VPN — 公衆網の上に自分専用のトンネルを掘る

VPNが安全な理由は、次の3つを組み合わせているからです。

• トンネリング（カプセル化） — 元のパケットを丸ごと別のパケットの中身として包み直す。外側の宛先はVPNの出口。だから途中の機器には「VPN出口あての1個の荷物」にしか見えない
• 暗号化 — 包んだ中身を鍵がないと読めない形にする。盗聴・改ざんを防ぐ
• 認証 — 通信の前に相手が本物か確かめる。なりすましを防ぐ

図のように、元パケットは「暗号の封筒」で包まれ、さらに「新しい宛先ラベル」が付いて公衆網を渡ります。外からは二重封筒の中身は見えません。

登場人物メモ:

• ※1 カプセル化 — データを別の入れ物の中身として包み直すこと（カプセル化 の考え方の応用）
• ※2 ゲートウェイ — トンネルの出入口となる機器。ここで暗号を解く（ゲートウェイ）

1. 端末とゲートウェイが相互認証し、共有する鍵を決める
2. 送信側で元パケットを暗号化してカプセル化（トンネルへ）
3. 公衆網を「VPN出口あての荷物」として運ぶ
4. 受信側ゲートウェイで開封・復号し、元パケットを取り出して社内網へ渡す

上の図を「▶ 再生」すると、元パケットが暗号カプセル（二重封筒）に包まれ、公衆網を渡り、対向ゲートウェイで開封されるまでの流れを1手ずつ追えます。公衆網を渡る区間では、外からは中身が見えないことに注目してください。

使い方（どことどこを結ぶか）

• サイト間VPN — 拠点どうし（東京⇄大阪など）を常時つなぐ。ゲートウェイ間にトンネルを張り、社員は意識せず使える
• リモートアクセスVPN — 個人の端末が社内網へ入る。ノートPCやスマホにVPNソフトを入れて接続する

実現方式（何で暗号化するか）

• IPsec-VPN — IPパケットのレベルで暗号化・認証する。拠点間の常時接続に強い。詳しくは IPsec
• SSL/TLS-VPN — WebでおなじみのTLSを使う。ブラウザだけで使える手軽さが利点で、リモートアクセスに向く

• 速度低下 — 暗号化と経路の遠回りでオーバーヘッドが出る
• MTU問題 — カプセル化で1パケットが大きくなり、分割・欠落が起きることがある
• 出口から先は守られない — VPNが守るのは端末〜出口の区間だけ。出口から先は通常の通信に戻る
• 設定・鍵の管理 — 認証情報や鍵が漏れると、トンネルごと悪用されうる