中小企業のVPN選定ガイド ― 拠点間接続・リモートアクセスの最適解
「VPNをどうすればいいか」は、中小企業のIT担当者が最も悩むテーマの一つです。コロナ禍以降のリモートワーク定着、複数拠点の接続、クラウドサービスの利用拡大により、従来のVPN構成では対応しきれないケースが増えています。
本記事では、中小企業がVPNを選定する際の判断基準を、用途別に解説します。
選定を始める前に押さえておきたいのは、「拠点間接続」と「リモートアクセス」は別問題だという点です。 この2つを1台の機器でまとめて解決しようとすると、どちらかに無理が出ます。用途を分けて考えると、選択肢は自然に絞られます。
VPNの主な種類
IPsec VPN（拠点間接続向け）
本社と支店など、拠点間のネットワークを常時接続する用途に使われます。ルーター同士を直接つなぐため、通信の安定性と速度に優れます。ただし、ルーターの設定が複雑で、拠点が増えるほど管理が煩雑になります。
拠点が増えると管理が煩雑になる理由は、接続の組み合わせが急増するためです。全拠点を相互接続（フルメッシュ）する構成では、拠点数の2乗に比例して設定が増えます。5拠点で10本、10拠点で45本のトンネル設定が必要になる計算です。実際には本社を中心にしたハブ&スポーク構成にすることが多く、その場合は本社の機器が単一障害点になります。
SSL-VPN（リモートアクセス向け）
在宅勤務や出張先から社内ネットワークにアクセスする用途で最も多く使われています。Webブラウザや専用クライアントソフトから接続でき、導入が比較的容易です。FortiGate、SonicWall、YAMAHAなどのUTM/VPNアプライアンスに内蔵されているケースが多いです。
ただしSSL-VPNは、製品によって提供終了や機能廃止の動きがあります。 FortiGateではSSL VPN機能が廃止され、IPsec VPNまたはZTNAへの移行が必要になりました。現在SSL-VPNを使っている場合、利用中の製品のロードマップを確認してください。「今動いているから大丈夫」という判断は、数年単位で見ると危険です。
クラウドVPN / SD-WAN
クラウド上にVPNゲートウェイを構築するサービスです。物理的なVPN装置が不要で、拠点やリモートユーザーの追加が柔軟に行えます。Cisco Meraki、Prisma Access、Cloudflare Accessなどが代表的です。
ZTNA（ゼロトラストネットワークアクセス）
VPNの代替として注目されている方式です。ユーザーとデバイスの認証に基づき、個別のアプリケーションへのアクセスのみを許可します。「ネットワーク全体へのアクセスを許可する」従来のVPNとは根本的に異なる考え方です。
用途別の選定ガイド
拠点間接続（本社⇔支店）
拠点数が2〜3箇所で、オンプレミスのサーバーへの常時接続が必要な場合は、IPsec VPNが最もシンプルです。拠点数が多い、または今後増える予定がある場合は、SD-WANの導入を検討しましょう。
判断の目安を整理すると次のようになります。
| 条件 | 推奨 |
|---|---|
| 拠点2〜3、オンプレサーバーあり | IPsec VPN（機器を統一する） |
| 拠点4以上、今後も増える | SD-WAN / クラウドVPN |
| 拠点間でファイル共有が不要、各拠点がクラウドを使うだけ | VPNそのものが不要 |
3つ目は見落とされがちです。 「拠点があるからVPNで繋ぐ」という前提を疑ってください。各拠点の社員がMicrosoft 365やSaaSしか使わないなら、拠点間を接続する理由はありません。それぞれがインターネットに出れば済みます。
リモートアクセス（在宅勤務）
業務システムがほぼクラウド（Microsoft 365、SaaS等）に移行している場合、VPNは必須ではありません。Entra IDと条件付きアクセスポリシーで、デバイスとユーザーの認証に基づくアクセス制御（ZTNA的アプローチ）が可能です。
オンプレミスのサーバーへのアクセスが必要な場合は、SSL-VPNが現実的な選択肢です。
クラウド中心の環境
業務のほとんどがSaaS上で完結する企業は、VPNを廃止してZTNAに移行するのが中長期的な方向性です。VPN装置の管理負荷とセキュリティリスク（ファームウェアの脆弱性）から解放されます。
