第5章 拠点間VPNの構築【モジュールB】
モジュールB 拠点間VPN構築 ｜ 前提: 共通(第1〜3章) + モジュールA(第4章) ｜ 所要時間の目安: 約90分 ｜ 進め方(モジュールの選び方)
この章の目的
Section titled “この章の目的”実機演習編の物語（第1章 1-4）の、いよいよ最終目標です —「支店のLANをゼロから立ち上げ、最後は本社とVPNでつないで、本社のファイルサーバー（NAS）を開けるようにしてください」。
第4章で、こういう壁に突き当たりました ―「インターネットには出られるのに、本社の中（NAS）には入れない」。これはインターネットのごく普通の姿で、普段はセキュリティの守りですが、正当な拠点どうしが内側のファイルをやり取りしたいときには越えられない壁になります。
この章では、その壁を 暗号のトンネル（VPN） で越えます。トンネルが開通した瞬間、第4章で届かなかったNASに初めて手が届きます。物語のクライマックスです。
進め方について: 研修の進行によっては、この章を短縮版で行うことがあります（設定の一部を準備済みにする／講師のデモを観察する等）。その場合も、5-2の「なぜVPNか」と5-11の「アドレス重複」は全員の持ち帰りポイントです。
5-1 今回の目的と構成
Section titled “5-1 今回の目的と構成”目的: 支店（自分のチーム）と本社の間に拠点間VPNを張り、トンネル越しに本社NASの共有フォルダーを開く。
現在の構成: 第4章の完成状態（インターネット接続済み。外へは出られるが、本社の中＝NASには届かない）。
図5-1 本社に集まる6本のトンネル — あなたのチームはその1本を張る
6チーム全部がつながると、本社×6拠点という、実際の企業ネットワークそのものの形になります。
5-2 なぜVPNか — 第4章の「壁」を越える
Section titled “5-2 なぜVPNか — 第4章の「壁」を越える”第4章で確かめたことを、もう一度。支店はインターネットに出られましたが、本社のNAS（192.168.200.10）には届きませんでした。理由は2つ ―「プライベートの住所はインターネットを越えない」「本社もNATで内側を隠している」。これは普通で、正しい姿です。もし外から自由に他拠点の中へ入れたら、それはセキュリティの穴です。
でも、本社と支店は同じ会社。正当な拠点どうしは、内側のファイルを安全にやり取りしたい。この願いをかなえるのがVPNです。やることは2つを同時に、です。
- 壁を越える — 離れた2つのプライベート網（支店と本社）を、インターネット越しに直結し、内側どうしで通信できるようにする
- 安全にする — その通信を暗号化し、途中の通り道にいる者に中身を読ませない
やっていることは、実は基礎編で学んだ カプセル化（基礎編第2章）の応用です。
- 支店から本社への荷物（宛先 192.168.200.10）を、鍵のかかる箱に入れて封をする（暗号化）
- 箱の外側に、新しい伝票を貼る ―「差出人: 支店ルーターのWAN側住所／宛先: 本社ルーターのWAN側住所」
- 箱は普通の荷物としてインターネットを旅し、本社ルーターだけが鍵で開けて、中の荷物を本社LANへ届ける
この「箱の通り道」を トンネル と呼びます。外から見えるのは箱の伝票（WAN側どうしのやり取り）だけ。中の荷物の宛先も中身も、読めません。インターネットは「知らない人の通り道だらけ」— 通り道の途中では、流れている通信を写し取ることもできます（第8章のポートミラーリングは、その小さな実例です）。だからこそ、この暗号化が効きます。
5-3 用語の地図 — 4つの言葉
Section titled “5-3 用語の地図 — 4つの言葉”| 言葉 | 意味 | 例え |
|---|---|---|
| トンネル | 2台のルーター間の、暗号化された専用通路 | 鍵のかかる箱が行き来する道 |
| 対向ルーター | トンネルの向こう端の相手 | 文通相手（本社のHQ-RTX） |
