VPN認証とは？方式の違い（証明書・多要素認証）とパスワード認証のリスク・強化方法を解説

テレワークや拠点間接続で使うVPNを、IDとパスワードだけで利用していると、「この認証のままで本当に大丈夫なのか」と不安になる場面があります。VPNはインターネット越しに社内へ入る「入口」であり、この入口の認証が弱いと、攻撃者にとって格好の標的になります。

VPNの認証方式には、事前共有鍵・ID／パスワード・証明書・多要素認証・FIDO2（パスキー）・SAML連携など複数の種類があり、それぞれ仕組みも強さも異なります。まず全体像を一望できないと、自社の認証が相対的にどの位置にあるのか、何に変えれば守りを固められるのかを判断できません。

本記事では、VPN認証の主な方式を1枚の比較表で見渡したうえで、各方式の仕組みと向き不向きを整理します。あわせて、なぜID・パスワードだけでは危険なのかを公的なデータで確認し、多要素認証や証明書認証による強化の進め方、自社のVPN機器での実現方法、VPN認証に使える製品までを解説します。

VPN認証とは

VPN認証とは、VPN（Virtual Private Network／仮想専用線）に接続しようとする利用者や端末が、正当な相手かどうかを確かめる仕組みです。VPNは通信を暗号化してインターネット上に専用の通信路を作りますが、その通信路に「誰を通すか」を判断するのが認証の役割です。

認証が通った相手だけが社内ネットワークへ入れるため、認証の強さがそのままVPNの安全性を左右します。逆に、認証がID・パスワードだけだと、その情報が漏れた時点で第三者が正規の利用者になりすまして侵入できてしまいます。

VPN認証の方式は、事前に共有した1つの鍵を使うものから、利用者ごとのパスワード、端末に配った電子証明書、スマートフォンや物理キーを組み合わせる多要素認証まで幅があります。次の章で、代表的な方式を一望できる形で整理します。

VPN認証の主な方式と、それぞれの違い

ここからは、VPNで使われる主な認証方式を見ていきます。まず全体像をつかめるよう、代表的な6方式を、仕組み・強み・弱み・運用の手間・向いている場面で比較します。強み・弱みの欄では、偽のログイン画面に認証情報を入力させて盗む「フィッシング」への強さもあわせて示します。

VPN認証方式をひと目で比較（6方式の早見表）

※上記は各方式の一般的な傾向です。実際の対応可否や必要な構成は、利用するVPN機器・サービスの仕様をご確認ください。

以下で、各方式の仕組みと使いどころを順に説明します。

事前共有鍵（PSK）認証

事前共有鍵（PSK：Pre-Shared Key）認証は、接続する機器どうしがあらかじめ共通の秘密鍵を持ち合い、その一致で相手を認証する方式です。IPsecによる拠点間VPNなどで古くから使われ、設定が簡単で手早く導入できます。

一方で、鍵は全員で同じものを共有するため、利用者ごとに誰が接続したのかを区別できません。鍵が1つでも漏れれば、それを知る者は誰でも接続できてしまい、鍵を変えるには関係する機器すべてで設定をやり直す必要があります。利用者単位での管理やきめ細かいアクセス制御が求められる企業の利用には、単体では不十分な方式です。

ID・パスワード認証

ID・パスワード認証は、利用者ごとに割り当てたIDとパスワードで本人を確認する、もっとも一般的な方式です。利用者を個別に識別でき、特別な機器も要らないため、多くのVPNで標準的に使われています。

ただし、知っているかどうかだけで判断する「知識情報」1種類の認証のため、パスワードが漏れた時点で突破されます。使い回しや推測されやすいパスワード、偽サイトへの入力（フィッシング）によって認証情報が盗まれると、攻撃者は正規利用者になりすまして侵入できます。後述するとおり、VPN経由の侵入はこのパスワードの弱さを突かれる事例が多く、ID・パスワードは他の要素と組み合わせて使うのが前提になります。

証明書認証（EAP-TLS・デバイス証明書）

証明書認証は、あらかじめ端末に導入した電子証明書（公開鍵暗号を使う「クライアント証明書」）で、その端末・利用者を認証する方式です。証明書を持たない端末はVPNに接続できないため、パスワードの漏えいだけでは侵入できません。公開鍵暗号による暗号学的な認証のため、偽サイトに誘導されても認証情報をそのまま渡してしまうことがなく、フィッシングに強いのが特徴です。

