仮想プライベートネットワーク

仮想プライベートネットワーク（VPN）は、信頼できない（ VPNを実装しようとしているエンティティによって制御されていないため）か、分離する必要がある（したがって、下位のネットワークを非表示にするか、直接使用できない）1つまたは複数の他のネットワークにプライベートネットワーク（つまり、パブリックインターネット以外のコンピュータネットワーク）を仮想的に拡張するためのネットワークアーキテクチャです。^[1]

VPNは、オフィスネットワークなど、直接アクセスできないユーザーにもプライベートネットワークへのアクセスを拡張し、インターネット経由でオフサイトから安全にアクセスできるようにします。^{[2]これは、ネットワーク}トンネリングプロトコルを使用してコンピューティングデバイスとコンピュータネットワーク 間のリンクを作成することで実現されます。

暗号化を実装したトンネリングプロトコルを選択することで、安全でない通信媒体（公共のインターネットなど）上でもVPNを安全に使用できるようになります。このようなVPNの実装には、専用通信回線に関してコスト削減と柔軟性の向上という利点があり、リモートワーカーに役立ちます。^[3]

VPNという用語は、VPN トンネリング プロトコルを使用して顧客を接続し、インターネット アクセス用に独自のプライベート ネットワークへのアクセスを販売する VPN サービスを指す場合にも使用されます。

仮想プライベート ネットワークの目的は、ネットワーク ホストが別のネットワークを介してネットワーク メッセージを交換し、同じネットワークの一部であるかのようにプライベート コンテンツにアクセスできるようにすることです。これは、中間ネットワークの通過がネットワーク アプリケーションに対して透過的になるように行われます。ネットワーク接続サービスのユーザーは、このような中間ネットワークは第三者によって制御されているため信頼できないと考え、通信のプライバシーを保護するプロトコルを介して実装された VPN を好む場合があります。

プロバイダーがプロビジョニングする VPNの場合、目標は信頼できないネットワークから保護することではなく、プロバイダー自身のネットワーク インフラストラクチャの一部を仮想セグメントに分離し、各セグメントの内容を他のセグメントに対してプライベートにすることです。この状況により、他の多くのトンネリング プロトコルは、セキュリティ機能が弱いかまったくない場合 ( VLANなど) でも、PPVPN の構築に適しています。

VPN が実際にどのように機能するかは、VPN がどのテクノロジとプロトコルに基づいて構築されているかによって異なります。トンネリング プロトコルは、ネットワーク メッセージを一方から他方に転送するために使用されます。その目的は、トンネルの一方の側にあるアプリケーション ( OSI レイヤー 7で動作) からネットワーク メッセージを取得し、下位のネットワーク レイヤーまたはリンク レイヤーを仮想的に置き換えたかのように、もう一方の側でそれを再生することです。仮想ネットワークまたはリンクは OS で利用できるため、アプリケーションを変更してメッセージを VPN に通過させる必要はありません。

トンネリングやプロキシ機能をネットワーク インターフェイスとして利用できるようにすることなく、それ自体で実装するアプリケーションは、VPN 実装とは見なされませんが、リモート ネットワークに向けてプライベート コンテンツを交換するという、同じまたは同様のエンド ユーザーの目的 (認証されたプロキシを介したイントラネットの閲覧など) に部分的に一致する可能性があります。

仮想プライベート ネットワークの構成は、仮想拡張の目的に応じて分類することができ、さまざまなトポロジに適したさまざまなトンネリング戦略が作成されます。

リモートアクセス

ホストからネットワークへの構成は、直接接続できないネットワークに 1 台以上のコンピュータを接続することに似ています。このタイプの拡張機能により、そのコンピュータはリモート サイトのローカル エリア ネットワーク、またはイントラネットなどのより広範な企業ネットワークにアクセスできるようになります。各コンピュータは、接続するネットワークへの独自のトンネルをアクティブ化する役割を担います。接続されたネットワークは、各トンネルに対して 1 つのリモート ホストのみを認識します。これは、リモート ワーカー向けに採用される場合もあれば、パブリック インターネットに公開することなく、人々が自宅や会社のリソースにアクセスできるようにする場合に採用される場合もあります。リモート アクセス トンネルは、オンデマンドまたは常時接続のいずれかです。この構成を適切に実装するには、リモート ホストがアクセスしている中央ネットワークへの通信を開始する必要があります。これは、リモート ホストの場所は、中央ネットワークがアクセスしようとするまで通常は不明であるためです。

