この依頼が出てくるきっかけは、だいたい次のどれかです。
出社が難しい社員が数人出てきて、自宅から共有フォルダーを見たいと言われた。倉庫や小さな営業所を新しく借りたが、専用線を引くほどの規模ではない。前任者が設置したVPNルーターの保守期限が近づいていて、同じものを買い直すべきか判断がつかない。あるいは、取引先からセキュリティーに関する質問票が届き、リモートアクセスの管理状況を書く欄で手が止まった。
きっかけは違っても、どれも「VPN」という言葉に行き着きます。ただ、この言葉が指しているものは、実は3つに分かれます。
接続する側の設定：社外の端末に、すでにあるVPNへつなぐための情報を入れる作業。これは構築ではなく、設定です
受ける側の構築：社外からの接続を受け止め、社内ネットワークへ通す仕組みを用意すること
拠点間の常時接続：事業所どうしを恒常的につなぐ構成。人ではなく拠点が単位になります
検索していて話が噛み合わないと感じるとき、たいていは1番目の記事と2番目の記事が混ざっています。Windows 11 が主役になるのは基本的に1番目で、本記事が扱うのは2番目です。
そして3番目、拠点間接続については、先に書いておきます。Windows 11 の端末を常時稼働させて拠点をつなぐ構成は、現実的な選択肢になりにくいです。理由は後述しますが、ここを最初に外しておくと検討が楽になります。
Windows 11 には、ネットワーク関連の設定から「着信接続」を作成する機能があります。外部から入ってくる通信を受け付けるための設定で、条件がそろえば、社外の端末から社内側のWindows 11 端末へつなぐ構成は成立します。
ただ、ここで押さえておきたい前提があります。
Microsoftは2024年10月、PPTPとL2TPを将来のWindows Serverから非推奨とすることを公表しました。
背景にあるのは、両プロトコルの設計が現在の攻撃手法に追いついていないことです。PPTP は認証の過程で流れる情報から、時間をかければ資格情報を割り出せる余地が残ります。L2TP はそもそも単体では暗号化を行わず、IPsec と組み合わせて初めて保護が成立します。つまり、組み合わせを誤ったまま運用していれば、暗号化されているつもりで通信が流れていることになります。移行先として示されているのは、SSTP と IKEv2 です。
誤解のないように付け加えると、非推奨は削除ではありません。 積極的な開発が終わった段階を指す言葉で、正式に削除されるまではサポートされます。移行期間は数カ月から数年に及ぶとされており、今日明日で使えなくなるという話ではありません。
ただし、同じ発表の中で、こう書かれている点は見逃せません。今後のWindows RRAS ( VPNサーバー ) では、PPTPとL2TPによる着信接続を受け付けなくなる。 発信する側、つまりつなぎに行く側は引き続き使えるとされていますが、受ける側は方向性が示されたことになります。
これが意味するのは、次のようなことです。
今作れば、当面は動きます。しかし、「受け口」としての技術的な発展は止まった方向にあります。3年後、5年後にこの構成をどうするかは、作る時点で一度考えておいたほうがよい ── そのくらいの温度で受け止めるのが妥当だと考えています。
なお、Windows 11 の大型アップデートのたびにVPN関連の挙動が変わり、NATトラバーサルの設定やドライバーの再構成が必要になったという報告も出ています。業務端末として使っているOSの上に、止まると困る役割を乗せるということの意味は、ここにも表れています。
ここまでを踏まえて、選択肢を並べます。
凡例：⭕ 適合しやすい / 🔺 条件付き / ❌ 適合しにくい
|
手段 |
数人・一時 |
全社・恒常 |
拠点間 |
向く条件 |
つらくなる条件 |
|
Windows 11 の着信接続 |
🔺 |
❌ |
❌ |
検証、期間限定、数人 |
24時間稼働、更新再起動が読めない、監査ログが要る |
|
Windows Server の RRAS |
⭕ |
🔺 |
🔺 |
すでにサーバーがある、SSTP / IKEv2 を選べる |
サーバー1台を専用に確保できない、証明書運用の担当が決まらない |
|
VPN対応ルーター / UTM |
⭕ |
⭕ |
⭕ |
機器を1台に集約したい、拠点が複数ある |
ぜい弱性情報の追従と更新を自社で回せない |
|
クラウド型リモートアクセス / ZTNA |
⭕ |
⭕ |
🔺 |
在宅と拠点が分散、アプリ単位で絞りたい |
ファイル共有や非Web業務が主用途 |
表を見たうえで、自社の状況を整理する観点をいくつか。
「数人だから」で始めた構成は、たいてい数人では終わりません。 便利だと分かると利用申請が増えます。3人が10人になったとき、同じ構成のままでよいか。ここを最初に一度考えておくと、後の作り直しが減ります。
24時間止まらないことが要件に入っているかどうかが、1行目と2行目を分ける最大の境目です。業務端末は再起動します。更新も入ります。担当者が席を外している間に電源が落ちていれば、その間の接続は途切れます。
