SSL-VPNとは？証明書でVPN装置を確認する仕組み【SG試験】

まず結論

SSL-VPNとは、SSL/TLSの仕組みを使って、社外端末などから社内システムへ安全に接続するVPN方式です。

SG試験では、細かい製品機能よりも、SSL-VPN装置がサーバとして信頼されるために、FQDNやIPアドレスと対応したデジタル証明書が必要になると判断します。

SSL-VPN = TLSで通信を保護するVPN。装置側には接続先を確認できるサーバ証明書が必要

SSL-VPN装置は、社外の利用者から見ると「社内への入口」です。

利用者のブラウザやVPNクライアントは、その入口に接続するときに、次のことを確認したいわけです。

この確認に使われるのが、デジタル証明書です。

SSL-VPNは、SSL/TLSを使って通信を暗号化し、リモートアクセスVPNを実現する方式です。

基本的な考え方は次のとおりです。

SSL-VPN装置に組み込む証明書には、通常、接続先として使うFQDNやIPアドレスが含まれます。

たとえば、利用者が vpn.example.jp に接続するなら、証明書でもその名前が確認できる必要があります。これにより、利用者は「自分が接続しようとしているSSL-VPN装置」と「証明書が示す接続先」が対応しているかを確認できます。

SSL-VPNは、主にリモートアクセスの場面で使われます。

SG試験では、SSL-VPN装置をTLSのサーバ側として見ると判断しやすくなります。

サーバ側であるSSL-VPN装置は、クライアントに対して「この接続先は本物です」と示す必要があります。そのため、装置には接続先名と対応したデジタル証明書が必要になります。

SSL-VPN装置に組み込む証明書は、特定ベンダーが配布する共通の証明書でなければならない、というわけではありません。

重要なのは、利用者が接続するFQDNやIPアドレスと対応し、信頼できる認証局などによって正当性を確認できる証明書であることです。

SSL-VPNで使う証明書は、製品提供元が指定した認証局だけに限定されるものではありません。

社内の運用方針に応じて、パブリック認証局や組織内の認証局を使うことがあります。SG試験では、「特定の提供元だけに限定する」断定表現に注意します。

同じドメイン内に複数のSSL-VPN装置を置く場合でも、必ず同じデジタル証明書を使うとは限りません。

判断するときは、ドメインが同じかどうかだけでなく、各装置のFQDNやIPアドレスと証明書の対象名が対応しているかを見ます。

用語	見るポイント
SSL-VPN	SSL/TLSを使うリモートアクセスVPN。証明書によるサーバ確認が重要
IPsec VPN	IP層で通信を保護するVPN。AH、ESP、IKEなどと関連する

SG試験では、SSL/TLS、HTTPS、サーバ証明書が出るならSSL-VPN寄り、IP層、ESP、IKE、トンネルモードが出るならIPsec寄りと切り分けます。

社外端末から vpn.example.jp へSSL-VPN接続させる場合、装置側の証明書に関する説明として最も適切なものはどれか。

▶ クリックして答えと解説を見る（ここを開く）

正解：ア

👉 判断ポイント SSL-VPN装置はTLS通信のサーバ側として見ます。接続先名を証明できるサーバ証明書が必要と判断します。