SSL VPNとは何ですか？

SSL VPNは、ユーザーが専用のIPsecポートではなく標準のHTTPSポートを介して接続できるようにするリモートアクセスVPNプロトコルであり、これにより、他のVPNトラフィックをブロックするファイアウォールを通過してトンネルを確立することができます。Versaの実装は独自仕様であり、従来のSSLプロトコルではなくTLSおよびDTLSに基づいて構築されており、SASE クライアントユーザー向けには、Versa SASE のゲートウェイで接続が終了します。

主なポイント

• ポート443で動作するため、IPsecをブロックするファイアウォールも通過できます。
• 従来のSSLプロトコルではなく、TLSおよびDTLS 1.2を基盤としています。
• SASE クライアントでは、TLS、DTLS、およびIPsecをフォールバックトンネルとして指定できます。
• SSL VPN プロファイルでは、証明書、アドレスプール、および暗号スイートが設定されます。
• 信頼済みネットワークの検出機能は、すでにトンネルが確立されているSSL VPNをバイパスすることができます。

このページの内容： その重要性 ・ 仕組み ・ 種類 ・ SSL VPN およびVersa · よくある質問

SSL VPNはなぜ重要なのでしょうか？

リモートアクセスVPNは、ユーザーがどこにいても――ホテルのネットワーク、空港のラウンジ、あるいはWeb以外のプロトコルをフィルタリングする国であっても――トンネルを確立できて初めて機能します。IPsecはUDPポートとESPプロトコルに依存していますが、制限の厳しいネットワークではこれらが日常的にブロックされるため、リモートワーカーが接続できなくなってしまいます。一方、SSL VPNは、通常のHTTPSが使用するTCP 443ポートを介してトンネルを確立します。このポートは、Webの接続も遮断してしまうことになるため、ファイアウォールで閉じられることはほぼありません。

Versa SASE のクライアントユーザーにとって、この到達可能性によって、ゼロトラストアクセスが利用可能かどうかが決まります。SSL VPN は、クライアントにゲートウェイへの 2 つ目の、ほぼどこからでも到達可能な経路を提供します。また、管理者は TLS、DTLS、IPsec の優先順位を設定することで、正常に機能するトンネルを確保することができます。

SSL VPNとは何ですか？

その名称とは裏腹に、VersaのSSL VPNは、非推奨となったSSLプロトコルを基盤としていません。TCPベースのトンネルにはトランスポート層セキュリティ（TLS）を、UDPベースのトンネルにはデータグラム・トランスポート層セキュリティ（DTLS）を使用しています。 SSL VPNプロファイルの一般的な設定では、TLS 1.2およびDTLS 1.2が指定されていますが、Secure Access Serviceゲートウェイのプロファイルでは、TLS 1.3およびDTLS 1.3まで対応する選択可能な最小/最大バージョンが個別に設定可能です（TLSおよびDTLSを参照）。「SSL VPN」という名称は、IPsecベースのVPNとは区別される、ブラウザ対応のポート443経由のアクセスを指す略語として、業界全体で依然として使用されています。

SASE クライアントは、管理者がDirectorにアップロードした証明書（エンドエンティティ証明書およびCAチェーン）を使用して認証を行い、設定されたポート（デフォルトは443）を介してTLSまたはDTLSセッションをネゴシエートします。ゲートウェイはIPAMプールからアドレスを割り当て、プロファイルの「accessible-subnets」リストによって、トンネルが到達する内部ネットワークが設定されます。 セッションの鍵更新は、管理者が定義した120～86,400秒の間隔で行われます。

SSL VPNの種類

VersaのSSL VPNでは、2種類のトンネル方式が用意されており、これらを個別に、あるいは組み合わせて選択できます。TLSトンネルはTCP上で動作し、通常のHTTPS接続と同様の挙動を示します。これは互換性が最も高いオプションであり、Webブラウジングを許可するほぼすべてのファイアウォールやNATデバイスを経由できます。一方、DTLSトンネルはUDP上で動作し、TCP over TCPによるオーバーヘッドを回避することで低遅延を実現しますが、その代償として、TCPのみのネットワークに遭遇する可能性がわずかに高くなります。

