VPN — 公衆網の上に自分専用のトンネルを掘る

「何で暗号化するか」は1つではありません。代表的な3方式は、守る層と使い所が違います。

• IPsec-VPN — IPsec でIPパケットのレベルを暗号化・認証する。拠点間の常時接続に強い。設定項目が多く運用は重め
• WireGuard（※1）— 新しく軽量な方式。使う暗号を少数の現代的なものに絞り、コード量も設定も小さくした。鍵の対応だけで素早くトンネルが張れ、モバイルでも切れにくい
• SSL/TLS-VPN — WebでおなじみのTLSを使う。ブラウザだけで使える手軽さが利点で、リモートアクセス向き

もう一つの設計軸が経路の切り分けです。

• フルトンネル — 端末のすべての通信を出口経由にする。監視や制御はしやすいが、動画視聴まで社内を経由して遠回りになる
• スプリットトンネル — 社内宛だけトンネルへ流し、一般サイトへは端末から直接出す。速いが、端末が社外と社内の両方に同時に足を置くため、そこが侵入経路になりうる

登場人物メモ:

• ※1 WireGuard — 少数の現代的な暗号方式に絞った軽量なVPN方式。暗号の中身は 暗号化のしくみ が土台
• ※2 境界 — 「社内は安全・社外は危険」と内外を分ける考え方の線引き

従来のVPNは、いったんトンネルに入れば社内網へ広く入れてしまいます。境界（※2）に穴を一つ開け、その先は信頼する——この前提が弱点です。盗まれた1台の端末が、社内を横に動き回れてしまう。

• ZTNA（ゼロトラストネットワークアクセス）は発想を変える。「ネットワークに入れる」のではなく、アプリ単位で、そのつど本人と端末を確かめて許可する
• 利用者から見えるのは許可されたアプリだけで、社内網の全体像は見えない。だから一台が乗っ取られても被害が横に広がりにくい
• VPNが「経路をつなぐ」のに対し、ZTNAは「認証 を通ったアクセスだけを、必要なアプリへ細く通す」

VPNが不要になるわけではなく、広く通す境界型から細く通すアプリ単位へ、という重心の移動です。

カプセル化は「包む」ぶんだけパケットを大きくします。ここが実務でつまずく所です。

• MTUとフラグメント（※）— 1パケットで送れる上限（MTU）を超えると分割（フラグメント）が起きる。分割は再組み立ての手間と欠落リスクを生み、体感速度を落とす。だからトンネル内のMTUを少し下げて、そもそも分割させない調整をする
• NAT越え — 多くの端末はNATの内側にいる。IPsecのESPはポート番号を持たず、NAT機器が経路を管理しづらい。そこで NAT-T が ESPをUDP（ポート4500）でさらに包み、NATが扱える形にする。詳しくは IPsec のNATトラバーサル
• 性能と運用 — 暗号化のCPU負荷、出口の集約による混雑、経路の遠回り。速度低下の多くはこの積み重ね。方式選び（軽量なWireGuardか等）とMTU調整、出口の分散で効いてくる
• 層の理解が土台 — なぜ包むと大きくなり、どこで分割が起きるかは ネットワークの層 を押さえると腑に落ちる

登場人物メモ:

• ※ MTU — 1つのパケットで運べるデータ量の上限。超えると分割が必要になる