

# 4. レポートをメール送信
mail -s "VPNホワイトリスト メンテナンスレポート" \
     admin@company.com < $REPORT_FILE

# VPNホワイトリスト診断スクリプト

#!/bin/bash

TARGET_HOST="$1"
if [ -z "$TARGET_HOST" ]; then
    echo "使用法: $0 <ホスト名またはIPアドレス>"
    exit 1
fi

echo "=== VPN接続診断開始 ==="
echo "対象: $TARGET_HOST"
echo

# 1. 基本的な接続性テスト
echo "1. 基本ping テスト"
if ping -c 3 "$TARGET_HOST" > /dev/null 2>&1; then
    echo "✅ Ping成功 - ネットワーク接続OK"
else
    echo "❌ Ping失敗 - ネットワーク接続に問題"
fi

# 2. DNS解決テスト
echo -e "\n2. DNS解決テスト"
if nslookup "$TARGET_HOST" > /dev/null 2>&1; then
    IP=$(nslookup "$TARGET_HOST" | awk '/^Address: / { print $2 }' | tail -1)
    echo "✅ DNS解決成功 - IP: $IP"
else
    echo "❌ DNS解決失敗 - ドメイン名が解決できません"
fi

# 3. ポート接続テスト
echo -e "\n3. ポート接続テスト"
for port in 80 443 22; do
    if timeout 5 bash -c "/dev/null; then
        echo "✅ ポート $port: 接続可能"
    else
        echo "❌ ポート $port: 接続不可"
    fi
done

# 4. ルーティングテーブル確認
echo -e "\n4. ルーティング確認"
echo "現在のデフォルトゲートウェイ:"
route -n | grep '^0.0.0.0'

# 5. VPNインターフェース状態
echo -e "\n5. VPNインターフェース状態"
ip addr show | grep -E "(tun|tap|vpn)" || echo "VPNインターフェースが検出されません"

echo -e "\n=== 診断完了 ==="

# DNS問題の解決スクリプト

#!/bin/bash

echo "=== DNS トラブルシューティング ==="

# 1. 現在のDNS設定を確認
echo "1. 現在のDNS設定:"
cat /etc/resolv.conf
echo

# 2. DNSキャッシュをクリア（OS別）
echo "2. DNSキャッシュクリア実行中..."
if command -v systemd-resolve >/dev/null 2>&1; then
    # Ubuntu/systemd
    sudo systemd-resolve --flush-caches
    echo "✅ systemd DNS キャッシュクリア完了"
elif command -v dscacheutil >/dev/null 2>&1; then
    # macOS
    sudo dscacheutil -flushcache
    echo "✅ macOS DNS キャッシュクリア完了"
elif command -v ipconfig >/dev/null 2>&1; then
    # Windows (WSL環境など)
    ipconfig /flushdns
    echo "✅ Windows DNS キャッシュクリア完了"
fi

# 3. 複数のDNSサーバーでテスト
echo -e "\n3. 複数DNSサーバーでの名前解決テスト:"
for dns in "8.8.8.8" "1.1.1.1" "208.67.222.222"; do
    echo "DNS: $dns"
    nslookup google.com $dns | grep "Address:" | tail -1
done

# 4. 社内DNSとの接続性テスト（例）
echo -e "\n4. 社内DNSサーバー接続テスト:"
if [ -n "$COMPANY_DNS" ]; then
    if nc -z -w3 "$COMPANY_DNS" 53 2>/dev/null; then
        echo "✅ 社内DNS ($COMPANY_DNS) 接続OK"
    else
        echo "❌ 社内DNS ($COMPANY_DNS) 接続NG"
    fi
else
    echo "⚠️ 環境変数 COMPANY_DNS が設定されていません"
fi