【入門編】 ZTNAエージェントベース（常時接続型）のトンネリングと仮想ネットワークアダプタ – ゼロトラスト＆エンタープライズセキュリティ実践ガイド

「社内ネットワーク」という名の城壁はもう古い？ZTNAエージェントがPCの中でやっている「秘密のトンネル工事」を解明しよう！

皆さん、こんにちは。ネットワークの世界へようこそ！

これまで、オフィスに行かないと仕事ができない、あるいはVPNを繋がないと社内サーバーが見えない……そんな「境界線」に守られたネットワークに慣れ親しんできた方も多いのではないでしょうか。しかし、今の時代、そんな「城壁」を築くスタイルは少しずつ過去のものになりつつあります。

そこで登場するのがZTNA（ゼロトラストネットワークアクセス）です。「何も信じない」という過激な名前ですが、その本質は「どこにいても安全に、必要なものだけを繋ぐ」という非常に合理的な考え方です。

今回は、そのZTNAの心臓部とも言える「エージェント型トンネリング」と、PCの中でひっそりと働く「仮想ネットワークアダプタ」の仕組みを、郵便配達のストーリーで紐解いていきましょう！

—

1. 昔ながらの「城門」と、今の「魔法の郵便箱」

まずは、これまでの境界型防御（VPNなど）を想像してみてください。
これは「オフィスという大きな城」に「大きな正門」を作って、そこに合鍵（VPN認証）を持っている人だけを通す仕組みです。門をくぐれば、城の中はすべて安全……という考え方ですね。

一方、ZTNAの考え方は少し違います。
エージェントソフトをPCに入れると、PCの中に「魔法の郵便箱」が設置されます。あなたがどこへ行こうと、この郵便箱が常にそばについてくるイメージです。

仮想ネットワークアダプタ（TAP/TUN）の役割

この「魔法の郵便箱」の正体が、OS上に作られる「仮想ネットワークアダプタ」です。
通常、PCは「Wi-Fi」や「有線LAN」という物理的な出口から手紙（パケット）を出しますが、ZTNAエージェントを起動すると、OSのルート（道のり）を書き換えて、すべての手紙を一度この「仮想アダプタ」へ強制的に投げ込ませるようになります。

これを専門用語で「ルーティングの制御」と言います。PCからすれば、「あれ？いつもの近道を通ろうとしたのに、なぜか怪しい地下道（トンネル）に誘導されるぞ？」という状態になるわけです。

—

2. パケットを「包んで隠す」トンネリングの技術

さて、仮想アダプタに吸い込まれた手紙（パケット）は、その後どうなるのでしょうか。

ここで登場するのがカプセル化（トンネリング）です。
例えば、あなたが「社内の人事システム」宛てに手紙を書いたとします。そのまま送ると宛先が丸見えですよね。そこで、エージェントはこうします。

1. 手紙全体を、より大きな「別の封筒」に入れて封をする（これがカプセル化）。
2. その封筒には、「ZTNAのゲートウェイ（受付係）宛て」という住所だけを書く。
3. インターネットという荒波の中を、中身を隠したままゲートウェイへ届ける。

ゲートウェイに届くと、受付係が封筒を開封し、中身を確認します。「おっ、人事システム宛てだね。君は許可されているから通してあげるよ」と、ようやく本来の宛先に送り届けられるのです。

—

3. 実践！PCの中で何が起きているのか覗いてみる

理屈がわかったところで、少しだけエンジニアの視点で「道順（ルーティング）」を見てみましょう。Windowsのコマンドプロンプトで以下のコマンドを叩くと、今のネットワークの行き先を確認できます。

# 現在のルーティングテーブルを表示するコマンド
route print

# 注目すべきは「0.0.0.0」というデフォルトゲートウェイです。
# ZTNAエージェントが起動すると、この優先順位が書き換わり、
# すべての通信が「仮想アダプタ（TAP/TUN）」を経由するように仕向けられます。

もし、あなたがこのエージェントを自作するなら（学習用として）、Pythonなどでパケットをキャプチャして中身を加工するライブラリ「Scapy」などが参考になります。

# 概念図：パケットをキャプチャして別の場所へ転送するイメージ
from scapy.all import *

def handle_packet(packet):
    # ここでパケットを暗号化して、特定のIPへ包み直す処理を書く
    print("パケットをトンネルへ押し込みます！")

# 仮想インターフェースを監視する（実際はOSレベルの権限が必要）
sniff(iface="ZTNA-Virtual-Adapter", prn=handle_packet)

—

4. なぜ「常時接続」が重要なのか？

「いちいち接続ボタンを押すVPNの方が安心じゃない？」と思うかもしれませんが、人間は忘れる生き物です。カフェで仕事をする時にVPNを繋ぎ忘れる……そんなリスクを排除するために、ZTNAは「PCが起動した瞬間にトンネルを張る（常時接続）」というスタイルをとります。

意識させないセキュリティ: ユーザーは何も意識せず、ただブラウザを開くだけ。
場所を選ばない: 自宅だろうがスタバだろうが、ルールは常に同じ。
最小権限: 「城全体」ではなく「必要な個室」にしか繋がせない。

—

最後に：ネットワークを「意識しない」のが最強のセキュリティ

ここまで読んでいただき、ありがとうございます。
ZTNAエージェントと仮想アダプタによるトンネリングは、一見すると複雑な魔法のように見えますが、本質は「通信の出口をPC側で強制的にコントロールし、中身を隠して運ぶ」という非常にシンプルな仕組みです。

これからインフラエンジニアを目指す皆さんも、まずは「自分のPCから出たパケットが、どの道を通り、どこで封を開けられているのか？」を意識してみてください。この感覚が掴めれば、どんな新しいセキュリティ製品が出ても、その仕組みをスラスラと読み解けるようになりますよ。

それでは、また次回の記事でお会いしましょう！ネットワークの世界を楽しんでくださいね！