セキュリティ on ネットワーク入門講座

VLANとは？1台のスイッチを複数のネットワークに分割する仕組みをやさしく解説

Sat, 25 Jul 2026 00:00:00 +0000

VLANとは、1台のスイッチを論理的に複数のネットワークへ分割する技術です。物理的には同じスイッチにつながっていても、VLANが異なる機器同士は直接通信できません。部署ごとにネットワークを分けたい、ゲスト用のWi-Fiを社内ネットワークから隔離したい——こうした要望を、スイッチを買い増すことなく実現できます。

はじめに

入門編「スイッチングハブ」で、スイッチはMACアドレスを学習して宛先のポートだけにデータを届けると学びました。ただしこれは「同じネットワーク内での話」です。

では「同じスイッチにつながっているけれど、別のネットワークとして扱いたい」という場合はどうすればよいのでしょうか。その答えがVLANです。

VLANが必要になる場面

会社のオフィスを想像してください。営業部・開発部・経理部の3つの部署が同じフロアにあり、全員が同じスイッチにつながっています。

このままでは、すべての機器が同じネットワークに属することになります。経理部が扱う給与データのファイルサーバーへ、営業部のパソコンからもアクセスできてしまう状態です。

部署ごとにネットワークを分けたい場合、単純に考えると 部署の数だけスイッチを用意する ことになります。しかしこの方法にはいくつもの問題があります。

スイッチの購入費用がかさむ
設置スペースが必要になる
部署の人数が変わるたびに配線をやり直す必要がある
空きポートが多いスイッチと足りないスイッチが混在して無駄が出る

こうした問題を解決するのが VLAN です。

用語/英単語	意味	イメージ・補足
VLAN / Virtual LAN	virtual＝仮想の / LAN＝ローカルエリアネットワーク; 1台のスイッチを論理的に複数のネットワークへ分割する技術	ワンフロアのオフィスをパーテーションで区切って、部署ごとの空間を作るイメージ

VLANの基本的な仕組み

VLANでは、スイッチの各ポートに「このポートはVLAN 10」「このポートはVLAN 20」といった VLAN ID を割り当てます。同じVLAN IDが設定されたポート同士は通信できますが、異なるVLAN IDのポートとは直接通信できません。

図：1台のスイッチをVLANで2つのネットワークに分割する

物理的には1台のスイッチですが、動作としては2台の独立したスイッチが存在するのと同じ状態になります。「バーチャル（仮想の）LAN」と呼ばれるのはこのためです。

用語/英単語	意味	イメージ・補足
VLAN ID	VLANを識別する番号（1〜4094）	部屋番号のようなもの。同じ番号の部屋同士だけが行き来できる

ブロードキャストドメインの分割

VLANのもう1つの重要な効果が ブロードキャストドメインの分割 です。

MACアドレスの記事で学んだブロードキャストは、同じネットワーク内の全機器へ一斉に送られる通信です。この「ブロードキャストが届く範囲」を ブロードキャストドメイン といいます。

用語/英単語	意味	イメージ・補足
ブロードキャストドメイン / Broadcast Domain	domain＝領域; ブロードキャストが届く範囲	校内放送が聞こえる範囲。校舎が分かれていれば別の放送になる

VLANを設定していないスイッチでは、1台のスイッチにつながる全機器が1つのブロードキャストドメインを共有します。機器の台数が増えるほどブロードキャストの量も増え、ネットワーク全体の効率が下がります。

VLANでネットワークを分割すると、ブロードキャストドメインもVLANごとに分かれます。VLAN 10で発生したブロードキャストはVLAN 20には届きません。台数が多い環境ほど、この効果は大きくなります。

ポートVLANとタグVLAN

VLANの実現方法には大きく2種類あります。

ポートVLAN（ポートベースVLAN）

スイッチの各ポートに、あらかじめVLAN IDを固定で割り当てる方式です。「ポート1〜8はVLAN 10、ポート9〜16はVLAN 20」というように設定します。

設定がシンプルでわかりやすく、小規模なネットワークで広く使われています。ただし、1つのポートは1つのVLANにしか所属できません。

タグVLAN（IEEE 802.1Q）

1本のケーブルで複数のVLANの通信をまとめて流せる方式です。パケットに VLANタグ という4バイトの情報を追加し、「このパケットはVLAN 10のもの」と印を付けて送ります。

用語/英単語	意味	イメージ・補足
VLANタグ / VLAN Tag	tag＝札・荷札; パケットにVLAN IDを付与する4バイトの情報	宅配便の伝票に貼る「配送区分シール」のようなもの

受け取ったスイッチはタグを見て「これはVLAN 10宛て」と判断し、対応するポートへ転送します。この規格は IEEE 802.1Q として標準化されています。

トランクポート ― 複数のVLANをまとめて運ぶ

タグVLANが特に活躍するのが、スイッチ同士を接続する場面です。

たとえば1階と2階にそれぞれスイッチがあり、どちらのフロアにも営業部（VLAN 10）と開発部（VLAN 20）の席があるとします。ポートVLANだけで実現しようとすると、スイッチ間にVLANの数だけケーブルが必要になります。

