VPNとは｜ビジネスサイドのための IT 用語集

 VPNとはVPN（Virtual Private Network）は、インターネットなど既存の通信網を利用して仮想的なネットワークを構成し、限られた相手の間で利用できるようにする技術です。暗号化や改ざんの検知を備えたVPNでは、盗み見や改ざんのリスクを低減するため、指定した接続点の間の通信を保護します。
例えば、自宅のパソコンから社内のネットワークに接続してオフィス内のシステムを利用する方法としてVPNがあります。インターネットが誰でも利用する道路なら、暗号化されたVPNは指定した区間を移動する鍵付きの配送便のようなものです。VPNは接続の仕組みであり、システムのデータを誰が閲覧・変更できるかを制御する権限管理とは役割が異なります。
 端末と組織のネットワークを接続するリモートアクセスVPNと事業所やクラウドのネットワーク同士を接続する拠点間VPNリモートアクセスVPNは利用者の端末と組織のネットワークを接続します。利用者が専用のソフトなどでVPNへ接続し、社内だけに公開されたシステムを利用する形です。AWS（Amazon Web Services）のClient VPNでは端末からVPN接続点まで暗号化された通信を確立し、接続できるネットワークを利用者のグループに応じて制限できます。
拠点間VPNはネットワーク同士を接続します。例えば複数の事業所を接続する場合や、自社の設備でシステムを稼働させるオンプレミスのネットワークと、クラウドのネットワークを接続する場合に利用します。AWS Site-to-Site VPNでは、組織側とクラウド側の接続点の間に暗号化された接続を確立します。
リモートアクセスVPNと拠点間VPNでは、管理する対象も異なります。端末ごとの接続では利用者の端末設定を、拠点間の接続では各拠点の接続機器と回線を管理します。
 VPNが保護する通信の範囲暗号化されたリモートアクセスVPNでは、VPNを経由する通信について、端末からVPNの接続点までが保護されます。接続点から先の通信はそのVPNの暗号化区間の外です。社内システムとの通信も保護する必要がある場合は、ブラウザなどと接続先の通信を暗号化するHTTPS（Hypertext Transfer Protocol Secure）などを併用します。VPNは端末内に保存されたデータの保護や、不正なアプリの実行を防止する対策の代わりにはなりません。
VPNに接続しても、すべての通信がVPNを通過するとは限りません。端末からの通信の大半をVPN経由にする設定のほか、通信の一部だけをVPN経由とし、残りを直接接続するスプリットトンネルという設定があります。例えばMicrosoft 365では、社内向け通信はVPNの接続点を経由させ、指定されたサービスへの通信は直接接続する構成を設定できます。
直接接続する通信はVPNでは暗号化されません。組織がVPN経由の通信について、社内側の通過地点で接続先や確認可能な通信内容を確認している場合も、直接接続する通信はその確認の対象外です。
一方、クラウド上のサービス自体がHTTPSを利用すれば、その通信はVPNとは別に暗号化されます。どの宛先への通信がVPNを経由するかと、経由しない通信を何で保護するかを確認します。
 SaaSにアクセスするときもVPNは必要かSaaS（Software as a Service）は、事業者のクラウド上で稼働するソフトウェアをネットワーク経由で利用する形態です。社外から直接利用できるSaaSでは、VPNが常に必要とは限らず、HTTPSによる通信の保護とサービス側の認証・権限管理で利用する方法があります。Microsoft 365でも、指定された通信をVPNから分離して直接接続できます。対象の通信をVPN機器に集中させないことで、機器の負荷や通信の遅れを軽減できる場合があります。
組織がSaaSへの接続元を、通信の接続元や宛先を識別する番号であるIP（Internet Protocol）アドレスなどで制限している場合は、VPNを利用した接続が必要になることもあります。例えば接続元を組織のVPN接続点のIPアドレスに限定する設定では、VPNを経由しない通信からの接続は許可されません。Microsoftの認証サービスであるMicrosoft Entraでは、接続元のネットワークを条件にログインを許可・拒否するよう設定できます。
利用者は利用前に、接続元の制限がVPN経由の通信に関連しているか、直接接続を組織が許可しているかを管理担当に確認します。
組織の方針として直接接続を認める場合は、管理担当が対象のサービスを選定し、そのサービスへの直接接続で求める利用者の認証方式と端末の条件を決定します。設定後は、社内向けの通信と直接接続する通信がそれぞれどこを経由するかを管理担当が確認します。
利用者には自己判断でVPN設定を変更しないよう周知します。
 VPN接続機器のセキュリティ更新と利用者の認証・権限の管理リモートアクセス用のVPN接続機器は社外からの窓口であり、攻撃の対象にもなります。VPN製品のIvanti Connect Secureと、同社のアクセス制御製品Ivanti Policy Secureでは、脆弱性を悪用した攻撃が2024年に報告されています。自組織で利用するVPN製品についても提供元の更新情報を確認し、機器と端末にセキュリティ更新を継続して適用します。
修正が提供されていない場合は、接続停止など提供元が案内する緩和策を確認します。
侵害の疑いがある場合は、更新だけで対応を完了としません。管理担当が侵害の疑いのある機器や端末を隔離して記録を調査し、認証情報が漏えいした可能性があれば認証情報を更新したうえで復旧します。
VPN接続にはパスワードと端末の所持など異なる種類の要素を併用する多要素認証を設定します。
ただし多要素認証でも、利用者が偽サイトに誘導され、手入力のワンタイムコードが詐取される場合があります。利用できる場合はフィッシング耐性のある方式を検討し、VPNとSaaSのそれぞれで認証条件を確認します。
認証とは別に、利用者ごとの接続権限も管理します。退職や担当変更があれば権限を削除し、必要なシステムだけにアクセスできるようにします。
VPNの運用には導入後も費用と工数がかかります。費用には例えば機器やサービスの利用料があり、工数は例えば更新、接続できない場合の問合せ対応、認証手段を紛失した場合の復旧、接続記録の確認にかかります。
導入時の見積もりには、これらの継続的な費用と工数も含めます。
VPN機器の同時接続数が上限に到達しているときに新たな接続要求があると、接続できない利用者が生じる場合があります。そのため、同じ時間帯に必要な接続数を把握して機器の上限と比較し、ピーク時に必要な数の利用者が接続できるかを試験します。
VPNに障害が発生した場合は利用できなくなる社内システムと、制限や通信の振り分け設定次第で直接利用できるSaaSを区別し、復旧方法を確認します。
 VPNを利用すれば各システムのアクセス権の管理は不要か不要にはなりません。VPNはネットワークへの接続手段であり、接続後に各システムのどのデータを閲覧・変更できるかは別途制御します。例えば、経理担当がVPNに接続できても、システム全体の管理画面には管理者だけがアクセスできるようにします。
社内ネットワークに接続したという理由だけで利用者や端末を信頼せず、システムへのアクセスごとに認証と権限を確認する考え方をゼロトラストと呼びます。VPNを接続手段として維持しながら、ゼロトラストの考え方を導入する構成もあります。システムによってはVPNを利用せずアプリごとに接続と認証を制御する方法も選択できます。拠点間の接続やVPNを前提とする社内システムは、通信が経由すべき接続点と代替策を検証し終えるまでVPNを維持し、検証後に置き換えを判断します。