Windowsで自前のセキュアVPNを構築する──完全ステップバイステップガイド

自前VPN構築ガイド／チュートリアル

VPN（仮想プライベートネットワーク）は、接続のセキュリティを高め、テレワークを容易にする非常に有用な技術です。今回はVPNの仕組み、用途、そしてWindowsを使って自前のVPNを構築する手順を解説します。

VPNとは

VPN（Virtual Private Network）は、パブリックネットワーク（インターネットなど）を経由してローカルネットワークにアクセスする技術です。VPNに接続したコンピュータは、物理的にそのローカルネットワークに接続されているのと同じリソース（通常は社内サーバー）にアクセスできるようになります。

VPNの用途

VPNには2つの主要なメリットがあります。第一に、接続したコンピュータがあたかもローカルネットワークに直接接続されているかのように振る舞える点です。このコンピュータは、そのネットワーク上のすべてのリソース（フォルダ、サーバー、プリンター、ネットワーク上のPCへのリモートアクセスなど）にアクセスできます。これは社内LANにおいて、オフィスにいない従業員が通常業務を行えるようにするため、テレワーク導入の主要な手段の一つとなっています。

第二のメリットはセキュリティです。VPN接続時、ネットワークを通るすべてのリクエスト（Web検索、メール送信など）は暗号化され、まずVPNサーバーを経由します。このプロセスを「トンネリング」と呼びます。リクエストがVPNサーバーに到達すると復号化され、通常の処理（メール送信、検索実行など）が行われます。返信がある場合、サーバーが暗号化して送信元のコンピュータに送り返します。この一連のプロセスにより、送信元とサーバー間の通信を盗聴しても暗号化されているため内容にアクセスできず、VPNサーバーと宛先間の通信を盗聴しても、リクエストの真の送信元を特定できないため、ユーザーの保護が強化されます。これは実装可能な最も基本的かつ効果的なセキュリティ対策の一つです。

Windows 10でVPNサーバーを構築する手順

現在、VPNサービスを提供する商用プロバイダーは多数存在します。しかし、シンプルで使いやすい環境を求めるなら、Windows 10搭載PCをVPNサーバーとしてセットアップすることも可能です。

以下の手順に従ってください：

1. コントロール パネル → ネットワークとインターネット → ネットワークと共有センターを開く
2. アダプターの設定の変更をクリック
3. Altキーを押し、「ファイル」→新しい着信接続を選択
4. VPNアクセスを許可するユーザーを選択、または新規ユーザーを作成（これらのユーザーで後ほどVPN接続します）
5. 「インターネット経由」にチェックが入っていることを確認し、次へ
6. IPv4を選択し、プロパティを開く
7. 「ネットワーク アクセスを許可する」にチェックし、VPN接続するクライアントのIPアドレス範囲を指定（ルーターが割り当てる範囲と競合しないよう、上位の範囲を推奨）
8. アクセスを許可をクリックし、閉じる

以上でWindows 10上にVPNサーバーが構成されますが、正常に動作させるにはさらにいくつかの設定が必要です。

ファイアウォールの設定

VPNサーバーへの接続を許可するため、ファイアウォールでアクセスを許可します：

1. ファイアウォールとネットワーク保護 → ファイアウォールを通過するアプリを許可を開く
2. 設定の変更をクリック
3. ルーティングとリモート アクセスを探し、プライベート・パブリック両方にチェック → OK
4. PowerShellを管理者として実行（右クリック→「管理者として実行」）
5. Get-NetConnectionProfileと入力し、利用可能なネットワークを確認
6. コマンド Set-NetConnectionProfile -InterfaceIndex [対象ネットワークのインデックス] -NetworkCategory Private を実行し、ネットワークを「プライベート」に設定（ファイアウォールによるブロックを防止）
7. ルーターの管理画面でポート1723（PPTP用）を開放し、接続拒否を防止

以上でVPNサーバーへの接続を許可するセキュリティ設定が完了します。

自動起動の設定

システム起動時にVPNサーバーサービスが自動開始されるよう設定します：

1. Windowsの「サービス」アプリを開く
2. 「Routing and Remote Access」サービスを探し、プロパティを開く
3. [全般]タブで、スタートアップの種類を「自動 (遅延開始)」に設定し、OK。これにより起動時のエラーを防止

ドメイン/IPの設定（動的IP対策）

VPNサーバーに後から接続するには、サーバーが接続されているルーターのIPアドレスが必要です。しかし、ルーターのIPは通常動的（変動する）ため、固定ドメイン名を割り当てると便利です。No-IPという無料DDNSサービスを利用します。

1. No-IPにアクセスし登録。覚えやすいドメイン名を設定
2. VPNサーバーとなるPCにNo-IPクライアント（Dynamic Update Client）をインストール。No-IPサイトのコントロールパネルからダウンロード可能。インストール後、起動
3. No-IPクライアントで登録時のメールアドレスとパスワードを入力。「Edit Hosts」をクリックし、作成したドメインにチェックを入れ「Save」

これでドメインが認識され、IP変更時も自動で再割り当てされます。クライアントウィンドウを閉じてもバックグラウンドで動作し続けます。

VPN接続（クライアント側設定）

以上でVPNサーバーの準備は完了です。Windows 10クライアントから接続する手順：

1. 設定 → ネットワークとインターネット → VPN → VPN 接続を追加で必要情報を入力
   ユーザー名・パスワードはサーバー側で作成したもの。サーバー名/アドレスには、サーバー側ルーターのIPまたはNo-IPドメインを指定
2. コントロール パネル → ネットワークとインターネット → ネットワークと共有センター → アダプターの設定の変更
3. 作成したVPN接続を右クリック → プロパティ
4. [全般]タブ：ドメイン/IPが正しいか確認
   [セキュリティ]タブ：VPNの種類「自動」、データ暗号化「オプション」、認証プロトコル「MS-CHAP v2」等を確認 → OK
   [ネットワーク]タブ：IPv6のチェックを外し、IPv4を選択 → プロパティ → 詳細設定 → 「デフォルト ゲートウェイをリモート ネットワークで使用する」のチェックを外す（スプリットトンネリング） → OKを複数回押して閉じる
5. 設定 → ネットワークとインターネット → VPN → 接続

以上で自前VPNに接続でき、物理的に社内LANに接続しているのと同じリソースにアクセス可能になります。安全にテレワークを実現しましょう！
参考になりましたか？感想やご質問はコメントでお寄せください。