タグVLANを使えば、1本のケーブルで複数のVLANの通信をまとめて流せます。このように複数のVLANの通信を運ぶポートを トランクポート といいます。

用語/英単語	意味	イメージ・補足
トランクポート / Trunk Port	trunk＝幹線; 複数のVLANの通信をまとめて運ぶポート	複数の路線が乗り入れる幹線道路のイメージ
アクセスポート / Access Port	access＝接続; 単一のVLANに所属し、パソコンなどの端末を接続するポート	各家庭につながる細い道路のイメージ

図：トランクポートで複数のVLANを1本のケーブルにまとめる

VLAN同士を通信させるには

VLANで分割したネットワーク同士は、そのままでは通信できません。しかし「基本的には分けておきたいが、共通のファイルサーバーには全部署からアクセスさせたい」という場面もあります。

異なるVLAN間の通信を実現するには、入門編「ルーター」で学んだルーターが必要です。VLANは異なるネットワークとして扱われるため、ネットワーク間の通信を担うルーターを経由することになります。

この仕組みは「VLAN間ルーティング」と呼ばれます。ルーターを使う方法のほか、ルーティング機能を内蔵した レイヤ3スイッチ を使う方法もあります。詳細はルーティングの記事で扱います。

VLANの主なメリット

VLANを導入することで得られるメリットを整理します。

①セキュリティの向上

部署ごとにネットワークを分離することで、他部署の機密データへのアクセスを防げます。ゲスト用Wi-Fiを社内ネットワークから隔離するのも典型的な使い方です。

②ブロードキャストの抑制

ブロードキャストドメインが分割されるため、不要な通信がネットワーク全体に広がりません。機器の台数が多い環境ほど効果的です。

③物理配線からの独立

席替えや組織変更があっても、スイッチの設定を変更するだけでネットワークの所属を変えられます。ケーブルを引き直す必要がありません。

④コストの削減

部署ごとにスイッチを用意する必要がなく、1台のスイッチを効率的に使えます。

まとめ

VLANは、1台のスイッチを論理的に複数のネットワークへ分割する技術です。各ポートにVLAN IDを割り当てることで、同じスイッチにつながっていても異なるVLAN同士は直接通信できなくなります。実現方式にはポートごとにVLANを固定するポートVLANと、パケットにVLANタグを付与するタグVLAN（IEEE 802.1Q）があり、スイッチ間の接続には複数のVLANをまとめて運ぶトランクポートが使われます。VLANによってブロードキャストドメインが分割されるため、セキュリティ向上とネットワーク効率の改善が同時に実現できます。異なるVLAN間で通信するにはルーターまたはレイヤ3スイッチが必要です。

用語表

用語	意味
VLAN（Virtual LAN）	1台のスイッチを論理的に複数のネットワークへ分割する技術
VLAN ID	VLANを識別する番号（1〜4094）。同じIDのポート同士だけが通信できる
ブロードキャストドメイン	ブロードキャストが届く範囲。VLANごとに分割される
ポートVLAN	スイッチの各ポートにVLAN IDを固定で割り当てる方式
タグVLAN（IEEE 802.1Q）	パケットにVLANタグを付与し、1本のケーブルで複数のVLANを運ぶ方式
VLANタグ	パケットに付与される4バイトの情報。どのVLANのパケットかを示す
トランクポート	複数のVLANの通信をまとめて運ぶポート。スイッチ間の接続に使われる
アクセスポート	単一のVLANに所属し、パソコンなどの端末を接続するポート

【超初心者向け】ファイアウォールとは何か？不正な通信を遮断する仕組みをやさしく解説

Fri, 26 Jun 2026 00:00:00 +0000

ファイアウォールとは、ネットワークへの不正な通信を遮断するためのセキュリティの仕組みです。 IPアドレス や ポート番号 をもとに通信を「通す」か「遮断する」かを判断し、許可されていない接続をブロックします。この記事では、ファイアウォールがなぜ必要なのか・どのように通信を制御するのかをわかりやすく解説します。

はじめに

これまでの記事で、データがどのように届くか（IPアドレス・ルーター・DNS）、どうやって安全に通信するか（HTTPS）を学んできました。

しかし、「安全に通信する」だけでは不十分です。そもそも「不正な接続を入り口でブロックする」仕組みも必要です。その役割を担うのが ファイアウォール です。

なぜファイアウォールが必要なのか

インターネットに接続した機器は、原則としてどこからでも接続を試みることができます。

IPアドレスの記事で学んだように、インターネット上のすべての機器はIPアドレスを持っています。またポート番号の記事で学んだように、機器上では複数のサービスがポート番号ごとに待ち受けています。