| 事前共有鍵 | 両端であらかじめ取り決める合言葉 | 「山」「川」。一致しないと開通しない |
| 接続先ネットワーク | トンネルの向こうにある街 | 「この通路の先は192.168.200.0/24」 |
対向はお互いさまです。支店側から見た対向は本社、本社側から見た対向はあなたのチーム。トンネルは両側の設定がかみ合って初めて開通します（片思いでは掘れません）。
5-4 今回決める値と、WAN側IPの確認
Section titled “5-4 今回決める値と、WAN側IPの確認”支店側（あなたが設定する側）の3点セットです。
| 項目 | 値 | 備考 |
|---|---|---|
| 対向ルーター | 本社のWAN側IP（当日確認） | 下の「WAN側IP台帳」を参照 |
| 事前共有鍵 | 当日、講師から配布 | 下の注を参照 |
| 接続先ネットワーク | 192.168.200.0/24 | トンネルの向こう＝本社の街 |
本社側は講師が設定済みです（対向＝チームnのWAN側IP／接続先＝192.168.n0.0/24、の6組）。
WAN側IP台帳を作る: 第4章でインターネットに接続したので、各チームのRTXはWAN側IP（研修室LANからもらった住所）を持っています。VPNの「対向」を指定するには、本社のWAN側IPが必要です。そこで、全チームのWAN側IPと本社の値を、ホワイトボードの「WAN側IP台帳」に書き出します（本社の値は講師が掲示します）。WAN側IPは自動取得で当日決まるので、この台帳が今日の生命線です。自分の行を書き間違えると、他のチームの切り分けまで混乱します。2人でダブルチェックしてください。
鍵がこのテキストに書いていない理由: 事前共有鍵は「合言葉」― つまり認証情報です。認証情報は、教材・手順書・チャットなど公開されたり残ったりする場所に書かないのが実務の鉄則です。この研修でも当日、紙で配布します。「教材に鍵が載っていない」こと自体が、今日いちばん実務的な教材かもしれません。
5-5 操作手順① — 支店側のVPNトンネルを作る
Section titled “5-5 操作手順① — 支店側のVPNトンネルを作る”管理画面（GUI）で、本社とのIPsecトンネルを作ります。支店側は本社との 1対1のVPN なので、RTX1200のGUIで設定できます。
- 管理画面で IPsec の設定ページを開く
- 「新しい接続先の登録」 の 「新規登録」 をクリックする
- トンネルの設定画面で、5-4の値を入力する
- 対向ルーターのIPアドレス: 本社のWAN側IP（台帳で確認した値）
- 事前共有鍵: 当日配布された鍵
- 内容を確認し、「登録」 をクリックしてトンネルを作成する
（この段階では、対向＝相手と、鍵＝合言葉の2つを決めます。「本社の街あての荷物をトンネルへ流す」道案内は、次の5-6で書きます。）
図5-2 支店側VPNの設定 — IPsecトンネルの新規登録。画面の「相手のアドレス」が5-4の対向ルーター、「認証鍵」が事前共有鍵です。認証鍵の欄は伏せています(鍵は当日配布・教材には残しません。5-4)。アドレスは検証環境での例で、実際は当日の値を台帳から入力します。
本社側は「1対6」: 本社は6つの支店それぞれとトンネルを張るので、6拠点分の設定が必要です。そちらは複数拠点の設定に対応した RTX1210のGUI で、講師が設定します。「支店は1本、本社は6本を束ねる」― 機器の役割の違いが、設定の複雑さの違いにも表れています。本社側で何をしているかは、付録「本社側VPNの設定」で読めます。
入力を終えたら、鍵の紙は所定の方法で回収・処分します（机に置きっぱなしにしない ― これも実務作法です）。
5-6 操作手順② — トンネルへ本社宛ての荷物を向ける
Section titled “5-6 操作手順② — トンネルへ本社宛ての荷物を向ける”トンネルを掘っただけでは、まだ通信は流れません。「本社宛ての荷物を、トンネルの入り口へ向ける」道案内が要ります。ここで、基礎編第5章で学んだ 道案内（静的経路） の考え方が効いてきます。
