INTERNET
インターネット最新テクノロジー：第15 回

企業にはなかなか手が出せないのも事実であインターネットを企業ネットワークの一部として利用できるVPN（Virtual Private Network）る。そこで企業ネットワークもTCP/IPベースとなりつつあることと、全国規模のプロバイダーがいくつもあることを利用して、図1-2のように企業ネットワークの長距離部分にインターネットを利用することが考えられた。これがVPNの基本概念である。企業のプライベー
トネットワークをインターネット上に仮想的に企業ネットワークとインターネットとの連携が不可欠なものになるに伴って、逆にインタ作り上げることからこのように呼ばれる。特ーネットを使って企業ネットワークのコストを削減しようという動きが出てきた。インタ

定の通信だけをインターネット経由で行うでーネット電話によって電話代を安く抑えるのと同様にVPN（Virtual Private Network：はなく、ある拠点のネットワークから別の拠仮想私設網）と呼ばれる技術によってインターネットを専用線のように使い、企業ネット点のネットワークに向かうすべての通信をインワーク（イントラネットやエクストラネット）の通信コストを安くあげることが可能である。

ターネット経由で行うことが重要である。

VPNを実現するためにはデータを安全にやり取りするための暗号通信やトンネリングといった技術が使われている。今回はVPNを実現する技術と仕組みについて解説する。

長原 宏治

必要なのは「いつでも」繋がり
有限会社 NS プランニング「すべて」を暗号化できること
インターネットを使って企業の拠点間で重要な情報をやり取りするには、常にネットワークが使えるという信頼性やデータが盗まれないようなセキュリティーの問題を慎重に考慮することが必要である。
ある程度のセキュリティーで構わないならば、特定の信頼できるプロバイダーを選び、そのプロバイダーをバックボーンとして利用するという方法も考えられる。実際にそのような方法で専用線のコストを削減している企業も存在する。しかしプロバイダーの管理体制を厳密にチェックすることはできないのが現実である。また複数のプロバイダーと契約してインターネットへの接続にバックアップの回線を用意する必要もあるだろう。の内側か外側かということだけになりつつある

さらなるセキュリティーを確保するためには、ことが重要である。企業内ネットワークで使拠点間のデータがインターネットを通るときわれているプロトコルやアプリケーションとイに、それを暗号化する必要がある。現在ではオフィスワークの効率化を成し遂げて企業ンターネットで使われているそれとの間に違いVPN といった場合には「インターネット上で成長を維持するために企業内のネットワークがなくなりつつあると言ってもいいだろう。

暗号を使い、企業ネットワークを（仮想的に）自前の専用線からインターネットへがますます重要となっている。同時にインタインターネットが普及する以前の企業ネッ拡張すること」を指すと言っても過言ではな

ーネットは企業にとって不可欠のコミュニケ

トワークはすべての回線を自前で調達するもいであろう。ただし拠点をまたいで利用するーション手段となりつつある。最近のイントのであった（図1-1）。今でも数多くの大企業ようなアプリケーションレベルで暗号化する方ラネットの流行によって、企業ネットワークがこのような自営ネットワークを維持している法（SSL などがその代表と言えるだろう）はとインターネットの違いはファイアーウォールが、専用線を維持するコストを考えると中小VPNとは言えない。VPNを実現するにはネッ

328 INTERNET magazine 1998/4

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

トワークをまたぐすべてのトラフィックを暗号企業ネットワークで使用しているプライベート化する必要がある。そのために暗号化をIP パアドレスが問題となる。プライベートアドレス

ケット単位で行うのである。

をインターネット上で利用することはできないのでアドレスの付け替えが必要となるのだ。プライベートアドレスを使っていない場合であっ遮断ではなく安全にやり取りする

福岡

具体的な例を見ながらVPNの仕組みを見て

大阪

東京

北海道

本社

いこう。図 2 はある企業の拠点にあるネット
ワークA と別の拠点にあるネットワークB をC 事業所

VPN で結んでいる例である。ホストA からホ

B 事業所

A 事業所

ストB に向かうデータはVPN 装置A で暗号化されて送り出される。インターネットを通って専用線
フレームリレー

VPN 装置B に到着したデータはそこで復号されてホストBに至る。ホストAとホストBでは

図 1-1 広域企業ネットワーク

データがインターネットを経由してきたことも、

福岡

専用線
フレームリレー大阪

専用線
フレームリレー東京

その途中で暗号化されていたことも知る必要

北海道

本社がない。またホストAからインターネットに向かうデータ、あるいは逆にインターネットからC 事業所

B 事業所

ISP

ISP

A 事業所

ホストAにやってきたデータはそのまま暗号化されることなくやり取りされる。つまりVPN装置が発信元と宛先によってデータを選択して必要なものを暗号化および復号するので、企業ネットワーク内では通信の暗号化を気にISPISPする必要がない。
インターネット

