とことこロゴス
メニュー

VPN

読み：ぶいぴーえぬ　／　英語表記：Virtual Private Network

インターネットや通信事業者の共用の網の上に、仮想的な専用線を作り、離れた拠点や利用者の間を、あたかも専用のネットワークでつながっているように安全に通信させる技術。

イマシルちゃんの解説

VPNは、共用のネットワーク上に自分たちの通信を分けて通し、離れた拠点や利用者をつなぐ技術だよ。
たとえばインターネットVPNでは、元のパケットを別のパケットで包むトンネリングを使って、拠点間などに通信路を作るんだ。
暗号化や接続相手の確認も組み合わせ、途中で情報を読まれたり不正に接続されたりするのを防ぐよ。
一方、通信事業者の網で利用者ごとに通信を分ける方式もあり、VPNがすべて暗号化するとは限らないんだ。
物理的な回線を自分たちだけで占有しなくても、専用の網のように利用できるところがポイントだよ。

より深い解説

共用網の上に専用の通信を作る

VPN（Virtual Private Network：仮想専用網）は、共用のネットワークを利用しながら、特定の拠点や利用者の通信を論理的に分ける技術である。本社と支店を結ぶ場合も、拠点ごとに専用線を張り巡らせる代わりに、共用網を通じて社内の通信を運べる。

通信を分ける方法には、通信事業者が利用者ごとの経路を管理する方式や、拠点の装置間にトンネルを作る方式がある。通信の分離と暗号化は別の役割であり、VPNがすべて暗号化するわけではない。

VLANはLANをレイヤ2で分割する技術である。拠点内のVLANをルータへ接続し、拠点間はVPNで結ぶように組み合わせられるが、VLANとVPNは同じものではない。

使うネットワークで方式を選ぶ

代表的な方式は、インターネットを使うものと、通信事業者の閉域サービスを使うものに分かれる。閉域網は接続する利用者を限定した網である。通信事業者の閉域サービスでは、一般のインターネットを経由せずに拠点間の通信を運ぶ。

方式拠点間で運ぶもの主な特徴
インターネットVPNIPsecなどで保護した通信回線を選びやすいが、インターネット区間の品質に左右される
IP-VPNIPパケット事業者が利用者ごとにIP経路と通信を分ける
広域イーサネットイーサネットフレーム利用者側で拠点間のルーティングを設計できる

IP-VPNはレイヤ3のサービスであり、事業者とどのように経路を交換するかはサービスの仕様に従う。拠点間のIP接続を事業者に任せやすい一方、利用できる接続方式や経路制御には条件がある。

広域イーサネットはレイヤ2のサービスである。利用者側のルータでOSPFなどを動かせる自由度がある一方、経路設計やループ対策など利用者が担う範囲も広い。詳細は広域イーサネットの記事で扱う。

ブロードバンドのアクセス回線から事業者の閉域サービスへ接続する比較的安価な方式は、エントリーVPNと呼ばれる。閉域サービスでも帯域や遅延が無条件に保証されるわけではない。必要な通信品質は契約とサービス仕様で確かめる。

接続する相手による分類もある。拠点の装置同士を結ぶものが拠点間VPN、社外の端末から社内へ接続するものがリモートアクセスVPNである。後者ではIPsecや、TLSを利用するSSL-VPNなどが使われる。「どの網を使うか」と「誰を接続するか」は別々の分類である。

SSL-VPNには、Webの要求を中継する方式、指定したポートの通信を運ぶ方式、仮想NICへ通信を取り込む方式がある。アプリケーションの対応範囲と必要なクライアントの違いは、SSL-VPNの記事で詳しく扱う。

顧客側と事業者側の境界を見分ける

ここからは、MPLSを利用したIP-VPNを例にする。MPLSはパケットにラベルを付け、その値に基づいて事業者網の中を転送する技術である。

利用者の拠点から事業者網へ接続するとき、境界の両側にあるルータを次のように呼び分ける。

呼び方位置主な役割
CEルータ顧客の拠点側拠点内のネットワークと事業者網をつなぐ
PEルータ事業者網の端顧客側の接続を収容し、利用者ごとの経路と転送を扱う
Pルータ事業者網の内部ラベルに基づいて事業者網の中を中継する

顧客側のCEはCustomer Edgeの略で、日本語ではカスタマーエッジルータ（カスタマエッジルータ）という。事業者側のPEはProvider Edgeの略で、プロバイダエッジルータ（プロバイダーエッジルータ）という。Edgeは「端」を表し、顧客側の端か事業者網側の端かを区別している。

例えば本社から支店へ送るパケットは、本社のCEから事業者側のPEへ渡る。事業者網の内部を中継された後、支店を収容するPEから支店のCEへ届けられる。これは接続上の役割による呼び方なので、顧客側の装置の所有者や運用担当者まで決まるわけではない。

顧客側と事業者側の接続にVLANを使う場合もあるが、境界装置の役割とLANの分割方法は分けて考える。

一台のルータでも利用者ごとの経路を分ける

複数の企業が同じ事業者網を利用すると、別々の企業が同じプライベートIPアドレスを使う場合がある。単一の経路表にまとめると、同じ宛先をどちらの企業へ届けるべきか区別できなくなる。

そこで事業者側の境界ルータは、VRF（VPN Routing and Forwarding）によって経路表と転送表を論理的に分ける。顧客側の接続を対応するVRFへ所属させ、受信したパケットについて、その利用者の経路表を参照する。

