リモートアクセスVPN（RAV）とは何ですか？

リモートアクセスVPN（RAV）は、2つのネットワークを相互に接続するのではなく、個々のリモートユーザーが自身のデバイスから企業ネットワークへ、安全で暗号化されたトンネルを確立できるVPNサービスです。このサービスは、ユーザーを認証し、転送中のすべてのトラフィックを暗号化し、あたかもローカルに接続されているかのように、デバイスから内部リソースへのアクセスを可能にします。

主なポイント

• RAVは、2つの拠点ではなく、1人のリモートユーザーのデバイスを企業ネットワークに接続します。
• クライアントは認証を行った後、トラフィックをゲートウェイまたは支社端末へとトンネル経由で転送します。
• IPsecとDTLS/SSLは、現在広く利用されている2つのトンネルプロトコルです。
• ゲートウェイでは、セッションを終了させるために、パブリックな静的IPアドレスと証明書が必要です。
• ZTNAでは、従来のRAVアクセスに代わって、アプリケーションごとのポリシーがますます採用されるようになっています。

このページの内容： その重要性 ・ 仕組み ・ 種類 ・ RAV &Versa · よくある質問

RAVはなぜ重要なのでしょうか？

リモートアクセスVPNが登場する前は、オフィスの外から社内アプリケーションにアクセスするには、ダイヤルアップ回線を利用するか、あるいはまったくアクセスできないかのどちらかでした。RAVは、インターネット上のどこからでも、認証済みのユーザーなら誰でも、企業ネットワークへ直接接続する暗号化されたトンネルを開設できるようにすることで、この問題を解決しました。この技術のおかげで、リモートワークが主流となるはるか以前から、その運用が現実的なものとなったのです。

多くの組織が、ノートパソコン、契約社員、および現場のデバイスに対してネットワークレベルのアクセス権を付与する際、依然としてこれがデフォルトの方法となっているため、その重要性は変わらない。適切に構成されたRAVサービスは、信頼できないネットワークを経由して転送されるデータを保護し、認証を一元化する。そのトレードオフ――そして、より新しいアーキテクチャに取って代わられつつある理由――は、従来のRAVでは、一度接続されると通常、広範なネットワークレベルのアクセス権が付与され、ほとんどのセッションが実際に必要とする以上のアクセス権が与えられてしまう点にある。

RAVとは何ですか？

リモートアクセスVPNには2つの端点があります。1つはユーザーのノートPC、スマートフォン、またはタブレット上のクライアント、もう1つは企業ネットワークのエッジにあるゲートウェイです。 クライアントは、ローカルパスワード、LDAP/Active Directoryによるバインド、SAML IDプロバイダー、または証明書のいずれかを使用してユーザーを認証し、ゲートウェイとの間でトンネルを確立します。トンネルが確立されると、クライアントからのトラフィックは暗号化されてゲートウェイに送信され、ゲートウェイはそれを復号化し、あたかもそのデバイスがローカルに接続されているかのように、内部ネットワークへと転送します。

非企業内のトラフィックは、2つのポリシーモデルによって制御されます。「フルトンネル」では、一般的なインターネット閲覧を含むすべてのトラフィックをトンネル経由でゲートウェイに送信します。「スプリットトンネル」では、内部リソース宛てのトラフィックのみをトンネル経由で送信し、インターネットトラフィックはローカルで送信されるため、そのトラフィックを一元的に検査するという代償を払う代わりに、ゲートウェイの負荷を軽減することができます。

RAVの種類

主に2つのトンネル技術が主流となっています。IPsecリモートアクセスVPNは、IKEおよびESPによって認証・暗号化されたIP層のトンネルを構築します。これは効率的であり、常時接続型のフルトンネル型クライアントソフトウェアに最適です。SSL/TLS VPN（DTLSベースのバリエーションを含む）は、Webトラフィックがすでに使用しているのと同じポート上でトンネルを構築するため、制限の厳しいファイアウォールをより確実に通過でき、インストール型クライアントに加え、一部の製品ではブラウザのみによるクライアントレスアクセスもサポートしています。