図2 ではVPN の仕組みを実現するものを独
図 1-2 インターネットを利用した企業内通信立した装置として示したが、実際にはファイアーウォールやルーターのオプション機能としホストAて実現されている場合が多い。暗号化が必要

ホストB

インターネット上のホストCとなるのはファイアーウォールの外側だけであり、アドレスによってデータを選択するという平文パケット

動作はファイアーウォールに類似したものであ
TO:C
○○○○○

る。しかし、ファイアーウォールは外部から○○○○○の不正なアクセスを遮断することが目的であ

TO:B

ファイアウォール

ファイアウォール

○○○○○

○○○○○

VPN装置 A外に送り出す、あるいは正当なデータを安全

TO:B○○○○○○○○○○るのに対して、VPN は内部のデータを安全にVPN装置 B

平文パケット

平文パケットに取り込むことが目的である。

インターネットルーター

ルーター

図 1 リンクローカルアドレス

パケットのカプセル化によってTO:B
XXXXXXX
XXXXXXX

トンネリングを実現

ネットワークA

暗号パケットネットワークB

図 2 VPNの基本手な動作

VPNを実現しようとする場合、現在多くのD

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

INTERNET magazine 1998/4

329

ても、クラスB アドレスを2 分割して経路情標準化の鍵はIPsec

報をほかのネットワークに伝えるることはできないので、同様にアドレスの付け替えが必要

VPN とは前述のとおりIP パケットをそのまとなることが多いだろう。単に企業ネットワ

ま（パケットを単位で）暗号化して特定の宛ークからインターネットに出て行くだけならば先に送り込む技術であるとも言えるだろう。

NAT（Network Address Translation）にIPパケット自体の暗号化と言えばIPv6での実よって問題を解決できるが、VPN ではいった装が必須となった「IPsec（IP SECurity のんインターネットに出たデータを再度企業ネ

意：RFC1825-1828）」が重要である。実際

ットワークに取り込まねばならないため、特別のところVPN 製品のいくつかはすでにIPsecな仕組みが必要となる。

への対応を完了または予定しており、IPsec

このようなアドレスの問題に対応するために基づく形での相互運用性が今後は期待されに、トンネリング技術が利用されている。例

ることから、IPsec について簡単に紹介してを挙げながら考えよう。図3においてホストAおこう。

からホストBに向かうパケットは、ネットワー

IPsec は設計段階からIPv6 とIPv4 の双方

クA の出口で全体が暗号化されて、ネットワで利用できるようにデザインされている。IPv4ークBの入り口に宛てたパケットにカプセル化

ではオプション機能であるが、IPv6では必須機される。インターネットを通ってネットワーク能であるため、IPv6 を利用する場合は特別なBに到達したパケットはその入り口でカプセル機器やソフトウェアを導入しなくても安全な化が解かれ、復号されたうえでホストB に向通 信 が実 現 できるようになるはずである。

かう。ネットワークAならびにBで通用する形

IPsecでは最低限必要な暗号化方式と認証方のパケットは、インターネット上を流れるとき

式が規定されたうえで、送信側と受信側の双はカプセル化によって「単なるデータ」とな方でネゴシエーションを行って具体的な通信っているため、トンネルから抜けてきたように方法が決定される仕組みとなっている。
実装が見えるのである。これによりファイアーウォー必須とされているのは、暗号化ならびに認証ル内部のネットワーク構造を知られたくないのアルゴリズムが「DES-CBC」と「鍵付きというニーズも満たすことができる。

MD5」のものである。それぞれの詳細についてはIPv6 について詳説された文献を見るといいだろう。なお暗号通信では鍵を管理および図3 トンネリングによるアドレス変換配布するための方法（プロトコル）が必要であホストAるが、このIPsec では定義されていない。鍵管ホストB
192.168.○.×
プライベートアドレス

理プロトコルとしては標準とされているSKIP

192.168.△.×
プライベートアドレス（ Simple Key-Management for Internet
Protocols）やISAKMP（Internet Security

トンネル

Association
from:192.168.○.×
to:192.168.△.×・・・・・・

from:192.168.○.×
to:192.168.△.×
・・・・・・

a.b.c.d
VPN/FW

IPv6では標準の機能
FW：ファイアウォール

VPN とはパケットレベルでの暗号化を用いて「安全に」通信する技術である。ここで言D330 INTERNET magazine 1998/4

Management利用されていくであろう。

VPN/FW

from:a.b.c.d
to:w.x.y.z
from:192.168.○.×
to:192.168.△.×
暗号化
・・・・・・

Keyして採用される見込みのISAKMPが標準的にw.x.y.z

インターネットAndProtocol）がある。今後はIPv6 のベースとインターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