サイト間

サイト間構成は、2 つのネットワークを接続します。この構成では、地理的に離れた場所にネットワークが拡張されます。トンネリングは、両方のネットワークの場所にある 2 つのデバイス (ルーター、ファイアウォール、VPN ゲートウェイ、サーバーなど) 間でのみ行われます。これらのデバイスは、反対側の任意のホストに到達しようとする他のローカル ネットワーク ホストがトンネルを利用できるようにします。これは、オフィス ネットワークと本社またはデータセンターのように、サイトを互いに安定した方法で接続しておくのに役立ちます。この場合、中規模ネットワークでもう一方に到達する方法を知っている限り、どの側でも通信を開始するように構成できます。両方がお互いに認識されており、選択した VPN プロトコルがクライアント サーバー設計に縛られていない場合、VPN が非アクティブであるか、ローカル ホストが反対側にあることがわかっている別のホストに到達しようとしていることを確認すると、どちらかが通信を開始できます。

サイト間構成の文脈では、イントラネットとエクストラネットという用語は、2つの異なる使用例を説明するために使用されます。[ ^4]イントラネットサイト間VPNは、VPNによって接続されたサイトが同じ組織に属する構成を表しますが、エクストラネットサイト間VPNは、複数の組織に属するサイトを結合します。

通常、個人はリモート アクセス VPN を使用しますが、企業はビジネス間、クラウド コンピューティング、ブランチ オフィスのシナリオでサイト間接続を使用する傾向があります。ただし、これらのテクノロジは相互に排他的ではなく、非常に複雑なビジネス ネットワークでは、組み合わせて、データ センターにある注文システムなど、任意のサイトにあるリソースへのリモート アクセスを可能にすることができます。

一般的なトポロジ構成とは別に、VPN には次のような特徴もあります。

• トラフィックをトンネリングするために使用されるトンネリング プロトコル。
• トンネルの終端点の場所（例：顧客エッジまたはネットワーク プロバイダー エッジ）。
• 提供されるセキュリティ機能。
• レイヤー 2リンク/回線やレイヤー 3ネットワーク接続など、接続ネットワークに提示するOSIレイヤー。
• 同時に許可されるトンネルの数。
• VPN を実装する主体とネットワーク インフラストラクチャの所有者/プロバイダーとの関係、および前者が前者の媒体を信頼するかどうか。

上記の特性に適応するためにさまざまな VPN 技術が存在し、それぞれが異なるネットワーク トンネリング機能と異なるセキュリティ モデルの範囲または解釈を提供します。

オペレーティング システムのベンダーと開発者は通常、VPN プロトコルの選択に対してネイティブ サポートを提供していますが、一部のプロトコルは最新の要件と期待に対して安全でないことが判明し、他のプロトコルも登場したため、長年にわたって変更される可能性があります。

デスクトップ、スマートフォン、その他のエンドユーザーデバイスのオペレーティングシステムは、通常、グラフィカルツールまたはコマンドラインツールからリモートアクセスVPNの構成をサポートしています。^{[5] [6] [7]}ただし、VPNプロトコルは多様で、多くの場合標準ではないため、OSでネイティブにサポートされていない、またはサポートされなくなった追加のプロトコルを実装するサードパーティアプリケーションが多数存在します。

たとえば、Androidではバージョン11までネイティブIPsec IKEv2のサポートがなく^[8]、その種のVPNに接続するにはサードパーティのアプリをインストールする必要がありましたが、Microsoft Windows、BlackBerry OSなどでは過去にサポートされていました。

