コンテンツにスキップ
AegisMesh ドキュメント

★ 管理者強制Exit Node & CLIロック

リモートワークのセキュリティにおいて、「従業員が通信速度を優先して勝手にVPNを切断してしまう」「ユーザーが勝手にExit Nodeを解除してノーガードでWeb閲覧してしまう」 という問題は、シャドーITや情報漏洩の温床となっています。

AegisMesh は、管理者の統制力を担保する 「管理者強制Exit Node」 および 「CLI改ざん防止ロック」 を独自実装しています。

画面構成: 強制Exit Node設定コンソール

管理画面の 「Routing & Exit Nodes」>「Enforced Exit Nodes」 画面から、全社または指定グループに対する強制接続ポリシーを有効化します。

管理者強制Exit Node設定コンソール

画面要素マトリクス

番号設定項目推奨状態説明
①全社Exit Node強制接続ポリシー有効 (ENABLED)クライアント端末が起動した際、自動的に最適なExit Nodeへロックオンし、直接インターネット通信を遮断します。
②CLI / GUI 改ざん防止ロック有効 (LOCKED)★ 独自機能。ユーザーによる手動解除（aegismesh up --exit-node "" 等）をローカルデーモンで強制的に PermissionDenied 遮断します。
③冗長化Exit Nodeプール複数ノード指定東京、大阪、クラウド等のゲートウェイを指定します。クライアントがPing測定を行い最短遅延ノードへ自動接続・フェイルオーバーします。

機構 1: 最短レイテンシ自動選定 & 自動フェイルオーバー

複数のExit Nodeがプールに指定されている場合、クライアントエージェントは自動的にICMP Pingレイテンシを測定し、最も応答速度の速いノードを選択します。

sequenceDiagram
    autonumber
    participant Client as クライアントPC (テレワーク)
    participant Mgmt as AegisMesh コントロールプレーン
    participant NodeA as 東京第1ゲートウェイ (12ms)
    participant NodeB as 大阪第2ゲートウェイ (28ms)

    Client->>Mgmt: 端末チェックイン (gRPCストリーム)
    Mgmt-->>Client: ポリシー受信: EnforcedExitNodes = [東京, 大阪]
    Note over Client: 各ゲートウェイへのICMP Pingをバックグラウンド測定
    Client->>NodeA: Ping測定 ➔ 12ms
    Client->>NodeB: Ping測定 ➔ 28ms
    Note over Client: 最短遅延の「東京ノード」を自動選定
    Client->>NodeA: 暗号化トンネル確立 (全通信を常時集約)

    Note over NodeA: ※ 東京ノードがメンテ等でダウンした場合
    Client->>NodeB: 瞬時に大阪ノードへ自動フェイルオーバー

機構 2: CLI改ざん防止ロックの実機動作

管理者がCLI改ざん防止ロックを有効化している場合、クライアント端末のローカルユーザー（たとえローカル管理者権限 sudo / Administrator を持っていても）による手動解除・変更コマンドは、デーモン内部で即座に遮断されます。

Terminal window
# 1. ユーザーが勝手にExit Nodeを解除しようとした場合
$ aegismesh up --exit-node ""
Error: rpc error: code = PermissionDenied desc = manual exit node modification is blocked by administrator policy (enforced exit node active)


# 2. ユーザーが勝手に別の未許可ノードを指定しようとした場合
$ aegismesh up --exit-node 100.64.0.99
Error: rpc error: code = PermissionDenied desc = manual exit node modification is blocked by administrator policy (enforced exit node active)

クライアントGUIでの表示

Windows / macOS クライアントの操作ポップアップでも、Exit Node 選択メニューに 「🔒 管理者ポリシーにより固定されています」 と表示され、ユーザーによる操作が無効化（グレーアウト）されます。