例えばA社とB社がどちらも10.20.0.0/24を使っていても、経路表が分かれていれば、それぞれの拠点へ転送できる。ただし、同じVPNの中で通信する拠点同士のアドレス重複まで解消する機能ではない。

網内の転送ではMPLSのラベルを使い、出口となる境界ルータへの転送と、その先のVPN内での転送を結び付ける。中継用のルータが顧客ごとの全IP経路を持たずに転送できる点も特徴である。ラベルの付加・交換・除去の仕組みはMPLSの記事で扱う。

注意：経路表やラベルによる分離は、データを暗号化する処理ではない。 通信内容の機密性や完全性も保護するなら、閉域サービス上でもIPsecなどを組み合わせる。

拠点の経路を相手拠点へ知らせる

拠点間で通信するには、回線を接続するだけでなく、宛先ネットワークへ到達する経路が必要である。顧客側のCEと事業者側のPEでBGPを使い、異なるASの間で経路を交換する方式をeBGPという。サービスによっては静的ルートやOSPFなども利用できるため、必ずBGPを使うわけではない。

BGP/MPLS型のIP-VPNでは、事業者側の境界ルータ間でMP-BGP（Multiprotocol BGP）を使い、VPNごとの経路情報を配る。通常のIPv4経路に加え、VPNの識別情報を含む経路なども扱えるようにBGPを拡張したものである。顧客と事業者の間の経路交換、事業者網内での経路配布、MPLSによるデータ転送は役割が異なる。

例えば拠点内でOSPF、事業者との接続でBGPを使い、両方で学習した経路を相互に伝える構成では、境界のルータで再配布を行う。これは一方で得た経路を、もう一方のルーティングプロトコルへ取り込んで広告する処理である。

次の図は、その経路情報の流れを示す。10.30.0.0/24を自拠点のLAN、10.40.0.0/24を他拠点のLANとした独自の例であり、各プロトコルの接続は成立しているものとする。事業者網内での配布は省略している。

上から下へ順に通信が進む。
拠点内の
ルータ
顧客側の
CE
事業者側の
PE
  1. LからCへ。
    OSPFで
    自拠点の経路を広告
  2. OSPFからBGPへ
    再配布
  3. CからEへ。
    eBGPで
    10.30.0.0/24を広告
  4. EからCへ。
    eBGPで
    10.40.0.0/24を広告
  5. BGPからOSPFへ
    再配布
  6. CからLへ。
    OSPFで
    他拠点の経路を広告

この図で交換しているのは経路情報である。実際の業務データは、学習した経路に基づいて転送される。BGPの経路情報の中に業務データを入れて運ぶわけではない。

複数の境界で無条件に双方向の再配布をすると、別のプロトコルを経由して元の経路が戻り、ルーティングループなどの原因になる。広告する経路のフィルタや経路タグで戻り込みを防ぐ。外部経路をOSPFへ取り込むときのLSAとASBRについては、OSPFと再配布の記事で詳しく扱う。

複数の拠点で同じAS番号を使うとき

顧客側では、私用向けに予約されたプライベートAS番号を使う構成がある。複数の拠点に同じAS番号を割り当てる場合は、BGPのループ防止との関係に注意する。

BGPは通常、受信したAS_PATHに自分のAS番号が含まれる経路を受け入れない。同じAS番号を持つ別拠点の経路も、その条件に該当することがある。

その対策の一つがas-overrideである。事業者側のPEが顧客側のCEへ経路を広告するとき、AS_PATH内の顧客AS番号を事業者AS番号へ置き換える。置き換えるのは広告する経路の属性であり、顧客側のルータに設定したAS番号ではない。

例えば顧客がAS 65010、事業者がAS 64520なら、受信側に渡す経路のAS_PATHが「64520 65010」から「64520 64520」へ変わる。この置換によって自分のAS番号を含むことを理由とした拒否を避けられる。ただし経路の戻り込みを許さない設計は別途必要になる。

既存のVPNを土台にして通信を管理する

IP-VPNとインターネットVPNは、どちらか一方だけを選ぶとは限らない。主回線と予備回線に使い分けたり、SD-WANで複数の回線をまとめて制御したりできる。

SD-WANでMPLS VPNとインターネットを土台にし、その上へIPsecトンネルを作る場合、土台の網をアンダーレイネットワーク、トンネルによる論理的な網をオーバーレイネットワークと呼ぶ。MPLS VPNも論理的なサービスだが、SD-WANから見れば土台として扱われる。アンダーレイネットワークは物理回線だけを意味する語ではない。

土台の網にはトンネル端点へ届く経路が必要であり、その上には業務データを相手拠点へ送る経路が必要になる。コントローラーは経路やポリシーを配るが、業務データのすべてがコントローラーを経由するわけではない。

通信条件によって経路を選ぶPBRや、転送経路の障害を短時間で検知するBFDも組み合わせられる。経路選択と障害検知の役割を分け、詳しい構成はSD-WANによる拠点接続の記事で確認できる。

導入時に確認すること

VPNの方式を決めた後も、次の条件が通信の成立や運用に影響する。

VPNは通信路を作る技術であり、接続した端末を無条件に信頼することまで要求しない。ゼロトラストの考え方と組み合わせる場合も、通信路の保護と個々のアクセスの許可を分けて設計する。

参考資料

実際の試験ではここに出る！全9問

ネットワークスペシャリスト

午後Ⅰ
午後Ⅱ
午前Ⅱ

テクニカルエンジニア（ネットワーク）

午前

この用語が出てくる記事

↑