管理者は、「TLSのみ」、「DTLSのみ」、または「両方」を選択でき、リリース12.2.1以降では、SASE クライアントがこれらを試行する順序を設定できるようになりました。 一般的なパターンとしては、DTLSを最初に試行し、それが失敗した場合はTLS、さらにIPsecへと順次切り替えるものです。各トンネルタイプには、独自のプロトコルバージョン、ポート、鍵更新間隔、およびAES-GCM、AES-CBC、ChaCha20-Poly1305を含む暗号スイートが割り当てられています。

SSL VPN およびVersa

SSL VPNは、Versa SASE クライアントがVersa クラウドゲートウェイに接続するために使用する2つのトンネルプロトコルのうちの1つです（もう1つはIPsecです）。管理者は、SSL VPNプロファイルを通じて、利用可能なプロトコルとその順序を設定します。 Concertoでは、クライアントベースのアクセスルールでVPNタイプとしてTLSおよび/またはDTLSが選択されます。一方、Directorでは、プロファイルによって証明書、アドレスプール、およびプロトコルの詳細が設定されます。TLSおよびDTLSトンネルは、エンドポイントではデフォルトで無効になっており、クライアントのアプリ設定で有効にする必要があります。

SSL VPNは、Versaの「信頼済みネットワーク」機能とも連携します。デバイスがすでに、トンネルで保護された信頼済みネットワーク（ゲートウェイへの既存のSD-WANまたはIPsec接続を持つ支店など）の背後に位置している場合、「信頼済みネットワーク」の検出機能により、SSL VPN（およびIPsec）を完全にバイパスすることができ、冗長なトンネルの生成を回避できます。

よくある質問

SSL VPNとIPsec VPNの違いは何ですか？

SSL VPNは、通常のHTTPSトラフィックと同じポートである443番ポートを介してトンネルを構築するため、IPsecのUDPポートやESPプロトコルをブロックするファイアウォールを通過することができます。IPsecは、一度確立されれば一般的に効率が高くなります。SASE クライアントは、接続性を確保するために、どちらの方式も使用したり、両者の間でフェイルオーバーを行ったりすることができます。

VersaのSSL VPNは、実際にSSLプロトコルに基づいているのでしょうか？

いいえ。SSLはセキュリティ上の理由から、数年前に非推奨となっています。VersaのSSL VPNはTLSおよびDTLSに基づいて構築されています。SSL VPNプロファイルのドキュメントでは、両プロトコルともバージョン1.2が記載されていますが、Secure Access Serviceゲートウェイのプロファイルでは、バージョン1.3までを含む選択可能なバージョン範囲が指定されています。「SSL VPN」という名称は、ポート443を使用したブラウザ対応のリモートアクセスに対する業界の慣例であり、基盤となるプロトコルの説明ではありません。

TLSトンネルとDTLSトンネルの違いは何ですか？

TLSはTCP上で動作し、標準的なHTTPSと同様に振る舞うため、ファイアウォールとの互換性が最大限に確保されます。DTLSはUDP上で動作するため、TCP-over-TCPによるオーバーヘッドを回避し、リアルタイムトラフィックにおける遅延を低減します。管理者は、どちらか一方または両方を有効にし、クライアントが最初に試行するトンネルタイプを設定することができます。

SSL VPNでは、なぜ一般的にポート443が使われるのでしょうか？

ポート443は、HTTPSの標準ポートであり、これをブロックすると通常のWeb閲覧も妨げられてしまうため、実質的にすべてのネットワークで許可されています。443番ポートでSSL VPNを実行することで、IPsecのポートが一般的にブロックされている制限の厳しいネットワーク環境においても、SASE クライアントがトンネル接続を行うことが可能になります。

SSL VPNは、信頼できるネットワークの検出とどのように関連しているのでしょうか？

「信頼済みネットワークの検出」および「信頼済みネットワークのホスト名」機能により、SASE クライアントは、デバイスがすでにゲートウェイへのトンネルが確立されているネットワーク上に存在する場合、SSL VPN（およびIPsec）をバイパスできるようになります。これにより、すでに保護されているトラフィックに対して冗長なトンネルが構築されるのを回避できます。

SSL VPNの詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

SSL VPNについてお読みの方は、次に以下の記事もぜひご覧ください。