VPNとは｜安全な通信を実現する仕組み

当ページは検証・整備中のドラフトです。
内容は実環境での検証や追加調査により変更される予定です。
参照：ページ公開・更新ポリシー

概要

VPN（Virtual Private Network：仮想専用網）とは、インターネット上に、仮想的な専用通信路を構築し、通信内容を第三者から見られにくくする技術の総称である。
特定の1つの製品名ではなく、通信を保護する技術や仕組みを指す。

用途や実装技術に応じて、大きく下記の３つのVPNに分かれる。

  • 自宅や外出先から社内LANへ接続する「リモートアクセスVPN」
  • 本社と支店を常時接続する「拠点間VPN」
  • プライバシー保護や海外サービスへの接続を目的とした商業用の「VPNサービス」

現在では、企業のテレワーク環境の構築、自宅やオフィスのNASへの遠隔接続、多拠点間ネットワークの統合、出張先で公衆無線LAN（フリーWi-Fi）を利用する際の通信データ保護など、幅広い領域で活用されている。

技術的背景と仕組み

なぜVPNが必要なのか

インターネットは本来、不特定多数のユーザーや多様な通信事業者のルーター、サーバーなどの設備を経由してバケツリレー式にデータを伝送するオープンな共有ネットワークである。

暗号化されていない状態でこの経路を通過した場合、以下のセキュリティ上のリスクがある。

  • 通信内容が盗聴される： 経由地となるルーターや同じWi-Fi空間にいる第三者によって、通信データが丸ごと傍受される。
  • 通信経路の改竄・隠蔽： パケットの中身が途中で書き換えられ、偽の情報に置換される。
  • ネットワークそのものからの侵害： 悪意ある野良Wi-Fiなどに接続した際、通信セッション自体を不正なアクセスポイントにコントロールされる。

VPNは、インターネットの中に暗号化と認証で保護された専用ルートを仮想的に作ることで、これらのリスクを低減する。

VPNのコアとなる技術

VPNの安全性は、単一の処理ではなく、以下の3つの技術によって成り立っている。

  • 通信内容の暗号化：もし盗聴されても解読されないようにする
  • 通信相手の認証：通信相手が正しいかお互いに確認し合う
  • トンネリング（仮想的な専用通信路の構築）：保護された通信経路を作る

VPNトンネルとは

VPN接続が確立された際、送信側から受信側の装置までの間に形成される、暗号化によって保護された仮想的な通信経路のこと。

VPNの主な利用形態

目的主なVPN方式
外出先から自宅やオフィスへ接続したいリモートアクセスVPN
離れた拠点同士をつなぎたい拠点間VPN
フリーWi-Fiを安全に使いたいVPNサービス

リモートアクセスVPN

外出先、自宅、コワーキングスペースなどの外部環境から、インターネットを介して自宅内やオフィス内のプライベートなローカルネットワーク（LAN）へ安全にリモート接続するための方式。

  • 利用シーン例：
    • 在宅勤務（テレワーク）時に、自宅からオフィスのPCや社内限定システムへアクセスする。
    • 出張先から、オフィスのファイルサーバーや拠点内NASにアクセスして業務ファイルを読み書きする。
    • 自宅外から個人用の自宅サーバーやスマート家電の設定変更を行う。

拠点間VPN

地理的に離れた複数の固定拠点（本社と支店、本部と店舗、異なる敷地内のビル同士など）のローカルネットワーク同士を、インターネットを介して常時接続し、1つの大きなLANとして統合するための方式。
拠点のルーター同士で自動的にVPNトンネルを維持するため、従業員は拠点間の違いを意識せずに通信を行える。

  • 利用シーン例：
    • 各支店に配置されたPCから、本社にある基幹ファイルサーバー（NAS）へ、特別なログイン操作をすることなく直接ファイルを保存する。
    • 各店舗のPOSレジシステムと本部の管理サーバーを常時同期させ、売上データをリアルタイムに集計する。

