トンネルの片端が、機器ではなく端末 1 台になる

図 11 の拠点間 VPN は、トンネルの両端がどちらも自分の機器でした。 勉強会ではもう 1 つ、社外の端末 1 台からつなぐ形も作りました。 片端が端末になると、その端末には社内の住所がありません。 この記事は、そこで何が増えるのかを 1 枚の図で見ます。

扱うのは、製品としてのファイアウォールの設定のやり方ではなく、端末 1 台とトンネルを張る仕組みの側です。 CCNA 200-301 v1.1 の出題範囲でいえば 5.5「Describe IPsec remote access and site-to-site VPNs」の、リモートアクセスの側にあたります。 ただし出題範囲の文言は IPsec で、勉強会で作ったのは TLS を使う方でした。その違いは下の「トンネルの張り方」で書き分けます。 製品名（AnyConnect）は、勉強会の資料と出典の呼び方をそのまま使います。

この連載は、ネットワークの言葉を 3 つの層に置いて読みます。 もの（物理か論理か）、結びつき（人が設定で付ける手動か、機器が学習する自動か、製造時に決まる固定か）、通信フロー（1 本の通信がそれらを順に通る道筋）の 3 つです。

図では、図 7〜12 のルータ 1 をファイアウォールに置き換えて描いてあります（外側 203.0.113.10・内側 192.168.10.1 はルータ 1 から引き継いだ番地）。

登場するもの

端末に入れた VPN ソフト

物理の端末に入れた論理のものです。 これがトンネルの片端になります。 図 11 では、片端は機器でした。

アドレスプール

ファイアウォールが貸し出す住所の在庫です（論理）。 範囲は人が決め（手動）、そこから 1 つ貸すのは自動です。

端末に増える VPN 用の口

論理の口です。 トンネルが張れている間だけ存在し、借りた住所が付きます。 借りた住所の番地（192.168.110.0/24）は、社内 LAN（192.168.10.0/24）とは別です。

認証サーバ

誰かを答える係です。 この構成では、名前と合言葉の照合をファイアウォール自身では行わず、データセンター側の認証サーバ（AD／LDAP）へ問い合わせます。 機器の中に台帳を持つ設定もできるので、ファイアウォールが持たないとまでは言えません。

トンネルの張り方

勉強会で作ったのは TLS を使う方で、受け口は TCP 443 番です。 設定ガイドには、TLS でつなぎ、任意で DTLS（データグラム輸送＝UDP の上で動く TLS）も使うと書かれています。 同じガイドには IPsec／IKEv2 でつなぐ道もあり、その場合は図 11・図 12 と同じ形です。

結びつき

• 利用者 ⇄ 貸した住所は自動です。誰にどの住所を貸したかは、ファイアウォールの表に残ります。
• 名前と合言葉 ⇄ 本人の照合は、この構成では認証サーバが持ちます。図 18 の分担と同じ形です。
• 借りた住所の番地 ⇄ 社内への経路は手動です。

通信フロー

① 端末の VPN ソフトが、外側 IP（203.0.113.10）の TCP 443 番につなぎに行きます。外から始まる通信ですが、この 1 つだけは図 22 の関門で開けてあります。

② ファイアウォールが、名前と合言葉を認証サーバへ問い合わせます。

③ 通れば、在庫から住所を 1 つ貸します。端末に VPN 用の口が増え、そこに借りた住所（192.168.110.20）が付きます。

④ 社内あて（192.168.10.20）の通信は、借りた住所を送信元にしてトンネルの中に入ります。ファイアウォールがほどいて社内へ流します。

⑤ 帰りは、社内から借りた住所あてに返ります。ファイアウォールはその住所を貸した相手を表で引き、同じトンネルへ入れ直して端末に返します。

図 23

図の上半分が構成図とフローの番号、下半分がアドレスプールと表の推移、通信の中身の推移です。 ④ の行は、外側の欄と封から先の読めない部分とが、上下の括弧で対になっています。

図 11・図 18・図 22 との接続

図 11 との違いは、トンネルの片端が機器ではなく端末 1 台であることです。 図 11 では、両端の社内の番地が最初から決まっていました。 端末には社内の番地が無いので、住所を貸す仕組みが要ります。

図 18 では、スイッチが RADIUS サーバに問い合わせました。 ここではファイアウォールが AD／LDAP に問い合わせます。 問い合わせ先ともらう答えが違うだけで、分担の形は同じです。

図 22 とは、箱が同じファイアウォール 1 です。 外側の TCP 443 番は外から新しく始まる通信なので、図 22 の関門では本来止まります。そこだけを開けてあります。 図 9 の ACL は、ここでは通す・通さないではなく、どの宛先をトンネルへ入れるかを選ぶ道具になります（スプリットトンネル）。

未検証・注意

• DTLS が既定で使う番号は、設定ガイドに書かれていないため確認できていません。設定で変えられること（dtls port）だけが確認できました。
• 勉強会で設定したのは TLS を使う方だけです。IKEv2／IPsec のリモートアクセスは試していません。
• スプリットトンネルは勉強会の資料に設定がありません。Cisco の設定例で確かめた内容として図に書き、資料の外であることも図に書いてあります。動きは確かめていません。
• 貸した住所が、切断後どれくらいで在庫に戻るかは確かめていません。
• 認証サーバへの問い合わせの線は、図を混ませないため 1 本にまとめて描いてあります。実際はルータ 2 を経由します。
• 勉強会での観察として書いたこと。トンネルを張る前は社内サーバへの ping が届かず、張った後は届きました。端末の住所が、元のものから借りたものに変わりました。つながった後の表示には、TLS のトンネルと DTLS のトンネルの 2 本が出ていました。
• 製品名の表記は、勉強会の資料どおり AnyConnect のままにしてあります。改称の有無は確かめていません。

出典

• 勉強会での本人の観察（2026-09-13 実機ハンズオン。資料は非公開）
• Cisco: AnyConnect VPN Client Connections（ASA 9.20） — 「When the client negotiates an SSL VPN connection with the ASA, it connects using Transport Layer Security (TLS), and optionally, Datagram Transport Layer Security (DTLS).」／ip local pool poolname startaddr-endaddr mask mask でアドレスプールを作る／「The Secure Client provides secure SSL and IPsec/IKEv2 connections to the ASA for remote users.」／dtls port で番号を設定する
• RFC 6347: Datagram Transport Layer Security Version 1.2 — 「The DTLS protocol is based on the Transport Layer Security (TLS) protocol and provides equivalent security guarantees.」
• Cisco: AnyConnect の設定例 — ウィザードで設定すると Split Tunnel は既定で Tunnelall になる／一覧で指定する形は split-tunnel-policy tunnelspecified と split-tunnel-network-list
• インフラエキスパート: Cisco ASA SSL-VPN — クライアント型 SSL-VPN で配る住所の範囲を ip local pool で決める
• CCNA 200-301 v1.1 出題範囲 — 5.5「Describe IPsec remote access and site-to-site VPNs」

関連

• ネットワーク_INDEX — 連載の目次

• 連載の入口: ネットワーク_00_3層で言葉を置く（/notes/nw-basics-00-three-layers）

• 前の記事（図 22）: ネットワーク_22_ファイアウォール（/notes/nw-basics-22-firewall）

• 次の記事（図 24）: ネットワーク_24_端末の認証（/notes/nw-basics-24-endpoint-check）

• 土台になる記事（図 7）: ネットワーク_07_インターネットを挟む（/notes/nw-basics-07-internet）

• 拠点間 VPN の側: ネットワーク_11_IPsec（/notes/nw-basics-11-ipsec）