「VPN を使うと安全」って本当？
広告で「VPN で通信を暗号化！」「VPN で海外動画を見よう！」とよく見かけます。何となく便利そう、というイメージはあっても、VPN が実際に何をしてくれるのかは意外と説明しづらいものです。
この記事では、VPN の本質的な仕組み（トンネリング + 暗号化）と、代表的なプロトコル、そしてゼロトラスト時代における VPN の位置づけを整理します。
VPN は「仮想的な専用線」
VPN（Virtual Private Network）の名前の通り、インターネット上に仮想的なプライベートネットワークを作る技術です。
本物の専用線（物理的に敷いた光ファイバー）は確実に安全ですが、敷設費用が膨大です。VPN は既存のインターネットを通しつつ、暗号化と認証で「仮想的にプライベート」な通信路を実現します。
2 つの主な使い方
① リモートアクセス VPN（個人 → 会社など）
在宅勤務で「会社のイントラネットに繋がる」のがこのタイプ。PC から会社の VPN ゲートウェイへトンネルを張り、社内リソース（社内 Wiki・DB・社内システム）にアクセスできます。
自宅PC ──── 暗号化トンネル ───→ 会社VPNゲートウェイ ──→ 社内NW② サイト間 VPN（拠点 ↔ 拠点）
東京本社と大阪支社のネットワークを VPN で接続するパターン。両拠点のルーター同士でトンネルを張り、社員が意識せずとも別拠点のサーバーにアクセスできます。
東京LAN ──── 拠点間VPN ────→ 大阪LAN③ プライバシー VPN（個人 → 商用 VPN）
広告でよく見るタイプ。NordVPN・ExpressVPN・Mullvad 等の商用 VPN サーバーを経由して通信します。
自宅PC ──暗号化──→ 商用VPNサーバー（米国等） ──→ Internet
↑ ここから先は普通の Internetメリット：
- 公衆 Wi-Fi 上で盗聴・ARP スプーフィングから守られる
- Web サイト側からは VPN サーバーの IP に見える（地域偽装、トラッキング回避）
誤解されがちな点：
- VPN サーバーから先のインターネットは普通の通信。HTTPS でない通信は VPN サーバー以降で覗かれる可能性あり
- VPN プロバイダ自身を信頼する必要がある（ログを取らない宣言を信じる）
- 「絶対匿名」ではない: アカウント情報・支払い情報・ブラウザ指紋からは身元特定可能
実体験：PR記事でVPNを比較レビューして分かったこと
本サイトの PR 記事で複数の VPN サービスを比較・レビューする中で、以前より仕組みを意識するようになりました。最初は「VPN を使えばインターネット上で匿名になれる」というイメージが強かったのですが、実際に調べてみると、VPN はあくまで通信経路を VPN サーバー経由にする仕組みであって、完全な匿名化を保証するものではないと分かりました。上で触れた「絶対匿名ではない」という点は、まさにこの気づきそのものです。
接続先の Web サイトからは自分の回線の IP アドレスではなく VPN サーバー側の IP アドレスが見えるという点は分かりやすいメリットだと思います。一方で、VPN サーバーを経由する分、通信速度が落ちる場合があることや、VPN サービス自体を信頼する必要があるという点も実際に使ってみて重要だと感じました。公共 Wi-Fi などで通信経路を保護したい場合には便利ですが、「VPN を入れておけばセキュリティは全部 OK」というものではないという認識に変わりました。
主な VPN プロトコル
IPsec（IP Security）
- L3（IP 層）で動作、最も古典的
- 企業の拠点間 VPN・大手ベンダー機器でデファクト
- 設定項目が多く（IKE フェーズ1/2・暗号アルゴリズム・PSK 等）扱いが難しい
- 2 つのモード: トンネルモード（パケット全体を包む）/ トランスポートモード（ペイロードのみ暗号化）
OpenVPN
- OSS、TLS ベース、TCP/UDP 両対応
- 柔軟だが設定が複雑、パフォーマンスは IPsec より劣る場合あり
- 長年の実績、ファイアウォール越えに強い（443/TCP を使えば普通の HTTPS と区別困難）
WireGuard
- 2018 年標準化、Linux カーネルに統合された新世代
- 軽量・高速・コードベースが小さい（数千行）: コード監査が容易
- UDP のみ、設定が極めてシンプル（公開鍵 + IP のリスト）
- Tailscale や Cloudflare WARP の中身もこれ
その他
- L2TP/IPsec: 古い OS に残っている、要 IPsec
- SSTP / SoftEther: 特定環境向け
VPN の限界とゼロトラスト
従来の VPN は 「内部 = 信頼、外部 = 不信頼」という境界モデルでした。VPN を通れば社内扱いとなり、内側の様々なリソースにアクセスできる構造です。
しかし現代は：
- SaaS 化が進み「社内」と「社外」の境界が曖昧
- VPN アカウントが侵害されると横移動（lateral movement）で被害が拡大
- VPN ゲートウェイ自体の脆弱性が大規模事故を引き起こす（Pulse Secure / Fortinet 等の事例）
これに対する解が ゼロトラスト（Zero Trust）。「ネットワーク的にどこにいるか」ではなく「毎リクエストで認証 + 認可」を徹底するモデルです。Google BeyondCorp、Cloudflare Access 等が代表的実装で、VPN を完全に置き換える方向性です。
個人で VPN を使うときの注意
- 無料 VPN は基本使わない: 多くは通信を覗き見・販売してビジネスにしている
- 商用 VPN を使うなら独立監査済みのもの: Mullvad / IVPN / ProtonVPN など
- HTTPS で本来守られている通信に VPN は不要: 公衆 Wi-Fi での盗聴対策は HTTPS 普及で限定的になっている
- 地域回避目的の利用は規約違反の可能性: Netflix 等は VPN を検出してブロックする
おわりに
VPN は「インターネットの上にプライベートトンネルを張る技術」であり、目的によって最適なプロトコル・運用方法が変わります。「VPN を入れたから安全」ではなく、「具体的に何を脅威モデルから守りたいのか」を意識すると、本当に必要な対策が見えてきます。
よく比較されるプロキシとの違いはレイヤーです。VPN はネットワーク層で通信を丸ごと包むのに対し、プロキシはアプリケーション層で特定のプロトコルを中継します。どちらを選ぶべきかは プロキシとリバースプロキシの違い の目的別の早見表で整理しています。