この2つを組み合わせると、「特定のIPアドレスの機器が持つ特定のポートへ、インターネット上の誰でも接続を試みることができる」ということになります。

たとえば、企業のサーバーでデータベースが3306番ポートで動いているとします。ファイアウォールがなければ、世界中の誰もがそのポートへ接続を試みることができ、悪意のある者がデータを盗もうとする可能性があります。攻撃者はIPアドレスとポート番号を手がかりに、自動的に無数のサーバーへ接続を試みるツールを持っています。

ファイアウォールは、こうした望まない接続を入り口でブロックするための仕組みです。

ファイアウォールとは何か

ファイアウォール（Firewall） とは、ネットワークの入口・出口に設置して通信を監視し、ルールに合致しない通信を遮断するセキュリティの仕組みです。

建物の入口に立つ警備員をイメージするとわかりやすいです。警備員は入館しようとする人を一人ひとり確認し、許可証を持つ人だけを通します。ファイアウォールも同様に、通過しようとするパケットを確認し、あらかじめ決めたルールに合致するものだけを通します。

%%{init: {"theme":"base","themeVariables":{"primaryColor":"#E6F1FB","primaryTextColor":"#042C53","primaryBorderColor":"#185FA5","lineColor":"#378ADD","fontSize":"14px","clusterBkg":"#F1EFE8","clusterBorder":"#B4B2A9"}}}%%
flowchart LR
    subgraph inet["🌐 インターネット"]
        A["✅ 許可された通信"]
        B["❌ 不正な通信"]
    end

    FW["🛡️ ファイアウォール
ルールに照らして
通過・遮断を判断"]

    subgraph lan["🏢 社内ネットワーク（LAN）"]
        PC["💻 パソコン"]
        SV["🖥️ サーバー"]
    end

    A -->|通過| FW
    B -->|遮断| FW
    FW -->|許可された通信だけ届く| PC & SV

図：ファイアウォールが許可・遮断を判断する仕組み

用語/英単語	意味	イメージ・補足
ファイアウォール / Firewall	ネットワークの通信を監視し、不正な接続を遮断するセキュリティの仕組み	firewall＝防火壁。もともとは火災が建物内に広がらないよう設けられた壁のこと。転じて、外部からの脅威を遮断する仕組みの名称として使われるようになった

ファイアウォールの仕組み ― パケットフィルタリング

ファイアウォールの基本的な動作は、パケットを確認して「通す」か「遮断する」かを判断することです。この仕組みを パケットフィルタリング といいます。

パケットフィルタリングでは、以下の情報をルールと照合して判断します。

送信元IPアドレス ：どこから来た通信か
宛先IPアドレス ：どこへ向かう通信か
ポート番号 ：どのサービス宛ての通信か
プロトコル ：TCPかUDPか

ポート番号の記事で学んだ「ポート番号でサービスを識別する」という知識がここで活きます。

%%{init: {"theme":"base","themeVariables":{"primaryColor":"#E6F1FB","primaryTextColor":"#042C53","primaryBorderColor":"#185FA5","lineColor":"#378ADD","fontSize":"14px","clusterBkg":"#F1EFE8","clusterBorder":"#B4B2A9"}}}%%
flowchart TD
    P["📦 パケット到着"] --> R1["ルール1と照合\n送信元IP・宛先IP・ポート番号・プロトコルを確認"]
    R1 -->|一致・許可| OK1["✅ 通過"]
    R1 -->|一致・拒否| NG1["❌ 遮断"]
    R1 -->|一致しない| R2["ルール2と照合"]
    R2 -->|一致・許可| OK2["✅ 通過"]
    R2 -->|一致・拒否| NG2["❌ 遮断"]
    R2 -->|一致しない| R3["ルール3と照合\n・・・"]
    R3 -->|すべて一致しない場合| NG3["❌ 遮断（最終的にすべて拒否）"]

図：パケットフィルタリングの判断フロー

用語/英単語	意味	イメージ・補足
パケットフィルタリング / Packet Filtering	パケットの情報を確認して通過・遮断を判断する仕組み	税関で荷物を一つひとつ検査して、持ち込みが許可されているものだけを通すイメージ

フィルタリングルールの具体例

実際のファイアウォールではルールを表として管理します。ここでは企業のWebサイトでよく見られる「 Webサーバー 」と「 データベースサーバー 」という2台のサーバーを例に見ていきましょう。

まず2台のサーバーの役割を整理します。

Webサーバー （IPアドレス：203.0.113.10、ポート：443）ユーザーがブラウザでアクセスする窓口となるサーバーです。画面の表示やページの処理を担います。
データベースサーバー （IPアドレス：203.0.113.20、ポート：3306）会員情報・商品データ・注文履歴などのデータを保存・管理するサーバーです。ユーザーが直接アクセスするものではなく、Webサーバーがデータを取得・更新するために内部でやり取りします。

用語/英単語	意味	イメージ・補足
データベースサーバー / Database Server	データの保存・管理を専門に行うサーバー	Webサーバーが「お店の店頭」なら、データベースサーバーは「商品や顧客情報を管理する倉庫」のようなもの

