VPNで社内ネットワークに入る仕組みと、テレワークで社外から社内ネットワークにアクセスするときの考え方

VPNは、インターネットの上に、特定の人だけが使える専用の通り道を作る仕組みです。テレワークで自宅から会社のファイルや業務システムに入りたいとき、社内ネットワークの扉を外に向けて開くことになるため、どこまで通すかを先に決めておく必要があります。このページでは、VPNの基本、種類の違い、機器の選び方、認証と通信の範囲の決め方を順に説明します。社内側の機器のつなぎ方は社内ネットワーク構築のページにあります。

VPNとは何か、社内ネットワークとの関係

VPNは、Virtual Private Network の略です。インターネットは誰でも使える公共の道なので、そのままだと通信の中身が途中で見られる可能性があります。VPNは、端末と社内の機器のあいだで通信を暗号化し、あたかも社内のネットワークに直接つないでいるかのように扱えるようにします。

仕組みを大づかみに言えば、社内側にVPNを受ける機器があり、外にいる端末がそこへ接続を申し込みます。相手が許可された人だと確認できると、暗号化された通り道が開き、端末には社内向けのIPアドレスが割り当てられます。以後、その端末は事務所の中にいるのと近い状態で、共有フォルダーやプリンターを探せます。

便利な反面、VPNがつながった端末は社内の一員として扱われます。外にある端末が乗っ取られれば、その入口から社内に入られてしまうため、「つなげること」と同じ重さで「誰に許すか」を考えます。

VPNという名前から、特別な高価な設備を思い浮かべる人もいますが、現在の多くのルーターやファイアウォールには、VPNを受ける機能が最初から入っています。機能があることと、安全に運用できることは別の話で、設定の方式や認証の強さ、更新の続け方によって、同じ機器でも守りの水準は大きく変わります。

拠点間VPNとリモートアクセスVPNの違い

VPNには、使う場面が大きく異なる二つの形があります。

拠点間VPNは、一度設定すれば常時つながったままで、使う人は意識しません。両側の機器が同じ方式に対応している必要があり、拠点側のアドレスの範囲が重ならないように設計します。リモートアクセスVPNは、人が使うたびに接続の操作をし、利用者ごとに認証が行われます。小さな会社でテレワークを始めるときに必要になるのは、多くの場合こちらです。

ルーター型とソフト型、どちらで作るか

VPNを受ける側は、大きく二つの作り方があります。一つは、事務所のルーターやVPN対応の機器に機能を持たせる方法です。専用の機器がそのまま入口になるので、構成が見えやすく、機器の管理者が一か所に決まります。もう一つは、サーバーや端末にVPN用のソフトを入れて受ける方法です。機器を買い足さずに始められますが、そのサーバーの更新や監視を、自分たちで続けなければなりません。

たとえば、事務所のルーターにVPN機能がある場合、利用者が三、四人で、使うのは共有フォルダーだけ、という条件なら、ルーター型が素直です。反対に、利用者が増えて個人ごとに細かく権限を分けたい、利用の記録を詳しく残したいといった要望が出てくると、ルーターの機能では足りなくなり、専用の機器やサービスを検討する段階に入ります。

どちらでも共通するのは、入口になる機器が常にインターネットからの接続を待っているという点です。更新が止まった機器は、そのまま弱点になります。初期のパスワードを変える、ファームウェアを新しくする、使わない機能を止める、といった手入れを、導入のときに担当者と頻度まで決めておきます。

認証と、通す通信の範囲を決める

接続を許可する方法が、VPNの安全性の中心です。パスワードだけで入れる設定は、使い回しや漏えいに弱くなります。端末ごとの証明書や、二つ目の確認（ワンタイムコードなど）を組み合わせる方法があり、対応するかどうかは機器によって違います。退職や端末の紛失があったときに、その人だけをすぐに止められることも、導入前に確かめたい点です。

もう一つの分かれ道が、通信の範囲です。

• 全通信を社内経由にする方法：外で使うすべての通信が事務所の回線を通ります。外部サイトへの見え方を社内の規則で統一できますが、事務所の回線に負担が集まり、自宅の通信が遅く感じられることがあります。
• 必要な分だけを通す方法：社内のサーバーやファイルへ向かう通信だけをVPNに通し、そのほかは自宅の回線から直接出ます。負担は小さい一方、外の通信を社内で管理することはできません。

どちらが合うかは、会社が外の通信までどの程度管理したいかで決まります。

社外から社内ネットワークにアクセスするときの注意

自宅の無線LANのパスワードが初期のままだったり、家族と共用のパソコンを使ったりすると、VPNの手前で守りが崩れます。会社として、接続してよい端末を限り、画面ロックと更新を求めるといった最低限の約束を決めます。喫茶店などの共有の無線では、VPNがあっても、端末自体に覗き見や置き忘れの危険があることを利用者に伝えておきます。

アクセスの範囲も絞ります。VPNでつながった人全員に、社内のすべてを見せる必要はありません。経理のフォルダーは経理の担当だけ、といったように、人ごとに見える場所を分ける考え方は、ネットワークの分離のページと同じ発想です。接続の記録を残し、いつ誰が入ったかを後から確かめられるようにしておくと、問題が起きたときに原因を追えます。

通信が遅いという相談は、VPNの運用でよく出る悩みです。原因は、事務所の回線の上りの速さが足りない、全通信を事務所経由にしている、VPNを受ける機器の処理能力が足りない、のいずれかであることが多く、機器を替える前に、どこが詰まっているかを順に確かめます。

利用を始めた後の運用

VPNは、設定して終わりではありません。利用者が入れ替わるたびに、アカウントの追加と削除が発生します。端末を買い替えたときは、古い端末の接続設定が残っていないかを確かめます。接続の記録は、保存する期間と見る担当者を決めておかないと、あっても誰も開かない記録になります。

機器の更新も、利用開始後の大きな仕事です。入口の機器に弱点が見つかったとき、更新の知らせに気づいて適用できる体制がなければ、VPNは守りどころか穴になります。担当者が一人だけの小さな会社では、その人が休んだときの代わりも決めておきます。月に一度、機器の管理画面を開いて更新の有無と接続の記録を見る、といった小さな習慣でも、続ければ十分に役立ちます。

導入前に決めておくこと

機器を選ぶ前に、次の点を紙に書き出します。

1. 誰が使うか（人数と、入れる人の範囲）
2. どこから入るか（自宅、出張先、取引先など）
3. 何に入るか（ファイル、業務システム、社内のパソコンの画面など）
4. 全通信を通すか、必要な分だけにするか
5. 認証の方法と、退職や紛失のときの止め方
6. 誰が機器を更新し、記録を見るか

この六点が埋まらないうちに機器を買うと、あとで「使いたい範囲に届かない」「認証の方式に機器が対応していない」といった食い違いが出ます。

業務システムがすでにインターネット上のサービスで使えるなら、VPNは要らない場合もあります。社内に置いたファイルへ入りたいのか、それとも保管場所を移せば済むのかを、先に比べてみます。導入と保守の費用の考え方は費用の相場のページに、依頼先に何を伝えるかは外注と依頼のページにあります。全体の位置づけはネットワーク構築の流れから確かめられます。