RTX1200では、この道案内を、さっき作ったトンネルの設定の中で書きます。
- インターフェースの一覧ページに戻り、先ほど作成したIPsec設定の 「詳細」 をクリックする
- 静的経路の設定 の項目で 「追加」 をクリックする
- 本社宛ての荷物をトンネルへ向ける道案内として、宛先ネットワークに 192.168.200.0/24 を登録する
書いている中身は、「宛先」と「渡す先」の2点セットです。
| 項目 | 値 | 意味 |
|---|---|---|
| 宛先ネットワーク | 192.168.200.0/24 | 「本社の街あての荷物は…」 |
| 渡す先 | トンネル | 「…このトンネルへ流す」 |
第4章のNAT設定では「本社宛て」も含めてすべてインターネットの出口へ流れていました。この経路を書くことで、本社宛てだけがトンネルへ、それ以外はいままでどおりインターネットへと、荷物の行き先が分かれます（ルーターは「より細かい宛先の道案内を優先」します）。
そしてこれも両側が必要です。本社側にも「192.168.n0.0/24宛てはトンネルへ」がないと、行きは着いても応答が帰れません。本社側は講師が設定します。
5-7 操作手順③ — 接続状態を確認する
Section titled “5-7 操作手順③ — 接続状態を確認する”管理画面で、IPsecの接続状態を確認します。状態が 「Up（確立）」 の表示になれば、トンネル開通の成功です。
全チームの開通がそろったら、講師が本社側の画面を見せてくれます。6本のトンネルが1台のルーターに集まっている様子は、複数拠点企業のネットワーク管理者が毎日見ている景色そのものです。
5-8 操作手順④ — 壁を越えて、NASへ
Section titled “5-8 操作手順④ — 壁を越えて、NASへ”いよいよ、第4章で届かなかった本社NASに手を伸ばします。確認はいつもの近い順です（PC-Bで）。
| # | 実行 | 確認できること |
|---|---|---|
| 1 | ping 192.168.200.1 | トンネル越しに本社の街へ入れた |
| 2 | ping 192.168.200.10 | 第4章で届かなかったNASに、今度は届いた |
| 3 | tracert 192.168.200.10 | 経路の記録（第4章の「届かない」との違いを見る） |
| 4 | エクスプローラーで \\192.168.200.10 | 共有フォルダーが開けた＝物語の完成 |
2で、第4章では失敗した同じpingが、今度は応答を返します。壁を越えた瞬間です。この対比こそ、5章と6章を分けた意味そのものです。
※この演習では、共有フォルダーを名前ではなく住所（IP）で開きます。認証情報が必要な場合は、事前共有鍵と同じく当日配布・テキスト外で扱います。
最後の仕上げです。
- 設定を保存する（第2章 2-6の約束）
- 講師の指示があれば再接続テスト ― トンネルをいったん切断（または機器を再起動）し、自動で再び開通することを確認する。「保存した設定で、電源を入れ直しても自力で復旧する」ところまでが、現場の完成条件です
5-9 正常時の結果
Section titled “5-9 正常時の結果”- WAN側IPを台帳に記入した（全チーム＋本社）
- 支店側のVPN設定（対向・鍵・接続先）を入力した
- トンネルへ本社網を向ける経路を書いた（または自動設定を確認した）
- 接続状態が「確立」になった
- 第4章で届かなかったNASに、トンネル越しに届き、共有フォルダーが開けた
- 設定を保存し、（実施した場合）再接続テストに成功した／鍵の紙を回収・処分した
5-10 「確立しているのに、通信できない」場合
Section titled “5-10 「確立しているのに、通信できない」場合”VPNのトラブルには、独特の形があります ―トンネルは開通しているのに、pingが通らない。