Windowsに組み込みのVPNでは、拡張認証プロトコル（EAP）の一種であるEAP-TLSを使い、ソフトウェアに保管した鍵やTPM（端末のセキュリティチップ）内の鍵、スマートカード、Windows Hello for Businessの証明書による認証に対応しています。

出典・参考資料（1件）

• 出典：VPN 認証オプション｜Microsoft Learn

導入には、証明書を発行・配布・失効させる認証局（CA）の運用が必要です。自社で構築するほか、証明書の発行・管理を代行するサービスを利用する選択肢もあります。端末の入れ替えや退職時の失効といった、証明書のライフサイクル管理をどう回すかが運用上の要点になります。

多要素認証（MFA）

多要素認証（MFA：Multi-Factor Authentication）は、種類の異なる複数の認証要素を組み合わせて本人を確認する仕組みです。認証要素は、本人だけが知っている「知識情報」（パスワード・PIN）、本人だけが持っている「所持情報」（認証アプリ・ワンタイムパスワードのトークン・物理キー・証明書を入れた端末）、本人の身体的特徴である「生体情報」（指紋・顔）の3種類に大別されます。

米国国立標準技術研究所（NIST）のデジタルIDガイドライン（SP 800-63B）は、多要素認証を「認証に成功するために、種類の異なる複数の認証要素を必要とする認証システム」と定義しています。VPNの多要素認証とは、従来のID・パスワード（知識情報）に、所持情報や生体情報の確認を重ねることを指します。

重要なのは「種類の異なる」要素を組み合わせる点で、パスワードを2つ入力しても多要素にはなりません。

出典・参考資料（1件）

• 出典：NIST Special Publication 800-63B-4, Digital Identity Guidelines｜NIST

既存のVPNに多要素認証を後付けするときは、認証を中継する標準プロトコルであるRADIUS経由でワンタイムパスワードを足す構成や、後述のSAMLでIdP（認証基盤）に委ねる構成が一般的です。万一パスワードが漏れても、攻撃者は手元にない「別の要素」を突破できないため、不正ログインの成立を防ぎやすくなります。

FIDO2・パスキー（フィッシング耐性の高い認証）

FIDO2は、USBやNFCの物理セキュリティキー、またはスマートフォンなどに保存するパスキーを使う認証方式です。公開鍵暗号を使い、秘密鍵は手元のキーや端末から外に出ず、サービス側には公開鍵しか渡りません。さらに、鍵は登録したサイト（ドメイン）にのみ認証を返すため、偽のサイトでは認証が成立しません。この「登録ドメインに限定される」性質により、フィッシングに非常に強い方式として位置づけられます。

VPNで使う場合は、FIDO2に対応したIdPとSAMLなどで連携する構成が中心です。セキュリティキーの購入費と、対応するクライアント・ブラウザの確認が前提になりますが、強度を重視する環境で有力な選択肢になります。

出典・参考資料（1件）

• 参考資料：How Passkeys Work｜Passkey Central（FIDO Alliance）

FIDO2で使う物理セキュリティキーには対応規格や接続方式（USB・NFCなど）の異なる種類があり、選び方で使い勝手や対応環境が変わります。キーの種類ごとの違いと選定のポイントは、以下の記事で解説しています。

SAML・SSO連携による認証

SAML（認証を外部のIdPに委ねるための標準規格）に対応したVPNであれば、ログインの認証そのものをIdP（IDaaS）に委ねる構成が取れます。利用者はIdPの画面で認証し、その結果をVPNが受け取って接続を許可します。

多要素認証の方式（アプリ・FIDO2・生体など）はIdP側で選べるため、将来の方式変更にも柔軟に対応しやすいのが特徴です。この構成でのフィッシングへの強さは、IdPで実際に使う方式に左右されます。IdPでFIDO2を使えば高い強度になり、手動入力のワンタイムパスワードを使えばその分のリスクが残ります。

したがってSAML連携を選ぶ場合は、IdP側でFIDO2などフィッシング耐性の高い方式を有効にしておくのが、VPNのログインまで強い強度を適用する近道です。社内の複数システムで同じIdPを使っていれば、認証基盤を一本化できる利点もあります。

