VPNの「魔法」を紐解く：ブラウザだけで社内システムに繋がる仕組みと、その「限界」
こんにちは！ネットワークセキュリティの世界へようこそ。
皆さんは、外出先から会社のシステムにアクセスする際、どんな方法を使っていますか？「VPNソフトを立ち上げて……」という手順が一般的かもしれませんが、中には「ブラウザを開くだけで、ログインしてそのまま社内サイトが見られる」という、魔法のような仕組みを体験したことがある方もいるはずです。
これが今回解説する「クライアントレスSSL-VPN」です。専用ソフトをインストールせずに、なぜあんなにスムーズに社内リソースにアクセスできるのか。そして、なぜ時々、表示が崩れたり「ボタンが押せない！」といったトラブルが起きるのか。
その裏側にある「URLリライティング」という職人芸的な仕組みと、その限界について、一緒に紐解いていきましょう。
—
郵便配達で例える「URLリライティング」
クライアントレスSSL-VPNの挙動を、郵便配達に例えてみましょう。
社内のWebサイトは、社内専用の「隠れ家」にあると想像してください。外の世界からは直接見えません。そこで、VPNゲートウェイという「凄腕の郵便局員」が間に入ります。
1. あなたが「社内のあの資料が見たい！」とWebブラウザでリクエストを送ります。
2. 郵便局員（VPNゲートウェイ）が社内に忍び込み、資料を受け取ってきます。
3. しかし、そのままあなたに渡すと、資料の中に書かれている「参照リンク（社内の別の部屋への案内）」も社内専用のままなので、あなたのブラウザからは迷子になってしまいます。
4. そこで郵便局員は、資料に書かれているすべての「社内への案内書き」を、わざわざ「VPNゲートウェイを経由した新しい住所」に書き換えて（リライトして）から、あなたに手渡すのです。
この「住所の書き換え作業」こそが、SSL-VPNにおけるURLリライティングの正体です。
—
なぜ「限界」が訪れるのか？
この郵便局員、実はとんでもない苦労をしています。Webの世界は非常に複雑だからです。
1. HTMLだけじゃない、JavaScriptという「魔物」
HTMLの中に書かれたリンクなら書き換えは簡単です。しかし、今のWebアプリケーションは JavaScript で動的にページを作り変えるのが当たり前ですよね。
例えば、JavaScript の中で、「ボタンを押したら、このURLへリクエストを飛ばせ！」という命令が書かれているとします。郵便局員は、HTMLという「手紙の本文」だけでなく、JavaScript という「複雑なプログラムコード」の中身まで読み解き、その中のURLを書き換えなければなりません。
もし、JavaScript が暗号化されていたり、動的に文字列を組み立ててURLを作っていたりすると、郵便局員は「どこを書き換えればいいのか分からない……」とパニックになり、結果としてリンク切れや画面の崩れが発生してしまうのです。
2. 「見えない」ファイルへのアクセス
最近のモダンなアプリケーションは、ページを遷移せずに裏側で API を呼び出してデータを取ってくるのが普通です。この時、ブラウザとサーバーの間でやり取りされる独自形式のデータ（JSONなど）の中にURLが埋め込まれていると、VPN装置がそれを正しく認識できず、書き換え漏れが起きてしまいます。
—
設定で苦しむ現場のリアル（サンプル設定）
現場のエンジニアは、この「書き換え漏れ」を防ぐために、VPN装置に「ここも書き換えて！」とヒントを与えます。例えば、以下のような設定（イメージ）を行うことがありますが、これはまさに泥臭い作業の連続です。
# VPN装置の設定例（疑似コード）
# 特定のJavaScriptファイル内もリライト対象にするための指定
rewrite-rule {
pattern: "/api/v1/internal-data" # 読み取れないURLのパターン
action: "rewrite" # 強制的に書き換えを実行
comment: "JS内のAPI呼び出しが失敗するため、手動でパスを修正する設定"
}
# 複雑なJSの難読化を回避するためのホワイトリスト登録
ignore-rewrite-path {
path: "/static/js/vendor/*.js"
comment: "ライブラリ自体を書き換えると動作が壊れるため除外"
}このように、「どこを書き換えて、どこを書き換えないか」を一つずつ定義していく必要があるのです。アプリケーションがアップデートされるたびにこの設定もメンテナンスしなければならず、運用負荷は決して低くありません。
—
初学者の皆さんへ：どう向き合うべきか
「じゃあ、クライアントレスVPNはダメなの？」と思うかもしれません。しかし、そうではありません。
クライアントレスVPNの最大の強みは、「管理コストの低さ」です。個人のPCにVPNソフトを配布・インストールさせる必要がないため、BYOD（私物端末の利用）や、急な協力会社との連携には非常に強力です。
もし皆さんが今後、インフラエンジニアとしてこのような装置を導入する際は、以下の視点を持ってください。
- 「万能な解決策はない」と知る: クライアントレスVPNで動かないサイトは必ず存在します。その時は無理に書き換え設定を複雑にするより、従来の「クライアントインストール型（VPNクライアント）」を併用する勇気を持ってください。
- Web技術の理解を深める:
JavaScriptやHTTPヘッダー、Cookieの仕組みを知っているだけで、トラブルシューティングのスピードは劇的に変わります。
ネットワークの世界は、目に見えないパケットと、それを補完する知恵の戦いです。最初は難しく感じるかもしれませんが、こうして「郵便配達」のようにイメージを膨らませることで、きっと本質が見えてくるはずですよ。
それでは、また次回の記事でお会いしましょう！
コメント