SSL VPN機能は単体型アプライアンスや仮想アプライアンスの形で提供されているが、最近では次世代型ファイアウォールやUTM（統合脅威管理）製品などのセキュリティ製品に組み込まれるケースも増えている。組み込み型であれ単体型であれ、これらのSSL VPN機能は全般的に似通っている。各社のSSL VPN製品で異なるのは、これらの機能がどのように実装されているのかという部分だ。

　こうした違いを把握した上で自社のニーズに合った製品を見つけるには、SSL VPN製品を評価する基準を設定する必要がある。SSL VPN製品を評価する上で考慮すべき重要な基準は4つ。今回はそのうち2つについて示す。

評価基準1：VPNクライアントソフトウェアの選択肢

　ほとんどの企業の場合、SSL VPN製品の選択に際して判断すべき最も重要なことは、「SSL VPNクライアント端末からどんなリソース（Webサイト、アプリケーション、ファイル共有など）にアクセスする必要があるのか」、そして「これらのクライアント端末に対してどういったセキュリティ要件を適用すべきか」ということだ。これらの条件はSSL VPNクライアントソフトウェアの評価にも影響する。

　SSL VPNクライアントソフトウェアには概して4つの形態が存在する。

1. クライアントレス

　これはクライアント端末のWebブラウザを使ってSSL VPN接続を実現するという方式であり、ソフトウェアをインストールする必要がない。クライアントレス方式では一般に、社内リソースへのアクセスに制約があり、WebベースのアプリケーションとWebサイトへのアクセスのみに限定される場合が多い。

2. ブラウザプラグイン

　クライアント端末のWebブラウザ内でJavaアプレットやActiveXコントロールなどのコードを実行する方式である。ブラウザプラグインでは、ファイル共有やWebベース以外のアプリケーションなど、クライアントレス方式では利用できないリソースにアクセスできる場合が多い。ただしブラウザプラグインはデスクトップとノートPC上でしか利用できず、スマートフォンやタブレットでは使えない。

3. デスクトップ／ノートPC用のスタンドアロン型実行可能プログラム

　これはWebブラウザに組み込むのではなく、OSにインストールする専用のクライアントである。ブラウザプラグインの場合と同じリソースにアクセスできるのに加え、より強力なセキュリティを実現できる。システムの健全性に対する厳しいチェックや社内基準に基づく構成の適用が可能だからだ。また、ブラウザに依存しないため、クライアント端末にインストールされているWebブラウザの種類やバージョンに関係なく使える。

4. スマートフォン／タブレット用のモバイルアプリ

　スタンドアロン型実行可能プログラムと機能的には同等だが、モバイル端末でしか利用できない。

　各企業はリソースへのアクセスとセキュリティに関する要件、ならびにクライアント端末の特徴（デスクトップ／ノートPCかスマートフォン／タブレットか、ブラウザの種類とバージョンなど）を考慮する必要がある。これらの情報を全て考え合わせた上で、どのSSL VPNクライアントソフトウェア方式が自社に適しているのかを判断し、そのクライアント方式に対応しているSSL VPN製品を検討しなければならない。クライアントレス方式のオプションを提供しているSSL VPN製品もあれば、クライアントソフトウェア方式にしか対応していない製品もある。

評価基準2：VPNクライアントに対応するOS

　SSL VPNに対して“本格的な”クライアントベースのアプローチを採用し、デスクトップやノートPCにスタンドアロン型実行可能プログラムをインストールしたり、スマートフォンやタブレットにモバイルアプリをインストールしたりするのであれば、クライアントソフトウェアがどのOSに対応しているのかを注意深く検討しなければならない。お目当てのSSL VPN製品は自社のクライアントOSに対応しているはずだ、と思い込むのは危険だ。これはデスクトップ／ノートPCだけでなく、スマートフォン／タブレットにも当てはまる。

　例えば、「Windows」や「Mac OS X」を搭載した各種のデスクトップやノートPCだけでなく、米Googleの「Android」や米Appleの「iOS」ベースのスマートフォンやタブレットが混在している企業の場合を考えてみよう。この場合、WindowsとMac OS Xの両方のスタンドアロン型実行可能プログラムに加え、AndroidとiOSに対応したモバイルアプリが必要になるが、これらを全て提供している単一のSSL VPN製品を見つけるのは難しそうだ。

　さらに、自社のBYODユーザーとその端末も考慮に入れる必要がある。これらのユーザーのデスクトップ／ノートPCは「UNIX」や「Linux」といったOSで動作しているかもしれないし、スマートフォン／タブレットの場合はWindowsや「BlackBerry」OSで動作している可能性もある。

　このため、一部の端末には“本格的な”クライアントを配備し、別の端末にはブラウザベースのプラグインやクライアントレス方式を用いる必要があるかもしれない。だが注意しなければならないのは、スマートフォンとタブレットでSSL VPNの機能を実現するには専用のアプリが必要になる可能性が高いため、SSL VPNがどのモバイルOSに対応しているかという問題は、どのデスクトップ／ノートPC用OSに対応しているかという問題よりも重要な場合があるということだ。

　後編では残り2つの評価基準を示す。