Webサーバーはインターネット上の誰でもアクセスできる必要がありますが、データベースサーバーはWebサーバーだけが接続できれば十分です。データベースサーバーが外部から直接アクセスできる状態になっていると、顧客データなどが盗まれるリスクがあります。

%%{init: {"theme":"base","themeVariables":{"primaryColor":"#E6F1FB","primaryTextColor":"#042C53","primaryBorderColor":"#185FA5","noteBkgColor":"#B5D4F4","noteTextColor":"#042C53","lineColor":"#378ADD","signalColor":"#185FA5","signalTextColor":"#0C447C","actorBkg":"#E6F1FB","actorBorder":"#185FA5","actorTextColor":"#042C53","sequenceNumberColor":"#ffffff","fontSize":"14px"}}}%%
sequenceDiagram
    participant A as 攻撃者
    participant FW as ファイアウォール
    participant W as Webサーバー
（203.0.113.10）
    participant DB as データベースサーバー
（203.0.113.20）

    rect rgb(232, 244, 253)
    Note over A,DB: 正常な通信（ルール1に一致）
    A->>FW: 203.0.113.10:443 へアクセス
    FW->>W: 許可して転送
    W-->>A: レスポンス
    end

    rect rgb(253, 232, 232)
    Note over A,DB: 攻撃者がDBサーバーへ直接アクセスを試みる（ルール3で拒否）
    A->>FW: 203.0.113.20:3306 へ直接アクセス
    Note right of FW: ルール1：宛先が違う → 次へ
ルール2：送信元がWebサーバーではない → 次へ
ルール3：拒否！
    FW--xA: 接続拒否
    end

図：正常な通信と攻撃者のアクセス試行に対するファイアウォールの動作

このとき、ファイアウォールに設定するルールは次のようになります。

ルール番号	送信元IP	宛先IP	プロトコル	宛先ポート	アクション
1	すべて	203.0.113.10	TCP	443	許可
2	203.0.113.10	203.0.113.20	TCP	3306	許可
3	すべて	203.0.113.20	TCP	3306	拒否
4	すべて	すべて	すべて	すべて	拒否

ルールは 上から順番に評価され、最初に一致したルールが適用されます。

ルール1 ：Webサーバーへはインターネット上の誰でもHTTPS（443番）でアクセス可能
ルール2 ：Webサーバー（203.0.113.10）からのみデータベースサーバーへの接続を許可
ルール3 ：それ以外からのデータベースサーバーへのアクセスは拒否
ルール4 ：上記以外のすべての通信を拒否（許可リスト方式の最後の砦）

たとえば、攻撃者がデータベースサーバー（203.0.113.20）へ直接アクセスしようとすると、ルール1には一致せず（宛先IPが違う）、ルール2にも一致せず（送信元がWebサーバーのIPではない）、ルール3で「拒否」となります。

インバウンドとアウトバウンド

ファイアウォールは通信の方向によってルールを使い分けます。通信の方向は2種類あります。

インバウンド（受信） ：外部からネットワーク内部へ向かう通信
アウトバウンド（送信） ：ネットワーク内部から外部へ向かう通信

用語/英単語	意味	イメージ・補足
インバウンド / Inbound	外部からネットワーク内部へ向かう通信	inbound＝内向き。外から中へ入ってくる通信
アウトバウンド / Outbound	ネットワーク内部から外部へ向かう通信	outbound＝外向き。中から外へ出ていく通信

一般的に、インバウンドは厳しく制限し、アウトバウンドは比較的緩やかに許可することが多いです。悪意ある攻撃の多くが外部からの侵入（インバウンド）を試みるためです。

許可リストと拒否リスト

ファイアウォールのルール設定には、2つのアプローチがあります。

許可リスト（ホワイトリスト）方式 は、明示的に許可した通信だけを通し、それ以外はすべて遮断します。「何も通さない」が出発点で、必要なものだけを開けていくイメージです。設定の手間はかかりますが、想定外の通信が通るリスクが低くなります。

拒否リスト（ブラックリスト）方式 は、明示的に拒否した通信を遮断し、それ以外はすべて通します。「何でも通す」が出発点で、危険なものを閉じていくイメージです。設定は楽ですが、想定していなかった攻撃が通ってしまうリスクがあります。

セキュリティの観点からは、 許可リスト方式 が推奨されます。

ファイアウォールはどこにあるのか

ファイアウォールは、大きく2種類の場所に存在します。

ネットワーク型ファイアウォール

企業のネットワークとインターネットの境界に設置される専用機器やルーターの機能です。ネットワーク全体への通信を一括して制御します。ネットワーク内のすべての機器をまとめて保護できる反面、設置・管理には専門知識が必要です。

ホスト型ファイアウォール

パソコンやスマートフォンにインストールされたソフトウェアです。Windowsには「Windowsファイアウォール（Windows Defender ファイアウォール）」が標準搭載されており、macOSにも内蔵のファイアウォール機能があります。個々の機器単位で通信を制御します。

