監修 REIWAネットワークサービス担当（NTT東日本）

編集 NTT東日本編集部

テレワークなど働き方の多様化により、自宅や外出先から社内ネットワークへ安全にアクセスする手段として、インターネットVPNを利用する企業も増えています。

VPNパススルーとは、ルーターやファイアウォールによってVPN通信が制限される場合でも、VPN接続を利用できるようにする機能です。通常、これらの機器は外部からの通信を制限する役割を持っていますが、そのままではVPN通信も遮断されてしまうことがあります。

VPNパススルーを有効にすることで、必要なVPN通信のみを通し、遠隔地からの接続を可能にします。ただし、設定や運用方法によってはセキュリティ上のリスクにつながる可能性があるため、適切な管理が必要です。

本記事では、VPNパススルーの仕組みや必要性、対応する主なプロトコルの種類、設定時の注意点について整理し、自社のネットワーク環境において設定が必要かどうかを判断するためのポイントを解説します。

1.VPNパススルーとは？必要性を解説

VPNパススルーとは、ルーターを介してVPN接続でデータを送信するために必要な機能です。ここでは、パススルーの役割と必要性を解説します。

VPNパススルーとは

VPNパススルーとは、インターネットVPNで使用されるプロトコルが古い場合などに発生しやすい通信トラブルを回避するための機能です。

たとえば、ルーターの設定によってはVPN通信がブロックされてしまうことがありますが、VPNパススルーを有効にすることで制限を受けずに通信できます。この機能により、PPTP（Point-to-Point Tunneling Protocol）やIPsec（IP Security）などのプロトコルによる通信を通過させることが可能です。

なお、近年のルーターやVPN機器では、VPNパススルーに対応した設計となっているケースも多く、通信トラブルが発生していない場合には、必ずしも個別に設定を変更する必要がないこともあります。

VPNパススルーの必要性

VPNパススルーは、ルーターを経由したVPN接続がうまくいかない場合に必要となることがあります。

関係するのが、ルーターに搭載されているNATという機能です。NATは、家庭やオフィス内のプライベートIPアドレスを、インターネットで使うグローバルIPアドレスへ変換する技術です。

VPNで使われる通信方式によっては、この変換の影響を受け、通信が正しく通過できない場合があります。VPNパススルーは、そのような通信をルーターで止めずに通過させるための補助機能です。

なお、プライベートIPアドレスやグローバルIPアドレス、変換の仕組みについて詳しくは、次章で解説します。一方、多くの支社を抱える企業では、マルチパススルーが必要となる場合があります。

2.VPNパススルーの設定方法を紹介

パススルーの設定は、VPN対応ルーターの管理画面から行えます。基本的な設定方法は以下の通りです。ただし、実際の設定方法はメーカーや機種によって異なるため、詳細はお使いのルーターのマニュアルをご確認ください。

• 1. 設定からセキュリティを開き、パススルーに関する画面を開く
  2. 設定画面ではPPTPパススルーやIPsecパススルーなど、プロトコルに応じたパススルーを選択
  3. プロトコルを選択し「完了」ボタンを押す

VPNパススルーはほとんどのルーターに装備されていますが、工場出荷時にオフになっている場合があります。利用前に設定状況を確認しておきましょう。

3.VPNパススルーを必要とする主なプロトコル

ここでは、VPNパススルーを必要とする主なプロトコルをご紹介します。

PPTP

PPTPはPoint-to-Point Tunneling Protocolの略で、インターネット上の機器を「カプセル化」によって構築されるトンネル（通信経路）で接続するために用いるプロトコルです。2つの通信機器を結び付けるプロトコルのPPPと、GREと呼ばれるカプセル化の技術を組み合わせたトンネリングの手法として開発されました。

PPTP自体には暗号化の手順がないため、別途暗号化を施す必要があります。PPTPと一緒に使われる暗号化方式はRC4です。しかし、RC4の暗号化の強度は低く、安全性に課題があります。そのため、RC4を併用する必要があるPPTPが使われる場面は少なくなっています。

