サイト間VPN接続の全体像（まずここを押さえる）

サイト間VPN接続は、拠点Aと拠点Bの間に「暗号化されたトンネル」を作り、そのトンネルを通して通信を安全に運ぶ仕組みです。典型的には、(1) ネゴシエーション（暗号方式やキーの合意）、(2) 認証、(3) トンネル確立、(4) 実際の通信（ルーティングとファイアウォールの許可）という流れになります。

このため、問題が起きたときも「トンネルが張れていない」のか「張れているが中の通信が通らない」のかで切り分け方が変わります。さらに、トンネルは確立しているが一部のプロトコルだけ通らない、といったケースもあります。

よくある問題1：トンネルが確立しない

トンネル確立の失敗は、同じVPN方式同士であっても、設定の細部が合っていないことが主因になりやすいです。代表例は次の通りです。

  • 暗号化・認証方式（暗号スイート）や鍵の取り扱いの不一致
  • 認証情報（事前共有鍵や証明書など）の不一致
  • そもそも相手の到達性がない（経路、NAT、ポリシーの影響）
  • 相互に必要な通信（制御用プロトコルやポート）がファイアウォールで遮断されている

解決策は、まず方式の一致と、次に「双方の設定差分」を確認することです。特に暗号スイートは、互換性のある組み合わせが双方に存在しないと成立しません。さらに、NAT配下の場合は「送信元・宛先の見え方」が変わるため、ポリシーの適用条件（どの宛先に対してVPN対象にするか）も一緒に見直します。

確実な判断のために、VPN装置やゲートウェイ側のログで「ネゴシエーション段階の失敗理由」を優先して読みます。ここが分かると、暗号方式の不一致なのか、到達性なのか、認証失敗なのかを早く絞れます。

よくある問題2：トンネルは張れたが通信が通らない

トンネル確立後に止まる場合は、「ルーティング」と「許可条件」がズレていることが多いです。よくある落とし穴は次の通りです。

  • 相手拠点の宛先ネットワーク（サブネット）への経路が、片側でしか設定されていない
  • VPN経由として扱う宛先範囲（ポリシー / セレクタ）が、意図と異なる
  • ファイアウォールで、VPNトンネル内部を通すはずのトラフィックが許可されていない
  • “通すはず”のポートやプロトコルが、実際の通信要件と一致していない

解決策は、送信元・宛先を明確にして、段階的に疎通を確認することです。例えば、通信の起点側で「相手宛先に向けてVPN経路が選ばれているか」、受け側で「そのパケットが到達しているか」「許可されているか」を順番に見ます。

また、名前解決（DNS）が絡む場合は、VPNの問題に見えて実は名前解決の結果が期待と違うことがあります。アプリが使う宛先がIPベースでどこに向いているかを観察し、VPNの対象範囲と一致しているかを確認してください。

よくある問題3：一部の通信だけ遅い・切れる

「全部ダメではない」が厄介なパターンです。