%%{init: {"theme":"base","themeVariables":{"primaryColor":"#E6F1FB","primaryTextColor":"#042C53","primaryBorderColor":"#185FA5","lineColor":"#378ADD","fontSize":"14px","clusterBkg":"#F1EFE8","clusterBorder":"#B4B2A9"}}}%%
flowchart LR
    I["インターネット"]
    NFW["🛡️ ネットワーク型
ファイアウォール
（ネットワーク全体を保護）"]
    subgraph lan["社内ネットワーク（LAN）"]
        PC1["💻 パソコン
🛡️ ホスト型FW"]
        PC2["💻 パソコン
🛡️ ホスト型FW"]
        SP["📱 スマートフォン
🛡️ ホスト型FW"]
    end
    I --> NFW --> PC1 & PC2 & SP

図：ネットワーク型とホスト型ファイアウォールの設置場所

2種類は排他的なものではなく、ネットワーク型とホスト型を組み合わせて多重に防御するのが一般的です。

まとめ

インターネットに接続した機器は、原則としてどこからでも接続を試みることができるため、不正な接続を遮断する仕組みが必要
ファイアウォール は、通信を監視してルールに合致しないパケットを遮断するセキュリティの仕組み
パケットフィルタリング により、送信元IPアドレス・宛先IPアドレス・ポート番号・プロトコルをもとに通過・遮断を判断する
インバウンド （外→内）は厳しく制限し、 アウトバウンド （内→外）は比較的緩やかに許可するのが一般的
「許可したもの以外はすべて遮断する」 許可リスト方式 がセキュリティの観点から推奨される
ネットワーク全体を守る ネットワーク型 と、機器ごとに守る ホスト型 の2種類がある

用語表

用語	意味
ファイアウォール	ネットワークの通信を監視し、ルールに合致しない通信を遮断するセキュリティの仕組み
パケットフィルタリング	パケットのIPアドレス・ポート番号・プロトコルなどを確認して通過・遮断を判断する仕組み
データベースサーバー	会員情報・商品データ・注文履歴などのデータを保存・管理するサーバー。Webサーバーが内部でやり取りする対象であり、外部から直接アクセスされるものではない
インバウンド	外部からネットワーク内部へ向かう通信（受信）
アウトバウンド	ネットワーク内部から外部へ向かう通信（送信）
許可リスト（ホワイトリスト）	明示的に許可した通信だけを通し、それ以外をすべて遮断するルール設定の方針
拒否リスト（ブラックリスト）	明示的に拒否した通信を遮断し、それ以外はすべて通すルール設定の方針
ネットワーク型ファイアウォール	ネットワークの境界に設置してネットワーク全体の通信を制御するファイアウォール
ホスト型ファイアウォール	個々の機器にインストールされたソフトウェア型のファイアウォール

【超初心者向け】VPNとは何か？安全なトンネルを作る仕組みをやさしく解説

Fri, 26 Jun 2026 00:00:00 +0000

VPNとは、インターネット上に暗号化された専用の通信経路（トンネル）を作り出す技術です。公衆Wi-Fiでも通信を保護し、離れた場所から会社のネットワークに安全に接続するために使われています。この記事では、VPNがなぜ必要なのか・どのような仕組みで通信を守るのかをわかりやすく解説します。

はじめに

HTTPSの記事では、Webサイトとの通信を暗号化する技術を学びました。またファイアウォールの記事では、不正な通信を遮断する仕組みを学びました。

VPNはこの2つと深く関係しています。HTTPSがWebページの通信のみを暗号化するのに対し、VPNはデバイスから出るすべての通信を暗号化します。またファイアウォールで守られた社内ネットワークへ、外部から安全にアクセスするためにも使われます。

なぜVPNが必要なのか

VPNが必要とされる場面は主に2つあります。それぞれ見ていきましょう。

公衆Wi-Fiでの盗聴リスク

カフェ・駅・空港などで提供されている公衆Wi-Fiは、誰でも自由に接続できる反面、同じネットワーク上の通信を他の人が傍受できるリスクがあります。

HTTPSの記事で学んだように、HTTPSで保護されたWeb通信の内容は暗号化されています。しかし、次の2点は注意が必要です。

まず、HTTPSに対応していないアプリの通信は、内容ごと読み取られる可能性があります。次に、HTTPSを使っていても「どのWebサイトにアクセスしたか」という接続先の情報は、同じネットワーク上の人に見える場合があります。どんなサイトを閲覧しているかが筒抜けになるイメージです。

