VPN をやめるなら何に置き換える？比べ方と移り方

VPN 機器の入れ替え時期が近づいたとき、または社外から社内の業務システムを使いたくなったとき、同じような機器を入れる以外の方法を考えたことはありますか。VPN の置き換え先は、「人と端末を確かめてから、必要な場所にだけ入れる入口」です。ただし、許可した物しか通さない仕組みなので、入れる前に社内の業務ソフトで試し、調整してから移します。

何が起きているのか

VPN は、外から社内のネットワークに入るための扉です。社内と社外を境目で分け、内側に入った物を信頼する考え方（境界型）の上にあります。どこまで入れるかは社内側の設定しだいで、絞っていなければ社内のネットワーク全体に届きます。

メールや資料の置き場を Microsoft 365 などのクラウドに移した会社では、社内に入ってから使う物が減ったのに、VPN の扉だけが残っている、という状態になっていることがあります。

その扉の機器は、入れた後も更新と点検を続けないと、外から入れる裏口になります（入れたままの VPN 機器の記事）。

VPN と新しい入口は、何が違うのか

たとえるなら、VPN は建物の通用口の合鍵です。合鍵があれば、建物の中のどの部屋にも行けます。新しい入口は、部屋ごとの受付です。部屋に入るたびに、誰か・どの端末かを確かめ、用のある部屋にだけ通します。

入口を社内に開けない

VPN は、社内の機器が外からの接続を受け付けます。新しい入口は、社内に置いた小さなソフトが、提供する会社のサービス（Cloudflare など）へ内側からつなぎに行きます。そのため、外から入ってくる接続を社内の側で受け付けずに済みます。

確かめる物が「合鍵」から「人と端末」になる

新しい入口は、ログインする人と、使っている端末（会社が管理している物か）を確かめてから通します。

入れる範囲が「社内全体」から「必要な物だけ」になる

新しい入口は、その人の仕事に要る物にだけ通します。デジタル庁の方針でも、内側が破られることも想定したうえで、必要最小の権限で通す考え方として示されています。

これから社外から使えるようにするなら：3つの方法の比べ方

社外から社内の業務システムを使う方法は、大きく3つあります。

	ルーターの VPN	クラウド型の入口	機器の入れ替え
入口	ルーターが外からの接続を受け付ける	社内に開けない	新しい機器が受け付ける
範囲	社内側の設定しだい	登録した機械だけ	社内側の設定しだい
方式	機種やソフトの版によっては、新しい方式（IKEv2）に対応していません	提供する会社が用意する	新しい方式に対応した機器を選べる
場面	機器のサポートが続き、更新と点検ができている	今の機器のまま、届く先を絞って始めたい	機器が古く、故障に備えた更新が要る

機器の入れ替えは、社外からの接続のためというより、古くなった機器の更新として考えるものです。新しい入口は社内のルーターの機種に左右されないので、入れ替えの前でも後でも使えます。

入れる前に知っておきたいこと：つながらない物は調整が要る

新しい入口は、許可した物しか通しません。守りが固い理由はここにありますが、社内の環境や業務ソフトによっては、そのままでは動かない物があります。

名前で開く共有フォルダ：「\サーバー名」のように名前で開く方法は、そのままでは届かないことがあります。Windows で名前を探す仕組み（NetBIOS）は、Cloudflare のアプリでは既定で止まっています。届く先を、名前や IP アドレスで登録する設定が要ります。
業務ソフト：回線越しでも社内と同じように動くかは、実際の操作で試して確かめます。遅い場合は、社内のパソコンを遠隔で操作する形に切り替える方法もあります。
新しく使い始める物：新しいシステムや機器を使い始めるときも、届く先を足す設定が要ります。

いきなり全員に広げず、業務ソフトを1つずつ試して調整しながら進めるのが、止めずに移すための前提です。

移すときの順番

一度に入れ替えると、社員が仕事に入れない時間が出ます。次の順番なら、今の VPN を動かしたまま移せます。

クラウドのサービスに、2つ目の確認を入れる（メールや資料の置き場など）
社員が使う端末を、会社が把握して管理する
業務ソフトごとに新しい入口で試し、調整してから移す（使う人が少ない物から）
VPN を使う人がいなくなったら、VPN を止める

いまのうちに確認しておきたいこと

まずは、次のことが社内で分かるかどうかを確かめてみてください。

VPN でつないだ後、何を使っているか（社内のファイルの置き場・業務ソフトと、そのサーバー）
その業務が、すでにクラウドに移っていないか
メールやクラウドのサービスに、2つ目の確認が入っているか
社員が仕事に使う端末を、会社が把握しているか
VPN 機器のメーカーのサポートが、いつまで続くか

1つでも分からなければ、置き換えるかどうかを決める材料が、まだそろっていません。

ここから先は専門家に

新しい入口に移せるかどうかは、社内の業務ソフトがどうつながっているかで変わります。移している間は、古い入口と新しい入口を並べて動かす期間が要り、手順を誤ると、社員が仕事に入れなくなります。業務を止めずに、試して調整しながら進める段取りが要るところです。入れた後も、新しいシステムを使い始めるたびに届く先を足す、見続ける運用が要ります。

当社自身も、社内向けの確認用ページの入口に、人を確かめてから入れる仕組み（Cloudflare Access）を使っています。

今のままでよい場合もあります

VPN でしか使えない業務システムがあり、機器のサポートが続いていて、更新と点検ができているなら、VPN を使い続けるのが合っています。ご相談いただいた場合も、置き換えを前提にはしません。