選定時に確認すべき実務項目
カタログスペックの比較だけでは決まりません。次を確認してください。
同時接続ライセンス数。 VPN装置には同時接続数の上限があり、ライセンスで制限されている製品もあります。「全社員が在宅勤務になった日」に足りるかを基準にしてください。平常時の利用者数で選ぶと、緊急時に接続できません。
スループット（VPN処理時）。 暗号化処理は負荷が高く、機器のカタログ値どおりには出ません。UTM機能を併用している場合はさらに下がります。回線速度ではなく、VPN処理時の実効スループットを確認してください。
多要素認証への対応。 ID・パスワードだけの認証では不十分です。MFAに対応しているか、既存のEntra IDやGoogle Workspaceと連携できるかを確認してください。
ログの保存と可視化。 誰がいつ接続したかを追えないと、インシデント時に調査できません。ログの保存期間と、外部への転送可否を確認します。
クライアントソフトの対応OS。 Windows以外（Mac、iOS、Android）を使う社員がいる場合、対応状況と使い勝手を確認してください。
VPN運用のセキュリティ注意点
VPN装置の脆弱性を悪用した攻撃は、ランサムウェアの主要な侵入経路です。VPN装置を運用する場合は、ファームウェアの即時アップデート、初期パスワードの変更、不要なポートの閉塞、多要素認証の有効化を必ず実施してください。
特に事故が多いパターン
- ファームウェアが数年更新されていない — 公開済みの脆弱性がそのまま残っている状態です。緊急度の高いものは計画外でも適用してください
- 退職者のVPNアカウントが有効なまま — 人事から情シスへの連絡フローがないと必ず残ります。退職手続きのチェックリストに入れてください
- 管理画面がインターネットから到達できる — 設定用のポートが外部に開いていないか確認してください
- 共有アカウントを使っている — 「営業部共通」のようなアカウントは、誰が接続したか追跡できず、退職時にも停止できません
- 接続ログを誰も見ていない — 深夜や海外からの見慣れない接続に気づける状態にしてください
サポートが終了した機器を使い続けるのが最も危険です。 脆弱性が見つかっても修正パッチが提供されません。EOL（サポート終了）の時期は、購入時点で確認して台帳に記録してください。
移行を検討する判断材料
現在のVPN構成を見直すべきタイミングは次のとおりです。
- 機器のEOLやリース満了が近い — 更新のタイミングは構成を見直す好機です
- VPN経由の通信が遅いという苦情がある — 装置の性能不足か、フルトンネル構成が原因です
- オンプレミスのサーバーがほぼ残っていない — VPNを維持する理由が薄れています
- 接続ユーザー数が増えてライセンス追加が必要になった — 追加費用とZTNA移行の費用を比較してください
見直しの際は、VPNのログから「実際に何にアクセスしているか」を先に把握してください。「全員に配っているが、実態はメールしか見ていない」というケースは珍しくありません。用途を特定できれば、必要な人にだけ残す判断ができます。
まとめ
- 「拠点間接続」と「リモートアクセス」は別問題。1台でまとめて解決しようとすると無理が出る
- 拠点間のフルメッシュ構成は拠点数の2乗で設定が増える。ハブ&スポークでは本社が単一障害点になる
- 「拠点があるからVPNで繋ぐ」という前提を疑う。各拠点がクラウドを使うだけなら接続は不要
- SSL-VPNは製品によって廃止の動きがある。利用中製品のロードマップを確認する
- 同時接続数は**「全社員が在宅になった日」を基準に**選ぶ。平常時の人数で選ぶと緊急時に足りない
- スループットは回線速度ではなく、VPN処理時の実効値で確認する
- 事故が多いのはファームウェア未更新・退職者アカウント残存・管理画面の公開・共有アカウント
- サポート終了機器の継続利用が最も危険。EOLは購入時に台帳へ記録する
- 見直しはVPNログの分析から。「全員に配っているが実態はメールだけ」は珍しくない
情シス365では、VPN設計・導入からZTNAへの移行支援まで対応しています。60分無料相談をご利用ください。