初級ではVPNを「公衆網の上に掘る暗号トンネル」と捉えました。中級では、そのトンネルが技術的に何をしているのか——カプセル化・暗号化・認証の3点と、2つの使い方、2つの実現方式を見ます。
概要 — まず全体をつかむ
詳細 — 1段階ずつ追う
これは何をする係？
VPNが安全な理由は、次の3つを組み合わせているからです。
- トンネリング（カプセル化） — 元のパケットを丸ごと別のパケットの中身として包み直す。外側の宛先はVPNの出口。だから途中の機器には「VPN出口あての1個の荷物」にしか見えない
- 暗号化 — 包んだ中身を鍵がないと読めない形にする。盗聴・改ざんを防ぐ
- 認証 — 通信の前に相手が本物か確かめる。なりすましを防ぐ
アニメーション『VPNの暗号トンネル（二重封筒）』を開く
図のように、元パケットは「暗号の封筒」で包まれ、さらに「新しい宛先ラベル」が付いて公衆網を渡ります。外からは二重封筒の中身は見えません。
登場人物メモ:
やさしく言うと（初級）
VPNは、みんなが通る公道（インターネット）の下に、自分専用の地下トンネルをこっそり掘るイメージです（※1 トンネル）。
- トンネルの中を通るデータは暗号化（※2）されるので、外から覗いても中身が読めない
- だから公衆網の上なのに、まるで専用線のように安全に運べる
「専用線を新しく敷く」のは高くつきますが、VPNは既存のインターネットをそのまま使い、暗号で守るだけ。だから安く手軽に「専用線のような安全」を得られます。
登場人物メモ:
- ※1 トンネル — 公衆網の上に作る、暗号化された自分専用の通り道
- ※2 暗号化 — 中身を鍵がないと読めない形に変換すること（暗号化のしくみ）
仕事の流れ
- 端末とゲートウェイが相互認証し、共有する鍵を決める
- 送信側で元パケットを暗号化してカプセル化（トンネルへ）
- 公衆網を「VPN出口あての荷物」として運ぶ
- 受信側ゲートウェイで開封・復号し、元パケットを取り出して社内網へ渡す
アニメーション『VPNトンネル（暗号カプセルが公衆網を渡る）』を開く
- 端末 — VPNを始める側。元パケットを暗号化してカプセル化する
- 公衆網（インターネット） — 誰でも通る公道。二重封筒の中身は見えず、外側の宛先だけで運ぶ
- 対向VPNゲートウェイ — トンネルの出口。開封・復号して元パケットを取り出し社内網へ渡す
0 / 5
上の図を「▶ 再生」すると、元パケットが暗号カプセル（二重封筒）に包まれ、公衆網を渡り、対向ゲートウェイで開封されるまでの流れを1手ずつ追えます。公衆網を渡る区間では、外からは中身が見えないことに注目してください。
やさしく言うと（初級）
- 手元の端末とVPNの出口（会社などのゲートウェイ）が、まず相手を確認し合う（認証）
- 二者だけが分かる鍵を用意し、トンネルを開通させる
- 送るデータを暗号化してトンネルに流す
- 出口で元に戻して、そこから先の相手へ渡す
2つの使い方と2つの方式
使い方（どことどこを結ぶか）
- サイト間VPN — 拠点どうし（東京⇄大阪など）を常時つなぐ。ゲートウェイ間にトンネルを張り、社員は意識せず使える
- リモートアクセスVPN — 個人の端末が社内網へ入る。ノートPCやスマホにVPNソフトを入れて接続する
実現方式（何で暗号化するか）
- IPsec-VPN — IPパケットのレベルで暗号化・認証する。拠点間の常時接続に強い。詳しくは IPsec
- SSL/TLS-VPN — WebでおなじみのTLSを使う。ブラウザだけで使える手軽さが利点で、リモートアクセスに向く
この部分をもっと深く（上級）
「何で暗号化するか」は1つではありません。代表的な3方式は、守る層と使い所が違います。
- IPsec-VPN — IPsec でIPパケットのレベルを暗号化・認証する。拠点間の常時接続に強い。設定項目が多く運用は重め
- WireGuard（※1）— 新しく軽量な方式。使う暗号を少数の現代的なものに絞り、コード量も設定も小さくした。鍵の対応だけで素早くトンネルが張れ、モバイルでも切れにくい
