こんにちは！ネットワークの裏側やセキュリティの泥臭い仕組みを覗くのが大好きな、技術メディアの主筆ライターです。
皆さん、カフェやホテル、あるいは新幹線の車内で「無料の公共Wi-Fi（Free Wi-Fi）」に接続した経験はありますよね。「パスワードなしですぐ繋がる！」と便利に使いがちですが、実はその空間は、通りすがりの悪意ある攻撃者に通信を覗き見されるリスクと常に隣り合わせです。
そんな時、私たちのプライバシーと安全を守る強力な相棒が「VPN（仮想プライベートネットワーク）」です。
しかし、このVPN、すべてをガチガチに暗号化して守ってくれるのは心強いのですが、「自宅のプリンターに印刷できない」「会社のローカルサーバーに繋がらなくなった」といった、ちょっとした不便さを引き起こす原因にもなります。
そこで登場するのが、今回深掘りする「スプリットトンネリング（Split Tunneling）」という技術です。
「全部の通信をVPNに通す（フルートンネル）」のではなく、「守るべき通信だけをVPNに通し、普段使いの通信はそのまま流す」という、何とも欲張りでスマートな仕組みですね。
難解なパケットのヘッダー名や複雑な数式はいったん脇に置いて、身近な例えから一歩ずつ、その仕組みとセキュリティのトレードオフを紐解いていきましょう！
—
1. 郵便配達で例える「フルートンネル」と「スプリットトンネリング」
まずは、VPNの全体像をイメージするために、私たちが普段使っている「郵便」に例えて考えてみましょう。
すべてを厳重なトランクケースに入れて送る「フルートンネル」
通常のVPNをオンにすると、あなたのパソコンから発信される手紙は、すべて「頑丈なカギ付きの黒いトランクケース」に放り込まれます。そのトランクケースは、一度VPNの専用中継所（VPNサーバー）まで直行し、そこで中身を取り出してから宛先のインターネットの世界へ旅立ちます。
- メリット: 途中のカフェのWi-Fiのオーナーや、回線の途中にいる盗聴者からは、あなたが「何色のトランクを運んでいるか」しか見えず、中身は完全に秘密です。
- デメリット: 例えば、同じ家（ローカルネットワーク）にある自分のプリンターに「この書類を印刷して！」とお願いしたい時も、わざわざ一度遠くのVPN中継所までトランクを送り出さなければなりません。そのため、「あれ、プリンターが見つからない……」という現象が起きるのです。
行き先によって通り道を使い分ける「スプリットトンネリング」
ここでスプリット（分割）の登場です。スプリットトンネリングを設定すると、郵便局（VPNアプリ）の受付で次のような仕分けができるようになります。
- 「機密性の高い社内システムや海外の金融サイト宛ての荷物」 ➔ 厳重なカギ付きトランク（VPN）に入れて送る！
- 「近所のスーパー（自宅のプリンターやローカルNAS、動画配信サービスなど）宛ての荷物」 ➔ いつも通りの通常の郵便受け（直接インターネット）からサクッと送る！
このように、通信の目的地（宛先IPアドレスなど）を見て、通り道を賢く選別するのがスプリットトンネリングの正体です。
—
2. スプリットトンネリングが生み出す「利便性」と「セキュリティのトレードオフ」
エンジニアとしてシステムを設計したり、個人で安全な環境を構築したりする際、私たちが必ず直面するのが「利便性とセキュリティのトレードオフ（一長一短）」です。
スプリットトンネリングは、まさにこのトレードオフの最前線にあります。それぞれのメリットとリスクをクリアにしておきましょう。
🌟 メリット（得られる恩恵）
1. ネットワーク速度の最適化（帯域の節約）
- 動画のストリーミングや大容量ファイルのダウンロードなど、VPNの暗号化処理や遠くのサーバーを経由させる必要がない通信を「直接」流すため、速度低下を防げます。
2. ローカルリソースへのシームレスなアクセス
- VPNに繋いだままでも、自宅やオフィスのローカルネットワーク内にあるプリンター、NAS（ネットワークHDD）、スマート家電などにアクセスできます。
⚠️ リスクとセキュリティのトレードオフ（潜む罠）
1. 「ローカルブレイクアウト」に起因する脆弱性
- 自宅のWi-Fiや、ホテルの信用できないローカルネットワーク経由でインターネットに直接アクセスするため、もしそのローカル環境自体がウイルスに感染していたり、悪意ある第三者に改ざんされていたりした場合、その隙を突かれるリスク（ローカルネットワーク攻撃）が生じます。
2. ログや監視の目が届きにくい「シャドーIT」の温床に
