この記事は、 「ネットワーク中級編｜構築・検証・障害切り分けを身につける」 の第26回です。
前回までにACLとステートフルファイアウォールによる通信制御を学びました。 今回は、離れた拠点や社外の端末を安全に接続するためのVPNについて学びます。
VPNとは？仕組み・種類・トンネリングと暗号化を初心者向けに図解
VPNは、インターネットなどの共有ネットワーク上に、 特定の利用者や拠点だけが使用できる仮想的な通信経路を作る技術です。 この記事では、VPNの全体像、トンネリング・暗号化・認証の役割、 拠点間VPNとリモートアクセスVPNの違い、設計と障害切り分けの基本を解説します。
「VPNを使えば安全」「VPNは通信を暗号化するもの」と説明されることがあります。 どちらも方向性としては間違いではありませんが、VPNの全体像を理解するには不十分です。
VPNでは、誰と誰を接続するのか、どこまでを保護するのか、 どの経路をVPNへ通すのかを分けて考える必要があります。
この記事を読み終えるとできること
- VPNを自分の言葉で説明できる
- トンネリングと暗号化の違いを説明できる
- 拠点間VPNとリモートアクセスVPNを区別できる
- フルトンネルとスプリットトンネルを比較できる
- VPN設計で確認すべき項目を挙げられる
- VPN障害を確認する順序を整理できる
VPNとは何か
VPN（Virtual Private Network）とは、共有ネットワーク上に 特定の利用者や拠点だけが使用できる仮想的な専用通信経路を作る仕組みです。
VPNを日本語にすると「仮想専用ネットワーク」です。 物理的な専用線を1本敷設するのではなく、インターネットや通信事業者の網を共有しながら、 論理的には自社専用の経路として利用します。
共有ネットワーク上に作る仮想的な専用経路
本社のPCは、インターネットを意識して通信するのではなく、 支社のプライベートIPアドレスへ直接通信しているように見えます。 実際には、両端のVPN装置がデータを保護し、インターネット上へ運んでいます。
VPNの「Private」は、回線を自社だけで物理的に占有するという意味ではありません。
共有ネットワークを利用しながら、通信相手と経路を論理的に限定し、 必要に応じて暗号化や認証を組み合わせることで、専用ネットワークのように利用します。
なぜVPNが必要なのか
企業では、本社・支社・データセンター・クラウド・在宅勤務者など、 離れた場所にあるネットワークや端末を接続する必要があります。
本社と支社を接続する
離れた拠点同士をVPNで接続すると、支社から本社のサーバーへ 社内LANと同じようにアクセスできます。
社外PCを社内へ接続する
自宅や出張先のPCからVPNを確立し、 社内システムやファイルサーバーを利用できます。
オンプレミスとクラウドを接続する
社内ネットワークとクラウド上の仮想ネットワークを接続し、 プライベートIPアドレスで通信できます。
専用線以外の選択肢を持つ
インターネットVPNは既存のインターネット回線を利用できるため、 専用線より導入しやすい場合があります。
VPNがない場合の問題
インターネット上で社内データを保護せずに送信すると、 経路上で盗聴・改ざん・なりすましのリスクがあります。 また、社内のプライベートIPアドレスは、そのままではインターネット越しに到達できません。
VPNは安全性を高める技術ですが、VPNを導入しただけで全ての攻撃を防げるわけではありません。 認証、端末対策、アクセス制御、ログ監視、脆弱性管理を組み合わせる必要があります。
VPNを支える4つの機能
VPNを理解するときは、次の4つを分けて考えると整理しやすくなります。 方式によって実装は異なりますが、企業向けVPNでは特に重要です。
トンネリング
本来のパケットを別のパケットで包み、 共有ネットワーク上を運べる形にします。
暗号化
通信内容を第三者が読めない形式へ変換し、 機密性を確保します。
認証
接続してきた装置や利用者が、 許可された相手であることを確認します。
完全性確認
通信中にデータが改ざんされていないことを確認します。
トンネリングと暗号化は同じではない
トンネリングは、ある通信を別の通信の中へ包んで運ぶ仕組みです。 一方、暗号化は内容を読めない形にする仕組みです。
