VPNの種類を理解する——リモートアクセス型とサイト間型、IPsecとWireGuard

VPNという言葉は「安全な通信経路を作る技術」の総称として使われますが、実際には用途によって選ぶべき構成がまったく異なります。導入目的を整理せずに「VPNを入れよう」と決めてしまうと、必要以上に複雑な機器を導入したり、逆に用途に合わない製品を選んでしまったりします。

リモートアクセス型とサイト間型

リモートアクセスVPN は、在宅勤務者や外出中の社員が使う端末1台1台を、社内ネットワークに接続するための構成です。各端末にVPNクライアントソフトを入れ、社内のVPNゲートウェイに接続します。従業員が個別に使うイメージです。

サイト間VPN（Site-to-Site VPN） は、拠点と拠点（本社と支社、オフィスとデータセンターなど）のネットワーク同士を常時接続する構成です。個々の端末ではなく、各拠点のルーターやファイアウォール機器同士がVPNトンネルを確立し、その拠点にいる全員が意識せず利用できます。

在宅勤務者向けにはリモートアクセスVPN、複数拠点の常時接続にはサイト間VPN、という使い分けが基本です。両方が必要な企業も多く、その場合は同じ機器がリモートアクセス・サイト間の両機能を兼ねられる製品を選ぶと、管理を一本化できます。

プロトコルの違い：IPsec・OpenVPN・WireGuard・SSL-VPN

VPNを実現する通信方式（プロトコル）にはいくつかの種類があり、それぞれ特性が異なります。

IPsec：企業向けVPNの標準的な選択肢です。サイト間VPNで広く使われ、ほとんどの法人向けルーター・ファイアウォール製品が対応しています。暗号化強度は高い一方、設定項目が多く、機器同士の相性（IKEバージョンや暗号スイートの一致）でつながらないトラブルが起きやすいという弱点もあります。

OpenVPN：オープンソースのVPNソフトウェアで、SSL/TLSベースの暗号化を使います。専用のクライアントソフトが必要ですが、多くのOS・機器に対応しており、リモートアクセスVPNで広く使われてきました。

SSL-VPN：Webブラウザ経由でVPN接続する方式で、専用クライアントが不要な手軽さから普及しましたが、近年は主要SSL-VPN製品の脆弱性が繰り返し悪用される事案が報告されており、新規導入では他方式（IPsecやWireGuard）への切り替えを検討する企業が増えています。既存でSSL-VPNを使っている場合は、ファームウェア・ソフトウェアの更新を最優先で徹底する必要があります。

WireGuard：比較的新しいプロトコルで、設定がシンプルかつ高速という特徴があります。設定ファイルの記述量が少なく、公開鍵ベースのシンプルな鍵管理で構成できるため、近年はクラウド事業者のVPNサービスや、ルーターのファームウェアでも標準搭載が進んでいます。

WireGuardの設定例（概要）

WireGuardは設定のシンプルさが特徴で、サーバー側・クライアント側それぞれに次のような設定ファイルを用意する構成が基本です。

# サーバー側 (wg0.conf)
[Interface]
Address = 10.0.0.1/24
PrivateKey = <サーバーの秘密鍵>
ListenPort = 51820

[Peer]
PublicKey = <クライアントの公開鍵>
AllowedIPs = 10.0.0.2/32

# クライアント側 (wg0.conf)
[Interface]
Address = 10.0.0.2/24
PrivateKey = <クライアントの秘密鍵>

[Peer]
PublicKey = <サーバーの公開鍵>
Endpoint = vpn.example.com:51820
AllowedIPs = 10.0.0.0/24
PersistentKeepalive = 25

公開鍵・秘密鍵のペアを端末ごとに発行し、AllowedIPsで通信を許可する範囲を絞る、という構成がIPsecに比べてシンプルです。ただしユーザー管理機能（誰が・いつアクセスしたかの一元管理）は標準では弱く、多数の端末を管理する場合は管理用のダッシュボードを備えた製品（Tailscale、Headscaleなど、WireGuardをベースにした管理レイヤーを持つサービス）を検討するのが現実的です。

選定の目安

用途	向いている構成
拠点間の常時接続	サイト間VPN（IPsec）
在宅勤務者の一時的な接続、少人数	リモートアクセスVPN（WireGuardまたはIPsec）
在宅勤務者が多く、管理を簡素化したい	WireGuardベースの管理サービス（Tailscaleなど）
ブラウザだけで手軽に接続したい	SSL-VPN（ただし脆弱性情報への追従が前提）

運用面で見落とされやすい点

端末を退職者・機種変更時に確実に無効化する：VPNクライアントの証明書や鍵を発行したままにしておくと、退職後もアクセス経路が残ってしまう
VPN接続だけで安全とは限らない：VPNは通信経路を暗号化する技術であり、接続してきた端末自体がマルウェアに感染していれば、その脅威も社内ネットワークに持ち込まれる。VPNとあわせて、多要素認証（パスワード管理と多要素認証の基本）や、接続後のネットワーク分断（VLANでネットワークを分断する）を組み合わせる
ソフトウェア・ファームウェアの更新を継続する：VPN機器の脆弱性は攻撃者にとって魅力的な標的になりやすく、更新の停滞がそのままリスクに直結する

まとめ

VPNは「導入すれば安全」という単一の技術ではなく、拠点間接続かリモートアクセスかという用途、IPsec・WireGuardといったプロトコルの特性を踏まえて選ぶ技術です。管理のしやすさと安全性のバランスを見ながら構成を選び、導入後も端末管理と更新を継続することが、実際の防御力を左右します。