VPNを使うとデバイスから出るすべての通信が暗号化されるため、公衆Wi-Fi上で傍受されても内容を読み取れなくなります。

%%{init: {"theme":"base","themeVariables":{"primaryColor":"#E6F1FB","primaryTextColor":"#042C53","primaryBorderColor":"#185FA5","noteBkgColor":"#B5D4F4","noteTextColor":"#042C53","lineColor":"#378ADD","signalColor":"#185FA5","signalTextColor":"#0C447C","actorBkg":"#E6F1FB","actorBorder":"#185FA5","actorTextColor":"#042C53","sequenceNumberColor":"#ffffff","fontSize":"14px"}}}%%
flowchart LR
    subgraph nonvpn["VPNなし（盗聴される）"]
        direction LR
        A1["デバイス"] -->|平文| B1["公衆Wi-Fi"]
        B1 -->|平文| C1["Webサーバー"]
    end

    subgraph withvpn["VPNあり（盗聴できない）"]
        direction LR
        A2["デバイス
①暗号化"] -->|暗号化| B2["公衆Wi-Fi"]
        B2 -->|暗号化| C2["VPNサーバー
②復号"]
        C2 -->|平文| D2["Webサーバー"]
    end

図：公衆Wi-Fiでの通信の見え方の違い（VPNなし vs VPNあり）

リモートワークでの社内ネットワーク接続

企業の社内システム（ファイルサーバー・社内Webシステムなど）は、ファイアウォールの記事で学んだように、外部からの直接アクセスができないよう保護されています。

在宅勤務や出張先から社内システムへアクセスするには、社外にいながら「社内ネットワークに接続しているのと同じ状態」を作り出す必要があります。VPNを使うと、この状態を安全に実現できます。

VPNとは何か

VPN（Virtual Private Network） とは、インターネット上に暗号化された仮想の専用通信経路を作り出す技術です。

用語/英単語	意味	イメージ・補足
VPN / Virtual Private Network	インターネット上に暗号化された仮想の専用通信経路を作る技術	virtual＝仮想の / private＝専用の / network＝ネットワーク。「仮想の専用ネットワーク」という意味

「バーチャル（仮想）」とある通り、専用の物理回線を新たに引くのではなく、既存のインターネット回線を使いながら、暗号化によって「まるで専用回線のような状態」を作り出します。実際には誰もが使う共有のインターネット上を通りながらも、他者には内容を読み取れないため、事実上「自分専用の道」として機能します。

トンネリングとは

VPNでは、まずデータを暗号化します。そのうえで、暗号化したデータを別のパケットで包んで送ります。この「パケットを別のパケットで包む」処理を トンネリング（カプセル化） といいます。

トンネリング接続では、本来のパケットを別のパケットに包んで（カプセル化）送り届けることにより通信を行います。これにより、公衆回線の一般のユーザーからは見えないように通信することができます。ネットワーク上に外部から遮断された見えない通り道を作るように見えることから、トンネルと呼ばれるようになりました。

用語/英単語	意味	イメージ・補足
トンネリング / Tunneling	暗号化したデータを別のパケットで包んで送る技術（カプセル化）	ネットワーク上に外部から遮断された見えない通り道を作る技術。トンネルを掘るイメージからこの名前が付きました

トンネリングと暗号化の違い

ここまでの説明で「暗号化」と「トンネリング」という2つの言葉が登場しました。この2つは似ているようで、役割が異なります。

暗号化 は、データの中身そのものを誰にも読めない形に変換することです。文書を秘密の暗号文で書き直すイメージです。たとえ第三者がデータを手に入れても、暗号を解く鍵がなければ内容を理解できません。

トンネリング は、データを別のパケットで包んで、外から中身が見えないようにすることです。中身が見えない封筒に手紙を入れて送るイメージです。封筒の外からは誰宛の、どんな手紙かがわかりません。

	暗号化	トンネリング
何をするか	データの中身を読めない形に変換する	データを別のパケットで包んで隠す
たとえ	秘密の暗号文で文書を書く	中身の見えない封筒に手紙を入れる
守るもの	データの内容そのもの	通信が行われていること自体や経路

VPNでは、この2つを組み合わせて使います。まず暗号化でデータの中身を読めなくし（秘密の暗号文を書く）、それを別のパケットで包んで送ります（封筒に入れて送る）。2つの仕組みが揃うことで、内容も経路も両方が保護された状態になります。

「暗号化だけで十分では？盗聴されても中身が読めないなら問題ないのでは？」と思うかもしれません。しかし、暗号化だけでは守れないものが2つあります。

まず、パケットには宛先・送信元のIPアドレスが必ず含まれています。これは通信を届けるために欠かせない情報なので、暗号化で中身を隠しても、この部分までは隠せません。暗号化だけの場合、第三者は「中身は読めないが、あなたがどのサイトと通信しているか」を把握できてしまいます。

また、暗号化だけでは、通信相手であるWebサーバーには依然としてあなたの本当のIPアドレスが届きます。先ほどの「接続するとIPアドレスが変わる」で説明したように、相手にVPNサーバーのIPアドレスを見せる効果は、トンネリングによって本来の宛先情報がパケットの内側に包まれることで生まれます。

	暗号化のみ	暗号化＋トンネリング
データの中身	見えない	見えない
本来の宛先（どのWebサイトか）	見える可能性がある	見えない（VPNサーバー行きとしか分からない）
あなたの本当のIPアドレス	相手に伝わる	相手にはVPNサーバーのIPアドレスが伝わる