| 機能 | 目的 | 暗号化との関係 |
|---|---|---|
| トンネリング | 元のパケットを包み、別のネットワーク上へ運ぶ | トンネルを作るだけでは内容が暗号化されない方式もある |
| 暗号化 | 通信内容を第三者から読めないようにする | 機密性を確保する |
重要：「トンネルが確立した」ことと「安全な暗号化が行われている」ことは同義ではありません。
使用方式、暗号アルゴリズム、認証方式、鍵管理、設定内容まで確認する必要があります。
カプセル化のイメージ
元のパケットを保護し、外側の情報を付けて運ぶ
内側の宛先：本来通信したい社内端末やサーバーのIPアドレス
VPN通信の流れ
本社PCから支社サーバーへ通信する拠点間VPNを例に、 パケットがどのように処理されるか確認します。
- PCが支社サーバー宛てのパケットを送信する 送信元は本社PC、宛先は支社サーバーのプライベートIPアドレスです。
- 本社側VPN装置がVPN対象通信と判定する 宛先ネットワーク、ルーティング、VPNポリシーなどを確認し、 この通信をVPNトンネルへ通すと判断します。
- 元のパケットを暗号化・カプセル化する 元の社内向けパケットを保護し、外側にVPN装置間通信用のヘッダーを付けます。
- インターネット上を通過する インターネット側のルーターは、外側のIPヘッダーを見て支社側VPN装置へ転送します。
- 支社側VPN装置が認証・完全性を確認する 正しい相手から届き、途中で改ざんされていないことを確認します。
- 復号して元のパケットを取り出す 外側の情報を取り除き、本来の支社サーバー宛てパケットへ戻します。
- 支社LANへ転送する 支社側VPN装置はルーティングとファイアウォールポリシーに従って、 パケットを支社サーバーへ転送します。
VPN通信でも、最終的には通常のIPルーティングが必要です。 トンネルが確立していても、経路・ファイアウォール・NATに問題があれば通信できません。
VPNの主な種類
VPNは「何と何を接続するか」で分類すると理解しやすくなります。 実務で最初に区別したいのは、拠点間VPNとリモートアクセスVPNです。
拠点間VPN
本社と支社、オンプレミスとクラウドなど、 ネットワーク同士をVPN装置で接続します。
- 利用者が毎回接続操作をしない構成が一般的
- 複数端末が同じトンネルを利用する
- ルーティング設計が重要
- Site-to-Site VPNとも呼ばれる
リモートアクセスVPN
自宅や出張先のPC・スマートフォンから、 社内ネットワークへ安全に接続します。
- 利用者単位の認証が必要
- VPNクライアントを利用する方式が多い
- MFAや端末状態確認との組み合わせが重要
- Remote Access VPNとも呼ばれる
拠点間VPNとリモートアクセスVPN
インターネットVPNとIP-VPN
「VPN」という言葉は、インターネットを利用するVPNだけを指すとは限りません。 通信事業者が提供する閉域網サービスもVPNと呼ばれます。
| 項目 | インターネットVPN | IP-VPN・閉域網 |
|---|---|---|
| 利用する網 | 公衆インターネット | 通信事業者の閉域ネットワーク |
| 暗号化 | 一般に暗号化を利用する | サービス自体が暗号化を保証するとは限らない |
| 品質 | インターネット品質に依存 | 帯域やSLAを選べる場合がある |
| 導入コスト | 比較的導入しやすい | 一般に回線費用が高くなりやすい |
| 代表用途 | 小規模拠点、バックアップ、クラウド接続、リモートアクセス | 企業の主要拠点接続、品質要件があるWAN |
閉域網だから暗号化が不要、と一律に判断するのは危険です。 機密性要件、事業者のサービス仕様、責任分界を確認し、 必要であれば閉域網上でも暗号化を追加します。
代表的なVPN方式
VPNには複数の方式があります。 中級編では、方式名を暗記するよりも、 「どの層で動作するか」「何を接続するか」「どの機器で終端するか」を確認しましょう。
| 方式 | 特徴 | 代表的な用途 |
|---|---|---|
| IPsec VPN | IP層でパケットを保護する。拠点間VPNで広く利用される | 拠点間接続、クラウド接続、リモートアクセス |
