VPNスプリットトンネリングの基本：何が起きるか

VPNスプリットトンネリングとは、端末の通信を「VPNトンネル経由」と「VPNを通さず直結（通常経路）経由」に振り分ける考え方です。たとえば、社内向けの特定先だけをVPN経由にし、その他のアクセスはローカル回線のままにする、といった運用が想定されます。

この仕組みの利点は、VPNの負荷を必要な通信に絞れることや、遅延や帯域の影響を限定しやすい点です。一方で、分岐した結果として「VPNを通すべき通信が直経由になっていないか」「逆に直経由が意図せず漏れていないか」という確認が必須になります。

安全に使うための考え方：守る対象と、漏れやすい地点

安全性を左右するのは、ルール（どの通信をVPN経由にするか/しないか）が期待通り機能しているかです。特に注意したいのは、次のような「通信の入口」です。

  • 宛先（IP/ドメイン）ごとの割り当て：意図した宛先だけがVPN側に入っているか。
  • DNSの扱い：名前解決が直経由で行われると、宛先の情報が外部に漏れる可能性が生じます。
  • アプリ依存の挙動：同じサービスでも、内部で使う通信方式や補助機能により、想定外の経路になることがあります。
  • IPv4/IPv6の両方：片方だけが守られていて、もう片方が直経由になると、境界が崩れます。

ここで重要なのは、「スプリットトンネリング＝常に安全」でも「常に危険」でもない点です。ルールの粒度と検証の有無で結果が変わります。したがって、最初から広い範囲を直経由にせず、守るべき範囲を明確にして段階的に調整するのが現実的です。

仕組みを理解する簡単なモデル：ルール→経路→検証

難しく見えがちですが、考え方は単純化できます。

  1. ルールを決める：どの宛先・どの条件をVPN経由にするか（それ以外は直経由）。
  2. 経路が実際に分岐する：端末やアプリが発する通信が、そのルールに従って分かれる。
  3. 検証して確かめる：「分けたつもり」が正しいかを観察する。

安全運用では、2)の前提（設定が効いていること）を、3)の検証で補強します。検証なしで運用を始めると、想定外の直経由やリークがあっても気づきにくくなります。なお、検証方法の詳細は環境差が大きいため、どの手順が最適かは端末・OS・VPN実装に依存する点に注意してください。

代表的な制限と「期待外れ」になりやすい条件

スプリットトンネリングは有効ですが、境界条件で挙動が揺れることがあります。よくある例として、次のようなパターンが考えられます。

  • ドメインベースの一致が常に完全でない：同じサービスでも、別のドメインやIPに分散することがあります。 - キャッシュや切り替えタイミング：設定変更直後に、既存の名前解決やセッションが残って一時的に挙動が変わる場合があります。 - アプリの通信が多経路：メイン通信はVPNに入っても、周辺通信（更新、メトリクス、補助API等）が直経由に出ることがあります。