なぜID・パスワードだけのVPN認証は危険なのか

「漏れたら危ない」とは分かっていても、どれくらい実際に狙われているのかが見えないと、対策の優先度は上がりにくいものです。ここでは、VPNの認証の弱さが実被害にどう直結しているかを、公的なデータで確認します。

警察庁の令和7年版警察白書は、企業・団体のランサムウェア被害について、感染経路のアンケート結果を次のように示しています。

企業・団体等におけるランサムウェア被害の実態を把握するため、被害企業・団体等を対象としてランサムウェアの感染経路に関するアンケート調査を実施したところ、有効回答数100件のうち、VPN機器を利用されて侵入された事例は55件（55.0％）、リモートデスクトップサービスが利用されて侵入された事例は31件（31.0％）と、テレワークに利用される機器等のぜい弱性や強度の弱い認証用パスワード等の情報を利用して侵入したと考えられるものが大半を占めている。

出典：令和7年版警察白書 第3章 サイバー空間の安全の確保｜警察庁

有効回答100件のうち、VPN機器を悪用した侵入が55.0％を占めるという結果は、VPNの認証の弱さが実際の被害に直結していることを示しています。白書は原因として「ぜい弱性や強度の弱い認証用パスワード等の情報」を挙げており、認証の強化が被害を防ぐ要になることが読み取れます。

攻撃の手口は、主に次のようなものです。漏えいしたIDとパスワードのリストを次々と試す「リスト型攻撃」、偽サイトに認証情報を入力させて盗む「フィッシング」、過去に漏れた認証情報の使い回しを突く手法です。いずれもID・パスワードという1種類の要素しか見ていないVPNでは、情報が揃った時点で正規の利用者と区別がつきません。

盗まれる経路の一つに、SSL-VPN製品の脆弱性があります。JPCERTコーディネーションセンター（JPCERT/CC）は、SSL-VPN製品の脆弱性によって「認証情報などの機微な情報を取得」される可能性を注意喚起しており、脆弱性の放置と弱い認証が重なると侵入に直結します。いずれの経路でも、突破される先にあるのはID・パスワードという1種類の認証です。

出典・参考資料（1件）

• 出典：複数の SSL VPN 製品の脆弱性に関する注意喚起（JPCERT-AT-2019-0033）｜JPCERT/CC

つまり、ID・パスワードだけのVPNは「鍵が1種類しかない入口」で、その1種類が漏れれば守りは崩れます。次の章では、ここに「別の要素」を足して守りを固める進め方を整理します。

VPN認証を強化する方法（多要素認証・証明書認証・FIDO2の段階的な設計）

VPN認証の強化は、一度にすべてを入れ替えるより、守りたい対象の重要度に応じて段階的に進めるのが現実的です。ここでは「まず底上げ」から「高い強度」まで、3つの段階で整理します。

第1段階：多要素認証でまず底上げする

最初の一歩は、既存のID・パスワードに多要素認証を足すことです。多くのVPN装置はRADIUS連携に対応しているため、RADIUS経由でワンタイムパスワードやスマートフォンのプッシュ通知を追加する構成が取りやすく、VPN本体の設定を変えずに底上げできます。パスワードが漏れても、手元の認証アプリやトークンがなければ突破されないため、不正ログインの成立を抑えられます。

ただし、コードを画面に手入力するワンタイムパスワードやSMSは、偽サイトに入力してしまうフィッシングには弱さが残ります。まず最低限の守りを急ぎたい場面には有効ですが、重要なアクセスでは次の段階も視野に入れます。

第2段階：証明書認証で「接続できる端末」を限定する

次の段階は、クライアント証明書やデバイス証明書で、接続できる端末そのものを限定することです。会社が配布・管理する端末にだけ証明書を入れておけば、たとえIDとパスワードが漏れても、証明書のない私物端末や攻撃者の端末からは接続できません。公開鍵暗号による暗号学的な認証のため、フィッシングにも強くなります。

導入には認証局（CA）の運用が伴いますが、証明書の発行・配布・失効を代行するマネージドなサービスを使えば、自社で認証局を構築せずに始められます。端末の管理台帳と証明書の発行・失効をどう連動させるかが、運用を続けるうえでの要点です。

