社外から社内のサーバーやNASへ接続する方法として、長年利用されてきたVPN。しかし近年、VPN機器の脆弱性や認証情報の悪用によるランサムウェア被害が問題になっています。
こうした背景から、従来型VPNの代替として注目されているのが、ZTNA（Zero Trust Network Access：ゼロトラスト・ネットワークアクセス）です。
今回は、WatchGuardが提供するFireCloud Total Accessを取り上げ、従来型VPNとの違いや、Firebox・Windows Server・Proxmoxを利用した具体的な導入方法について解説します。
VPNがランサムウェアの侵入経路になっている
警察庁の2025年の調査によると、ランサムウェア被害に遭った企業・団体のうち、感染経路について有効回答があった92件中61件で、VPN機器からの侵入が確認されています。
また、IPAも2025年10月に、VPN機器の脆弱性が悪用されると、社内ネットワークへの侵入だけでなく、他組織への攻撃の踏み台にされるおそれがあると注意喚起しています。
ただし、VPNそのものが危険というわけではありません。
問題となるのは、未修正の脆弱性、漏洩した認証情報、適切でないアクセス制御などです。VPNを安全に運用するには、ファームウェア更新、強固な認証、アクセス権限の制限といった継続的な管理が欠かせません。
VPNの代替となるZTNAとは？
ZTNAは、ユーザーが社内ネットワークへ接続する際に、認証された利用者に対して必要なリソースへのアクセスだけを許可する考え方です。
従来型VPNでは、認証後に社内ネットワークの一定範囲へ接続できる構成が一般的です。一方、ZTNAでは「誰が、どのシステムにアクセスできるか」を細かく制御することを重視します。
例えば、営業担当者は販売管理システムへ、経理担当者は会計サーバーへ、といったアクセス制御が可能になります。
これにより、万一アカウントが悪用された場合でも、アクセス可能な範囲を必要最小限に抑える設計ができます。
なお、MFA（多要素認証）やアクセス制御を適切に設定したVPNも安全対策として有効です。ZTNAはVPNの暗号化方式だけを置き換えるものではなく、アクセス管理の方法を見直すための選択肢です。
WatchGuard FireCloud Total Accessとは？
WatchGuard FireCloud Total Accessは、クラウドを利用したセキュリティサービスです。
インターネットアクセスを保護する機能に加え、ZTNAによって社内の業務システムやファイルサーバーへ安全に接続する機能を提供します。
主な特徴
- 社内リソースごとのアクセス制御：ユーザーやグループごとに利用を許可するリソースを指定できます。
- 既存の認証基盤を活用：Microsoft Entra IDやWatchGuard AuthPointなどのSAML対応IdPと連携できます。多要素認証もIdP側の構成に応じて利用できます。
- Fireboxとの連携：対応するWatchGuard FireboxをGatewayとして利用できます。
- Fireboxなしでも導入可能：Windows Server GatewayやVirtual Gatewayを使用する構成も選択できます。
- クラウドでの管理：アクセスルールやセキュリティ設定をWatchGuard Cloudから管理できます。
FireCloud Total Accessは、従来型VPNを利用していた企業だけでなく、新たにテレワーク環境を整備する企業にも適した選択肢です。
FireCloud Total Accessの3つの導入構成
1. 既存のWatchGuard Fireboxと組み合わせる
すでにWatchGuard Fireboxを導入している企業では、対応機種をFireCloud Gatewayとして利用できます。
例えば、社内にFirebox T125とWindows Server、NASがある場合、Fireboxを通じて許可された社内リソースへリモートアクセスする構成が考えられます。
対応するFireboxでは、別途仮想Gatewayを設置せずに利用できる点がメリットです。
なお、利用には対応するFirewareバージョン、有効なFireboxライセンス、FireCloud Total Accessライセンスなどの条件があります。
WatchGuard UTMとFireCloudを組み合わせれば、社内ネットワークの境界防御と、社外ユーザーからのアクセス制御を組み合わせたセキュリティ設計が可能です。
2. Windows Server Gatewayを利用する
Windows Server 2022または2025を使用している場合、対応サーバーにWatchGuard Agentを導入して、FireCloud Server Gatewayを構成できます。
例えば、特定のWindows Serverに保存している共有フォルダへのアクセスを許可する用途が考えられます。
この方式では、Gatewayを導入したWindows Server自身と、そのサーバー上のリソースが接続対象です。
ほかのNASやサーバーへのアクセスを中継するGatewayとしては利用できません。 複数の社内機器へ接続したい場合には、次のVirtual Gatewayなどを検討します。
3. Proxmox・Hyper-VなどのVirtual Gatewayを利用する
社内に仮想化基盤がある場合は、FireCloud Virtual Gatewayを仮想マシンとして導入できます。
公式対応環境には、Proxmox VE 8.4／9.0、Windows Server 2022／2025のHyper-V、VMware ESXi 7.0／8.0が含まれています。
Virtual Gatewayは、社内のWindows Server、NAS、業務アプリケーションなどへアクセスするための中継点として利用できます。
このため、WatchGuard Fireboxが設置されていない環境でも、既存の仮想化基盤を活用してZTNAを導入することができます。
ただし、通信経路、DNS、アクセス先のプロトコル、Firewall設定などを含めた構成設計が必要です。ネットワーク全体へのアクセスを許可する場合は、Gatewayのバージョンや対応機能も確認する必要があります。
FireCloudを導入すればVPNは不要になる？
必ずしも、すべてのVPNを廃止できるわけではありません。
拠点間VPNや特殊なネットワーク通信など、従来型VPNの利用が適しているケースもあります。
大切なのは、VPNをすべて廃止することではなく、接続が必要なシステムと利用者に合わせて、適切なリモートアクセス方式を選択することです。
また、FireCloudを導入しても、端末のマルウェア対策、認証情報の保護、サーバーの脆弱性対策が不要になるわけではありません。
既存環境のVPNを継続する場合も、アクセス権限の見直し、MFA導入、ログ監視などを実施することが重要です。
従来のWatchGuard VPNについては、以下の記事でも解説しています。
大阪・兵庫のFireCloud Total Access導入相談はDataDefenseへ
DataDefenseでは、WatchGuard製品を活用した企業向けネットワークセキュリティの導入・設定・運用支援を行っています。
既存のFireboxを利用した構成はもちろん、Windows ServerやProxmoxなどを組み合わせたリモートアクセス環境についても、ネットワーク構成や利用目的に応じてご相談いただけます。
単なるライセンス提供ではなく、接続対象の整理、アクセス権限の設計、Gatewayの導入、接続試験、障害発生時の原因調査まで、技術面から対応します。
「現在のVPNをより安全な方法に切り替えたい」「社外から社内サーバーへ安全に接続したい」「既存のWatchGuard UTMと組み合わせたい」といったご相談をお待ちしています。
参考資料
- 警察庁：ランサムウェア被害防止対策
- 警察庁：令和7年におけるサイバー空間をめぐる脅威の情勢等
- IPA：VPN機器等に対するネットワーク貫通型攻撃のおそれ
- WatchGuard：FireCloud Total Access公式製品情報
- WatchGuard：FireCloud Gatewayの種類と構成
- WatchGuard：FireCloud対応OS・仮想化環境
※記載の製品仕様・対応環境は2026年11月時点で確認した内容です。