拠点間接続が要件に入っている場合、1行目は事実上選べません。 人が使う時間帯だけつながればよい構成と、常時つながっている前提の構成は、求められる安定性が違います。
そして、この表は出発点であって答えではありません。「今は数人だが来期に事業所が増える」といった見込みがあるなら、初期の安さより後の作り直しコストのほうが効いてきます。
小規模・期間限定という条件で進める場合の流れを、判断ポイント中心に整理します。画面の操作手順は環境と更新状況で変わるため、社内ルールと機器のマニュアルを併読しながら進めてください。
人数、接続元 ( 自宅、外出先、取引先 )、接続先 ( 共有フォルダー、業務システム、特定の1台 ) を紙に書きます。地味ですが、ここが最も効きます。
「とりあえず社内全部に届くようにしておく」という設計は、後から絞られません。最初に届く範囲を決めておくほうが、結果的に楽です。
押さえるのは4点です。契約している回線の種別、境界にあるルーターの機種と管理者、外向きのIPアドレスが固定か変動か、そして社内LANがどう区切られているか。特に3点目と4点目は、後から変えると影響範囲が広がります。
VPNサーバー役の端末を無線接続のまま使う構成は、原因の切り分けが難しくなります。有線に置けるかどうかは、この段階で決めておいてください。
管理者権限で、外部からの通信を受け付ける設定を作ります。
この端末を通常業務でも使い続けるのか、専用にするのか。兼用にすると、利用者の操作でサービスが止まる余地が残ります。
利用者ごとにアカウントを分け、推測されにくいパスワードを設定します。
共通アカウントは、作るときは楽で、後がつらい選択です。誰が接続したのか追えなくなるうえ、異動や退職のたびに全員へ影響が及びます。退職時に何日以内に止めるのかを、この段階で決めておくことをおすすめします。
外部からの通信が端末へ届くよう、転送設定と通過ルールを整えます。
ここを広く開けると、そのまま攻撃面が広がります。IPAも対策として、管理インターフェースを外部公開せず、不要なサービスとポートを停止する「公開設定の最小化」を挙げています。
社内LANからではなく、テザリングなど社外の回線から接続を試します。
「つながった」で終えないことです。権限のない利用者が拒否されるか、意図しない場所へ届いていないか、端末を再起動したあと自動で復帰するか。この3つは、正常系と同じ回数だけ確認しておく価値があります。
構築後に効いてくる論点を、時間軸で並べてみます。
稼働直後は、たいてい好評です。 費用をかけずに社外から社内が使えるようになった。業務部門からも感謝される。ここまでは想定どおりです。
1カ月ほど経つと、利用申請が増え始めます。 「あの人も追加してほしい」「あのフォルダーにも届くようにしてほしい」。申請の窓口も承認者も決めていないと、依頼はチャットで届き、担当者の記憶の中で管理されることになります。
半年後、更新のタイミングで初めて気づきます。 VPNサーバー役の端末に更新を当てたい。しかし当てれば再起動が入り、その間つながらない。誰に、いつ、どう周知するのか。「更新を当てにくい端末」が1台生まれたことに、このとき気づきます。
1年後、棚卸しの話が出ます。 誰のアカウントが残っているのか。退職者の分は消えているのか。yamoryの調査では、VPN機器のファームウエアやOSのバージョンを「正確には把握できていない」と答えた担当者が48.3%、ぜい弱性発覚時に対応機器を即座に特定できていない企業が63.3%に上っています。これは1000名以上の企業を対象にした調査です。専任者のいない環境で、より丁寧に管理できると考える根拠は、あまりありません。
そして、最後にもうひとつ。
乗っ取られた機器は、他社への攻撃の中継点として使われることがあります。 IPAは2025年10月、ネットワーク境界に位置する機器がORB ( Operational Relay Box、攻撃の中継拠点 ) として悪用されるおそれについて注意喚起を出しました。侵入されて情報を取られるだけでなく、自社の機器が第三者への攻撃に加担する側に回るという構図です。
これらは、担当者の不注意というより、少人数で運用する構造上どうしても後回しになる項目です。だからこそ、作るか作らないかを決める段階で、織り込んでおく意味があります。
ここまで構築側を書いてきましたが、逆からも見ておきます。
ルーターやUTMのVPN機能を使う：中小企業向けの価格帯でもVPN機能を備えた機器があり、外部からの攻撃検知やWebフィルタリングと同じ機器に集約できます。運用対象を1つ減らせる点は、専任者がいない環境では実利があります
クラウド型のリモートアクセスに寄せる：社内側から出ていく通信で中継する方式であれば、外部へ向けた受け口を開けずに済みます
アプリケーション単位で公開する：ブラウザーで使う業務システムだけが対象なら、ネットワーク全体へ通すVPNより範囲を絞れます
既存VPNを延命し、期限を決めて見直す：保守期限までの間に移行先を検討する、という進め方も現実的です
