主なSSL-VPNの実現方式

SSL-VPNの実現方式として、主に以下の3通りあります。

  • リバースプロキシ
  • ポートフォワーディング
  • フルトンネル

リバースプロキシ

リバースプロキシ方式は、SSL-VPNゲートウェイがリバースプロキシサーバとしてインターネット上のクライアントからのアクセスを受け付けて、特定のアプリケーションのサーバへと通信できるようにします。クライアントには特別なアプリケーションは必要ありません。SSLに対応しているWebブラウザさえあればよいので、クライアントレス方式とも呼ばれます。
WebブラウザでSSL-VPNゲートウェイにアクセスします。すると、WebブラウザにはVPNポータル画面が表示され、利用したいアプリケーションをクリックすることで社内ネットワークのアプリケーションサーバへの通信が可能です。

ssl-vpn01.png
図 リバースプロキシ方式のSSL-VPN

ポートフォワーディング

ポートフォワーディング方式では、クライアントにJavaアプレットをインストールし、ローカルプロキシとして動作させます。Javaアプレットは、VPNゲートウェイにアクセスした際にオンデマンドでダウンロードできるようになっていることがほとんどです。
アプリケーションの接続先は、実際のサーバではなくローカルホスト(127.0.0.1)です。また、ポート番号も実際のポート番号とは異なったものを使います。アプリケーションのデータはJavaアプレットによって、SSLで暗号化されてSSL-VPNゲートウェイに転送されます。そして、SSL-VPNゲートウェイでポート番号を見て、そのポート番号に対応付けられている特定のアプリケーションのサーバへ転送します。

ssl-vpn02.png
図 ポートフォワーディング方式のSSL-VPN

フルトンネル

フルトンネル方式では、クライアントに専用のソフトウェアをインストールする必要があります。専用のソフトウェアをインストールすると、クライアントにSSL-VPN用の仮想NICが追加され、仮想NIC経由の通信がすべてSSLで暗号化されます。フルトンネル方式のソフトウェアも、VPNゲートウェイにアクセスした際にオンデマンドでダウンロードしてインストールできるようになっていることがほとんどです。
仮想NICのIPアドレスは、通常、SSL-VPN接続とともに自動的に設定されます。そして、クライアントは仮想NICによって社内ネットワークに直接接続されているのと同等に扱うことができるようになります。

ssl-vpn03.png
図 フルトンネル方式のSSL-VPN