スプリットトンネリング構成でトラフィック分離とAzureADの条件付きアクセスの検証

概要
準備

2-1.概要図

2-2.登場人物
VPNサーバー作成

3-1.VPNサーバーのソフトウェアインストール

3-2.ルーターの設定

3-3.VPNのエージェントのインストール、設定

3-4.VPNでの社内アクセス、インターネットアクセスの確認
クラウドプロキシとの併用設定

4-1.クライアントマシンにVPNのスプリット設定

4-2.AzureADの条件付きアクセスを使用（M365の認証用のトラフィックをVPN経由にする）

4-3.想定通り通信ができているかの確認
まとめ

4.クラウドプロキシとの併用設定

4-1.クライアントマシンにスプリット設定

※先日の続きです（概略図を少し変更してみました）

クライアントにVPNのスプリットにする設定をします。コマンドプロンプトで"route print"をすると以下の様に表示されます。

ここで「コントロールパネル」＞「Network Sharing Center」＞VPNのアダプタをクリック

「Properties」＞「インターネットプロトコルバージョン4(TCP/IPv4)」をクリック＞「Properties」をクリック

「Advanced」をクリック＞下の方に「Automatic Metric」の項目があり、✓が付いているのでそれを外し

internet metricの箇所に20（目安）を入力します。

その後Wifi側のアダプターも上記と同様にinternet metricの箇所まで行き、VPNのMetricよりも低い数字を入れます（10をいれてみた）

その後再度”route print"してみると以下の様にデフォルトゲートが2つになっていて、

Metricが低いWifi側が優先になるので、インターネットのトラフィックはVPNにはいかなくなっています。

確認くんで確認してみると家のwifi ルーターからインターネットに出ていました。

社内のWebサイトにアクセスするとちゃんとVPNでアクセスしてました。（以下）

ここでインターネットの通信をプロキシ（GCP）を通って行くように設定します。

「コントロールパネル」＞「Network and Internet」> 「Internet Options」＞「Connections」のタブをクリック

「LAN Settings」をクリックし、Proxy Serverにプロキシのアドレスを入れます。

その後、プロキシのログを見たところ、アクセスログが記載されていました。

4-2.AzureADの条件付きアクセスを使用（M365の認証用のトラフィックをVPN経由にする）

M365にかかわらず、SaaSへのアクセスの際に送信元IPアドレスを通知してアクセスを許可しているサービスがあるかと思います。

しかしすべてのトラフィックをVPN経由にすると社内のゲートウェイ機器のボトルネックになる可能性があるので、

M365の認証のトラフィックのみをVPN経由にし、それ以外のトラフィックは（GCPのプロキシを通って）直接インターネットを通る設定にしてみたいと思います。

まずはスプリットトンネルで外向けの通信はすべてプロキシに行くようにした状態のままで、M365の認証トラフィックのみをVPN側に入るようにします。

上記のようにPACファイルの場所を指定し、PACファイルの中にM365の認証トラフィックをバイパスする記載をします。

PACはGCP内のPACサーバーに置きました。

function FindProxyForURL(url, host)
{

if (isPlainHostName(host) ||
        isInNet(host, "192.168.0.0", "255.255.0.0") ||
        isInNet(host, "**.222.10.187", "255.255.255.0") ||
        isInNet(host, "***.***.***.**8", "255.255.255.0"))  */VPN Gateway/*
        return "DIRECT";


if (shExpMatch (url, "https://login.microsoft.com/*") ||                                
                shExpMatch (url, "https://login.windows.net/*")|| 
                shExpMatch (url, "https://env.b4iine.net/*")||                              
                shExpMatch (url, "https://login.windows.net/*")||                       
                shExpMatch (url, "https://login.microsoftonline.com/*"))                                
            return "DIRECT";                                                       

      return "PROXY ***.***.247.76:3128";  */Proxy/*


}

ここでM365の認証トラフィックに該当するドメインは以下です。

env.b4iine.netは「確認くん＋」です（確認用に追加しています）

PACを設定したところで「確認くん」と「確認くん＋」を見てみます。

「確認くん」は先ほどと同じようにProxy経由になっています。方や「確認くん＋」はバイパス設定したので普通に家のプロバイダーからインターネットに抜けています。

次に「確認くん＋」とM365認証トラフィックがVPN経由になるようにクライアントの設定をしてあげます。

まずは、M365の認証トラフィックのIPアドレス（登録範囲）を調べます。nslookup login.microsoft.com をしてみたり、

以下のサイトで調べると、

20.190.128.0/18、40.126.0.0/18を登録すると良さげなので、試してみます。確認くん＋のIPアドレスも調べておきます。

Office 365 の URL と IP アドレスの範囲 - Microsoft 365 Enterprise | Microsoft Docs

コマンドプロンプトを開いて、”route print"を入力しました。

Interface ListのVPN Client Adapterの数値（一番左側）が38となっているのでメモしておきます。

そのままコマンドプロンプト画面で以下の様に入力しました。 (管理者権限でコマンドプロンプトを立ち上げます）

route add 20.190.128.0/18 mask 255.255.255.255 192.168.100.1 metric 1 if 38

route add 40.126.0.0/18 mask 255.255.255.255 192.168.100.1 metric 1 if 38

route add 150.95.55.170 mask 255.255.255.255 192.168.100.1 metric 1 if 38

登録した後に再度確認くん＋を見てみたところ、以下の様にちゃんとVPN経由になっていました。

これできっとM365の認証トラフィックもVPN経由になっているのかと思います。