VPNサービス

個人ユーザーや小規模組織が、専門の「VPN提供事業者」が世界各地に設置・運用している専用サーバーとVPNトンネルを結び、そこを踏み台（プロキシ）にしてインターネットへアクセスする方式。

  • 代表例： NordVPN、Proton VPN、Mullvad VPNなど
  • 利用シーン例：
    • 不特定多数が接続する空港やカフェの公衆無線LAN（フリーWi-Fi）を利用する際、通信を暗号化して盗聴から身を守る。
    • 接続元IPアドレスや位置情報を偽装・秘匿し、トラッキングからプライバシーを保護する。
    • 海外から日本国内限定のWebサービスやクラウドに安全にアクセスする（逆もしかり）。

VPNを構成する要素

VPNプロトコル（通信規格）

VPNトンネルを構築し、暗号化やカプセル化、接続維持を行うための技術的な通信ルールの仕様。
速度、暗号強度、接続安定性のトレードオフによって使い分けられる。

  • WireGuard： 近年急速に普及している、コードが軽量で通信速度が極めて高速かつ暗号強度の高い次世代プロトコル。
  • OpenVPN： 長年の実績があり、高度なカスタマイズが可能で、一般的なファイアウォール（ポート制限）を通過させやすいオープンソースのプロトコル。
  • IPsec： 主に拠点間ルーターなどで標準的に採用されている、ネットワーク層で強固な暗号化を施すエンタープライズ向けの通信規格。
  • L2TP/IPsec： OSの標準機能として組み込まれていることが多い、L2TPによるカプセル化とIPsecによる暗号化を組み合わせた規格。

VPNサーバー・VPN終端装置

外部からのVPN接続要求を待ち受け、認証を行い、VPNトンネルを結合・解除（カプセル化の解除と復号処理）するための物理機器またはソフトウェア。

  • ハードウェア例： VPN機能を内蔵したルーター、次世代ファイアウォール（UTM）、ビジネス向けNAS（SynologyやQNAPなどのOS機能）
  • ソフトウェア例： Windows ServerやLinux上に構築された専用のVPNサーバーアプリケーション

認証方式

VPNトンネルの構築を許可する前に、接続を試みてきたユーザーや端末が「本当に認可された正当な対象か」を検証する仕組み。

  • 固定パスワード： IDとパスワードのみの基本的な認証。漏洩時のリスクが高い。
  • クライアント証明書： 事前に許可した特定の端末（PCやスマホ）にのみデジタル証明書をインストールしておき、そのファイルが端末内に存在しなければ接続自体を即座に拒否する強固な認証。
  • MFA（多要素認証）： パスワードに加え、認証アプリ（TOTP）によるワンタイムパスワードを必須とする仕組み。
  • FIDO2 / パスキークライアント： パスワードを廃止し、生体認証と連動した公開鍵暗号による次世代のセキュアなVPN接続認証。

VPNで実現できること

  • 自宅、出張先、サテライトオフィスなどの遠隔地から、社内LAN内にある業務サーバーやNASへ、LAN内にいるのと同等のセキュアな方法でアクセスする。
  • インターネット上を通過するすべてのデータパケットを暗号化し、経路上のルーター等における通信内容の盗聴・覗き見リスクを最小化する。
  • 本社・支店間を専用線を敷設することなく、インターネット回線を利用した安価なコストで安全に相互接続する。
  • 暗号化設定が施されていない、あるいは偽装された危険性のある公衆フリーWi-Fiに接続した状態であっても、通信内容を読み取られるリスクを大きく下げる。

VPNで防げること

VPNは主に、以下の外的な脅威を防ぐ（減らす）のに有効である。

  • ISPや中継ネットワークにおける、通信データの盗聴やパケットキャプチャ
  • 同一のWi-Fiネットワーク（カフェ等）に潜む悪意ある第三者による、Webブラウザ通信やログイン操作の覗き見
  • 安全性の担保されていないフリーWi-Fi環境を利用した際における、中間者攻撃（データの改竄・隠蔽）
  • 通信元IPアドレス（位置情報や組織情報）の露出に伴う、外部からの直接的なポートスキャンや偵察行為