「つながった／つながらない」の2択ではなく、「トンネル」と「その中を通る道」は別ものだからです。疑う順序:
- トンネルの状態: 本当に「確立」か（未確立なら、対向の値・鍵の入力ミスを疑う）
- 接続先ネットワーク: 192.168.200.0/24 を書き間違えていないか（ここが違うと「トンネルはあるのに、本社宛ての荷物がトンネルに乗らない」）
- 経路: 本社宛ての荷物がトンネルへ向いているか（5-6の道案内）
- 相手側: 本社側の自分のチームの行（対向＝自分のWAN側IP／接続先＝自分の街）が正しいか ―自分では直せないので、確認済みの範囲を添えて講師へ報告
結果（ping失敗）だけでは原因は特定できません。どの段まで正常かを順に確かめるのが型です（基礎編第8章）。
5-11 ネットワークアドレスの重複 — 静かな時限爆弾
Section titled “5-11 ネットワークアドレスの重複 — 静かな時限爆弾”拠点間VPNには、設計段階の落とし穴があります。両端の街の名前（ネットワークアドレス）が同じだと、破綻するのです。
考えてみてください。もし支店も本社も 192.168.1.0/24 だったら ―「192.168.1.0/24宛てはトンネルへ」という道案内は、自分の街あての荷物までトンネルに向けてしまうのか、それとも全部自分の街で完結してしまうのか、区別がつきません。
ここで、第1章の設計を振り返ってください。チーム1〜6は 192.168.10〜60.0/24、本社は 192.168.200.0/24 ―全拠点の街の名前が、最初からぜんぶ別々に設計されていました。あれは今日この日のための伏線だったのです。
実務でもこれは頻出です。家庭のルーターの多くが 192.168.1.0/24 などの定番アドレスなので、「自宅から会社へVPNしたら、会社と自宅のアドレスがかぶっていてつながらない」は在宅勤務あるあるの筆頭です。拠点間VPNの成否は、トンネルを掘る前のアドレス設計で決まっている ― 持ち帰ってほしい教訓です。
5-12 よくある設定ミス
Section titled “5-12 よくある設定ミス”| ミス | 症状 | 直し方 |
|---|---|---|
| 対向に本社のLAN側IPを書いた | トンネルが確立しない | 対向は本社のWAN側IP（台帳の値） |
| 鍵の入力ミス（空白・大文字小文字） | 確立しない | 紙とダブルチェックして入力し直す |
| 接続先ネットワークの書き間違い | 確立するのに通信できない | 192.168.200.0/24 を確認（5-10の2） |
| トンネルへの経路を書き忘れた | 確立するのにNASに届かない | 5-6の道案内を確認 |
| 台帳の読み違い（隣のチームの行） | 確立しない／想定外の相手とつながる | 台帳の自分の行を2人で確認 |
| 保存忘れ | 翌日・再起動後にトンネル消滅 | 保存＋再接続テストまでやる（5-8） |
もう一歩深く — トンネルの鍵と、Webの鍵
Section titled “もう一歩深く — トンネルの鍵と、Webの鍵”この章の「暗号化して、相手を確かめて通信する」は、基礎編第10章の 鍵マーク（HTTPS） と同じ発想の技術です。違いは守る範囲 ― HTTPSは「ブラウザーとそのサイトの間」を守り、拠点間VPNは「拠点と拠点の間のすべての通信」をまとめて守ります。
また、今日は合言葉（事前共有鍵）で相手を確かめましたが、拠点が増えると合言葉の管理はすぐ限界が来ます。大規模では電子証明書（第10章の「身分証明書」の親戚）で相手を確かめる方式が使われます。さらに、今日のような拠点間VPNとは別に、外出中の1台のPCが会社につなぐリモートアクセスVPN（在宅勤務のあれ）もあります。仕組みの根っこは同じ「トンネル＋暗号化」です。
