VPN とプロキシ

VPN とプロキシはどう違うのか

会社の通信は野放しではなく、決められた関所を通ります。その代表が VPN とプロキシです。ここではリモートアクセスVPNとフォワードプロキシを比べます。VPNには拠点間接続、プロキシにはサーバの前に置くリバースプロキシもあります。

プロキシ ── 出口の検査と制御

フォワードプロキシは、設定された外部Webへの通信を中継します。会社のPCがその経路を通るように構成すると、接続先の制限や記録をまとめて行えます。すべての通信が自動的に検査されるわけではありません。

プロキシは、HTTPSの中も読める？

復号しない中継では、HTTPSのパスや本文は読めません。TLS検査は端末側と接続先側に別々のTLS接続を作り、内容を調べます。

経路・プロキシ・端末の信頼設定を揃えます。特定の証明書や公開鍵だけを信頼する仕組み（ピンニング）では、検査用の証明書が拒否される場合があります。除外とプライバシーに配慮し、範囲を利用者へ示します。

VPNにつながれば、すべて許してよい？

VPNで社内に接続したPCにも、盗まれたアカウントや感染した端末が含まれるかもしれません。「社内のアドレスから来た」という理由だけで、すべての情報を開放するのは危険です。

接続する場所だけで信用せず、利用者や端末の状態、アクセス先の情報・操作に応じて認証と認可を行うのが、ゼロトラストの考え方です。VPNやプロキシを使う場合も、その先の権限管理や監視を組み合わせます。

押さえておきたい用語

VPN（仮想プライベートネットワーク）

離れた端末やネットワークを仮想的につなぐ仕組み。この章は暗号化VPNの例で、通す通信は経路設定による。

プロキシ（フォワードプロキシ）

端末やアプリに代わって接続先へ通信する中継点。この章では外部Webへの中継を例に、記録・制御を説明する。

トンネリング / カプセル化

元の通信を別の通信の中に包んで運ぶこと。カプセル化自体と暗号化は別で、保護範囲は方式による。

CONNECT トンネル / SNI

CONNECTは指定先へのトンネルを作る要求。SNIはTLSの接続開始時に接続先名を伝える情報。役割が異なり、どちらも暗号化そのものではない。

TLS インスペクション（SSL 復号）

端末とプロキシ、プロキシと接続先の間で別々のTLS接続を作り、その間で中身を検査する方式。通信経路・検査設定・端末の信頼設定が必要。

ゼロトラスト / ZTNA

ネットワークの場所だけで信頼せず、ID・端末・権限等を評価する考え方。ZTNA（Zero Trust Network Access）は、それに基づくアクセス制御の仕組み。