トンネリングは、暗号化を補う「おまけ」の機能ではなく、宛先情報やIPアドレスといった、暗号化だけでは守れない部分を担う、VPNに欠かせない仕組みです。

ここで1点、注意が必要です。トンネリングで隠れるのはあくまで 本来アクセスしたいWebサイト の情報であり、 VPNサーバーのIPアドレス自体は隠れません。 外側のパケットには「送信元：あなたのデバイス」「宛先：VPNサーバー」という情報が必ず含まれており、これはパケットを正しく届けるために欠かせない情報なので、隠すことができないからです。

つまり、第三者から見ると「このデバイスはどこかのVPNサーバーと通信している」ということまでは分かりますが、その先で本来どのWebサイトにアクセスしているかはわかりません。封筒の宛先（VPNサーバー）は見えても、封筒の中の手紙の宛先（本来のWebサイト）までは見えない、というイメージです。

用語/英単語	意味	イメージ・補足
暗号化 / Encryption	データの中身を、特定の鍵がなければ読めない形に変換すること	秘密の暗号文で文書を書くイメージ。中身そのものが読めなくなる

VPNの仕組み

VPNに接続すると、あなたのデバイスとVPNサーバーの間に暗号化されたトンネルが作られます。その後の通信はすべてこのトンネルを通ります。

デバイスがデータを暗号化し、VPNサーバーへ送る
VPNサーバーがデータを復号し、目的のサーバーへ転送する
目的のサーバーからの返信をVPNサーバーが受け取り、暗号化してデバイスへ返す

%%{init: {"theme":"base","themeVariables":{"primaryColor":"#E6F1FB","primaryTextColor":"#042C53","primaryBorderColor":"#185FA5","noteBkgColor":"#B5D4F4","noteTextColor":"#042C53","lineColor":"#378ADD","signalColor":"#185FA5","signalTextColor":"#0C447C","actorBkg":"#E6F1FB","actorBorder":"#185FA5","actorTextColor":"#042C53","sequenceNumberColor":"#ffffff","fontSize":"14px"}}}%%
sequenceDiagram
    autonumber
    participant D as あなたのデバイス
    participant V as VPNサーバー
    participant W as Webサーバー

    Note over D,V: 暗号化トンネルの確立
    D->>V: 接続要求
    V-->>D: 接続確立

    Note over D,V: 暗号化トンネルを通じた通信
    D->>V: 暗号化されたデータ
    Note right of V: 復号して転送
    V->>W: リクエスト（送信元IPはVPNサーバー）
    W-->>V: レスポンス
    V-->>D: 暗号化されたレスポンス

図：VPN接続の確立とデータ転送の流れ

ステップ	内容
①	デバイスがVPNサーバーへ「接続したい」と申し込む
②	VPNサーバーが承認し、暗号化トンネルが完成。以降の通信はすべてこのトンネルを通る
③	デバイスがデータを暗号化し、トンネルを通じてVPNサーバーへ送る
④	VPNサーバーがデータを復号して目的のWebサーバーへ転送する。このとき送信元IPがVPNサーバーのIPに変わる
⑤	Webサーバーが返信をVPNサーバーへ送る（宛先はVPNサーバーのIP）
⑥	VPNサーバーが返信を暗号化し、トンネルを通じてデバイスへ届ける

接続するとIPアドレスが変わる

VPNを使うと、通信の宛先サーバーから見た「送信元のIPアドレス」が変わります。

通常、Webサイトにアクセスすると、そのサイトにはあなたのデバイスのIPアドレスが届きます。VPN接続中は、データがVPNサーバーを経由して送られるため、Webサイトには VPNサーバーのIPアドレス が届きます。あなたの実際のIPアドレスは宛先から見えません。

これにより、以下のことが実現できます。

プライバシー保護 ：Webサイトに実際のIPアドレスを知られない
社内ネットワークへのアクセス ：社内のVPNサーバーへ接続することで、社内にいる端末と同じIPアドレスで通信できる
別の地域からのアクセス ：別の国のVPNサーバーへ接続することで、その国にある端末と同じIPアドレスで通信できる

HTTPSとVPNの違い

HTTPSの記事で学んだHTTPSとVPNは、どちらも「暗号化」という点で共通していますが、保護する範囲が異なります。

	HTTPS	VPN
何を暗号化するか	特定のWebサイトとの通信のみ	デバイスから出るすべての通信
誰が暗号化するか	ブラウザとWebサーバー	デバイスとVPNサーバー
主な目的	特定のWebサイトとの通信を保護する	通信経路全体を保護する・社内ネットワークへ接続する

