リモートアクセスとゼロトラスト

在宅勤務や出張先から社内のファイルサーバー・業務システムを使うには、インターネット越しに社内ネットワークへ入る道が要ります。社内のシステムはプライベート IP で動いていて、そのままでは外から届かないからです。

VPN はそのための昔からの方法です。情シスは、利用者からの「つながらない」「遅い」の問い合わせと、VPN 機器の保守・脆弱性への対応を受け持ちます。

VPN（リモートアクセス VPN）は、社外の PC から社内へのパケットを暗号化して包み（トンネル）、インターネット越しに会社の VPN ゲートウェイまで届ける仕組みです。方式は IPsec（IKEv2）や SSL‑VPN（TLS を使う）、WireGuard などがあります。ゲートウェイから先は社内 LAN にいるのと同じように扱われます。

VPN・境界機器の脆弱性（サイバー攻撃の種類）

注意：VPN 機器は外から常に見えているため、脆弱性が狙われやすい機器です。更新はすぐに当て、保守期限を管理します。

下の「ブラウザで試す」の図では、VPN クライアントとゲートウェイの鍵交換でトンネルを作り、社内宛てのパケットを暗号化して外側に別の IP ヘッダーを付けて包み、ゲートウェイがほどいて社内に流す、という順に進みます。レイヤー図で IP のヘッダーが2枚重なっている（内側が社内宛て、外側がゲートウェイ宛て）ところに注目すると、途中の経路から社内の宛先も中身も見えない理由が分かります。

リモートアクセス VPN では、どの通信をトンネルに通すかを決めます。すべてを会社経由にするか、社内宛てだけを通すかで、守りやすさと回線の混み方が変わります。

よくある折衷は、スプリットトンネルにして Microsoft 365・Zoom などの信頼できる SaaS は直接出し、端末の EDR とクラウドの Web フィルタ（SWG）で守る形です。

VPN はパケットに暗号化のヘッダーを足すので、1回に送れる大きさ（MTU。イーサネットは普通 1500 バイト）を超えやすくなります。大きなパケットが途中で捨てられると、「VPN にはつながるのに、一部のサイトや社内システムが開かない」「小さいファイルは送れるが大きいものは止まる」という分かりにくい症状になります。

# Windows：分割禁止で 1400 バイト（＋ヘッダー 28）を送ってみる
ping -f -l 1400 10.10.70.10
# Linux
ping -M do -s 1400 10.10.70.10
# Mac
ping -D -s 1400 10.10.70.10

大きさを下げていき、通る最大の値を調べます。対策は、VPN 機器で TCP の MSS を小さく書き換える（MSS クランプ）設定や、VPN のインターフェースの MTU を下げることです。

「VPN に入れば社内のどこにでも届く」という作りは、在宅勤務が増え、業務システムが SaaS に移った今、2つの点で苦しくなっています。1つは、VPN の機器やアカウントが1つ破られると社内全体に入られること、もう1つは、全員の通信が本社のゲートウェイに集まって遅くなることです。

ゼロトラストはその代わりになる考え方で、情シスがリモートアクセスや SaaS の守り方を見直すときの軸になります。

ゼロトラストは「社内ネットワークにいるから安全」と考えず、アクセスのたびに、誰か（ID）・どの端末か（管理されているか・安全か）・どんな状況か（場所・時間・いつもと違うか）を確かめて、そのアプリだけにつなぐ考え方です。社員が社外で働き、データが SaaS にある今、「会社の中と外」という境目ではもう守れないからです。

多要素認証と条件付きアクセス

MDM（コンプライアンスの判定）

下の「ブラウザで試す」の図では、社員がカフェから勤怠システムの URL を開き、アクセスプロキシが IdP でログインさせ（誰か）、MDM・EDR の情報で端末を確かめ（どの端末か）、ポリシーに合えば勤怠システムにだけ中継する、という順に進みます。VPN と比べて、社内ネットワーク全体ではなく1つのアプリにしかつながらない点と、確認がアクセスのたびに行われる点に注目してください。

ゼロトラストは1つの製品ではなく、部品の組み合わせです。中心は、ログインのたびに判断する IdP の条件付きアクセスで、そこに端末の状態とアクセス先がつながります。

ゼロトラストは1つの製品ではなく、部品の組み合わせです。

• IdP（人）：全員が SSO と MFA でログインし、ログインのたびに条件付きアクセスで判断する。
• MDM・EDR（端末）：「会社の端末か・暗号化されているか・OS が新しいか・EDR が動いているか」を IdP に伝える。準拠していない端末は止める。
• ZTNA（社内アプリ）：社内の Web アプリやサーバーは、VPN ではなく ZTNA のコネクタ経由で、許可された人だけに公開する。
• ログ：すべてのアクセスの記録を集めて、いつもと違う動きに気づく。

ポリシーの例：「経理システムには、経理部の人が、管理された PC から、MFA を通したときだけ入れる。私物の端末からはブラウザで閲覧だけ」。

ZTNA（Zero Trust Network Access）は、社内の Web アプリやサーバーを、VPN を使わずに、許可した人・端末にだけアプリ単位で公開する仕組みです。社内に置いたコネクタがクラウドのサービスへ外向きにつなぎに行くので、会社の入口に受け口のポートを開ける必要がありません。

製品の例には Zscaler Private Access・Cloudflare Access・Entra Private Access などがあります。移行は、使う人が多く Web で使える社内アプリから始め、全部が移ったら VPN を止めます。

SASE（Secure Access Service Edge）は、ネットワーク（SD‑WAN）とセキュリティの機能をクラウドのサービスとしてまとめて提供する考え方です。そのうちセキュリティの部分だけを指すのが SSE（Security Service Edge）です。社員がどこにいても、近いクラウドの拠点を通って同じルールで守られます。

上の4つ（SWG・CASB・ZTNA・FWaaS）がおもに SSE の範囲です。1社でそろえるか、得意な製品を組み合わせるかは、今ある IdP・UTM・回線の契約と、運用する人数で決めます。オフィスの UTM と在宅の VPN を、まとめてクラウドに移す流れの中で検討されることが多いです。

VPN を一度に止めると業務が止まるので、ID と端末の守りを先に固め、アプリを1つずつ移してから VPN を小さくします。

Web 以外の古い業務アプリやファイルサーバーは移しにくいので、SaaS への置き換えや、例外として VPN を一部に残すことも計画に入れます。