| SSL/TLS VPN | HTTPSでも使われるTLSを利用する。端末からの接続で利用されることが多い | リモートアクセス、Webポータル型アクセス |
| L2TP | レイヤー2のトンネルを作る。暗号化は別方式と組み合わせる | L2TP/IPsecなど |
| GRE | 多様なプロトコルをカプセル化できるが、GRE単体では暗号化しない | ルーティングプロトコルを通すトンネル、IPsecとの併用 |
| WireGuard | 比較的シンプルな構成と高速性を重視したVPN方式 | 拠点・端末接続、OSや製品が対応する環境 |
次の記事では、企業ネットワークで代表的なIPsec VPNについて、 IKE、Security Association、ESP、トンネルモードなどを詳しく学びます。
フルトンネルとスプリットトンネル
リモートアクセスVPNでは、VPN接続中の端末通信を どこまで社内VPN装置へ通すかを決める必要があります。
フルトンネル
社内向け通信だけでなく、インターネット向け通信も 原則として全てVPNトンネルへ通します。
- 社内側で通信を検査・記録しやすい
- セキュリティポリシーを統一しやすい
- 社内回線とVPN装置の負荷が増える
- 遠回りにより遅延が増える場合がある
スプリットトンネル
社内ネットワーク宛てだけをVPNへ通し、 一般のインターネット通信は端末から直接送信します。
- 社内回線とVPN装置の負荷を抑えやすい
- クラウドサービスへ直接アクセスしやすい
- 端末のインターネット通信を社内で検査しにくい
- 端末側のセキュリティ対策がより重要になる
| 宛先 | フルトンネル | スプリットトンネル |
|---|---|---|
| 社内システム | VPN経由 | VPN経由 |
| 一般Webサイト | VPN経由で社内からインターネットへ | 端末から直接インターネットへ |
| 社内側の負荷 | 高くなりやすい | 抑えやすい |
| 通信の一元管理 | しやすい | 端末側対策との組み合わせが必要 |
フルトンネルとスプリットトンネルは、どちらが常に正しいというものではありません。 セキュリティ要件、帯域、利用するクラウドサービス、端末管理方法、運用体制から判断します。
VPNとルーティング・NAT・ファイアウォールの関係
VPNの障害では、「トンネルは確立しているのに通信できない」という状況がよくあります。 これは、VPN以外のネットワーク機能が正しく動作していないためです。
ルーティング
宛先ネットワークをVPNトンネルへ送る経路が必要です。 戻り通信の経路も確認します。
ファイアウォール
VPNインターフェース間、またはVPNゾーンとLANゾーン間の通信を ポリシーで許可する必要があります。
NAT
VPN対象通信に意図しないNATが適用されると、 VPN判定や戻り通信に影響する場合があります。
トンネル確立とデータ通信は別段階
| 段階 | 確認する内容 | 問題例 |
|---|---|---|
| VPN確立 | 対向装置との到達性、認証、暗号方式、鍵交換 | 認証情報不一致、設定不一致、UDPポート遮断 |
| データ通信 | 経路、VPN対象範囲、FWポリシー、NAT、戻り通信 | ルート不足、ポリシー拒否、NAT誤適用、非対称経路 |
障害対応では、「VPNトンネルが確立しているか」と 「トンネル内で業務通信が通るか」を分けて確認します。
VPN設計の確認ポイント
VPNを設計するときは、製品の設定コマンドから考え始めるのではなく、 要件と通信条件を先に整理します。
1．接続対象
- 拠点同士か
- 利用者端末か
- クラウド接続か
- 同時接続数はいくつか
2．通信要件
- 必要な宛先ネットワーク
- 利用するポート・プロトコル
- 必要帯域と許容遅延
- 常時接続か必要時接続か
3．セキュリティ
- 暗号方式
- 装置・利用者認証
- MFAの有無
- 端末状態確認
4．可用性・運用
- 回線・装置の冗長化
- 監視とログ保存
- 障害時の切り替え
- 証明書・鍵の更新
特に見落としやすい設計項目
| 確認項目 | 確認理由 |
|---|---|
| アドレス重複 | 両拠点で同じIPアドレス帯を使用していると、通常のルーティングでは接続できない |
