【入門編】リモートアクセスVPNにおけるスプリットトンネリングの設計とリスク – ゼロトラスト＆エンタープライズセキュリティ実践ガイド

「VPNでYouTube見てもいい？」――スプリットトンネリングの甘い罠と正しい防衛術

こんにちは！ネットワークの世界へようこそ。日々、目に見えないパケットという小さな手紙が世界中を駆け巡っていると思うと、なんだかワクワクしませんか？

さて、今日はリモートワークで当たり前になった「VPN」のお話です。「社内ネットワークに繋ぐとネットが急に遅くなる」「Zoomがカクつく」……そんな経験はありませんか？それを解決する魔法のテクニックが「スプリットトンネリング」です。

でも、この魔法にはちょっとした「代償」があります。今回は、ネットワーク初心者のみなさんと一緒に、この仕組みとリスクを優しく紐解いていきましょう！

—

そもそも「VPN」って何を運んでいるの？

VPN（Virtual Private Network）を、「会社専用の秘密の地下トンネル」だと想像してみてください。

通常、みなさんがWebサイトを見る時は、公道を走る郵便配達員のようにインターネットの海を渡ります。でも、社内のファイルサーバーや顧客データベースに触れるときは、公道を通ると危ないですよね。そこで、PCと会社との間に「誰も覗けない秘密のトンネル」を作るのがVPNです。

全てを通す「フルトンネル」と、仕分けをする「スプリットトンネリング」

VPNには大きく分けて2つの流儀があります。

1. フルトンネル： 全ての手紙（通信）を、たとえYouTubeを見るための通信であっても、一度「会社という郵便局」を経由させてから外へ出す方法。
2. スプリットトンネリング： 宛先を見て、「これは社内宛だから秘密トンネルへ」「これはYouTubeだから公道へ」と賢く仕分けをする方法。

後者の「スプリットトンネリング」は、社内宛の通信だけをVPNに流すので、ネット回線が混雑せず、とっても快適なんです。

—

なぜ「スプリットトンネリング」は危険なの？

ここで少しだけ、セキュリティの視点を持ってみましょう。

スプリットトンネリングを使うと、あなたのPCは「社内の安全なネットワーク」と「誰でも入れる危険なインターネット」の二股をかけることになります。

もし、あなたがカフェのフリーWi-Fiでコーヒーを飲みながら作業しているとしましょう。VPNで社内サーバーにアクセスしつつ、裏でWebサイトを閲覧しているとき、あなたのPCがインターネット側の悪いウイルスに感染したらどうなるでしょうか？

そのウイルスは、「VPNという秘密のトンネル」を通って、そのまま社内の大切なサーバーまで一直線に侵入できる可能性があるのです！これを「バックドア（裏口）」と呼びます。便利な道具は、時に攻撃者の踏み台になってしまう……これが現実世界のリアルな脅威です。

—

どうやって対策するの？（エンジニアの心得）

「じゃあ、不便でもフルトンネルにするしかないの？」というと、そうではありません。現代のゼロトラストアーキテクチャでは、「境界線を曖昧にしない工夫」を施します。

具体的な設定例として、VPNルーターで「どの通信をトンネルに入れるか」を制限する設定の一部を見てみましょう。

# Ciscoルーターでのルーティング設定例（考え方）

# 1. VPN経由でアクセスさせたい社内ネットワークを定義
ip access-list extended OFFICE_NETWORK
 permit ip 10.0.0.0 0.255.255.255 any  # 10.x.x.xで始まる社内IPならトンネルへ

# 2. VPNクライアントへ「この範囲以外は直接ネットに行け」と指示する設定
# (※実際のVPN製品設定画面で「Split Tunneling」をONにし、ACLを指定します)
crypto cisco-vpn-client configuration
 split-tunnel-policy tunnel-all-except-specified
 split-tunnel-network-list OFFICE_NETWORK  # ここで社内向けだけをトンネル指定

3つの鉄則（明日からできる防御）

1. エンドポイントセキュリティの強化： PCそのものを守る「EDR（ウイルス対策ソフトの進化版）」を必ず入れましょう。入り口が複数あっても、PC側でウイルスを検知・遮断できれば被害は防げます。
2. クラウドゲートウェイの活用： インターネット通信も一度クラウド上のフィルター（SWG：セキュアWebゲートウェイ）を通すことで、VPNを使わなくても安全な通信環境を作れます。
3. 最小権限の原則： VPNで繋がったからといって、社内の全てのサーバーにアクセスできる必要はありません。「必要な人」に「必要なサーバー」だけが見えるように、社内ファイアウォールで厳密に区切りましょう。

—

最後に：ネットワークは「交通整理」

スプリットトンネリングは、利便性とセキュリティのトレードオフ（あちらを立てればこちらが立たず）の象徴です。

ネットワークのエンジニアとして大切なのは、「何がどこを通るのか」というパケットの行先を常に想像することです。郵便配達のルートを頭の中で描けるようになれば、自ずと「どこに検問所（ファイアウォール）を置くべきか」が見えてくるはずですよ。

「便利だから」と思考停止せず、「安全に便利にするにはどうすべきか」を考え続けること。それが、凄腕エンジニアへの第一歩です。

それでは、また次回の記事でお会いしましょう！ネットワークの旅を楽しんで！