VPSで自分専用のVPNを立てる：何が守れて、何は守れないのか

レン

カフェのWi-Fiって危ないって聞くけど、実際どうなの？

ウィルスン

フフフ…同じWi-Fiにいるだけで、キミの通信を覗ける場合があるのだよ。今はほとんどのサイトが暗号化されているので中身までは見えないことが多いが、それでも「どこに接続しているか」は分かる。偽のアクセスポイントを置いて待つ、という手もあるしな。

レン

こわい！どうすればいいの！？

プロクラ

対策のひとつがVPNだよ。手元の端末からVPSまでの通信をまるごと暗号化して、そこから先はVPSが代わりにインターネットへ出る。同じWi-Fiにいる人からは、暗号化された通信がVPSに向かっていることしか分からなくなる。

何が守れて、何は守れないか

VPNが隠すのは、通信の中身と接続元です。守れないのは、接続した先で自分が何をしたかです。ログインすればその瞬間に誰かは分かりますし、ブラウザの特徴からも追跡されます。「VPNを通したから匿名」という理解は正確ではありません。守れる範囲をはっきりさせておかないと、安心して危ないことをする、という一番よくない状態になります。

プロクラ

ここを取り違えると、守れていないものを守れたつもりになる。分けて考えよう。

• 守れる: 同じ回線にいる人から、接続先や通信の内容を隠す
• 守れる: 偽のアクセスポイントに繋いでしまったときの被害
• 守れない: 接続先のサイトに対する自分の身元。ログインすればそのまま分かる
• 守れない: 端末そのものがウイルスに入られている場合
• 守れない: 危険なファイルを自分でダウンロードして開くこと

自前VPNの利点

• 自分と、許可した人しか使わないので回線が混みにくい
• 接続記録をどう扱うかを自分で決められる（他社に預けなくて済む）
• 既にVPSを持っているなら、追加の契約なしで始められる
• 自宅のサーバーや管理画面へ、VPN経由でのみ入れる構成にもできる

プロクラ

4つめは見落とされがちだけど、実は一番実用的な使い道だよ。管理画面を世界に公開せず、VPNに繋いだときだけ見えるようにする。攻撃される入口を1つ減らせる。

市販のVPNサービスとの違い

自前で立てる場合、出口のIPアドレスは自分専用になります。誰と共有しているか分からない状態を避けられる一方、そのIPで何をしたかが自分ひとりに紐づきます。使う人が自分だけなら、通信を混ぜて隠すという効果は得られません。目的が接続元を隠すことなのか、公衆回線での盗み見を防ぐことなのかで、選ぶべきものが変わります。

プロクラ

誤解されやすいところなんだけど、自前VPNは「匿名になるための道具」ではないよ。通信はVPSのIPアドレスから出ていくから、そのVPSを契約しているのは自分だよね。つまり匿名性はむしろ下がる。

レン

そうなんだ！逆だと思ってた…

プロクラ

自前VPNの目的は「経路の暗号化」と「自分のネットワークへの安全な入り口」だと考えて。匿名性や、多数の国のIPを使い分けたい用途なら、専用のサービスのほうが向いているよ。

プロクラ

それと、常に自分のIPから出ることには別の副作用もある。ずっと同じIPからのアクセスになるので、サービスによっては見慣れない接続元として追加の確認を求められることがあるよ。

設定するときの注意

• 接続用の鍵は、端末ごとに別々に発行する（1つを使い回さない）
• 使わなくなった端末の鍵は必ず失効させる
• VPN用のポートだけを開け、それ以外は閉じておく
• 転送量に上限のあるプランでは、VPN経由の通信も当然カウントされる
• リージョンは自分がよくいる場所に近いところを選ぶ

プロクラ

最後の点は体感に直結するよ。通信が全部VPSを経由するので、遠い場所を選ぶと往復の分だけ遅くなる。日本で使うなら日本のリージョンだ。

他人に貸すときは別の話になる

ウィルスン

…そのVPN、家族や友人にも配るのかね？　彼らが何をしても、外から見えるのはキミのIPアドレスなのだが。

プロクラ

そこは重い指摘だよ。外に出ていく通信の責任は、その回線を契約している自分に向く。鍵を渡すのは、その相手の通信を自分の名前で出すということだと理解しておこう。

レン

暗号化のための道具で、匿名になる道具じゃない。鍵は端末ごと、使わなくなったら失効。覚えた。