| MTU・MSS | カプセル化でヘッダーが増え、断片化や特定通信だけ停止する原因になる |
| 戻り経路 | 往路だけでなく、応答が同じVPN経路へ戻る必要がある |
| 名前解決 | VPN接続後に利用するDNSサーバーや検索ドメインを設計する必要がある |
| ライセンス・同時接続数 | 製品によって利用可能な機能や接続数が異なる |
| 端末管理 | VPN接続端末がマルウェア感染していると、社内へリスクを持ち込む可能性がある |
リモートアクセスVPNでは、パスワードだけに依存せず、 多要素認証、証明書、端末管理、接続元制限などを組み合わせることが重要です。
VPN障害の切り分け
VPN障害は、いきなり暗号設定を疑うのではなく、 下位の到達性から順番に確認すると効率的です。
インターネットへ到達できるか
認証・鍵交換が成功しているか
ルート・FW・NATは正しいか
DNS・MTU・サーバー側を確認
- 物理回線とインターネット接続を確認する VPN装置自身がインターネットへ到達できるか、回線障害やインターフェースダウンがないか確認します。
- 対向VPN装置へ到達できるか確認する 対向のグローバルIPアドレス、DNS名、上位ルーター、途中のFW・NAT装置を確認します。
- VPNセッション・トンネル状態を確認する 接続中か、交渉中か、失敗しているかをステータスやログで確認します。
- 認証・暗号設定の一致を確認する 事前共有鍵、証明書、ユーザー認証、暗号方式、認証方式、接続IDなどを確認します。
- VPN対象通信とルーティングを確認する 送信元・宛先ネットワークがVPN対象に含まれているか、宛先ルートが正しいか確認します。
- ファイアウォールポリシーとNATを確認する VPNからLAN、LANからVPNの通信許可、意図しないNAT適用を確認します。
- 戻り通信を確認する 接続先サーバーのデフォルトゲートウェイや戻りルート、非対称経路を確認します。
- MTU・MSS・DNS・アプリケーションを確認する pingは通るがWebだけ表示できない場合などは、パケットサイズや名前解決、サーバー側ポートを確認します。
症状から確認箇所を絞る
| 症状 | 優先して確認する項目 |
|---|---|
| VPN接続自体が開始できない | インターネット到達性、接続先アドレス、DNS、クライアント設定、FW遮断 |
| 認証エラーになる | ユーザー名・パスワード、MFA、証明書、有効期限、時刻同期 |
| トンネルは確立するが社内へ通信できない | ルート、VPN対象範囲、FWポリシー、NAT、戻り経路 |
| 一部のサーバーだけ通信できない | 宛先別ルート、サーバー側FW、ACL、アプリケーション待受 |
| 小さい通信は通るが大きい通信が止まる | MTU、MSS、断片化、Path MTU Discovery |
| VPN接続後にインターネットが使えない | フルトンネル設定、デフォルトルート、社内側NAT、DNS |
障害報告では「VPNがつながらない」だけでなく、 トンネル確立の成否、影響範囲、再現条件、確認済み項目、ログ時刻を整理します。
VPNに関するよくある勘違い
VPNは主に通信経路を保護します。 マルウェア感染、脆弱な端末、フィッシング、不正な利用者操作までは自動的に防げません。
トンネル確立後も、ルーティング、ファイアウォール、NAT、戻り経路、サーバー側設定が必要です。
方式や設定によって保護範囲が異なります。 スプリットトンネルでは、社内向け以外の通信がVPNを通らない場合があります。
閉域性と暗号化は別の要素です。 扱うデータや脅威、責任分界に応じて追加対策を判断します。
VPNだけでなく、回線、経路、認証、FW、NAT、DNS、端末管理、監視を一体で考えます。
顧客や利用者へVPNを説明する方法
VPNを説明するときは、専門用語から始めるのではなく、 「何を守り、どこからどこへ接続するのか」を先に伝えます。
技術者向けの説明
VPNは、共有ネットワーク上で元のIPパケットをカプセル化し、 認証・暗号化・完全性確認を行いながら対向装置へ転送する仕組みです。
非技術者向けの説明
VPNは、インターネットの中に会社専用の保護された通路を作り、 離れた拠点や自宅のPCから社内へ安全に接続する仕組みです。
説明時に添えるべき注意点
