サイト間VPNとは何か（目的と前提）

サイト間VPNは、拠点Aと拠点Bの間で通信をトンネルとして扱い、経路上での盗聴や改ざんリスクを下げることを目的とした仕組みです。一般的には、拠点ごとにネットワーク機器（またはVPN対応機能）を用意し、拠点間で「暗号化された通信路」を確立してから、そこにルーティング（どの宛先をそのトンネルに流すか）を紐づけます。

ここで重要なのは、VPNが「インターネットそのものを安全にする」わけではなく、少なくとも拠点間の特定通信をトンネルに載せて保護するという点です。また、暗号化しても経路が不安定なら遅延や途切れは起きます。したがって設定・運用では、セキュリティと通信品質を同時に見ていく必要があります。

仕組みを“単純モデル”で捉える

サイト間VPNは、次の要素の組み合わせとして理解すると整理しやすくなります。

  • トンネルの確立：両拠点で暗号化トンネルを作り、通信の受け渡し単位を揃えます
  • カプセル化と復号：アプリ/プロトコルのデータをトンネルに載せ、受信側で復号します
  • ルーティング：どのIP宛先（サブネット）をトンネル経由にするかを決めます

このモデルで見ると、設定の不具合は「トンネルができない」「できるが届かない」「届くが遅い/不安定」といった形に分類できます。最適化も同様で、まず“どの段階がボトルネックか”を当てることが近道です。

設定で差が出る要素（整合性と設計）

サイト間VPNの設定では、片側だけ正しくても成立しません。以下は、つまずきやすい要素の典型です。

  1. 伝送経路と到達性（ファイアウォール・NAT） 拠点間でVPN制御通信やデータ通信が通る前提が必要です。片側のファイアウォール設定が想定と違う、あるいは二重NATなどで到達性が崩れると、トンネル確立前に止まります。対策は「どの通信種別（制御/データ）を、どのポートや経路で必要としているか」を前提として確認することです。

  2. ルーティング設計（宛先と経路の一貫性） トンネルが確立しても、ルーティングが適切でなければ宛先に到達しません。典型的には、

  • トンネル経由にすべき宛先（例：拠点A配下のサブネット）
  • 拠点B側でその宛先を正しく受ける設定
  • 途中経路での重複や誤ルート が整っている必要があります。

  1. 暗号化・認証の整合 暗号方式や認証方式など、両拠点で一致が必要な項目があります。ここは機器や方式（実装）によって名称や粒度が異なりますが、考え方としては「両端で同じ前提を使う」ことです。片側の設定が違う場合、トンネル確立の段階で失敗しやすくなります。

  2. MTU/フラグメントの影響 暗号化トンネルはパケットを包むため、実効的なサイズが変わります。その結果、経路によってはフラグメントやドロップが起き、通信が不安定になります。最適化では、遅延だけでなく「到達性が断続的」や「特定サイズでだけ失敗」といった症状から疑うのが有効です。