【入門編】 SSL-VPNの「ネットワーク層（L3/L2）トンネリング型」の仕組み（TAP/TUNデバイス） – ゼロトラスト＆エンタープライズセキュリティ実践ガイド

こんにちは！技術メディアの主筆を務めております、ネットワークセキュリティスペシャリストの「専属ライター」です。

リモートワークが当たり前になった昨今、「自宅にいながら会社の社内システムにアクセスする」という魔法のような体験を、皆さんも毎日されているのではないでしょうか？その魔法の杖の名前は、ズバリ「VPN（仮想専用線）」です。

今日はその中でも、特に高度で汎用性が高いSSL-VPNの「トンネリング型」、そしてその心臓部である「TAP/TUNデバイス」の仕組みについて、パケットがネットワークを駆け巡る息遣いを感じられるような、生きた解説をお届けします。

インフラの世界に足を踏み入れたばかりの皆さんも、どうぞ安心してください。「一歩ずつ、確実に」理解の階段を登っていきましょう！

—

1. SSL-VPNの「トンネリング型」とは？

まずは全体像から。SSL-VPNには大きく分けて「ブラウザで完結するタイプ（リバースプロキシ型）」と「専用ソフトを使うタイプ（トンネリング型）」の2種類があります。

今回フォーカスする「トンネリング型」は、PCに専用のVPNクライアントソフトをインストールして使います。これの何がすごいかというと、「PC全体が、あたかもオフィスのLANケーブルに直接繋がっているかのような状態」を作り出せる点です。

ブラウザだけでなく、ファイル共有や基幹システムのアプリなど、あらゆる通信を丸ごと包み込んで、安全なトンネル（暗号化された通路）を通してくれるのです。

郵便配達に例えてみよう

イメージしてみてください。あなたの手元には「社内秘の重要書類」があります。
1. 通常： そのままポストに入れると、誰かに中身を見られるかもしれません。
2. トンネリング： 書類を一度「頑丈なアタッシュケース」に入れ、鍵をかけます。そのケースに「VPN装置行き」という宛先を貼って送ります。
3. 到着： VPN装置が鍵を開け、中から元の書類を取り出して、社内の担当者に届けてくれます。

この「アタッシュケースに入れて送る」仕組みを、ITの言葉でカプセル化（Encapsulation）と呼びます。

—

2. 魔法の入り口「TAP」と「TUN」デバイス

さて、ここからが本題です。PCの中には物理的なLANカード（NIC）がありますが、VPNを繋ぐと「仮想的なネットワークインターフェース」がOSの中に現れます。これがTAPとTUNです。

これらは、物理的な部品ではない「ソフトウェアで作られたニセモノのLANカード」だと思ってください。

TUN（ネットワーク層 / L3）

役割: 「IPパケット」を専門に扱います。
特徴: 郵便物に例えると、封筒に書かれた「住所（IPアドレス）」だけを見て配送するスタイルです。
用途: 一般的なSSL-VPNの多くはこちらを採用しています。無駄なデータが少なく、効率的です。

TAP（データリンク層 / L2）

役割: 「イーサネットフレーム」をそのまま扱います。
特徴: 住所だけでなく、家（MACアドレス）の形状まで含めて丸ごと運ぶようなイメージです。
用途: 特殊な通信（古いプロトコルや、LAN内でのブロードキャストが必要な場合）に使われます。

「TUNは住所重視のスマートな運び屋」「TAPは荷台丸ごと運ぶトラック」と覚えると分かりやすいですね！

—

3. パケットがトンネルをくぐる瞬間

具体的に、あなたのPCから社内サーバ 192.168.10.100 へデータを送る時の流れを追いかけてみましょう。

1. アプリがデータを送信: あなたのPCのアプリが「社内サーバにデータを送りたい！」と叫びます。
2. OSが仮想デバイスに渡す: OSは「あ、その宛先ならこの仮想カード（tun0 など）の担当だね」と判断し、データを渡します。
3. VPNソフトがキャッチ: ここが面白いところです。仮想デバイスに届いたデータは、そのままVPNクライアントソフトに吸い上げられます。
4. 魔法の封筒（SSL/TLS）で包む: VPNソフトは、そのデータを暗号化し、インターネットを通れるように「VPN装置の公開IPアドレス」宛の封筒で包み直します。
5. インターネットを爆走: この封筒は普通のHTTPS通信（ポート 443 など）として、安全にインターネットを駆け抜けます。