- VPNは通信経路を保護するもので、端末の安全を自動的に保証するものではない
- インターネット回線を利用するため、速度や安定性は回線品質の影響を受ける
- 認証方式や利用端末の管理が弱いと、不正アクセスの入口になり得る
- 接続対象を必要最小限に制限し、ログを監視することが重要
顧客説明では「暗号化方式が何か」だけでなく、 業務への効果、停止時の影響、運用負荷、利用者の操作まで説明すると、 設計意図が伝わりやすくなります。
英語ドキュメントで使われる表現
VPN製品のログや公式ドキュメントでは、次の英語がよく使われます。
| 英語 | 意味 | 使用例 |
|---|---|---|
| tunnel establishment | トンネル確立 | Failed during tunnel establishment. |
| peer | 対向装置・通信相手 | The remote peer is not responding. |
| authentication failed | 認証失敗 | User authentication failed. |
| encrypted traffic | 暗号化された通信 | Encrypted traffic is sent through the tunnel. |
| split tunneling | スプリットトンネル | Enable split tunneling for selected networks. |
| remote access | リモートアクセス | Configure remote access for mobile users. |
| overlapping subnet | 重複するサブネット | Traffic fails because of overlapping subnets. |
| idle timeout | 無通信タイムアウト | The session was disconnected by the idle timeout. |
障害調査では、製品名とともに
VPN tunnel established but no traffic、
remote access authentication failed、
VPN MTU issueなどで検索すると、原因候補を探しやすくなります。
理解度チェック
記事の内容を確認するため、次の5問に答えてください。 解答を見る前に、自分で理由まで考えてみましょう。
問題1．VPNの説明として最も適切なものはどれですか。
- インターネットを使わず、必ず物理専用線を敷設する仕組み
- 共有ネットワーク上に仮想的な専用通信経路を作る仕組み
- 全てのウイルス感染を防ぐ仕組み
- IPアドレスを自動配布する仕組み
解答を見る
VPNは、インターネットや通信事業者網などの共有ネットワーク上に、 特定の利用者や拠点向けの仮想的な専用経路を作る仕組みです。
問題2．トンネリングと暗号化の違いを説明してください。
解答を見る
トンネリングは元のパケットを別のパケットで包んで運ぶ仕組み、 暗号化は通信内容を第三者が読めない形式へ変換する仕組みです。 トンネルを作るだけでは暗号化されない方式もあります。
問題3．拠点間VPNとリモートアクセスVPNの違いとして正しいものはどれですか。
- 拠点間VPNはネットワーク同士、リモートアクセスVPNは主に端末とネットワークを接続する
- 拠点間VPNだけが暗号化できる
- リモートアクセスVPNでは利用者認証が不要
- 両者に違いはない
解答を見る
拠点間VPNはVPN装置を使ってネットワーク同士を接続し、 リモートアクセスVPNは社外端末から社内ネットワークへ接続します。
問題4．VPNトンネルは確立しているのに、社内サーバーへ通信できません。確認すべき項目を3つ挙げてください。
解答を見る
回答例：
- 宛先ネットワークへのルーティング
- VPNとLAN間のファイアウォールポリシー
- VPN対象通信に対するNATの適用状況
- 接続先サーバーからの戻り経路
- VPN対象ネットワークの設定範囲
問題5．フルトンネルとスプリットトンネルの主な違いは何ですか。
解答を見る