L2TP/IPsec

L2TP/IPsecはPPTPの課題だった暗号化の脆弱性を補ったプロトコルです。L2TPはトンネリングに使うプロトコルですが、L2TP自体には暗号化の手順がありません。そこで、IPsecを併用して暗号化を行い、VPNの安全性を高めています。

L2TP/IPsecは暗号化の強度が比較的高く、さまざまな場面で用いられるプロトコルです。また、Windowsに標準で実装されているため、インターネットを経由したテレワークやモバイル端末の接続で活躍しています。

IKEv2

IKEv2はInternet Key Exchange Version2の略で、比較的新しいプロトコルです。IKEv2はVPN接続している端末を追従する機能に優れ、Wi-Fi通信とモバイル通信が切り替えられてもスムーズに接続を維持できます。IKEv2は暗号鍵管理を行う手法で、暗号化にはIPsecが併用されます。

【番外編】VPNパススルーを必要としないプロトコル

すべてのプロトコルにパススルーが必要というわけではありません。ここでは、VPNパススルーを必要としないプロトコルについてもご紹介します。

SSTP

SSTPは、暗号化のプロトコルのSSL/TLSを用いるVPNの方式です。Microsoftが開発したプロトコルで、主にWindowsのコンピューターで利用されます。

オープンソースでないため他のOSとの互換性が低く、Windows以外の環境では安定した通信が難しい場合もあるプロトコルです。また、他のプロトコルに比べると通信速度が遅いというデメリットも抱えています。

OpenVPN

OpenVPNは、オープンソースで開発されているVPNプロトコルです。オープンソースの開発では、一般にソースコードを公開し、有志によって開発が進められます。大人数の目に触れるため、プロトコルの内容は精査されており、安全性が高い点が特徴です。

しかし、サードパーティ製のアプリケーションが必要になる場合があり、機器によっては導入が難しい点がデメリットです。

WireGuard

WireGuardは、比較的新しい暗号技術を採用したシンプルで高速なVPNプロトコルです。従来のIPsecやOpenVPNに比べて設計がシンプルで処理が軽く、通信も安定しています。また、そのシンプルさゆえ、バグや脆弱性を発見しやすい点もメリットです。

一方で、比較的新しい技術であるため導入事例がまだ少なく、他のVPNプロトコルにあるような高度な機能を備えていない点はデメリットだと考えられます。

4.VPNパススルーの注意すべき情報セキュリティリスク

VPNパススルーは、VPNルーターに搭載されたNATによってVPN通信が遮断されないようにするための機能で、VPN接続時における利便性の高さが特徴です。

たとえば、リモートアクセス環境では、自宅のパソコンから社内ネットワークへ接続する際に、自宅側のルーターでVPNパススルーを利用するケースが見られます。

一方で、企業ネットワーク側でVPNパススルーを有効にしている場合には注意が必要です。設定や管理が不十分なままだと、本来許可していないVPN通信まで通過し、企業側で接続状況を把握しにくくなるおそれがあります。

情報漏えいの観点からは、社内ネットワーク側のVPNパススルー機能は原則としてオフにしておくことが推奨されます。また、オン・オフの判断を従業員任せにするのではなく、企業側で適切に管理することが重要です。

実際の企業ネットワーク運用を踏まえると、VPNパススルーに関するリスクは、運用ルールや管理体制が十分に整っていない環境で顕在化しやすい傾向があります。

加えて、VPNパススルー機能によって比較的古いプロトコルも利用できてしまうのも懸念点の一つです。たとえば、PPTPのようなプロトコルでは暗号化方式にRC4が用いられていますが、すでに脆弱性が知られており、情報セキュリティ面でリスクがあります。

こうした背景から、安全なVPN運用を行うには、社内ネットワーク側ではパススルーを基本的に無効にし、必要な場合も、利用を認めたVPN方式、接続元IPアドレス、端末、利用者に限定して管理することが重要です。