証明書認証は、認証局の運用を自社で抱えるか、発行・失効を代行するサービスに任せるかで運用負荷が大きく変わります。クラウド型・マネージドPKIといった証明書発行サービスの仕組みや料金、選び方は以下の記事で比較しています。

第3段階：FIDO2・パスキーでフィッシング耐性を高める

最も強度が求められるアクセスには、FIDO2（物理セキュリティキーやパスキー）を取り入れます。手動入力を伴うワンタイムパスワードやSMSと違い、認証情報を偽サイトに渡してしまうことがないため、巧妙なフィッシングにも突破されにくくなります。

いきなり全面移行するのは難しくても、経営情報や個人情報に触れるアクセスからFIDO2や証明書を取り入れ、SMS・メールのワンタイムパスワードは補助的な位置づけに下げていく進め方が現実的です。自社のVPN・IdPがどこまでFIDO2に対応しているかを確認し、移行の道筋を描いておくと、将来の認証強化がスムーズになります。

運用の手間・コスト・利便性のバランスで決める

どの段階まで進めるかは、強度だけでなく運用の手間とコスト、利用者の利便性のバランスで決めます。証明書やFIDO2は強度が高い一方、証明書の失効管理や物理キーの再発行といった継続的な作業が発生します。ワンタイムパスワードは手軽ですが強度は限定的です。情報システム部門の体制や利用者数を踏まえ、無理なく続けられる方式を選ぶことが、形だけで終わらせないための鍵になります。

また、認証の強化はVPNという「境界」を守る取り組みの一部です。VPNは一度通すと社内ネットワークへ広くアクセスできる構造を持つため、近年は接続のたびに利用者・端末・文脈を検証する「ゼロトラスト」や、その考え方をクラウドで束ねるSASE（Secure Access Service Edge）へ移行する動きもあります。

まずはVPN認証の強化から着手しつつ、中長期ではこうした方向性も視野に入れておくと、守りの設計がぶれにくくなります。

VPNを前提にしない「脱VPN」やゼロトラスト・ZTNAへの移行を具体的に検討したい場合は、以下の記事で考え方の違いと従来のVPNとの関係を整理しています。

自社のVPN機器で認証を強化する（FortiGate等のSAML／RADIUS／証明書連携）

「方式は分かったが、自社の機器で実現できるのか」は、導入可否を決める分かれ目です。ここでは、既存のVPN機器に認証を後付けする代表的な実装パターンを整理します。いずれの場合も、まず自社のVPN機器が何に対応しているか（RADIUS／SAML／証明書のどれか）を仕様書や管理画面で確認するのが出発点です。

RADIUS連携で多要素認証を後付けする

第1段階で触れたRADIUS連携は、実装としては次のように動きます。認証を中継する標準プロトコルであるRADIUSで、VPN装置は「クライアント」として認証要求を一元的なRADIUSサーバ（またはその手前の認証プロキシ）へ転送し、そのサーバがパスワード認証に続けてワンタイムパスワードやプッシュ通知を確認します。VPN側は認証先を指定するだけで済むため、多くのVPN装置がこの方式に対応しています。

Cisco ASA、Palo Alto GlobalProtect、SonicWall、FortiGateといったアプライアンスは、設定画面は違っても、RADIUS連携で多要素認証を足すときの流れはおおむね共通です。

多要素認証の基盤（MFAサーバ・認証プロキシ・IDaaS）を用意し、VPN装置側で認証先としてそのサーバを指定し、テストアカウントで1段階目のパスワードと2段階目の多要素認証が順に求められることを確認します。

共有シークレットやRADIUSのポート（認証は1812が標準）、プッシュ通知の承認を待つタイムアウト値を長めにしておくといった設定の勘所は各社共通で、細部は各製品の公式ガイドで補えます。

SAML連携でIdPに認証を委ねる（FortiGate SSL-VPN等）

SAMLに対応したSSL-VPNでは、ログインの認証をIdP（IDaaS）に委ねる構成が取れます。FortiGateのSSL-VPNはSAMLのサービスプロバイダ（SP）として動作し、利用者をIdPへリダイレクトして認証結果を受け取れます。IdP側で多要素認証やFIDO2を有効にしておけば、VPNのログインにそのままその強度を適用できます。