フルトンネルはインターネット向けを含む原則全ての通信をVPNへ通します。 スプリットトンネルは社内向けなど指定した通信だけをVPNへ通し、 その他は端末から直接インターネットへ送信します。
実践演習：リモートアクセスVPNの構成を判断する
次の要件を読んで、VPN構成と確認項目を整理してください。
演習用構成
要件
- 在宅PCから社内の業務サーバーへ接続したい
- VPN接続時は多要素認証を利用する
- 一般のWeb閲覧は端末から直接インターネットへ接続したい
- 業務サーバー以外の社内ネットワークには接続させない
- 接続・切断・認証失敗のログを保存したい
課題1．VPNの種類を答える
この構成は「拠点間VPN」と「リモートアクセスVPN」のどちらですか。
課題1の解答を見る
リモートアクセスVPNです。 社外の利用者端末から、社内ネットワークへ接続する構成だからです。
課題2．フルトンネルとスプリットトンネルを判断する
要件に適合するのはどちらですか。理由も説明してください。
課題2の解答を見る
要件上はスプリットトンネルが適合します。 業務サーバー宛て通信だけをVPNへ通し、一般Web閲覧は端末から直接インターネットへ送るためです。
ただし、端末から直接インターネットへ接続する通信を社内側で検査できないため、 EDR、Webフィルタリング、端末FW、パッチ管理などの端末対策が必要です。
課題3．必要なセキュリティ・ネットワーク設定を挙げる
要件を実現するために必要な設定や確認項目を5つ以上挙げてください。
課題3の解答例を見る
- VPN利用者のユーザー認証
- 多要素認証の設定
- VPNクライアントへ払い出すIPアドレス範囲
- 業務サーバーのネットワークだけをVPN対象経路として配布
- VPN利用者から業務サーバーへの必要ポートだけをFWで許可
- その他の社内ネットワークへのアクセスを拒否
- 業務サーバーからVPNクライアントへの戻り経路
- 接続・切断・認証成功・認証失敗ログの保存
- 証明書や認証サーバーの時刻同期
- VPN装置の同時接続数とライセンス確認
課題4．障害発生時の報告文を作る
「VPN接続は成功するが、業務サーバーへ接続できない」と申告がありました。 原因確定前の初回報告を作成してください。
現在の状況：
確認済み事項：
次に確認する事項：
暫定対応：
課題4の回答例を見る
影響範囲：在宅勤務者1名で、VPN接続後に業務サーバーへアクセスできません。
現在の状況：利用者認証とVPN接続は成功しており、VPN用IPアドレスも払い出されています。
確認済み事項：利用者のインターネット接続、VPN接続先、認証成功ログを確認済みです。
次に確認する事項：業務サーバー宛てルート、FWポリシー、戻り経路、サーバー側ポートを確認します。
暫定対応：緊急性が高い場合は、社内端末を利用できる担当者へ作業を依頼します。
自分の言葉で説明する課題
最後に、ITに詳しくない担当者から「VPNは何をしているのですか」と聞かれた想定で、 30秒程度の説明を作ってください。
説明例を見る
VPNは、インターネットの中に会社専用の保護された通路を作り、 離れた拠点や自宅のPCから社内システムへ接続する仕組みです。 通信相手を認証し、データを暗号化することで、 第三者に内容を見られたり書き換えられたりするリスクを抑えます。
「仮想的な専用経路」「離れた場所を接続」「認証・暗号化による保護」の3点を含められれば、 VPNの基本を説明できています。
まとめ
- VPNは、共有ネットワーク上に仮想的な専用通信経路を作る仕組み
- VPNでは、トンネリング、暗号化、認証、完全性確認を分けて理解する
- トンネリングはパケットを包む仕組みであり、暗号化とは別の機能
- 拠点間VPNはネットワーク同士、リモートアクセスVPNは主に端末と社内を接続する
- フルトンネルは原則全通信、スプリットトンネルは指定通信だけをVPNへ通す
- トンネルが確立していても、ルーティング・FW・NAT・戻り経路に問題があれば通信できない
- VPN設計では、接続対象、通信要件、認証、暗号化、可用性、監視、端末管理を確認する
- VPNは通信経路を保護する技術であり、端末や利用者を含む全てのリスクを単独で解決するものではない
VPN障害を切り分けるときは、「トンネルが確立するまで」と 「トンネル内で業務通信が通るまで」を分けて確認することが重要です。
コメント