HTTPSは「特定のWebサイトとのやり取りを暗号化する」技術です。一方VPNは「デバイスから出るすべての通信をまとめて暗号化する」技術です。

2つは競合するものではなく、VPN接続中もHTTPSは引き続き機能します。

「VPNがすべての通信を暗号化するなら、HTTPSは不要では？」と思うかもしれません。しかし、VPNの暗号化はデバイスからVPNサーバーまでの区間のみです。VPNサーバーから先——VPNサーバーと目的のWebサーバーとの間——はVPNの保護範囲外であり、HTTPSがこの区間を補います。

またVPNサーバーは、受け取ったデータを一度復号してから転送します。HTTPSを使っていれば、VPN提供者にも通信の内容（パスワードや個人情報）を読まれることはありません。

具体的な場面で確認してみましょう。万が一、VPNサーバーが第三者に乗っ取られていた場合、HTTPSを使っているかどうかで結果が大きく変わります。

** HTTPSなしの場合 **

%%{init: {"theme":"base","themeVariables":{"primaryColor":"#E6F1FB","primaryTextColor":"#042C53","primaryBorderColor":"#185FA5","noteBkgColor":"#B5D4F4","noteTextColor":"#042C53","lineColor":"#378ADD","signalColor":"#185FA5","signalTextColor":"#0C447C","actorBkg":"#E6F1FB","actorBorder":"#185FA5","actorTextColor":"#042C53","sequenceNumberColor":"#ffffff","fontSize":"14px"}}}%%
sequenceDiagram
    participant D as あなたのデバイス
    participant V as ⚠️ 乗っ取られたVPNサーバー
    participant W as Webサーバー

    D->>V: データ（VPNトンネルで暗号化）
    Note over V: VPN層を復号
    Note over V: ⚠️ パスワードや個人情報が丸見え！
    V->>W: データを転送（平文）
    W-->>V: 返信
    Note over V: ⚠️ 返信の内容も読み取れる
    V-->>D: 返信（VPNトンネルで暗号化）

図：乗っ取られたVPNサーバーへのHTTPSなし通信（盗聴リスクあり）

VPNの暗号化（トンネル）はVPNサーバーに届いた時点で復号されます。HTTPSを使っていなければ、その中身は平文のままです。乗っ取られたVPNサーバーは、復号した時点でパスワードや個人情報をそのまま読み取ることができてしまいます。

** HTTPSありの場合 **

%%{init: {"theme":"base","themeVariables":{"primaryColor":"#E6F1FB","primaryTextColor":"#042C53","primaryBorderColor":"#185FA5","noteBkgColor":"#B5D4F4","noteTextColor":"#042C53","lineColor":"#378ADD","signalColor":"#185FA5","signalTextColor":"#0C447C","actorBkg":"#E6F1FB","actorBorder":"#185FA5","actorTextColor":"#042C53","sequenceNumberColor":"#ffffff","fontSize":"14px"}}}%%
sequenceDiagram
    participant D as あなたのデバイス
    participant V as ⚠️ 乗っ取られたVPNサーバー
    participant W as Webサーバー

    D->>V: データ（HTTPS ＋ VPNの二重暗号化）
    Note over V: VPN層を復号
    Note over V: 🔒 HTTPS層は復号できない
    V->>W: データをHTTPS暗号化のまま転送
    W-->>V: 返信（HTTPS暗号化）
    Note over V: 🔒 内容は読み取れない
    V-->>D: 返信（HTTPS ＋ VPNの二重暗号化）

図：乗っ取られたVPNサーバーへのHTTPSあり通信（盗聴リスクなし）

HTTPSを使っていれば、VPNの暗号化が解かれても、中身はまだHTTPSで暗号化されたままです。乗っ取られたVPNサーバーは、暗号化されたデータをそのまま中継することしかできず、内容を読み取ることはできません。

このように、VPNはあくまで通信経路を保護する仕組みであり、経由するVPNサーバー自体が信頼できる保証はありません。HTTPSを併用することで、たとえVPNサーバーに問題があっても、データの中身そのものは守られます。

VPN＋HTTPSを組み合わせることで、通信経路の全区間にわたって保護された状態になります。

まとめ

VPN とは、インターネット上に暗号化された仮想の専用通信経路（トンネル）を作る技術
トンネリング によってデータを暗号化して包み、第三者が内容を読み取れない状態で通信する
VPN接続中は、通信の宛先には VPNサーバーのIPアドレス が届き、実際のIPアドレスは隠れる
主な用途は「公衆Wi-Fiでの通信保護」と「リモートワークでの社内ネットワーク接続」
HTTPSが特定のWebサイトとの通信のみを暗号化するのに対し、VPNはすべての通信を暗号化する
VPN＋HTTPSを組み合わせることで二重に保護された通信が実現する

用語表

用語	意味
VPN（Virtual Private Network）	インターネット上に暗号化された仮想の専用通信経路を作る技術
暗号化	データの中身を、特定の鍵がなければ読めない形に変換すること
トンネリング	データを別のパケットで包んで送る技術（カプセル化）。外部から遮断された見えない通り道を作る
VPNサーバー	VPN接続の中継点となるサーバー。接続すると宛先にはこのサーバーのIPアドレスが届く