会社のパソコンを自宅で使う場合のセキュリティ対策（社外ネットワーク利用時のインターネット閲覧制限）

会社のパソコンを自宅のWi-Fiなどに接続してテレワークする際、テレワークに必要なサイト以外はインターネットに繋がらないようにする設定方法をご紹介します。

自宅のWi-Fiなど会社以外のネットワーク環境はセキュリティ対策が十分でないことが多く、不用意なインターネット閲覧によるウイルス感染のリスクを回避したいからです。

感染したパソコンを再び社内のネットワークに接続した際、感染が全社に広がったらたまったものではありません。

やりたいこと

会社のドメインネットワークに接続している時はインターネット閲覧可能
自宅のWi-Fiなど会社以外のネットワークに接続している時はインターネット閲覧不可
但し、会社以外のネットワークに接続している場合でも、テレワークに必要なVPN接続は可能

ここで言う会社のドメインネットワークとは ActiveDirectoryドメイン環境のことで、会社のドメインネットワークに接続しているか否かは、ネットワークアダプタのプロファイルで判別します。（ PowerShellの “Get-NetConnectionProfile” コマンドのNetworkCategory値）

会社のドメインネットワークに接続している場合　：　DomainAuthenticated
※ActiveDirectoryドメインサーバに接続すると、接続したネットワークアダプタの属性が自動的に”DomainAuthenticated”に設定されます。
会社以外のネットワーク接続している場合　：　PublicまたはPrivate

また、具体的な制御はドメイン、プライベート、パブリックの3つの属性ごとに制御可能な、Windows10標準のWindowsDefenderファイアウォール（以下、「Windowsファイアウォール」）を使用します。

でそれでは、詳細な手順について説明していきます。

会社のネットワークプロファイル確認
Windowsファイアウォールの設定

会社のネットワークプロファイル確認

会社のネットワークがドメインプロファイルになっていることを確認します。

（１）Windows PowerShellを起動
　（「スタート」ボタンを右クリック　→　「Windows PowerShell」をクリック）

（２）”Get-NetConnectionProfile“コマンドを投入し、該当のネットワークインターフェースが”DomainAuthenticated”と表示されることを確認

Windowsファイアウォールの設定

次にWindowsファイアウォールの設定を行います。

Windowsファイアウォールの有効化

まずWindowsファイアウォールが有効になっているか確認します。

（１）「スタート」ボタンを右クリック　→　「検索」をクリック

（２）”コントロール”と入力

（３）表示された「コントロールパネル」をクリック

（４）「システムとセキュリティ」をクリック

（５）「Windows Defender ファイアウォール」をクリック

（６）以下のようにWindowsファイアウォールが無効になっている場合は「推奨設定を使用します」をクリックしファイアウォールを有効にします。

※有効化後は以下の様になります。

Windowsファイアウォールのプロパティ変更

次にプライベートとパブリックプロファイルをブロックします。

（１）「詳細設定」をクリック

（２）「Windows Defender ファイアウォールのプロパティ変更」をクリック

（３）「プライベートプロファイル」のタブをクリックし、”送信接続”を「ブロック」に変更

（４）同様に「パブリックプロファイル」のタブをクリックし、”送信接続”を「ブロック」に変更し「OK」ボタンをクリック

（５）以下の通り”プライベートプロファイル”と”パブリックプロファイル”が「規則に一致しない送信接続はブロックされます。」となっていることを確認

ここまでの設定で、社内ドメインネットワーク以外のネットワーク利用時はインターネット接続ができない状態になります。

VPN接続許可設定

次に、テレワークに必要なVPN接続が可能となるよう設定を行います。当例ではVPN接続サイトを以下と想定しています。
https://xxx.xxx.xxx.xxx

（１）「送信の規則」を右クリックし、「新しい規則」をクリック

（２）「ポート」を選択し、「次へ」をクリック

（３）「特定のリモートポート」を選択　→　ポート番号を設定し、「次へ」をクリック
※当例では443ポートを設定

（４）「接続を許可する」を選択し、「次へ」をクリック

（５）適用するネットワークプロファイルを選択し、「次へ」をクリック

（６）規則の名前を設定し、「完了」をクリック

（７）作成した規則をダブルクリック

（８）「スコープ」タブを選択し、ローカルIPアドレスは「任意のIPアドレス」、リモートIPアドレスは「これらのIPアドレス」を選択し、「追加」ボタンをクリック

（９）接続するサイトのIPアドレスを設定し、「OK」をクリック

（１０）IPアドレスが設定されていることを確認し、「OK」をクリック

以上で社外のネットワークからVPNサイトへの接続が可能となります。

【参考】
当方BIG-IP APMでのVPN環境を利用していますが、VPN接続後も社内のネットワーク経由でインターネットに接続できなくなくなるため、以下のようにWindowsファイアウォールのコマンドを発行することで回避しています。

①VPN接続中はパブリック、プライベートプロファイルのブロックを解除

netsh advfirewall set publicprofile firewallpolicy blockinbound,allowoutbound

netsh advfirewall set PrivateProfile firewallpolicy blockinbound,allowoutbound

②VPN未接続時はパブリック、プライベートプロファイルをブロック

netsh advfirewall set publicprofile firewallpolicy blockinbound,blockoutbound

netsh advfirewall set PrivateProfile firewallpolicy blockinbound,blockoutbound

VPN接続時および切断時にWindowsイベントログにメッセージが出力されるため、タスクスケジューラのイベントをトリガーとして上記コマンドを発行します。これによりVPN接続中は社内のネットワーク経由でインターネット閲覧が可能になります。

ActiveDirectoryサーバ接続許可設定

自宅のWi-Fiなど社外のネットワークに接続した際、ネットワークインターフェースのプロファイルが”DomainAuthenticated”から”Private”や”Public”に変わっていることがあります。
その状態で社内のネットワークに接続してもActiveDirectoryサーバと通信できないため以下のとおり通信許可設定を行います。ActiveDirectoryサーバ接続後はネットワークインターフェースのプロファイルは自動で ”DomainAuthenticated” に戻ります。

（１）「送信の規則」を右クリックし、「新しい規則」をクリック