「外出先から社内のファイルを見たい」「支店から本社のファイルを使いたい」。こうした相談はよく受けます。ただ、答えはひとつではありません。どこから、誰が、どれくらいの頻度でつなぐのかによって、選ぶ方法がまったく変わるからです。
この記事では、私が実際にお客様に入れている方法と、ここ最近ある理由で出先からのつなぎ方を切り替えた経緯を書きます。
まず「どこから」つなぐのかで分ける
最初に確認するのは、つなぐ場所が決まっているかどうかです。
| つなぐ場所 | 例 | 私が選んでいる方法 |
|---|---|---|
| 決まった拠点どうし | 本社と支店、事務所と工場 | IPsec VPN（拠点間VPN） |
| 毎回変わる場所 | 外出先、出張先、自宅 | 以前はSSL-VPNのアプリ。今はNASに直接つなぐ方法へ切り替え中 |
拠点どうしは「建物と建物をつなぐ」話、出先からは「人を会社につなぐ」話です。同じ「社外から社内へ」でも、仕組みも注意点も別物として考えます。
本社と支店なら、IPsec VPNを組む
本社と支店のように、決まった拠点どうしをつなぐ場合は、IPsec VPNを構築しています。両方の拠点に置いたルーターやUTM（ファイアウォール）どうしが、インターネットの上に暗号化された専用の通り道を作り、常時つながった状態にする方法です。
この方法のいちばんの利点は、使う人が何もしなくてよいことです。支店のパソコンから、本社のファイルサーバーや共有フォルダが、同じ建物にあるのと同じように見えます。アプリを起動したり、毎回ログインしたりする必要がありません。
その代わり、両方の拠点にVPNに対応した機器が必要で、設定は機器どうしで行います。回線が切れたときや機器を入れ替えたときには、VPNの設定も含めて見直すことになるので、構成は必ず記録に残しておきます。
出先からは、以前はSSL-VPNのアプリを使ってもらっていた
外出先や自宅のように、つなぐ場所が毎回変わる場合、以前はSSL-VPNを使ってもらっていました。パソコンやスマホに専用のアプリを入れ、会社のUTMにログインすると、社内のネットワークに入れる仕組みです。
アプリを入れればどこからでも社内につながるので、便利な方法です。ただ、ここ最近、この方法を見直すことにしました。
SSL-VPNの脆弱性がニュースになった
ここ数年、SSL-VPN機器の脆弱性（弱点）が狙われて、会社のネットワークに侵入される被害が相次いで報道されています。警察庁の公表でも、ランサムウェアの感染経路は半数以上がVPN機器からの侵入とされています（ランサムウェアの現場の様子はこちらの記事に書きました）。
考えてみれば当然のことで、VPN機器は社外から社内に入るための入口そのものです。便利な入口ほど、攻撃する側からも狙われます。そして入口が破られると、その先にある社内のネットワーク全体に入られてしまいます。機器の更新を欠かさず当て続ければ防げるものも多いのですが、小さな会社では、UTMの更新が後回しになっていることも少なくありません。
そこで、NASに直接つなぐ方法に切り替えた
弊社が販売しているNAS（ワイズのStealthOne LS120）を導入しているお客様には、出先からはOwlFiles（アウルファイルズ）というアプリで、NASに直接アクセスしてもらう形に切り替えています。OwlFilesはiPhone・Android・パソコンで使える無料のファイル操作アプリで、NASの共有フォルダの中を、スマホのファイル一覧のように開けます。
切り替えた理由は、つながる先を「NASの中のファイル」だけにできるからです。SSL-VPNは社内のネットワークそのものに入る仕組みなので、入口が破られたときの影響が社内全体に及びます。NASに直接つなぐ方法なら、出先から触れるのはNASの共有フォルダだけで、社内のパソコンやサーバーへの通り道にはなりません。
もちろん、これで安全が保証されるわけではありません。NAS自体の更新は必要ですし、ログインのパスワードが漏れれば、そのNASの中身は見られてしまいます。それでも、「入られたら社内全部」から「入られてもNASのその範囲まで」に被害の範囲を狭められるのは、小さな会社にとって大きな違いだと考えています。
