いまさら聞けない「拠点間VPN」と「リモートアクセスVPN」の違いは？

VPNは接続形態に応じて「拠点間VPN」と「リモートアクセスVPN」の2種類がある。双方が用いるプロトコルやメリットには、どのような違いがあるのか。

公開 2019年01月18日 05時00分

著者

Lisa Phifer

[TechTarget]

印刷する

　「拠点間VPN」（「サイト間VPN」とも）と「リモートアクセスVPN」。どちらのVPNを選択するかを検討する際、企業はVPNが果たすべき役割を考慮する必要がある。

　拠点間VPNは離れた拠点のネットワーク同士を相互接続する。支社のLANから本社のLANへ接続するのが、その例だ。ホスト（ネットワークに接続するコンピュータ）はVPN用のクライアントソフトウェア（以下、VPNクライアントソフト）を必要とせず、ネットワーク間を接続する「VPNゲートウェイ」という装置を経由して、通常のTCP/IPトラフィックを送受信する。

　VPNゲートウェイは、送信トラフィックのカプセル化（あるプロトコルのパケットを、他のプロトコルのパケットとして送信する処理）と暗号化を担当。インターネットに構築した仮想的な直結回路である「トンネル」を経由して、送信先拠点のVPNゲートウェイ（ピアVPNゲートウェイ）にそのトラフィックを送信する。ピアVPNゲートウェイは、受信時にヘッダを取り除き、パケット内のデータを復号し、送信先ホストにパケットを中継する。

　リモートアクセスVPNは、個別のホストを社内LANに接続する。例えば旅行者やテレワーカー、モバイルユーザーなど、インターネット経由で自社の社内LANに安全にアクセスする必要のあるユーザーが利用する。社内LANの外にいるリモートユーザーがアクセスする全てのホストは、VPNクライアントソフトをインストールしなければならない。ホストがトラフィックの送信を試みるときは、必ずVPNクライアントソフトがトラフィックをカプセル化／暗号化する。その後VPNクライアントソフトはインターネット経由で、送信先ネットワークのエッジ（末端）にあるVPNゲートウェイに、カプセル化／暗号化したトラフィックを送信する。

　受信時は、VPNゲートウェイが拠点間VPNと同様の動作をする。送信先ホストが応答を返す場合、VPNゲートウェイが逆の処理を実行。インターネットを介して、送信元のVPNクライアントソフトに、暗号化された応答を送信する。

併せて読みたいお薦め記事

「VPN」はもう古いのか

「VPN」についてもっと詳しく

リモートアクセスVPNのセキュリティプロトコル

　企業が拠点間VPNとリモートアクセスVPNのいずれかを選ぶ際には、セキュリティプロトコルが重要な要素になる。

　拠点間VPNで利用されるセキュリティプロトコルのうち最も一般的なのが「IPsec」だ。ほぼ全てのルーターとファイアウォールでIPsecを利用できる。「MPLS」も拠点間VPNでよく用いられるセキュリティプロトコルだ。ただしMPLSは暗号化の仕組みを持たない。

　リモートアクセスVPNのセキュリティプロトコルには、IPsecから「PPTP」（Point-to-Point Tunneling Protocol）まで多彩な選択肢がある。リモートユーザーからのアクセスを実現するために、各ホストにVPNクライアントソフトが必要になる。VPNクライアントソフトと同じセキュリティプロトコルやオプション、拡張機能を利用可能なVPNゲートウェイも必要だ。

　通信経路の暗号化プロトコル「SSL」（Secure Sockets Layer）も利用できる。SSLを使ったVPN（SSL VPN）は、エンドユーザーのPCに専用のソフトウェアを必要としないことから「クライアントレスVPN」とも呼ばれる。SSL VPNでは、リモートユーザーはWebブラウザからネットワークに接続する。データはSSLまたは後継プロトコルである「TLS」（Transport Layer Security）のいずれかで暗号化する。

拠点間VPNのメリット

　拠点間VPNは個別のネットワークを相互接続するので、複数の拠点を有する企業に適している。遅延の少なさと高いサービス品質が求められるVoIP（Voice over IP：音声をIPパケットに変換して音声通話を実現する技術）通信など、ミッションクリティカルなトラフィックにも適用可能だ。

リモートアクセスVPNのメリット

　リモートアクセスVPNの場合、リモートユーザーがどこからでも社内LANへ接続できる。外出先での作業が多い従業員や顧客を有する企業にはメリットが大きい。リモートアクセスVPNで送信されるデータは暗号化されるため、リモートユーザーは公衆無線LAN接続サービスをはじめ、通常はトラフィックが保護されない接続環境でも利用できる。

印刷する