VPNとは? 通信を守るトンネルのしくみと、できないこと
VPNは、自分の端末とVPNサーバの間に、暗号化した「トンネル」を作るしくみです。通信をまとめて包んで運ぶので、VPNサーバまでの途中では、中身も本当の行き先も見えません。ただし、VPNで匿名になれるわけではなく、偽サイトやウイルスも防げません。
この記事でわかること
- VPNの「トンネル」が、実際には何をしているのか
- 会社のVPNと、個人向けのVPNサービスの違い
- VPNを使っても守れないことと、VPN自体の危険
- VPNに代わる考え方として広がる「ゼロトラスト」
前提知識: 特にありません。「IPアドレスとは?」「HTTPSとは?」を読んでいると、よりわかりやすくなります。
身近なところでは
会社に入ると、「社外で仕事をするときは、VPNにつないでから」と言われることがあります。旅行先のホテルやカフェでは、「VPNで安全に」というアプリの広告を見かけるかもしれません。ニュースでは、「VPN機器から侵入された」という言葉も出てきます。
同じVPNという言葉ですが、場面ごとに目的が少しずつ違います。この記事では、VPNが何をしているのかを順に見ていきます。そのうえで、できることとできないことを分けて考えます。
VPNとは: みんなの道の上に作る「専用の通り道」
昔から会社は、本社と工場のような離れた場所を、専用の回線で結んできました。ほかの人の通信が通らないので安全ですが、費用が高くつきます。そこで、誰もが使うインターネットの上で、暗号の力を借りて専用の回線のように使う方法が考えられました。暗号とは、決まった手順と「鍵」を使い、鍵を持たない人には読めない形にデータを変えることです。
これをVPN(Virtual Private Network、仮想の専用ネットワーク)と呼びます。「仮想」とは、本物の専用線を引くのではなく、しくみの工夫で同じような働きをさせる、という意味です。実際の通信は、ほかの人と同じインターネットの回線を通ります。
VPNを使うと、通信の通り道が変わる
ふだんスマホでWebページを開くと、通信はWi-Fiや携帯の回線を通って、直接そのサイトに届きます。サイトの側には、あなたの回線のIPアドレス(ネットの宛先の番号)が見えます。IPアドレスのしくみは「IPアドレスとは?」で説明しています。
VPNを使うと、通信はまずVPNサーバに向かいます。VPNサーバとは、トンネルの出口になるコンピュータです。スマホとVPNサーバの間は暗号化され、VPNサーバが代わりにサイトとやり取りします。サイトから見えるのは、あなたの番号ではなくVPNサーバの番号です。
しくみ: パケットを丸ごと包んで運ぶ
インターネットでは、データは小さなかたまりに分けて送られます。このかたまりをパケットと呼び、それぞれに宛先の番号が書かれています。くわしくは「インターネットはどうやってデータを届けるの?」で説明しています。
多くのVPNでは、ソフトが送りたいパケットを、宛先の部分まで含めて丸ごと暗号化します。それを、VPNサーバ宛ての新しいパケットの中身として入れて送ります。このように、パケットを別のパケットの中に包むことを「カプセル化」と呼びます。
VPNサーバは、届いたパケットから中身を取り出し、鍵を使って元に戻します。そして、元のパケットを本来の宛先へ送り出します。途中の機器から見えるのは「VPNサーバ宛て」という外側の宛先だけです。この、包まれたまま運ばれる区間を、VPNでは「トンネル」と呼んでいます。
主な方式
包み方や鍵の決め方には、いくつかの方式があります。ここでは名前と特徴だけを紹介します。暗号や鍵のしくみは「暗号とは?」で説明しています。
- IPsec: インターネットの基本の決まりごと(IP)に、暗号化を加える標準の方式。拠点どうしを結ぶVPNでよく使われます。
- SSL-VPN: HTTPSと同じTLSを使う方式をまとめた呼び名です。TLSの前身のSSLという名前が残っています。
- OpenVPN: 中身が公開されているVPNのソフトで、TLSのしくみを使います。
- WireGuard: しくみを小さく絞った新しい方式。2020年3月に公開されたLinux 5.6から、サーバなどで広く使われるOSであるLinuxの本体に組み込まれました。
使われ方1: 会社のVPN(リモートアクセスVPN)