- 企業環境において、従業員が勝手にスプリットトンネリングを有効化すると、社内ポリシーで禁止しているはずのウェブサービスに業務PCから直接アクセスできてしまい、情報漏洩の監査網をすり抜けてしまう原因になります。
—
3. 実務で役立つ！スプリットトンネリングの具体的な設定アプローチ
「理屈はわかったけれど、実際にどうやって設定するの？」という方のために、代表的なVPNクライアントである OpenVPN を例に、設定の雰囲気を覗いてみましょう。
インフラエンジニアとして現場に出ると、設定ファイル（.ovpn など）をいじってルーティングをコントロールする場面によく遭遇します。
OpenVPN設定ファイル（.ovpn）のサンプル
以下の設定は、「すべての通信を一度VPNに通しつつ、特定のローカルネットワーク宛てだけはVPNの網から外す（除外する）」という、実務で非常によく使われる構成です。
# --- 基本的な接続設定 ---
client
dev tun
proto udp
remote vpn.example.com 1194
resolv-retry infinite
nobind
# --- セキュリティと認証の設定（省略） ---
# ca ca.crt
# cert client.crt
# key client.key
# ==========================================
# スプリットトンネリングのルーティング設定
# ==========================================
# 1. すべてのデフォルトゲートウェイのトラフィックをVPNに向けるのを一度無効化
# （OS側のデフォルトルートを勝手に書き換えさせない設定）
redirect-gateway def1
# 2. 社内や特定の信頼するローカルサブネット（例: 192.168.10.0/24）宛ての通信は、
# VPNのトンネルを通さず、ローカルのゲートウェイに直接流す（ルートから除外する）
# 構文: route [ネットワークアドレス] [サブネットマスク] [ローカルゲートウェイの指示]
route 192.168.10.0 255.255.255.0 net_gateway
# 3. もう一つ別の拠点（例: 10.50.0.0/16）のサブネットも直接ルーティングから除外する場合
route 10.50.0.0 255.255.0.0 net_gatewayこの設定ファイルでは、route ... net_gateway という記述がミソです。OSに対して「このIPアドレス宛てのパケットは、VPNの仮想インターフェースではなく、今繋がっている物理的なルーター（ローカルゲートウェイ）に直接投げなさい」と指示を出しています。
—
4. トラブルシューティング：スプリットトンネリング設定後の「あるある」
現場でスプリットトンネリングを導入した際によく起こるトラブルと、その解決へのアプローチについても触れておきましょう。
トラブル：「VPNに繋いだ途端、社内サーバーの名前解決ができなくなった！」
- 原因: VPN接続時に、DNSサーバーの向き先が社内のものに変更された結果、自宅のローカルプリンターのホスト名（例:
printer.local）や、パブリックなドメインの名前解決ができなくなる現象です。 - アプローチ: クライアント側のDNSスプリット（DNSルーティング）設定を見直し、「社内ドメイン（
*.internal.corp等）への問い合わせだけは社内DNSサーバーに送り、それ以外は信頼できるパブリックDNS（例:1.1.1.1や8.8.8.8）を使う」ようにルーティングを正しく調停します。
—
まとめ：文脈に合わせた「正しい選択」をしよう
今回は、個人向けVPNおよびエンタープライズの環境でも重要な位置を占める「スプリットトンネリング」について、郵便配達の例えを交えながら解説しました。
- フルートンネル: 「セキュリティ最優先！外の危険な空気には一切触れさせない」
- スプリットトンネリング: 「セキュリティを確保しつつ、利便性や回線速度もスマートに両立させる」
どちらが絶対的に正しいということはありません。「自分が今アクセスしているネットワークは安全か？」「守るべきデータは何か？」という文脈（コンテキスト）を常に意識し、リスクとリワードのバランスを取りながら最適な設定を選択していきましょう。
一歩ずつ、確実な知識を積み重ねて、強固なネットワークセキュリティを築き上げていきましょうね！それではまた次回の技術解説でお会いしましょう。
コメント