サイト間VPNとは何か（定義と目的）
サイト間VPN（Site-to-Site VPN）は、複数の拠点ネットワークをインターネットなどの共有ネットワーク越しに「論理的な閉じた経路」として接続し、拠点間の通信を安全かつ一貫した形でやり取りするための仕組みです。一般に、通信は暗号化されたトンネル（仮想的な通信路）を通り、盗聴や改ざんなどのリスクを下げることを狙います。
ここでのポイントは、「通信を全部“秘密”にする魔法」ではなく、あらかじめ決めた暗号化・認証・鍵管理の設計に沿って、ネットワーク間のやり取りを保護するという考え方です。暗号強度や安全性は、利用する方式や設定、運用状況に左右されます。
基本モデル：どんな要素で動くのか
サイト間VPNの動作は、概ね次の要素で説明できます。
-
トンネルの確立 拠点間で、暗号化されたトンネルを張ります。ここには、どの通信をトンネルに通すか（対応する“対象”）を決める発想と、トンネル自体を成立させる手順が含まれます。
-
認証と鍵の取り決め 両側（ゲートウェイ/装置/終端）がお互いに正しい相手であることを確認し、以降の通信で使う鍵を作ります。認証情報や鍵交換の失敗は、接続できない原因になります。
-
暗号化と整合性の確保 トンネル経由のデータは暗号化され、必要に応じて改ざんを検出するための仕組み（整合性チェックなど）も働きます。
-
ルーティング（どこに送るか） トンネルができても、各端末やゲートウェイが「その宛先はVPN側へ送る」と判断できないと到達しません。サイト間VPNでは、転送対象ネットワーク（例：拠点Aの社内サブネット、拠点Bの社内サブネット）をルールとして設定することが重要になります。
仕組み（流れのイメージ）：トンネルができて通信が通るまで
イメージとしては、次のような順序で進みます。
- 拠点Aと拠点BのVPN終端装置（またはソフトウェア）が、互いに接続を開始します。
- 認証と鍵交換が行われ、双方が同じ通信保護の前提を共有します。
- その後、設定された“対象通信”が、通常の通信ではなくトンネル経由で転送されるようになります。
- 宛先側では、トンネルから取り出されたデータとして社内ネットワークに配送されます。
このとき、実際の到達性は「暗号化されたトンネルが立つこと」と「ルーティングとポリシーが正しく機能すること」の両方で決まります。どちらか一方が欠けると、見た目には“VPNは起動しているのに通信できない”状態になりがちです。
制限とつまずきやすい例（重要な違い）
サイト間VPNで注意したい制限や例外を、実務上の観点で整理します。
- すべての通信が自動的に通るわけではない VPNでは「トンネルに流す対象」を明確にする必要があります。その設定が誤っていると、期待している宛先に到達しません。