VPNで防げないこと

VPNは「端末から相手先までの仮想的な専用通信路を作る技術」であり、そこを通過するデータ自体や、両端にあるデバイス（接続元PCや接続先サーバー）の安全性を保証するものではない。したがって、以下の脅威には直接対応できない。

  • メール添付ファイルや不正Webサイト経由で発生する、端末側での一般的なマルウェア・ウイルス感染
  • パイプを正常に通過してサーバーに送り込まれる、ランサムウェア等の不正な実行プログラムや暗号化コマンドの動作
  • ユーザーを騙して本物のVPNパスワードやアカウントの認証情報を入力させるフィッシング詐欺行為
  • 攻撃者が用意した不正な（あるいは改竄・隠蔽された）フィッシングサイト自体へのブラウザアクセス
  • 仮想的な専用通信路を通って、正規権限を持つユーザーや乗っ取られた端末からデータが外部へ持ち出される情報漏洩
  • VPNのログインパスワード自体が流出し、攻撃者に「正規のルート」として堂々と内部ネットワークへログインされるアカウント乗っ取り（なりすましアクセス）
  • 接続元のPC自体がすでにマルウェア等に侵害され、バックドアが仕掛けられている状態でのVPN利用（LAN内へのマルウェアの持ち込み）

限界と注意点

「VPNを導入している＝安全」という誤解

VPNはどれほど強固であってもそれはあくまでトンネルであり、中を流れるデータがマルウェアであったり、利用するユーザーが盗まれたパスワードを悪用した攻撃者であったりした場合、VPNは何の警告も発さずにその通信を目的地まで送り届けてしまう。VPN単体では、端末そのものの健全性やアクセスの妥当性を検証できない。

認証方式の脆弱性に起因するネットワーク全体の破綻

VPN終端装置（オフィスルーター等）がインターネット上に常時公開されているため、そこへのログイン認証が「単純なパスワードのみ」であったり、脆弱性が放置されていたりした場合、攻撃者にとって格好の侵入口となる。実際、過去の重大なランサムウェア侵害の多くは、多要素認証（MFA）が設定されていない古いVPNアカウントの奪取や、VPN装置のパッチ未適用（もしくは脆弱性）を突いてLAN内部へ侵入された事象が原因であると報告されている。

商業用VPNサービスにおける「事業者への信頼」の依存

VPNサービスを利用する場合、自宅からVPNサーバーまでの通信は暗号化されるが、VPNサーバーから先の最終目的地（閲覧するWebサイトなど）への通信は、そのVPNサービス事業者のインフラを経由してネットへ出て行く。つまり、「自宅の回線事業者（ISP）に通信ログを見られるリスク」を、「VPNサービス事業者に通信ログを見られるリスク」へとシフトさせている構造に過ぎない。そのため、事業者が「ノーログポリシー（通信記録を一切保存しない方針）」を本当に順守しているかなど、事業者自体が信用できるか見極めなければならない。

ゼロトラストアーキテクチャへのシフト

近年はVPN単体ではなく、MFA・EDR・MDMなどと組み合わせて、「VPNだから安全」と考えず「さまざまな箇所でチェックする」ゼロトラスト型設計が広がっている。

まとめ

VPNは、インターネットという共有ネットワークの上に、暗号化とトンネリング技術を用いて安全な「仮想的な専用通信路」を構築するための基礎的な技術の総称である。

離れた場所から社内に安全にアクセスする仕組みや、公衆Wi-Fi利用時の盗聴防止に高い有効性を持つ。

しかしあくまで「通信経路を構築する技術」であり、その両端にある機器の保護は行われず、操作する人間が正しいかどうかもわからない。

インシデントのリスクを下げるには、VPN装置自体の脆弱性パッチ管理と、多要素認証、エンドポイントを守るEPP/EDRなどの異なる技術を組み合わせ、多層防御のネットワークインフラの一部として正しく配置・運用することが不可欠である。