—

4. 実践！設定ファイルの中身を覗いてみよう

概念がわかったところで、世界中で使われているオープンソースのVPNソフトウェア「OpenVPN」の設定例を見てみましょう。設定ファイルの中に、先ほど学んだキーワードが隠れています。

サーバー側の設定サンプル (server.conf)

# どちらのデバイスを使うか指定します
# dev tun  ならL3（IPベース）、dev tap ならL2（イーサネットベース）になります
dev tun

# 通信に使うプロトコルとポート番号
# SSL-VPNなので、Webと同じ仕組み（TCP）を使うことが多いです
proto tcp
port 443

# クライアントに割り当てる社内用の仮想IPアドレスの範囲
# これにより、自宅PCに「10.8.0.x」のような社内用アドレスが付与されます
server 10.8.0.0 255.255.255.0

# 暗号化の設定（アタッシュケースの鍵の強さ）
cipher AES-256-CBC

# クライアントに「社内ネットワークへの道順」を教える設定
# 192.168.10.0 のネットワークはVPN経由で来てね、という指示です
push "route 192.168.10.0 255.255.255.0"

# 接続を維持するための生存確認（生きてる？）
keepalive 10 120

自分のPCでどう見えるか？

VPNを接続した状態で、コマンドプロンプトやターミナルで ip addr (Linux/Mac) や ipconfig (Windows) を打ってみてください。

# Linuxでの表示例
3: tun0: <POINTOPOINT,MULTICAST,NOARP,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UNKNOWN group default qlen 500
    link/none 
    inet 10.8.0.6 peer 10.8.0.5/32 scope global tun0
       valid_lft forever preferred_lft forever

このように、物理的なWi-Fi（wlan0）などとは別に、tun0 という名前のインターフェースが 10.8.0.6 という「社内用のアドレス」を持って活動しているのが確認できるはずです。これこそが、あなたのPCの中に作られた「仮想の入り口」の実体です。

—

5. トラブルシューティングの知恵袋

現場でよくある「繋がらない！」という悲鳴。そんな時、スペシャリストはここを見ます。

MTU（パケットの最大サイズ）の問題: アタッシュケースの中にさらに大きな箱を入れようとして、サイズオーバーでパケットが壊れてしまうことがあります。設定で mssfix などの値を調整して、少し小さめのサイズで送るのがコツです。
ルート（経路）の競合: 自宅のルーターが使っているIPアドレス範囲（例：192.168.1.0/24）と、会社のIP範囲が全く同じだと、PCが「どっちに行けばいいの？」と迷子になってしまいます。

—

終わりに：ゼロトラストへの第一歩

SSL-VPNの「トンネリング型」は、ネットワークの境界を越えて安全な道を作る、非常に強力な技術です。しかし、最近では「一度繋がればどこでも見放題」というVPNの弱点を補うために、「ゼロトラスト（誰も信じない、常に検証する）」という考え方も普及してきました。

今回学んだTAP/TUNの仕組みは、そうした最新のセキュリティ技術（SDP: Software Defined Perimeterなど）の基礎にもなっています。

「パケットが今、仮想デバイスを通って暗号化されたな……」

そんな想像をしながらネットワークを眺められるようになれば、あなたも立派なエンジニアの仲間入りです。一歩ずつ、楽しみながら学んでいきましょう！

また次回の記事でお会いしましょう。ハッピー・ネットワーキング！