リスクと安全対策

誰にどのアクセスを許可するのか、暗号化の範囲はどこまでか、接続の共有やネットワーク設定の変更前に確認してください。

ネットワークへの公開と認証

0.0.0.0 で待ち受ける場合のリスク

0.0.0.0 は、現在の Wi-Fi だけでなく、すべての IPv4 インターフェイスで待ち受ける指定です。これだけでインターネットに公開されるわけではなく、到達範囲はルーターのポート転送、ファイアウォール、経路で決まります。認証なしで到達可能な場合、第三者が帯域や Mac・プロキシ経由で到達できるリソースを利用し、不正利用が利用者の公開 IP に結び付くおそれがあります。特定のプライベートアドレスを優先してください。0.0.0.0 が必要な場合は認証を有効にし、ファイアウォールで接続元を制限してください。平文の HTTP/SOCKS ポートを信頼できないネットワークに直接公開しないでください。認証だけでは接続は暗号化されません。

認証を無効にした場合のリスク

認証なしでは、待ち受けポートのネットワーク接続条件を満たすクライアントが資格情報なしでプロキシを利用できます。プライベートアドレスや同じ Wi-Fi は信頼の証明ではなく、リクエストを個々の利用者に確実に結び付けることもできません。第三者による帯域や到達可能なリソースの利用、不正利用と公開 IP の関連付けのおそれがあります。隔離されたネットワークで信頼できる端末だけに制限している場合を除き、認証を有効にしてください。

ポート転送と SOCKS の待受ポート

ローカル転送は Mac 経由で宛先サービスを公開します。リモート転送は SSH サーバー経由で Mac から到達できるサービスを公開します。リモートのループバック待受アドレスは Mac ではなくサーバー自身のものです。サーバー上の他の許可されたユーザーもアクセスできる場合があります。広い範囲への公開にはサーバーの SSH ポリシーとファイアウォールも関係します。データベース、リモートデスクトップ、Web サービス自身の認証を維持してください。

通常の SSH SOCKS 待受ポートは認証付きネットワーク共有とは別の入口です。共有用の資格情報で保護されるとは限りません。127.0.0.1 を優先し、公開範囲を広げる前に待受アドレス、サーバー権限、ファイアウォールを確認してください。:: は IPv6 のワイルドカードで、プライベートネットワーク限定を意味しません。ローカル転送とリモート転送を参照してください。

暗号化の範囲と SSH サーバーの識別

SSH が暗号化するのは Mac と SSH サーバー間のトンネルです。クライアントから待受ポートまで、またはサーバーから宛先までの通信が自動的に暗号化されるわけではありません。必要に応じてエンドツーエンドの HTTPS や宛先プロトコルの暗号化を使ってください。SSH サーバーと宛先も信頼する必要があります。トンネルは危険なサービスを安全にしたり、匿名性を保証したりしません。

初回接続では信頼できる経路でホスト鍵の指紋を照合してください。鍵が変わったら原因を確認してから信頼をリセットします。警告を回避するために厳密な検証を無効にしないでください。パスワード、秘密鍵、OTP はユーザーを、ホスト鍵はサーバーを認証します。SSH ホストの信頼を参照してください。

ルーティングと DNS の適用範囲

ルールの順序、デフォルトルール、一致したルールの DNS 設定を確認してください。DIRECT は明示的な直接接続です。PROXY 障害時の自動直結を想定せず、フォールバックを明示的に設定してください。名前解決とアプリの接続が別経路を通る場合があります。プロキシ経由の DNS でも、通常の TCP/53 の上流 DNS が DoH になるわけではありません。

手動 HTTP プロキシ、SSH SOCKS、透過ルーティングを、すべての通信を扱う VPN やキルスイッチとみなさないでください。アプリはプロキシを無視したり、独自 DNS、既存接続、非対応の通信を使ったりする場合があります。HTTP CONNECT は汎用 UDP 転送ではありません。実際のアプリ、プロトコル、IPv4/IPv6 経路を確認してください。ルール、DNS、SOCKS の制限を参照してください。