う「安全」とはやり取りしている情報の中身ため、相互運用性が重視されることが少ないを他人に知られることがないということであのかもしれないが、今後はIPsec やISAKMPり、プライバシーを気にすることなくどのようといった標準仕様に沿った製品が増え、十分な情報も自由に送受信できる。したがって企な相互運用性が確保されるものと期待される。

業ネットワークにおいて拠点間を結ぶだけで商品として販売されているものの常として、はなく、取引先との重要な情報のやり取り簡単にVPN を実現できるようにうたわれてい（エクストラネット）やモバイルコンピュータる製品が多いが、実際には暗号や鍵管理に関からインターネットを経由して企業のネットワする十分な理解が必要となる。あたりまえのークにアクセスする（モバイルアクセス）などことだが、ドキュメントが充実していて、サへの応用も期待されることが明らかだろう。さポートのしっかりとしたベンダー製品を選ぶよらに一歩進んで、IPv6 によってプロトコルレうに心がけるべきだろう。

ベルでの安全性がどの機器にも標準装備されるようになればVPN を利用する必要はなくな

ファイアーウォールとのり、単に「通常のネットワーク接続において一括管理が現実的暗号オプションを利用する」だけのこととなる。これはVPNが過渡的な技術であるというセキュリティー機能を一括して提供するたことではなく、未来の安全な通信方法を前もめに、VPN 製品の多くはファイアーウォールって取り込み、開発と検証を行っていると捉と一体となって販売されているし、別の製品えるべきであろう。

として販売されている場合であってもファイアーウォールと同時に管理されることが多い。ファイアーウォール周辺の技術と設定項目は非着目すべきは相互運用性

常に多岐にわたっており、それぞれを互いにここで現在のVPN製品について簡単に見て関連付けながら理解して設定するためには、いこう。セキュリティー意識の高まりからかいすべての技術に対する十分な理解と経験が必

くつもの製品が市場で入手可能となっている要である。さらにこれらの機能を個別に設定が、形態によって大まかに3 種類に分けられしていくことはかなり骨の折れる作業となってる。

しまう。できるならばファイアーウォール、代表的な形態はファイアーウォールのソフVPN、アドレス変換などをまとめて簡単に設トウェアと一体になったもの（ファイアーウォ定できる機能が欲しいものである。さらに今ールの機能としてVPN を提供するもの）で後普及が見込まれている帯域保証や負荷バラ

Checkpoint 社のFirewall-1 やTIS 社のンスなど技術に対しても同様の統合化されたGantletなどが有名である。さらにすぐに使えソリューションが求められる。今後の製品のる製品としてVPN 機能を専用ハードウェアに進化に期待したい。

納めたもの（TimeStep社のPermitなど）やルーターのオプション機能として組み込むもの（Cisco社やAscend社など）がある。いずれの製品も積極的に標準化に対応しようとしており、先に述べた標準となりつつある仕様に沿った製品同士であれば、相互運用性も得られるようになっているようだ。
VPN はその性格上、企業単位で機材やソフトウェアが導入されることが多いと思われる`

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

INTERNET magazine 1998/4

331［インターネットマガジン バックナンバーアーカイブ］ ご利用上の注意
この PDF ファイルは、株式会社インプレス R&D（株式会社インプレスから分割）が 1994 年～2006 年まで発行した月刊誌『インターネットマガジン』の誌面を PDF 化し、「インターネットマガジン バックナンバーアーカイブ」として以下のウェブサイト「All-in-One INTERNET magazine 2.0」で公開しているものです。

http://i.impressRD.jp/bn
このファイルをご利用いただくにあたり、下記の注意事項を必ずお読みください。
z 記載されている内容（技術解説、URL、団体・企業名、商品名、価格、プレゼント募集、アンケートなど）は発行当時のものです。
z 収録されている内容は著作権法上の保護を受けています。著作権はそれぞれの記事の著作者（執筆者、写真の撮影者、イラストの作成者、編集部など）が保持しています。
z 著作者から許諾が得られなかった著作物は収録されていない場合があります。
z このファイルやその内容を改変したり、商用を目的として再利用することはできません。あくまで個人や企業の非商用利用での閲覧、複製、送信に限られます。
z 収録されている内容を何らかの媒体に引用としてご利用する際は、出典として媒体名および月号、該当ページ番号、発行元（株式会社インプレス R&D）、コピーライトなどの情報をご明記ください。
z オリジナルの雑誌の発行時点では、株式会社インプレス R&D（当時は株式会社インプレス）と著作権者は内容が正確なものであるように最大限に努めましたが、すべての情報が完全に正確であることは保証できません。このファイルの内容に起因する直接的および間接的な損害に対して、一切の責任を負いません。お客様個人の責任においてご利用ください。

このファイルに関するお問い合わせ先
All-in-One INTERNET magazine 編集部
im-info@impress.co.jp
Copyright © 1994-2007 Impress R&D, an Impress Group company. All rights reserved.