脱VPNの決定版はどれ？Open Source ZTNA 4選徹底比較 (Pomerium, OpenZiti, Netmaker, Headscale)

ランサムウェアの脅威が日々報じられる中、中小企業のIT管理者にとって「侵入経路をどう塞ぐか」は喫緊の課題です。特に、これまでセキュアなリモートアクセスの代名詞であった**VPN（Virtual Private Network）**が、皮肉にも最大の攻撃対象となっています。

本記事では、Pomeriumのブログ記事「8 Best Open Source Zero Trust Software Solutions」を参考に、代表的なOpen Source ZTNAソリューションであるPomerium, OpenZiti, Netmaker, Headscaleの4つを比較し、中小企業がどれを選ぶべきかを解説します。

VPNという「開かれた門」：名古屋港とトヨタ関連会社の事例

「VPNを使っているから安全」という神話は、もはや崩壊しています。VPN装置自体の脆弱性を突かれ、認証を突破されるケースが後を絶ちません。

名古屋港統一ターミナルシステム（NUTS）の事例

2023年7月、名古屋港のコンテナターミナルシステムがランサムウェア攻撃を受け、約3日間にわたり機能停止しました。原因として強く疑われているのが、VPN機器の脆弱性です。修正プログラム未適用のVPN機器が標的となり、そこを突破口として内部サーバー全体が暗号化されました。

トヨタ仕入先（小島プレス工業）の事例

2022年2月には、トヨタ自動車のサプライヤーである小島プレス工業がサイバー攻撃を受け、トヨタの国内全工場が稼働停止する事態となりました。ここでも、リモート接続機器（VPN等）の脆弱性が侵入経路となった可能性が高いとされています。

これらの事例からわかる共通点は、**「一度VPNの境界を突破されると、攻撃者は内部ネットワークを自由に探索（ラテラルムーブメント）できてしまう」**というVPNの構造的欠陥です。これを解決するのが、**ZTNA（Zero Trust Network Access）**です。

氷山の一角：公表されない被害の実態

名古屋港やトヨタ関連会社のケースが明るみに出たのは、その社会的影響があまりに大きかったからです。しかし、これらはあくまで「氷山の一角」に過ぎません。

実際には、多くの中小企業が同様にVPN経由でランサムウェア被害に遭遇しています。そして、バックアップも同時に暗号化されてしまったために、誰にも知られることなく犯人に身代金を支払い、システムを復旧させているケースが後を絶ちません。 「うちは大企業じゃないから狙われない」のではなく、「大企業ではないからこそ、公表されずに水面下で処理されているだけ」かもしれないのです。いつ自社がその当事者になってもおかしくない状況と言えます。

Open Source ZTNA 4選徹底比較

ZTNA導入にあたり、商用のCloudflare Zero Trustなどは有力な選択肢ですが、コストやデータのコントロール権を考慮するとOpen Source（セルフホスト）も非常に魅力的です。ここでは主要な4つのOSSを比較します。

1. Pomerium

Pomeriumは、「Identity-Aware Proxy (IAP)」として動作するソリューションです。

• 特徴: エンドユーザーはブラウザからWebアプリにアクセスするだけ。VPNクライアントすら不要です。Google Workspace等のIDで認証後、特定のWebアプリへのアクセスのみを許可します。
• Pros (メリット):
  • クライアントレス: ユーザーへの配布・設定が不要。ブラウザがあれば動く。
  • 強力なID連携: 既存のSSO基盤をそのまま使える。
  • Webアプリに最適: 社内Wiki、管理画面などの保護に最強。
• Cons (デメリット):
  • Web以外は苦手: SSHやRDPもTCPトンネリングで可能だが、クライアント設定が必要になり少し手間。

2. OpenZiti (by NetFoundry)

OpenZitiは、アプリケーション自体にZero Trustを埋め込む（Embedded Zero Trust）ことを目指す、野心的なプロジェクトです。

• 特徴: ネットワークレイヤーだけでなく、アプリ開発者がSDKを使って「Ziti対応アプリ」を作れる点が最大の特徴。「Dark」なサービスとして、ポート開放すら不要にします。
• Pros (メリット):
  • 究極のセキュリティ: アプリに組み込めば、ネットワークの概念を意識せず通信を保護できる。
  • 柔軟性: 非常に細かい粒度でのアクセス制御が可能。
• Cons (デメリット):
  • 学習コストが高い: 概念が独特で、構成も複雑になりがち。
  • 導入ハードル: 既存アプリをZiti化するには改修が必要（トンネラーもあるがZitiの真価ではない）。

3. Netmaker

Netmakerは、高速なVPNプロトコル「WireGuard」を使ったメッシュネットワークを自動構築するツールです。

• 特徴: VPNの代替として、「速い・安い（OSS）・簡単」を目指しています。拠点間接続（Site-to-Site）や、Kubernetesクラスター間のネットワーキングに強みを持ちます。
• Pros (メリット):
  • 爆速: カーネルレベルのWireGuardを使用するため非常に高速。
  • 拠点間接続: 複数のオフィスやクラウドをフラットなネットワークで繋ぐのが得意。
  • K8s連携: Kubernetesネットワーキングのプラグインとしても優秀。
• Cons (デメリット):
  • 開発スピード: 開発が非常に活発で、バージョンアップで機能や仕様が大きく変わることがある（安定性重視の運用では注意）。