この構成は、SAML対応のVPNとIDaaSが前提になりますが、認証方式をIdP側で選べるため、後からFIDO2へ強化するといった将来の変更にも柔軟です。具体的な連携手順は機器・IDaaSの組み合わせによって異なるため、各ベンダーの公式の構成ドキュメントで対応状況を確認してから進めます。

Windows（NPS拡張）やヤマハ機器での実現

Windows Serverのネットワークポリシーサーバ（NPS）を使っている環境では、Microsoftが提供するNPS拡張機能で、クラウドのMicrosoft Entra多要素認証と連携できます。Microsoftの公式ドキュメントは、この構成により、RADIUSクライアントの認証を、2段階認証を提供するクラウドのMicrosoft Entra多要素認証で保護できると説明しています。

出典・参考資料（1件）

• 参考資料：VPN と NPS 拡張機能を使用した Microsoft Entra 多要素認証｜Microsoft Learn

中小規模の拠点で使われるルーター製品でも、2要素認証に対応している場合があります。たとえばヤマハのネットワーク機器（UTXシリーズ）は、IPsecのリモートアクセスVPNにSMS認証・メール認証・認証アプリによる認証を設定する手順を公開しています。

ただし、同シリーズは「特定のユーザーのみで利用することはできません（有効にすると、すべてのVPNユーザーが2要素認証の対象となります）」とされており、一部の部署から段階的に始めたい場合は、利用者単位で適用を分けられるかを事前に確認しておくと想定外の影響を避けられます。

出典・参考資料（1件）

• 出典：リモートアクセスVPN(IPsec) 2要素認証機能の設定手順｜ヤマハ

連携方式は、製品側の仕様変更で見直しが必要になることがあります。使っている連携方式がサポート対象であり続けるかを定期的に確認し、終了が告知されたら早めに移行計画を立てることが、安定した運用につながります。

RADIUSやSAMLを使ってVPNに多要素認証を後付けする具体的な手順をもっと詳しく知りたい方は、方式ごとの設定を掘り下げた以下の記事もあわせてご覧ください。

VPN認証に使える製品・サービス

ここからは、VPN認証の強化に使える主なサービスを紹介します。RADIUS連携やSAML連携、クライアント証明書、FIDO2など、各サービスが得意とする方式は異なります。自社のVPN構成と選びたい方式に合わせて、資料請求や比較の候補にしてください。まず全体を見比べられるよう、対応方式を軸にした比較表を示します。

※「主な認証方式（製品全般）」は各製品が備える方式です。VPN連携では使える方式が限られる場合があり（特にRADIUS経由ではFIDO2などが使えない製品があります）、VPNでの利用可否は各サービスの説明をご確認ください。料金は2026年11月時点の各社公表情報で、最新の価格・プランは各公式サイトでご確認ください。

前章の段階に沿って候補を絞ると、まず多要素認証で底上げするならワンタイムパスワードやプッシュ通知に対応するサービス、接続できる端末を限定するなら証明書認証に対応するサービス、フィッシング耐性を重視するならFIDO2・物理セキュリティキーに対応するサービスが、それぞれ有力です。各製品がどの方式を得意とするかは、以下の個別紹介で確認してください。

1. YubiKey as a Service（株式会社インターナショナルシステムリサーチ）

YubiKey as a Serviceは、FIDO2/WebAuthnやPIV（スマートカード）に対応する物理セキュリティキー「YubiKey」を、サブスクリプション型で法人に供給するサービスです。手元のキーを使うパスワードレス・フィッシング耐性の高い認証を、VPN認証の方式として取り入れられます。

VPNやリモートデスクトップ向けには、認証基盤「CloudGate MURO」とYubiKeyを組み合わせたマネージド構成（MAS）での認証が案内されています。他社がRADIUSやSAMLで既存VPNにMFAを足すのに対し、こちらは物理キーそのものを認証の軸に据える方式です。

1つのキーでFIDO2・PIV・OTPなど複数の方式に対応するため、VPNだけでなく各種システムの認証を1本のキーに集約したい企業に適しています。料金はサブスクリプション型で、詳細は要お問い合わせです。

物理キーによる認証が実際にどのような環境で選ばれているのかについて、提供元である株式会社インターナショナルシステムリサーチの内田氏は、次のように話しています。

2. Cisco Secure Access by Duo（シスコシステムズ合同会社）

Cisco Secure Access by Duo（Duo）は、既存のVPNに多要素認証を後付けするためのクラウド型サービスです。

RADIUS連携用のDuo Authentication ProxyやSAML SSOを介して後付けでき、Cisco ASA・Firepower、Palo Alto GlobalProtect、SonicWallなど主要VPNの公式連携ガイドが用意されています。対応するVPN製品の幅広さが特徴です。