逆に、Windows は、プレーンな IPsec IKEv1 リモート アクセス ネイティブ VPN 構成 ( CiscoおよびFritz!Box VPN ソリューションで一般的に使用) をサポートしていないため、このような VPN プロトコルに依存する個人や企業はサードパーティ アプリケーションの使用が必須になります。

ファイアウォールなどのネットワーク アプライアンスには、リモート アクセスまたはサイト間構成用の VPN ゲートウェイ機能が含まれていることがよくあります。管理インターフェイスでは、サポートされているプロトコルを選択して簡単にすぐにセットアップできるように統合された仮想プライベート ネットワークを簡単にセットアップできます。

場合によっては、ファイアウォールやネットワーク デバイス専用のオープン ソース オペレーティング システム ( OpenWrt、IPFire、PfSense、OPNsenseなど) では、不足しているソフトウェア コンポーネントやサードパーティ アプリをインストールすることで、追加の VPN プロトコルのサポートを追加できます。

同様に、OS が特定の構成のセットアップを容易にしない場合でも、手動で内部構成を編集するか、OS 自体のオープン ソース コードを変更することで、追加の VPN 構成を機能させることができます。たとえば、pfSense は、OS がリモート ホストで実行される場合のユーザー インターフェイスを介したリモート アクセス VPN 構成をサポートしていませんが、このようなリモート アクセス構成シナリオの中央 VPN ゲートウェイとして構成するための包括的なサポートを提供しています。

一方、独自のハードウェア/ソフトウェア プラットフォームに基づく VPN 機能を備えた商用アプライアンスは、通常、製品全体で一貫した VPN プロトコルをサポートしますが、実装を意図したユース ケース以外ではカスタマイズできません。これは、より高いスループットを提供したり、同時に接続している多数のユーザーをサポートしたりするために VPN のハードウェア アクセラレーションに依存するアプライアンスの場合によく見られます。

VPN がサードパーティの信頼できないメディアを介してプライベート ネットワークを仮想的に拡張することを意図している場合は、選択したプロトコルが次のセキュリティ モデルと一致することが望ましいです。

• 機密性：個人情報の漏洩やデータの盗聴を防ぐ。ネットワークトラフィックがパケットレベルで盗聴されたとしても（ネットワークスニファーやディープパケットインスペクションを参照）、攻撃者は生データではなく暗号化されたデータしか見ることができない。
• メッセージの整合性を確保し、送信されたメッセージの改ざんを検出して拒否するために、データ パケットはメッセージ認証コード(MAC)による改ざん防止によって保護されます。これにより、変更されたデータ パケットと MAC が一致しないために拒否されることなく、メッセージが変更または改ざんされることを防止します。

VPN は、信頼できない媒体のネットワーク プロバイダーの観点から、接続するユーザーを匿名にしたり識別不能にしたりすることを目的としていません。VPN が上記の機密性機能を提供するプロトコルを使用する場合、その使用により、信頼できない媒体の所有者が VPN 経由で交換されるプライベート データにアクセスできないようにすることで、 ユーザーのプライバシーを強化できます。

権限のないユーザーが VPN にアクセスするのを防ぐために、ほとんどのプロトコルは、接続者の認証も可能にする方法で実装できます。これにより、接続されたリモート ネットワークの機密性、整合性、可用性が保護されます。

トンネル エンドポイントは、VPN アクセスの開始時にさまざまな方法で認証できます。認証は、VPN の開始時にすぐに実行することも (エンドポイント IP アドレスの単純なホワイトリスト化など)、実際のトンネルがすでにアクティブになってからすぐに実行することもできます ( Web キャプティブ ポータルなど)。

リモート アクセス VPN は、通常、ユーザーが開始するもので、パスワード、生体認証、2 要素認証、またはその他の暗号化方式を使用する場合があります。未知の任意のネットワーク ロケーションからこの種の VPN を開始するユーザーは、「ロード ウォリアー」とも呼ばれます。このような場合、発信元のネットワーク プロパティ (IP アドレスなど) を安全な認証要素として使用することはできず、より強力な方法が必要になります。

