第5章 · セキュリティの基礎·v1.0.0·更新 2026/7/17·読了目安 約16分
変更要約: 初版
5.5VPNと無線セキュリティ
この節の要点
公衆網上に安全な通信路を作るVPN（個人が拠点へつなぐリモートアクセスVPNと拠点間を結ぶサイト間VPN、機密性/完全性/認証を担うIPsec）、そして無線LANの暗号化規格WPA/WPA2/WPA3（WPA3のSAE・PMF必須）とパーソナル/エンタープライズの違い、WPA2 PSKのGUI設定を、要件に応じた方式選択として判断できるように学びます。
インターネットのような信頼できない公衆網を、あたかも専用線のように安全に使うのがVPNであり、無線LANは電波が届く範囲なら誰でも受信できてしまうため暗号化が生命線です。この節では、VPNの2つの形態（在宅勤務者を社内へつなぐか、拠点同士を丸ごとつなぐか）とIPsecの役割、そして無線暗号化規格の世代（WPA→WPA2→WPA3）の違いを理解し、「この要件ならどの方式か」を判断できるようにします。
5.5.1VPNの形態とIPsec
- リモートアクセスVPN＝在宅勤務者や出張者など個々の端末が、公衆網経由で社内ネットワークへ安全に接続する形態。端末にVPNクライアント（またはブラウザのSSL/TLS）を用い、ユーザ単位で認証してトンネルを張る。「人が社外から社内へ入る」ユースケース。
- サイト間VPN＝本社と支社のような拠点同士のネットワーク全体を、両端のルータ/ファイアウォール（VPNゲートウェイ）間のトンネルで恒常的に接続する形態。個々の端末に設定は不要で、ゲートウェイが暗号化を代行する。「ネットワークとネットワークを結ぶ」ユースケース。
- IPsec＝IP層で機密性（暗号化）・完全性（改ざん検知）・認証（送信元の正当性）・リプレイ防止を提供するプロトコル群。データを暗号化するESP、鍵交換を行うIKEなどから成り、トンネルモードで元のIPパケットごとカプセル化して拠点間を結ぶ。サイト間VPNの中核技術であり、リモートアクセスでも使われる。
5.5.2無線暗号化規格（WPA/WPA2/WPA3）
- WPA（初代）＝脆弱なWEPの後継として登場し暗号にTKIPを用いる過渡的規格。WPA2＝IEEE802.11iに基づき、強力なAES（CCMP）を必須とする長年の標準。WPA3＝最新世代で、パーソナルの鍵交換にSAE（Simultaneous Authentication of Equals）を採用し、オフライン辞書攻撃に耐性を持ち前方秘匿性（forward secrecy）を提供する。
- WPA3ではPMF（Protected Management Frames・管理フレーム保護）が必須となり、認証解除（deauth）などの管理フレームを偽装する攻撃を防ぐ。SAEはWPA2-Personalの事前共有鍵（PSK）と4ウェイハンドシェイクを置き換え、たとえ弱いパスフレーズでもキャプチャした通信からのオフライン総当たりを困難にする点が本質的な進歩。
- 各世代にはパーソナル（PSK/SAEによる事前共有鍵・家庭や小規模向け）とエンタープライズ（802.1X＋RADIUSでユーザ個別認証・組織向け）の2モードがある。エンタープライズは第2節のAAA（RADIUS）と連携し、利用者ごとに認証・失効を管理できる。