ゲートウェイモードのリスク

ゲートウェイモードは実験的な機能で、ユーザー名・パスワード認証やマルチユーザー認証に対応しません。プロキシモードの認証はゲートウェイトラフィックを保護せず、IP フィルタリングもユーザーの本人確認にはなりません。信頼できる隔離 LAN のみで使用し、接続元 IP を制限してください。管理者の承認を得て IP 転送とパケットフィルタを変更するため、通信が中断する可能性があります。端末と Mac 間は暗号化されず、IPv6 がルールを迂回する可能性もあります。複数ゲートウェイ環境で往路と復路が異なると、タイムアウト、切断、ポート転送の失敗が起こり得ます。Mac のスリープ、アプリ終了、アドレス変更で共有は中断します。停止後は端末のゲートウェイと DNS を元に戻してください。本節はリスクの説明であり、検証済みの設定手順ではありません。

Enterprise 管理と証明書

Enterprise 設定は Enterprise エディション専用です。Web/API アクセスでは設定や許可された操作が利用可能になり、コンソールやファイルへのアクセス権限は特に重要です。管理者をローカルで初期設定し、接続元と役割を制限して、必要な操作権限だけを許可してください。アプリの画面ロックは API、管理者、プロキシの認証を代替しません。

信頼できない経路では検証済みの HTTPS を使ってください。プライベート CA はクライアントが信頼する必要があり、接続名は証明書に含まれていなければなりません。信頼できる ID のみを読み込み、秘密鍵を保護してください。HTTPS プロキシの TLS はその待受ポートだけを保護し、別の HTTP/SOCKS ポートを暗号化したり UDP に対応させたりしません。API トークンのリセットと管理者のブラウザセッションは別です。Enterprise と TLSを参照してください。

資格情報、バックアップ、接続の共有

コピーしたプロキシ URL や shell コマンドにはパスワードが含まれる場合があります。クリップボード同期、履歴、ログから漏れる可能性があります。診断情報を共有する前に資格情報、トークン、アドレス、個人情報を伏せてください。SSH 鍵を保護し、必要最小限の権限を持つ専用の資格情報を使ってください。

設定バックアップのパスワード暗号化領域には資格情報が含まれる場合があります。バックアップとパスワードを安全な別々の場所に保管してください。秘密鍵ファイル、TLS ID／CA 秘密鍵、管理者アカウント／API トークン、Enterprise 活動履歴、アプリのロック解除情報は含まれず、別の復旧準備が必要です。QR 共有は資格情報を除外しますが設定は開示します。QR と共有パスワードを持つ人は読み込めます。有効期限は読み込み済みのコピーを取り消しません。バックアップとQR 共有を参照してください。

自動化と無人運用

ローカル／リモートスクリプトと接続後アクションは、対応する Mac または SSH アカウントの権限で実行されます。有効にする前に確認してください。読み込んだ設定の宛先、待受ポート、ルール、スクリプトも確認します。起動グループや自動再試行は、再クリックなしで複数の接続を開き直すことがあります。画面ロックは既存トンネルを切断しません。無人運用の前にグループと起動／再試行設定を確認してください。自動化を参照してください。

可用性、プライバシー、利用上の責任

スリープ、ネットワーク変更、上流の制限、接続過多でサービス停止やリソース不足が起きる場合があります。SSH が緑でも宛先の稼働は保証されません。通信量や接続記録は運用の参考であり、安全性の証明や完全な課金記録ではありません。権限のあるネットワークとサービスのみを共有してください。接続先独自の制限も適用され、不正利用は出口 IP と関連付けられる場合があります。トラブルシューティングを参照してください。

サービスを公開する前の確認

• ルーティング先のネットワークやリモートサーバーのユーザーを含め、各待受ポートに到達できる相手を確認する。
• 適切な認証と宛先サービスの暗号化を有効にし、SSH/TLS の識別情報を検証する。
• 送信元制限、ルール順序、デフォルト、DNS を確認し、許可したクライアント 1 台で先に試す。
• 起動、再試行、グループ、スクリプトを確認し、元のネットワーク設定と鍵／証明書の復旧手段を用意する。
• リソースと接続記録を確認し、不要になった共有を停止する。

不正利用が疑われる場合

1. 該当する共有、待受ポート、接続を停止します。管理アクセスが関係する場合は管理サービスも停止します。
2. ファイアウォールとルーターの公開範囲を絞り、該当するアカウント、資格情報、トークンを失効させます。トークンのリセットだけではブラウザからログアウトしません。
3. 必要なログを非公開で保全し、サーバーと宛先へのアクセス、ルール、グループ、起動アクションを確認します。
4. 変更したクライアントのゲートウェイ／DNS を元に戻し、必要なアクセスだけを再開して信頼するクライアントで確認します。