サイト間 VPN では、多くの場合、パスワード (事前共有キー) またはデジタル証明書が使用されます。VPN プロトコルによっては、管理者の介入なしに VPN トンネルを自動的に確立できるようにキーを保存する場合があります。

仮想プライベート ネットワークはトンネリング プロトコルに基づいており、他のネットワーク プロトコルやアプリケーション プロトコルと組み合わせて、追加機能や異なるセキュリティ モデルの範囲を提供することもできます。

• インターネット プロトコル セキュリティ( IPsec ) は、当初はインターネット技術特別調査委員会(IETF)によってIPv6用に開発され、 RFC  6434 で単なる推奨事項になるまでは、すべての標準準拠の IPv6 実装で必須でした。 ^[9]この標準ベースのセキュリティ プロトコルは、IPv4でも広く使用されています。その設計は、可用性、整合性、機密性というほとんどのセキュリティ目標を満たしています。 IPsec は暗号化を使用し、 IP パケットを IPsec パケット内にカプセル化します。カプセル化解除はトンネルの終端で行われ、元の IP パケットが復号化されて目的の宛先に転送されます。 IPsec トンネルは、インターネット キー交換 (IKE)プロトコルによって設定されます。 IKE バージョン 1 (IKEv1 トンネル、または単に「IPsec トンネル」とも呼ばれる) で作成された IPsec トンネルは、VPN を提供するために単独で使用できますが、レイヤー 2 トンネリング プロトコル (L2TP)と組み合わせて使用​​されることもよくあります。これらを組み合わせることで、既存の L2TP 関連の実装を再利用して、リモート アクセス構成に適したより柔軟な認証機能 (Xauth など) を実現できるようになりました。Microsoft と Cisco によって作成された IKE バージョン 2 は、IPsec VPN 機能を提供するために単独で使用できます。その主な利点は、拡張認証プロトコル (EAP)による認証のネイティブ サポートと、 3Gネットワークでも4G LTEネットワークでも、ローミング中のモバイル デバイスでよく見られる、関連付けられたホストの IP アドレスが変更されてもトンネルをシームレスに復元できることです。IPsec は、ネットワーク ハードウェア アクセラレータによってサポートされていることも多く、^[10]常時接続のリモート アクセス VPN 構成などの低電力シナリオには IPsec VPN が適しています。^{[11] [12]}
• トランスポート層セキュリティ（SSL/TLS）は、ネットワーク全体のトラフィックをトンネル化したり（OpenVPNプロジェクトやSoftEther VPNプロジェクト^{[13]のように）、個々の接続を保護したりできます。多くのベンダーがTLSを介してリモートアクセスVPN機能を提供しています。TLSベースのVPNは、通常のTLSウェブナビゲーション（} HTTPS ）がサポートされている場所から、特別な追加設定なしで接続できます。
• データグラムトランスポート層セキュリティ（DTLS） - Cisco AnyConnect VPNおよびOpenConnect VPN ^{[14]で使用され、} TLSがTCPを介したトンネリングで抱える問題を解決します（SSL/TLSはTCPベースであり、TCPを介したTCPトンネリングは大きな遅延や接続の中断につながる可能性があります^[15]）。
• Microsoft Point-to-Point Encryption ( MPPE ) は、Point-to-Point トンネリング プロトコルおよび他のプラットフォーム上のいくつかの互換性のある実装で動作します。
• Microsoft Secure Socket Tunneling Protocol ( SSTP ) は、SSL/TLSチャネルを介してポイントツーポイント プロトコル(PPP) またはレイヤー 2 トンネリング プロトコル トラフィックをトンネリングします (SSTP は、 Windows Server 2008およびWindows Vista Service Pack 1 で導入されました)。
• マルチパス仮想プライベートネットワーク（MPVPN）。Ragula Systems Development Companyは登録商標「MPVPN」を所有しています。^{[関連? ] [16]}
• セキュアシェル（SSH）VPN – OpenSSHは、ネットワーク、ネットワーク間リンク、リモートシステムへの^[曖昧な]リモート接続を保護するためのVPNトンネリング（ポート転送とは異なります）を提供します。OpenSSHサーバーは、限られた数の同時トンネルを提供します。VPN機能自体は個人認証をサポートしていません。 ^[17] SSHは、サイト間VPN接続ではなく、マシンまたはネットワークにリモート接続するために使用されることが多いです。
• WireGuardはプロトコルです。2020年に、WireGuardのサポートがLinux ^[18]とAndroid ^[19]の両方のカーネルに追加され、VPNプロバイダーによる採用が可能になりました。デフォルトでは、WireGuardは鍵交換にCurve25519プロトコルを使用し、暗号化とメッセージ認証にChaCha20-Poly1305を使用しますが、クライアントとサーバー間で対称鍵を事前に共有する機能も備えています。^[20]
• OpenVPN は、TLS プロトコルに基づく無料のオープンソースVPN プロトコルです。完全な前方秘匿性と、 AES、Serpent、TwoFishなどの最新の安全な暗号スイートのほとんどをサポートしています。現在^{[ 2023 年 3 月時点では時代遅れの可能性があります] 、安全な VPN テクノロジーを提供する}非営利団体である OpenVPN Inc. によって開発および更新されています。
• Crypto IP Encapsulation (CIPE) は、カプセル化を介してUDP上でIPv4 パケットをトンネリングするための無料のオープンソース VPN 実装です。^{[21] CIPE は Olaf Titz によって}Linuxオペレーティングシステム用に開発され、 Damion K. Wilson によってWindowsポートが実装されました。 ^[22] CIPE の開発は 2002 年に終了しました。^[23]