会社のファイル置き場や社内向けのシステムには、社内のネットワークからしか使えないものがあります。外から誰でもつなげると危ないからです。自宅や出張先からそれらを使うために、社員のパソコンを会社のVPN装置につなぎます。これを「リモートアクセスVPN」と呼びます。
つながると、パソコンは社内にいるのと同じように扱われます。会社のVPNは、使うことが規則で決められている場合が多くあります。勝手に切ったり、別のVPNを使ったりすると、規則違反になることがあります。また会社の設定によっては、つないでいる間はWebの閲覧もすべて会社を経由します。その場合、会社は通信の記録を取れます。
もう1つ、本社と支社のネットワークどうしを、建物の出入口に置いた装置でつなぐ「拠点間VPN」もあります。社員はVPNを意識せず、離れた拠点のプリンタやサーバを使えます。
使われ方2: 個人向けのVPNサービス
スマホやパソコンにアプリを入れて、事業者のVPNサーバにつなぐサービスもあります。主な目的は2つです。1つは、駅やカフェの公衆Wi-Fiで、通信を途中から見られにくくすることです。もう1つは、VPNサーバのある別の場所から接続しているように見せることです。
ただし、2つ目の使い方は、動画配信などのサービスが利用規約で禁じていることがあります。VPNサーバの番号を見分けて、接続を止めるサービスもあります。
ここで大事なのは、VPNを使うと「誰に何が見えるか」が入れかわるだけだという点です。次の表は、HTTPSのサイトを開く場合の目安です。
| 見る人 | VPNなし | VPNあり |
|---|---|---|
| Wi-Fiや回線の事業者 | 相手の番号、サイトの名前、量と時刻 | VPNサーバとつないでいること、量と時刻 |
| VPNの事業者 | (関係しない) | 相手の番号、サイトの名前、量と時刻 |
| 開いたサイト | 自分の回線の番号 | VPNサーバの番号 |
どちらの場合も、HTTPSで守られたページの中身や入力した内容は、途中からは読めません。HTTPSでも途中から見えるもの(サイトの名前など)は、「HTTPSとは?」で説明しています。名前を番号に変える問い合わせ(DNS)も、多くのVPNアプリはトンネルに通します。ただし設定によってはトンネルの外に漏れ、回線の事業者にサイトの名前が見えてしまいます。
VPNでできないこと
1. 匿名にはならない
表のとおり、VPNの事業者は、どのサイトといつ、どれだけ通信したかを見られる立場にあります。米国の連邦取引委員会(FTC)も利用者向けの注意で、信頼する相手がVPNの事業者に移るだけで、完全な匿名にはならないと説明しています。さらに、サイトにログインすれば、番号が変わっても誰なのかはサイトにわかります。記録を残さないと宣伝する事業者もありますが、利用者が外から確かめるのは難しいのが実情です。
2. 偽サイトやウイルスは防げない
VPNが守るのは、端末とVPNサーバの間の「運ぶ途中」だけです。実在の会社を装った偽のサイトでパスワードを入力させるフィッシングは、VPNを通しても同じように届きます。悪いプログラムが入ったファイルも、暗号化されたまま運ばれてきます。端末そのものがウイルスに感染していれば、VPNの手前で情報が盗まれます。
3. 通信が速くなるわけではない
VPNでは、通信がVPNサーバを回り道します。包むための見出しも増えるので、ふつうは少し遅くなります。
VPN機器そのものが狙われる
会社のVPN装置は、社員が外からつなげるように、インターネットに向けて開いています。つまり、攻撃する側から見れば、会社の中への入口です。装置の設計や作りに欠陥があると、そこから入り込まれます。このような欠陥を「脆弱性(ぜいじゃくせい)」と呼びます。米国でサイバー安全保障を担う機関CISAは、国家安全保障局(NSA)と2021年9月に手引きを出しました。VPNサーバはネットワークの入口なので狙われやすいとして、選び方と守り方をまとめたものです。
実際の例もあります。2024年1月19日、CISAは米国の連邦政府の機関に緊急指令を出しました。Ivanti社の、社外から社内につなぐためのVPN製品などの脆弱性が、広く悪用されていたためです。1月31日には、2月2日までに対象の装置をネットワークから切り離すよう求める指示も加えました。