(実施があれば)暗号化の見える化デモ: 研修室のLAN側で通信を観察すると、暗号化されたVPNの荷物は読めない箱に見えます。デモが実施される場合は、「トンネルの外からは中身が見えない」ことに注目してください(通信を写し取る仕組みそのものは、第8章のポートミラーリングで扱います)。
基礎編の関連章
Section titled “基礎編の関連章”- 第2章 — カプセル化。VPNは「包む」技術の応用編
- 第4章 — プライベートアドレスの限界（5-2）と、街の名前の設計（5-11）
- 第5章 — 静的経路の考え方。5-6の「トンネルへ向ける経路」で効く
- 第7章 — VPNの目的の初登場。この章はその実物
- 第10章 — 暗号化と「相手が本物か」。トンネルの鍵の親戚
問題1（用語の説明）
Section titled “問題1（用語の説明）”「対向ルーター」「事前共有鍵」「接続先ネットワーク」の3つを、後輩に説明するつもりで、それぞれ1文で説明してください。
問題2（設計の理解）
Section titled “問題2（設計の理解）”この研修では、チーム1〜6と本社のネットワークが最初からすべて別々（192.168.10〜60.0/24と192.168.200.0/24）に設計されていました。もし全チームが同じ 192.168.1.0/24 だったら、今日のVPN演習はどこで破綻しますか。
問題3（状況判断）
Section titled “問題3（状況判断）”トンネルの状態は「確立」なのに、PC-Bから ping 192.168.200.10 が通りません。疑うべき場所を、順番に2つ挙げてください。
問題4（実務の作法）
Section titled “問題4（実務の作法）”事前共有鍵は、このテキストに書かれておらず、当日紙で配布されました。なぜこの運用なのか、理由を説明してください。
問題1の解答を表示する
解答例: 対向ルーターは、トンネルの向こう端になる相手のルーター（こちらの設定では本社のWAN側IPで指定する）。事前共有鍵は、両端のルーターがあらかじめ取り決めておく合言葉で、一致しないとトンネルが開通しない。接続先ネットワークは、「このトンネルの先にはどの街があるか」の指定で、本社宛ての荷物をトンネルに乗せる判断に使われる。
3つとも「トンネルの両端で、かみ合って初めて意味を持つ値」だと分かっていれば合格です。
問題2の解答を表示する
解答例: 「192.168.1.0/24宛てはトンネルへ」という道案内が、自分の街（192.168.1.0/24）宛ての荷物と区別できなくなる。同じ街の名前がトンネルの両側にあると、荷物をトンネルに乗せるべきか、自分のLANで完結させるべきか判定できず、通信が破綻する。
「拠点間VPNの成否はアドレス設計で決まる」（5-11）まで書けたら満点です。
問題3の解答を表示する
解答例: ①自分の接続先ネットワークの設定（192.168.200.0/24 の書き間違いがないか）と、本社宛ての経路がトンネルへ向いているか（5-6）。②それが正常なら、本社側の自分のチームの行の設定を、確認済みの範囲を添えて講師に確認してもらう。
「トンネルと、その中を通る道は別もの」（5-10）の視点で答えられていれば正解です。
問題4の解答を表示する
解答例: 事前共有鍵は認証情報（合言葉）なので、教材のように公開されたり長く残ったりする場所に書いてはいけないから。書いた瞬間に「鍵を知っている人」の範囲が管理できなくなる。当日配布して回収すれば、知っている人と期間を絞れる。
パスワードをチャットやメモに貼らない、と同じ話です。スクリーンショットの匿名化（このコースの制作ルール）とも同じ思想です。
- 第4章 インターネットへの接続 — この章で越えた「壁」は、第4章で出会ったもの。トンネルはインターネット接続の上に張ります
- 第7章 総合演習と障害切り分け【仕上げ】 — 実施したモジュールの全部を使って、壊れたネットワークを直します
- 第1章 使用機器と演習ネットワーク — 物語の出発点。アドレス設計の伏線（5-11）を振り返ってみてください