- SSL/TLS-VPN — WebでおなじみのTLSを使う。ブラウザだけで使える手軽さが利点で、リモートアクセス向き
もう一つの設計軸が経路の切り分けです。
- フルトンネル — 端末のすべての通信を出口経由にする。監視や制御はしやすいが、動画視聴まで社内を経由して遠回りになる
- スプリットトンネル — 社内宛だけトンネルへ流し、一般サイトへは端末から直接出す。速いが、端末が社外と社内の両方に同時に足を置くため、そこが侵入経路になりうる
アニメーション『VPNの暗号トンネル（二重封筒）』を開く
登場人物メモ:
- ※1 WireGuard — 少数の現代的な暗号方式に絞った軽量なVPN方式。暗号の中身は 暗号化のしくみ が土台
- ※2 境界 — 「社内は安全・社外は危険」と内外を分ける考え方の線引き
やさしく言うと（初級）
- カフェや空港のWi-Fi — 盗み見されにくくして安全に使う
- 外から社内ネットへ — 自宅や出張先から、社内だけの資料やシステムに入る
- 拠点どうしをつなぐ — 東京と大阪のオフィスを、まるで1つの社内網のように結ぶ
VPNの中身をどう暗号化するかは方式がいくつかあり、代表格が IPsec です。
⚠️ うまくいかないとき
- 速度低下 — 暗号化と経路の遠回りでオーバーヘッドが出る
- MTU問題 — カプセル化で1パケットが大きくなり、分割・欠落が起きることがある
- 出口から先は守られない — VPNが守るのは端末〜出口の区間だけ。出口から先は通常の通信に戻る
- 設定・鍵の管理 — 認証情報や鍵が漏れると、トンネルごと悪用されうる
この部分をもっと深く（上級）
カプセル化は「包む」ぶんだけパケットを大きくします。ここが実務でつまずく所です。
- MTUとフラグメント（※）— 1パケットで送れる上限（MTU）を超えると分割（フラグメント）が起きる。分割は再組み立ての手間と欠落リスクを生み、体感速度を落とす。だからトンネル内のMTUを少し下げて、そもそも分割させない調整をする
- NAT越え — 多くの端末はNATの内側にいる。IPsecのESPはポート番号を持たず、NAT機器が経路を管理しづらい。そこで NAT-T が ESPをUDP（ポート4500）でさらに包み、NATが扱える形にする。詳しくは IPsec のNATトラバーサル
- 性能と運用 — 暗号化のCPU負荷、出口の集約による混雑、経路の遠回り。速度低下の多くはこの積み重ね。方式選び（軽量なWireGuardか等）とMTU調整、出口の分散で効いてくる
- 層の理解が土台 — なぜ包むと大きくなり、どこで分割が起きるかは ネットワークの層 を押さえると腑に落ちる
登場人物メモ:
- ※ MTU — 1つのパケットで運べるデータ量の上限。超えると分割が必要になる
やさしく言うと（初級）
- 遅くなる — 暗号化と遠回りの分、通信が少し重くなることがある
- つながらない — 職場や公共のネットワークがVPNをブロックしている場合がある
- 過信は禁物 — トンネルの出口から先は普通の通信。VPNは「経路の途中」を守るだけで、行き先のサイトの安全までは保証しない
理解度チェック
そのまま解けます（成績は保存されません）。無料アカウントを作ると、学習の記録と進捗の山登りが始まります。
問1. 個人が自宅から社内ネットワークに入るときのVPNはどれ？
問2. VPNの「トンネリング」とは何を指す？
問3. VPNが安全な理由となる3要素のうち、「なりすまし」を防ぐのはどれ？
問4. VPNにおける「暗号化」が果たす役割として正しいのは？
問5. サイト間VPNの説明として正しいのは？
問6. VPNの限界として正しいのは？
問7. IPパケットのレベルで暗号化・認証を行い、拠点間の常時接続に強いVPN方式を何という？
問8. カプセル化で1パケットが大きくなり、超えると分割・欠落の原因になる「1パケットで運べるデータ量の上限」を英字3文字で何という？