日本でも同じ傾向が見られます。会社のファイルを勝手に暗号化し、元に戻す代わりにお金を要求する悪いプログラムをランサムウェアと呼びます。警察庁によると、2025年(令和7年)の被害の報告は226件でした。被害にあった組織に感染の経路をたずねると、答えの6割以上がVPN機器からの侵入でした。
警察庁は、更新されていない機器の脆弱性や、漏れたり推測されやすかったりするパスワードなどが悪用されたと分析しています。守りの基本は、装置の更新をすぐに当てることと、使っていないアカウントを消すことです。さらに、パスワードに加えて別の手段でも本人を確かめる多要素認証を使います。
新しい考え方: ゼロトラスト
会社のVPNには、考え方の上での弱さもあります。一度つながると、社内のネットワークの多くの場所に届いてしまうことです。盗んだパスワードで入られると、攻撃者も「社内の人」として扱われます。
そこで広がっているのが、ゼロトラストという考え方です。社内か社外かという場所では信頼を決めず、システムやデータを使うたびに、本人か、端末は安全か、必要な使い方かを確かめます。米国の国立標準技術研究所(NIST)は、2020年8月に考え方の指針(SP 800-207)を公表しています。
ゼロトラストは製品の名前ではなく、少しずつ移っていく設計の考え方です。VPNとの違いは「境界型防御とゼロトラストの違い」で表にしています。
よくある誤解
誤解: VPNを使えば、完全に匿名になれる
実際は、VPNの事業者には、いつどのサイトと通信したかが見えます。サイトにログインすれば、誰なのかはサイトにわかります。サイトから見える番号が変わることと、身元が隠れることは別の話です。広告で「匿名」「身元を隠す」と強調されることが、誤解のもとになっています。
誤解: どんなネットワークでも、VPNは必ず使うべき
実際は、今のWebの通信の多くはHTTPSで中身が守られています。家のWi-Fiや携帯の回線でVPNを使っても、サイトの名前などを見られる相手は入れかわるだけです。回線の事業者の代わりに、VPNの事業者が見られるようになります。回線の事業者より信頼できるVPNの事業者を選べるなら、意味はあります。公衆Wi-Fiでは、行き先も隠したいときやHTTPS以外の通信を守りたいときに役立ちます。会社の端末では、会社の決まりに従います。
誤解: VPNを使えば、ウイルスも防げる
実際は、VPNは運ぶ途中を守るだけで、運ぶ中身は調べません。偽サイトや危ない添付ファイルは、VPNを通っても届きます。危ないサイトをふさぐ機能を付けたVPNアプリもありますが、それはVPNとは別の機能です。「安全」という言葉で一緒に宣伝されるため混同されがちですが、ウイルス対策やOSの更新は別に必要です。
数字で見る
| 項目 | 数字 | 時点・出典 |
|---|---|---|
| ランサムウェアの被害の報告 | 197件→222件→226件 | 2023年→2025年、警察庁 |
| 感染経路のうちVPN機器からの侵入 | 115件中73件(約63%) | 2023年、警察庁 |
| 同上 | 100件中55件(55%) | 2024年、警察庁 |
| 同上 | 6割以上 | 2025年、警察庁 |
| CISAがVPN製品の脆弱性で緊急指令 | 2024年1月19日 | CISA(ED 24-01) |
| WireGuardがLinuxの本体に入った版 | Linux 5.6 | 2020年3月公開 |
| ゼロトラストの指針 | NIST SP 800-207 | 2020年8月 |
警察庁の感染経路の数字は、被害にあった組織へのアンケートで、経路がわかったものだけを数えています。被害の全体を表す数ではありません。それでも3年続けて、VPN機器が経路のいちばん多くを占めています。2024年は、離れたパソコンを画面ごと操作するしくみ(リモートデスクトップ)からの侵入31件が続きました。
もっと詳しく学ぶ
- VPNとゼロトラストを表で比べる: 境界型防御とゼロトラストの違い
- 会社のネットワークのほかの守り: ファイアウォール・IDS・IPS・WAFの違い
- 公衆Wi-Fiの暗号と注意点: 「Wi-Fiのしくみとは?」
- 名前の問い合わせとプライバシー: 「DNSとは?」(問い合わせそのものを暗号化する方式も)
- VPNのパスワードを破られにくくする: 「パスワードはなぜ破られる?」