こんにちは。ネットワークの深淵を覗き込みつつ、日々セキュリティの現場でパケットの断末魔（？）を聞いているライターです。
今日は「スプリットトンネリング」という、便利だけど少しだけ背筋が寒くなる技術についてお話しします。「VPNって全部の通信を包み込んで守るんじゃないの？」と思った方、その直感が大正解です。でも、現実世界では「全部守る」ことが必ずしも正解とは限らないんです。
一歩ずつ、パケットの旅路を追いかけながら紐解いていきましょう。
—
VPNは「秘密の専用トンネル」
まず、VPN（Virtual Private Network）を想像してみてください。これは、あなたのPCから目的地までの間に掘られた「秘密の地下トンネル」です。
本来、インターネットは誰でも覗ける公道のようなもの。カフェのフリーWi-Fiでクレジットカード情報を送るなんて、全裸で人混みを歩くようなものです。VPNを使えば、この公道の下にトンネルを掘り、そこを通ることで外からは中身が見えなくなります。
しかし、このトンネルには欠点があります。「すべての荷物をこの狭いトンネルに通さなきゃいけない」という点です。
スプリットトンネリングとは？「荷物の仕分け」
「スプリットトンネリング」とは、その名の通り「トンネルを通す通信」と「公道を走らせる通信」を選別（スプリット＝分割）する仕組みのことです。
郵便局に例えてみましょう。
- VPN通信: 厳重に封印された書留。専門の警備員付きで秘密のルート（トンネル）を通る。
- 通常通信: 普通郵便。公道を通るため速いが、中身は見えるリスクがある。
全部を書留にすると、トンネルが大渋滞してしまいますよね。Netflixの動画視聴のような「大容量の通信」までトンネルに通すと、VPNサーバーがパンクして通信速度がガタ落ちします。そこで、「大事なデータはトンネルへ、動画やローカルプリンタへの通信は公道へ」と仕分けるのが、この技術の賢い使い方なんです。
鍵となる「ルーティングテーブル」の役割
では、PCはどうやって「これはトンネルへ、これは公道へ」と判断しているのでしょうか？
ここで登場するのが、PCの中に隠れている「ルーティングテーブル」という地図です。
PCは通信するたびに、「この宛先（IPアドレス）に行くには、どのルートを使えばいいんだっけ？」と、この地図を確認します。
設定のイメージ（Linux/macOSでの例）
例えば、特定の社内ネットワーク（10.0.0.0/8）だけをVPNトンネルに通し、それ以外は通常通りにしたい場合、以下のようなルーティング設定を行います。
# 1. デフォルトゲートウェイ（公道への出口）を確認
# 2. 社内ネットワーク宛のパケットだけを、VPNインターフェース（tun0）に流すように指示する
sudo ip route add 10.0.0.0/8 dev tun0
# これにより、10.x.x.x宛の通信は「秘密のトンネル（tun0）」へ
# それ以外のインターネット宛の通信は「いつもの公道（eth0やwlan0）」へ自動的に振り分けられます※ tun0 はVPN接続時に作成される仮想的なトンネルの出口です。
利点と、知っておくべき「セキュリティの落とし穴」
メリット
- 速度の向上: 高画質動画や大容量ファイルのダウンロードでVPNを圧迫しない。
- ローカルリソースの利用: 自宅のプリンタやNASなど、同じWi-Fi内の機器に直接アクセスできる。
危険性（トレードオフ）
ここからが本題です。スプリットトンネリングを導入すると、「守られていない道（公道）」を一部のパケットが走ることになります。
もし、あなたが「公道」で有害なサイトにアクセスしてしまい、PCがマルウェアに感染したらどうなるでしょう？ そのPCはVPNで「社内のトンネル」にも繋がっているわけですから、マルウェアがトンネルを通って社内ネットワークに侵入する「裏口」を作ってしまう可能性があるのです。
これを「スプリット・トンネル経由の横方向攻撃（ラテラルムーブメント）」と言います。
現場のエンジニアとしての結論
スプリットトンネリングは、利便性と安全性の「綱渡り」です。
- 個人利用の場合: 信頼できるサイトへの接続なら問題ありませんが、公衆Wi-Fiで銀行取引をする際は、面倒でも「全ルートVPN（フルトンネリング）」に切り替えることを強くお勧めします。
- 企業利用の場合: 現代のゼロトラストの考え方では、単にVPNを通すのではなく、「端末そのもののセキュリティ（EDR）」を強化することがセットです。
「便利だから」という理由だけで設定を済ませるのではなく、「どの通信がどこを通っているのか」を一度 netstat -rn や route print コマンドで確認してみてください。パケットの流れを知ることは、セキュリティの第一歩です。
皆さんのネットワークライフが、快適かつ安全であることを願っています！
コメント