4. Headscale

Headscaleは、大人気のメッシュVPNサービス「Tailscale」のコントロールサーバーをOpen Sourceで実装したものです。

• 特徴: クライアントソフトは優秀なTailscale公式アプリをそのまま使い、接続先（コーディネーター）だけを自社のHeadscaleサーバーに向けることができます。
• Pros (メリット):
  • 使い勝手が最高: Tailscaleの洗練されたクライアントが使えるため、ユーザー体験が良い。
  • 簡単: 比較的小規模なチームや個人のリモートアクセスなら導入が最も楽。
• Cons (デメリット):
  • 非公式: あくまでTailscaleプロトコルの互換実装であるため、本家Tailscaleの最新機能に追随できない場合がある。
  • 大規模管理: 本家のようなGUI管理画面が標準ではない（有志のGUIはある）。

中小企業（ひとり情シス）への導入ガイド

で、結局どれを選べばいいの？という疑問には、以下の基準で選定することをお勧めします。

パターンA：Webシステム（社内ポータル、管理画面）を守りたい

👉 Pomerium 一択です。 社員にVPNソフトを入れさせる手間もなく、「URLを知っているだけではアクセスできない」状態を即座に作れます。まずはここから始めるのが「脱VPN」への近道です。

パターンB：社員のPCからサーバーへ安全にリモートアクセスさせたい（SSH/RDP）

👉 Headscale がおすすめです。 Tailscaleクライアントの出来が良く、Windows/Mac/スマホ問わず安定して接続できます。設定も比較的容易です。

パターンC：複数拠点やクラウド間のサーバー同士を高速に繋ぎたい

👉 Netmaker を検討してください。 WireGuardの性能をフルに引き出し、サーバー間のプライベートネットワークを容易に構築できます。

商用ソリューションも有力な選択肢

ここまでOpen Source（OSS）を紹介してきましたが、予算が許すのであれば、商用のZTNAソリューションも非常に有力な選択肢です。

セキュリティにおいて最も重要なのは「確実に守れること」と「有事の際のサポート」です。OSSは導入コストこそ低いものの、保守管理の手間や、トラブルシューティングは自社責任となります。 ランサムウェア被害に遭った際の損害（復旧費用、ビジネス停止、社会的信用の失墜）は計り知れません。それをリスクヘッジするコストと考えれば、以下の商用サービスは決して高くありません。

• Cloudflare Zero Trust: グローバルなエッジネットワークを持ち、導入が容易。無料プランでも高機能。
• Netskope: 下位層のネットワークセキュリティだけでなく、データの可視化や制御に強いSSE（Security Service Edge）のリーダー。
• Microsoft Entra Private Access / Application Proxy: Office 365などMicrosoft環境を使っているなら、親和性が抜群。
• AWS Verified Access: AWS上のワークロードを保護するなら、VPN不要でネイティブに統合可能。

「OSSか商用か」で迷って時間を浪費するくらいなら、まずはサポートの手厚い商用版でスモールスタートするのも賢明な判断です。

まとめ：何もしない＝最大のリスク

本記事では、VPNが抱える構造的なリスクと、その解決策としてのZTNAを紹介しました。

1. VPNは狙われている: 名古屋港やトヨタ関連会社の事例が示す通り、VPN機器の脆弱性は今や最大のセキュリティホールです。
2. ZTNAへの移行: 「信頼せず、常に検証する」ZTNAへ移行することで、侵入後の水平展開を防ぎ、被害を最小限に抑えられます。
3. OSSの選択肢: Pomerium (Webアプリ), Headscale (リモートアクセス), Netmaker (拠点間) など、用途に合わせて優れた無料ツールが存在します。
4. 商用の選択肢: 安全を買うという意味で、CloudflareやNetskopeなども積極的に検討すべきです。

最も避けるべきなのは、「難しそうだから」「予算がないから」と今のVPNを放置することです。

攻撃者はあなたの会社の準備が整うのを待ってはくれません。OSSで今すぐテスト環境を作るもよし、商用の無料トライアルに申し込むもよし。 今日、この瞬間から「脱VPN」への一歩を踏み出してください。行動することだけが、あなたの会社を守ります。

AIに相談するためのプロンプト（テンプレート）

従来のVPNを廃止し、ZTNA（Pomeriumなど）へ切り替える際、社員の抵抗（「使い方が変わるのが嫌だ」）を最小限に抑えるための「移行アナウンス」を作成するプロンプトです。

あなたは社内広報とチェンジマネジメントの担当者です。
来月から、従来の「VPN接続」を廃止し、新しい「ブラウザ経由のアクセス（ZTNA）」に切り替えます。
社員にとっては「専用ソフトを立ち上げなくていい」というメリットがある反面、手順の変化に対する反発も予想されます。
記事にある「脱VPN」の意義を伝えつつ、ポジティブに移行を受け入れてもらうための全社アナウンスを作成してください。

# 変更内容
*   Before: VPNソフトを起動 → ID/Pass入力 → 接続完了 → 業務システムへ
*   After: ブラウザで業務システムのURLを開く → Googleログイン → アクセス完了（VPN不要）

# ターゲット
*   ITリテラシーがあまり高くない一般社員

# 出力してほしい内容
1.  **全社メール件名**: 思わず読みたくなる、メリット強調型の件名。
2.  **本文**: 「セキュリティ強化のため」という堅苦しい理由だけでなく、「皆さんの手間がこう減ります（VPNが切れるイライラから解放されます）」という利便性を強調した文章。
3.  **FAQ（想定問答）**: 「カフェのWi-Fiからでも繋いでいいの？」「スマホからは？」といった素朴な疑問への回答。