NASに直接つなぐなら、暗号化は必ず有効にする
ここで大事な注意があります。OwlFilesとNASの間はFTPという方式でつなぎますが、FTPは本来、暗号化されない通信です。そのまま使うと、ログインのIDとパスワードが暗号化されずにインターネットを流れます。
LS120には「Explicit TLS」という、FTPの通信を暗号化する設定があります。ただし初期設定ではオフになっているので、自分で有効にする必要があります。弊社でも、切り替えたお客様のNASで、この設定を順次有効にしています。
有効にするときは、次の点に注意してください（いずれもLS120の説明書に記載があります）。
| 注意点 | 内容 |
|---|---|
| ルーター・UTMの設定 | FTPのポート（初期値21番）に加えて、パッシブポート（初期値30000〜30020）の転送も必要。これがないと接続できない |
| アプリ側の設定 | OwlFilesの接続設定で「明示的なFTP over TLS」を選ぶ。「必要」を選ぶと、暗号化できないときに暗号化なしでつながってしまうことを防げる |
| 使えなくなるもの | Windows標準のエクスプローラーからは接続できなくなる。パソコンからはOwlFilesなどのアプリを使う |
| 回線の相性 | 説明書では、楽天モバイル回線では暗号化を有効にすると接続できないとされている |
あわせて、パスワードは使い回さず長くする、みんなで同じアカウントを使わず1人1つにする、退職した人のアカウントはその日のうちに消す、の3つは必ず守ってください。入口を狭めても、鍵が甘ければ意味がありません。
クラウドに移す、という選択肢について
社内のファイルをまるごとクラウドのストレージに移してしまう、という方法もあります。どこからでも見られるのは確かに便利です。
ただ、移すときには注意が必要です。以前、あるお客様でファイルの管理をクラウドに切り替えた際、過去のデータの一部が新しい仕組みに引き継げず、困ったことがありました。長年ためてきたフォルダの構成や、古い形式のファイルが、そのまま移せるとは限りません。クラウドに移すなら、何を移して何を残すのかを先に決め、移したあとも元のデータをしばらく残しておくことをお勧めします。
どれを選ぶかの目安
| 方法 | 向いている場面 | 気をつけること |
|---|---|---|
| IPsec VPN | 本社と支店など、決まった拠点どうしを常時つなぐ | 両拠点に対応機器が必要。構成を記録に残す |
| SSL-VPN | 出先から社内ネットワーク全体を使う必要がある | VPN機器の更新を必ず当て続ける。入口が破られると社内全体に影響 |
| NASに直接つなぐ | 出先から見たいのが共有フォルダのファイルだけ | 暗号化（Explicit TLS）を必ず有効に。アカウントは1人1つ |
出先から本当に必要なのは「社内のネットワーク」ではなく「いくつかのファイル」だけ、ということは意外に多いものです。まずは何を見たいのかを整理すると、必要以上に大きな入口を開けずに済みます。
まとめ
- 社外からのアクセスは、拠点どうしか、出先からかで分けて考える
- 本社と支店のような拠点間はIPsec VPN。使う人は何もしなくてよい
- SSL-VPN機器は侵入の入口として狙われている。出先からはNASに直接つなぐ方法に切り替え、つながる範囲を狭めた
- NASに直接つなぐなら、暗号化（Explicit TLS）を必ず有効に。初期設定ではオフになっている
- クラウドに移すなら、過去データが引き継げない場合に備えて元のデータを残しておく
運営元からのご案内（法人・個人事業主の方へ）
この記事のようなネットワーク・パソコン・サーバーのトラブルや、導入・保守のご相談は、このサイトを運営している株式会社ヒューマンシスコム（千葉市）で承っています。
※ご相談は法人・個人事業主の方に限らせていただいています。個人のお客様からのご相談（ご家庭のパソコンやスマートフォンなど）はお受けしていません。
お問い合わせ（公式サイト）