なお、リモートアクセスの見直しは単発の作業というより段階的な移行として捉えるほうが実態に合います。ID基盤の整備、端末の信頼性確保、インターネット通信の保護、そしてネットワークの再編 ── この順で進める考え方が整理されています。いきなり最終形を目指す必要はありません。
最後に、単体ではなく全体の中で見てみます。役割で分けると、次のような整理になります。
認証基盤 ( Active Directory、ID管理、RADIUS など )：誰が入るかの統制
入口・出口対策 ( ファイアウォール、UTM、VPN、プロキシ )：何が通るかの統制
内部対策 ( ネットワーク分離、セグメンテーション )：入られたあと、どこまで広がるかの統制
VPNは2番目に位置しますが、認証がついて回るため1番目とも切り離せません。 アカウントの分離、失効、多要素認証をどうするかは、VPNを何で作るかとは独立して決まります。
そして、内部対策の話も避けられません。VPNで社内に入った利用者が、社内のすべてに届く構成になっていないか。ランサムウエアの被害が大きくなるのは、侵入そのものより侵入後の横展開が止まらなかった場合です。入口の議論と同時に、入られたあとの範囲についても一度確認しておく価値があります。
そのうえで、どの層を整えてもツールでは決まらない部分が残ります。本記事の文脈でいえば、次の4つです。
接続申請を誰が承認するのか
退職時に、何日以内にアクセスを止めるのか
更新とバージョン確認を、いつ、誰が行うのか
障害時に、どの順番で切り分けるのか
これらは運用ルールの話で、製品を入れても自動的には決まりません。逆に、ここが決まっていれば、選んだ手段が何であれ運用は回りやすくなります。
VPNを「点」で作るのではなく、認証・入口・内部の3層のどこが手薄かを一度棚卸ししてから位置づける ── 遠回りに見えて、結果的には早い進め方だと考えています。
着信接続を使えば動作します。ただし判断すべきは可否ではなく、条件です。同時に何人つなぐのか、途切れた時間が業務にどう響くのか、接続履歴を後から説明する必要があるのか。この3つのいずれかに厳しい要件があるなら、別の手段を並べて比較したほうが早いと思います。逆に、数人が数カ月使うだけであれば、無理のない選び方です。
Microsoftは2024年10月、将来のWindows ServerからPPTPとL2TPを非推奨とすることを公表しました。非推奨は削除ではなく、正式に削除されるまではサポートされます。ただし、今後のWindows RRASではPPTP / L2TPによる着信接続を受け付けなくなるとされているため、長期的に維持する前提の構成としては慎重に判断したほうがよい状況です。恒常的に使うのであれば、SSTPやIKEv2に対応した手段を検討することになります。
初期費用という意味では、既存端末を使う構成が最も安く済みます。一方で、更新作業、アカウントの棚卸し、障害時の対応といった運用の時間は発生します。数人・数カ月であれば初期費用の安さが効きますが、恒常的に使う場合は、担当者の時間も含めて比較しておくと判断を誤りにくくなります。
VPNという技術が危ないというより、外部に公開された入口であるがゆえに狙われやすいという理解が近いと思います。国内のランサムウエア被害では、VPNとリモートデスクトップからの侵入が全体の8割前後を占める状態が続いています。使わないという判断ではなく、更新の追従、アカウントの管理、到達範囲の限定といった運用が回せるかどうかで判断する話だと考えています。
「同じ構成で更新する」「Windows Serverで作り直す」「UTMに集約する」「クラウド型に寄せる」を並べて比較するのが出発点になります。判断材料は、現在の利用人数と今後の見込み、拠点構成、在宅勤務の比率、そして更新とログ確認を社内で継続できるかどうかです。保守期限は、単なる置き換えではなくリモートアクセスのあり方を見直す機会として捉えると、長期的な負荷を下げやすくなります。
ここまで見てきたとおり、技術的な可否と、業務で使い続けられるかどうかは別の問いです。数人・期間限定という条件がそろえば選択肢になりますが、その条件を外れた瞬間に負担が跳ね上がる構成でもあります。判断は、次の3点を並べたときに見えてきます。
用途の切り分け：接続する側の設定か、受ける側の構築か、拠点間接続か
前提の確認：PPTP / L2TP 非推奨をどう受け止めるか、24時間稼働が要件に入っているか
運用の見立て：作ったあと3年、誰が更新し、誰がアカウントを棚卸しするのか
そのうえで、「Windows 11 で作る」「サーバーやUTMに寄せる」「クラウド型に移す」「作らずに既存を延命する」を並べて比較する ── この順序で進めると、後戻りが減ります。
横河レンタ・リースは、日本ヒューレット・パッカード社のPlatinumパートナーとして、ITインフラの設計・構築から運用支援、保守期限への対応まで、企業の環境に合わせたご相談を承っています。「そもそも作るべきか、別の手段があるか」といった要件整理の壁打ちからでも構いませんので、必要に応じてお声がけください。