信頼できるVPNは暗号化トンネリングを使用せず、代わりにトラフィックを保護するために単一のプロバイダーのネットワークのセキュリティに依存します。^[24]

• マルチプロトコル ラベル スイッチング(MPLS) は、多くの場合、信頼できる配信ネットワーク上でのサービス品質の制御とともに VPN をオーバーレイします。
• L2TP ^[25]は、シスコのレイヤー2フォワーディング（L2F）^[26]（2009年時点で廃止^{[アップデート]}）とマイクロソフトのポイントツーポイントトンネリングプロトコル（PPTP）^[27]という2つの独自VPNプロトコルの標準ベースの代替であり、それぞれの優れた機能を取り入れた妥協案です。

セキュリティの観点から、VPN は基盤となる配信ネットワークを信頼するか、VPN 自体のメカニズムを使用してセキュリティを強化する必要があります。信頼された配信ネットワークが物理的に安全なサイト間でのみ実行されない限り、信頼できるモデルと安全なモデルの両方で、ユーザーが VPN にアクセスするための認証メカニズムが必要です。^{[引用が必要]}

モバイル仮想プライベートネットワークは、VPNのエンドポイントが単一のIPアドレスに固定されておらず、携帯電話会社のデータネットワークや複数のWi-Fiアクセスポイント間など、さまざまなネットワーク間を移動し、安全なVPNセッションが切断されたり、アプリケーションセッションが失われたりしない環境で使用されます。 ^[28]モバイルVPNは、警察職員がコンピューター支援ディスパッチや犯罪データベースなどのアプリケーションにアクセスできるようにする公共の安全の分野で広く使用されており、 ^[29]フィールドサービス管理や医療など、同様の要件を持つ他の組織でも使用されています。^{[30] [確認するには引用が必要]}

従来のVPNの制限は、ポイントツーポイント接続であり、ブロードキャストドメインをサポートしない傾向があることです。そのため、 Windowsネットワークで使用されるNetBIOSなどのレイヤー2およびブロードキャストパケットに基づく通信、ソフトウェア、およびネットワークは、ローカルエリアネットワークのように完全にサポートされない可能性があります。仮想プライベートLANサービス（VPLS）やレイヤー2トンネリングプロトコルなどのVPNのバリアントは、この制限を克服するように設計されています。^[31]

• Kelly, Sean (2001 年 8 月)。「必要は VPN 発明の母」。Communication News : 26–28。ISSN 0010-3632。2001 年 12 月 17 日時点のオリジナルからアーカイブ。