ただし、社内に専任のネットワーク担当者がいない場合、すべての拠点や端末で設定を徹底することは容易ではありません。そこで、VPN構築の際には、VPNパススルーの設定が不要となるサービスの導入を検討するのも一つの方法です。

たとえば、閉域網を利用したVPNサービスであれば、インターネットVPNとは異なる構成で拠点間通信を行えるため、自社側での個別設定や運用負荷を抑えやすくなります。具体的なソリューションについては、次章でご紹介します。

5.VPNパススルー設定が不要！NTT東日本のIP-VPNサービス「フレッツ・ＶＰＮ アドバンス」

NTT東日本の「フレッツ・ＶＰＮ アドバンス」は、閉域ネットワークを利用したIP-VPNサービスです。

VPNパススルーの利用が不要なうえ、設定済みの専用VPNルーターをレンタルで利用できるため管理の負担低減が期待できます。さらに、VPN設定をNTT東日本に任せられ、社内に専任の担当者がいない場合でも安心して運用できるでしょう。

また、インターネット接続もワンストップで導入でき、IP-VPNで安全かつ快適な閉域ネットワーク内での拠点間通信を構築できる点も特徴です。

以下で、「フレッツ・ＶＰＮ アドバンス」の主な5つの強みをご紹介します。

「フレッツ・ＶＰＮ アドバンス」は、「本社・工場・営業所などの拠点間通信をVPNで構築したい」「自社のネットワークは、総務部が兼任して管理しており、知識不足で必要なVPNルーターを選べない」などのお悩みを抱える中小企業さまを中心にご利用いただいています。

将来的に拠点が増える場合にも、NTT東日本が設定に対応するため、手間なく快適かつ安全に利用できる環境が構築可能です。

「フレッツ・ＶＰＮ アドバンス」について詳しくは、以下のページをご覧ください。

VPNパススルーの設定は不要で手軽に導入できる！NTT東日本のIP-VPNサービス「フレッツ・ＶＰＮ アドバンス」の詳細を見る

「フレッツ・ＶＰＮ アドバンス」の資料を無料でダウンロードする

1. 最大通信速度は、技術規格上の最大値であり、実際の通信速度を示すものではありません。お客さまのご利用環境（端末機器の仕様など）や回線の混雑状況などにより大幅に低下することがあります。

2. 「フレッツ 光クロス」および、「フレッツ 光クロス Biz」が対象です。

3. 別途専用のISP契約が必要となります。

4. インターネットブレイクアウトを利用する場合は、拠点ごとにISP事業者との契約が必要となります。

6.まとめ

本記事では、VPNパススルーの仕組みや必要性、VPNパススルーが必要なプロトコルの種類や注意点などを解説しました。

VPNパススルーは、ルーターのNATによって遮断されやすいVPN通信を通過させるための機能で、安定した接続を支える役割があります。一方で、古いプロトコルの利用や不適切な設定により、情報漏えいなどの情報セキュリティリスクが高まる点には注意が必要です。

そこで、VPNパススルーの設定が不要で、安全かつ手軽に導入しやすいサービスの活用は有効な選択肢の一つです。NTT東日本のIP-VPNサービス「フレッツ・ＶＰＮ アドバンス」は、閉域網による高い情報セキュリティと安定した環境の構築が期待できます。

複雑な設定も任せられるため、VPNルーターに関する知識がない場合や、社内に専任のネットワーク担当者がいない場合などにぜひご検討ください。詳細は、以下のページからご覧いただけます。

VPNパススルーの設定は不要で手軽に導入できる！NTT東日本のIP-VPNサービス「フレッツ・ＶＰＮ アドバンス」の詳細を見る

「フレッツ・ＶＰＮ アドバンス」の資料を無料でダウンロードする

「フレッツ・ＶＰＮ アドバンス」に関するお問い合わせ

• 「Wi-Fi」は、Wi-Fi Allianceの商標または登録商標です。

• 「Windows」は、米国Microsoft Corporationの米国およびその他の国における商標または登録商標です。

関連サービス

資料ダウンロード

関連するコラム

• コラムをもっと読む