Skip to content

MS_VPN

Jump to bottom
nishi_74322014 edited this page Aug 3, 2026 · 1 revision

VPN

概要

  • Virtual Private Network、仮想プライベートネットワーク、仮想専用線とも呼ばれる。
  • 公衆網に跨って、プライベートネットワークを拡張する技術、およびそのネットワーク。
    • イントラネットなどのプライベートネットワークが、
    • 本来公的なネットワークであるインターネットに跨って、
    • 専用線で接続されているかのような管理上のポリシーの恩恵（機能的・セキュリティ的）が実現される。

プロトコル

補足（最新化）: PPTP は MS-CHAPv2 の脆弱性により安全でないとされ、 Windows Server 2025 / Windows 11 では PPTP・L2TP がリモートアクセス VPN の既定から 非推奨（deprecated）となった。新規は IKEv2 / SSTP、または WireGuard などのモダンなプロトコルを検討する。

種類

# VPN 回線 構築 アクセス回線 帯域 技術等 レイヤ プロトコル
1 専用線 専用線 専用線を引く 専用線 ギャランティ型
（帯域を確保）		 － L2 IP以外も可
2 広域イーサネット 閉域網 各社サービスを利用 多種多様
（高速デジタル、Ethernet、ATM、フレッツ等）		 ギャランティ型 VLAN、MPLS、PBB 等 L2 IP以外も可
3 IP-VPN 閉域網 各社サービスを利用 同上 ギャランティ型 MPLS L3 IPのみ
（カプセル化によりIP以外も可）
4 エントリーVPN 閉域網 各社サービスを利用 ADSL、FTTH等 ベストエフォート型
（トラフィック状況により変化）		 MPLS L3 同上
5 インターネットVPN 広域網 インターネット契約
＋VPN Gatewayなどの調達		 ADSL、FTTH等 ベストエフォート型 インターネット L3 同上

網での分類

IP-VPN

  • レイヤー3（L3）で使うプロトコルはIPだけ
  • 通信事業者のIP網の中で、MPLS網を利用する。
  • MPLSの付加機能により、ギャランティ型のVPNを実現する。

エントリーVPN

  • IP-VPN と インターネットVPNの中間
  • 網はベストエフォート型のセキュアな閉域網だが、
    • QoS制御を除くMPLSの制御を受けている。
    • モノによってインターネットの場合もある。

インターネットVPN

  • 拠点間の経路にインターネットを含むVPN
  • ベストエフォートで別途VPN Gatewayが必要になるが廉価

機器での分類

IPsec-VPN

  • IPsecによるVPN
  • モードによって特徴とユースケースが異なる。

トランスポート・モード

  • データの暗号化（メッセージ認証）を、クライアントが直接行う。
    • すべてのクライアントにVPNソフトウェアをインストールする必要があるが、
    • モバイル端末からのアクセスなどには利用しやすい。
  • 暗号化（メッセージ認証）
    すべての通信で
    • データは暗号化（メッセージ認証）されているが、
    • IPヘッダの暗号化（メッセージ認証）は行われない。

トンネル・モード

  • データの暗号化（メッセージ認証）を、VPNゲートウェイで行う。
    • ネットワークを構成する必要があるが、
    • クライアント端末はVPNの存在を意識しない。
      クライアントは、暗号化（メッセージ認証）されていないデータを送信する。
  • 暗号化（メッセージ認証）
    • ローカルネットワーク内の通信は暗号化（メッセージ認証）されない。
    • VPNゲートウェイ間通信でのみ暗号化（メッセージ認証）される。
      データ及び受信クライアントあてのIPヘッダはカプセル化される。

SSL-VPN

方式

IPsecによる一般的なVPNとは異なる。

  • リバースプロキシ方式（HTTPSのリバース・プロキシ）
    • SSL確立：Webブラウザを用いて、リモートアクセス端末とSSL-VPNサーバー間でSSLを確立。
    • 仕組み：Webブラウザでリモートアクセス端末のユーザ認証
    • 用途の制限：Webブラウザ上で動作するアプリケーションしか使用できない
  • ポート・フォワーディング（SSL/TLS）
    プロトコル毎のクライアント（専用アプリケーション）を使用する。
    これが、ローカル・プロキシとして動作するようなケースもある。
    • SSL確立：JavaアプレットなどのクライアントとSSL-VPNサーバー間でSSLを確立。
    • 仕組み：XXXX over SSL/TLSに変換する際にポート変換する。
    • 用途の制限：通信中にポート番号が変わるアプリケーションは使えない。
  • L2フォワーディング
    • SSL確立：仮想NICとSSL-VPNサーバー間でSSLを確立。
    • 仕組み：SSL-VPNクライアントソフトウェアをインストールし、
      仮想NICでL2パケットを上位層のHTTPSでカプセル化する。
    • 用途の制限：殆どのアプリケーションを使用できる。

補足（最新化）: Java アプレットは全ブラウザでサポートが終了しているため、 現在のポート・フォワーディング方式は 専用のネイティブ クライアント（エージェント）で実装されている。

プロトコル

SSL/TLSを使用するアプリケーション層プロトコルをサポート。

  • HTTPSの場合
    リバース・プロキシ的なSSL-VPNサーバーを配置すれば、ブラウザ（クライアント）から直接アクセス可能。
  • メーラー系（ポートフォワーディングを行う専用アプリケーション）
    • SMTPS(SMTP over SSL/TLS)
    • POP3S(POP3 over SSL/TLS)
    • IMAPS(IMAP over SSL/TLS)
  • FTPS(FTP over SSL/TLS)
    ポートフォワーディングを行う専用アプリケーション。
  • LDAPS(LDAP over SSL/TLS)

VPN Gateway

（Azure の VPN Gateway）

MPLS

  • 以下の様な付加機能を持つ
    • 到達性の制御（VLAN的な機能）
    • 障害回復機能（ルーティングによる）
    • 多種のネットワークの集約（IP網以外のパケット網の集約）
    • トラフィック・エンジニアリング（各種QoS制御）
    • マルチキャスト（IPマルチキャスト）
  • 参考

参考

Tags: インフラストラクチャ, セキュリティ, 暗号化, 通信技術

このWikiは「Open棟梁Project」,「OSSコンソーシアム 開発基盤部会」によって運営されています。

NetDevInfraWiki

マイクロソフト系技術情報 Wiki
Open 棟梁 Wiki

（未着手）

開発基盤部会 Wiki

移行管理: DONE ／ TODO

Clone this wiki locally