3つ目のパターンが、これら2つの方式に取って代わりつつあります。それは、ZTNA（ゼロトラストネットワークアクセス）に基づくリモートアクセスです。この方式では、ネットワークレベルのトンネルを完全に排除し、代わりにユーザーの身元とデバイスの状態を継続的に検証した上で、アプリケーションごとのアクセスを仲介します。従来のRAV（リモートアクセス仮想化）がリモートデバイスをネットワーク上に配置するのに対し、ZTNAはネットワークレベルの信頼を一切拡張せず、アプリケーションごとの接続を1回ずつ認証します。

RAV &Versa

Versa VOSデバイス上で、ライセンス制のアドオンサービスとしてリモートアクセスVPNを提供します。これは、リモートアクセスサーバー（RAS）テンプレートおよびVersa エンドポイントクライアントプロファイルを通じて設定されます。この機能を有効にするには、静的なパブリックIPアドレスとFQDNを持つWANポートが1つ必要であり、さらに「エンドポイントクライアントサービスの設定（リモートアクセスVPN）」で設定されたパブリックCA証明書をアップロードする必要があります。エンドポイントクライアントテンプレートでは、認証方法（ローカル、LDAP、またはSAML）、クライアントにプッシュされるDNS設定、および場所、アドレス、デバイス、またはユーザーグループに基づいて照合されるクライアントのセキュリティルールを定義します。

Versa Secure Access（VSA）クライアントは、IPsecまたはDTLSトンネル（フルトンネルのみ）を介して接続し、認証アプリまたはメールによるOTPを用いた2要素認証をサポートしています。IPsecトンネルアドレスプールにより各クライアントにIPアドレスが割り当てられ、ネットワークへのVSAクライアントのトラフィックはデフォルトのファイアウォールルールによって制御されます。バージョンごとのRAVの動作および制限事項については、『Titan 』のリリースノートをご参照ください。

よくある質問

リモートアクセスVPNとサイト間VPNの違いは何ですか？

リモートアクセスVPNは、1人のユーザーのデバイスを企業ネットワークに接続します。サイト間VPNは、支店とデータセンターなど、2つのネットワークを相互に接続し、各エンドポイントの背後に存在するすべてのデバイスのトラフィックを転送します。

「スプリット・トンネル」と「フル・トンネル」の違いは何ですか？

フルトンネルでは、一般的なインターネット閲覧を含むすべてのクライアントトラフィックがVPNゲートウェイを経由します。スプリットトンネルでは、内部リソース宛てのトラフィックのみをトンネル経由で送信し、その他のトラフィックはローカルで送信されるため、負荷を軽減できる一方で、そのトラフィックに対する一元的な検査は行われません。

ZTNAはリモートアクセスVPNに取って代わるのでしょうか？

確かに、その傾向は強まっています。ZTNAは、従来のVPNのようにリモートデバイスをネットワークに接続するのではなく、身元とデバイスの状態を継続的に検証した上で、アプリケーションごとにアクセス権を付与します。これにより、フラットなネットワークレベルのトンネルが生み出す横方向の移動リスクを排除することができます。

リモートアクセスVPNでは、どのような認証方式がサポートされていますか？

一般的なオプションとしては、ローカルのユーザー名とパスワード、LDAP や Active Directory へのバインド、ID プロバイダーを介した SAML シングルサインオンなどが挙げられます。多くの導入事例では、主要な認証方法に加えて、ワンタイムパスワードや認証アプリなどの二要素認証が追加されています。

ゲートウェイがリモートアクセスVPN接続を終了させるには、何が必要ですか？

アクセス可能な（通常は静的な）パブリックIPアドレスと、クライアントが接続するFQDNに加え、トラフィックが流れる前にクライアントが信頼性のある認証済みトンネルを確立できるよう、有効なパブリック証明書チェーンが必要です。

RAVに関する詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

RAVについてお読みの方は、次にこれらもぜひチェックしてみてください。