VPN：保護できるものとできないもの

仮想プライベートネットワーク（VPN）は、デバイスとVPNサーバーの間に暗号化されたトンネルを作成します。すべての通信がこのサーバーを経由するため、Webサイトから実際のIPアドレスを隠し、ISPやローカルネットワークからの通信を暗号化できます。

VPNを使用する際の手順：

1. デバイスがVPNサーバーへの暗号化接続を確立します
2. すべての通信がこの暗号化トンネルを経由して送信されます
3. VPNサーバーがユーザーに代わって宛先へ通信を送信します
4. 宛先からは、ユーザーのIPアドレスではなくVPNサーバーのIPアドレスが見えます
5. 応答がトンネルを経由してユーザーに戻ります

一般的なVPNプロトコル：

• OpenVPN — オープンソースで高度に設定可能、TLSを使用
• WireGuard — 最新で高速、コードベースが小さく、優れたセキュリティ
• IKEv2/IPsec — 再接続が高速で、モバイルに最適
• PPTP — 旧式で安全性が破綻しているため、決して使用しないでください

VPNは次のものを効果的に保護します：

• ISPからの通信（ISPには暗号化トンネルは見えても、内容は見えません）
• 信頼できないWi-Fi上の通信（喫茶店、空港など）
• 訪問先のWebサイトから実際のIPアドレスを隠すこと
• 地理的なコンテンツ制限の回避
• ローカルネットワークによる監視の防止

VPNは次の脅威からは保護しません：

• すでにデバイスに存在するマルウェア
• フィッシングやソーシャルエンジニアリング
• Cookieやブラウザーフィンガープリンティング
• ログイン中のアカウント追跡（Googleにはユーザーが誰か分かります）
• DNSリーク（DNSがVPN経由でルーティングされない場合）
• VPNプロバイダー自体（今度はプロバイダーに通信が見えるようになります）

VPNを使用すると、信頼の対象がISPからVPNプロバイダーに移ります。不正直なVPNプロバイダーは、すべての通信を記録できます。VPNプロバイダーは、ノーログポリシー（理想的には監査済み）、管轄地域、透明性レポート、オープンソースのクライアントを基準に評価してください。

DNSリークとは、DNSクエリがVPNトンネルの外部に送信されることです。VPNに接続していても、アクセスしたドメインがISPに知られてしまいます。dnsleaktest.comで確認し、DNSをトンネル経由でルーティングするVPNを使用してください。

企業VPNは、リモート勤務の従業員を社内ネットワークに接続します。個人向けVPNとは異なり、雇用主は企業VPNの通信を監視します。個人的なブラウジングに企業VPNを使用すると、IT部門にすべての通信を見られる可能性があります。

スプリットトンネリングでは、特定の通信だけをVPN経由でルーティングします。たとえば、企業ネットワークへの通信だけをVPN経由にし、個人的なブラウジングはインターネットへ直接接続します。VPNの負荷を軽減できますが、セキュリティ上の隙を生む可能性があります。

VPNとTorを組み合わせると、保護の層を追加できます。

• VPN-over-Tor：VPNがISPからTorの使用を隠し、Torが匿名性を提供します
• Tor-over-VPN：TorがVPNプロバイダーから通信を隠します

どちらも複雑さとパフォーマンスコストを増やします。高リスクな環境にいるジャーナリストや活動家が使用することがあります。

従来のVPNでは、すべての内部リソースへのネットワークアクセスが許可されます。ゼロトラストネットワークアクセス（ZTNA）では、ネットワーク上の場所ではなく、IDとデバイスの健全性に基づいて特定のアプリケーションへのアクセスを許可します。現代のエンタープライズ環境では、VPNからZTNAへの置き換えが進んでいます。

VPNが保護できない脅威はどれですか？

VPNはデバイスとVPNサーバーの間の通信を暗号化し、ISPによる監視やローカルネットワーク上での盗聴から保護します。ただし、マルウェア、フィンガープリンティング、アカウント追跡、不正直なVPNプロバイダーからは保護しません。監査済みのノーログポリシーを持つプロバイダーを選んでください。現代のプロトコルとしてはWireGuardが最も推奨されます。