認証方式はスマートフォンへのプッシュ通知（Duo Push）、FIDO2・WebAuthn、生体認証、ワンタイムパスワードなど幅広く、小規模なら無料プラン（10ユーザーまで）から試せます。導入のしやすさと対応VPNの広さから、まず多要素認証を足したい場面の有力な選択肢です。

3. Microsoft Entra ID（日本マイクロソフト株式会社）

Microsoft Entra ID（旧Azure AD）は、Microsoft 365に含まれるクラウドのID基盤です。Windows ServerのNPS拡張機能を使うと、既存のVPN・NPS環境を残したまま、クラウドのEntra多要素認証をRADIUS経由で後付けできます。すでにEntra IDを使っている環境なら、認証基盤を増やさずにVPNを強化できます。

認証方式はAuthenticatorアプリのプッシュ、パスキー（FIDO2）、Windows Hello、証明書ベース認証など多彩です。ただしNPS拡張機能経由で使える方式はワンタイムパスワードやプッシュが中心で、構成によって使える方式が変わるため、公式ドキュメントで前提ライセンス（P1／P2）や対応方式を確認してから進めるのが安全です。

4. Okta（Workforce Identity Cloud）（Okta Japan株式会社）

Oktaは、独立系のIDaaSとして多数のアプリ連携に対応するID基盤です。VPN認証では、Okta RADIUS Server AgentがVPNからのRADIUS認証要求をOktaのAPI呼び出しに変換し、既存VPNに多要素認証を後付けします。Cisco ASA・Fortinetなどの公式ガイドが用意されています。

認証方式はOkta Verifyのプッシュ、パスワードレスのFastPass、FIDO2・WebAuthnなど豊富です。ただしRADIUS経由ではFIDO2やFastPass、番号チャレンジは使えないといった制約があり、Palo Alto GlobalProtectの新しい版ではSAML連携が案内されています。より強い方式を使いたい場合はSAML連携を選ぶなど、方式ごとの対応を確認して設計します。

5. RSA ID Plus（SecurID）（RSA Security Japan合同会社）

RSA ID Plusは、ハードウェアトークンによるワンタイムパスワード「SecurID」で知られるRSAの認証基盤です。金融機関などで使われてきたトークン認証を源流とし、現在はクラウド版として提供しています。VPN認証では、RADIUS連携（上位プラン）でCisco ASAなどを保護する公式の実装ガイドが用意され、VPN・VDI（仮想デスクトップ環境）・ネットワーク機器をまとめて守れます。

認証方式はハードウェア・ソフトウェアトークン、プッシュ、生体、FIDO2／パスキーなど幅広く、クラウド・ハイブリッド・オンプレミスから提供形態を選べます。既存のトークン資産を活かしながらクラウドへ移行したい場合にも適しています。日本での価格は代理店見積もりです。

6. Entrust Identity（エントラストジャパン株式会社）

Entrust Identityは、PKI（公開鍵基盤）を長年の中核事業としてきたEntrustの認証基盤です。VPN認証では、RADIUS／VPN連携の対応先としてPalo Alto Networks、Cisco ASAv、Citrix NetScaler、F5 BIG-IP APMなどを公式に挙げています。

特徴は、ワンタイムパスワードやFIDO2・パスキーに加えて、クライアント証明書によるデジタル証明書認証やスマートカード、PKIで保護したモバイル仮想スマートクレデンシャルといった高保証の方式を、1つのベンダーでまかなえる点です。RADIUSによる多要素認証と証明書による端末認証の両方を組み合わせたい、強度重視の環境で有力な選択肢になります。価格は個別見積もりです。

7. SafeNet Trusted Access（タレスDISジャパン株式会社）

SafeNet Trusted Access（STA）は、タレスが提供するクラウド型のアクセス管理・多要素認証サービスです。保護対象としてVPNを明記しており、RADIUS経由でVPNを保護できるほか、SAML・OIDCの標準にも対応します。

認証方式は、ソフト・ハードのワンタイムパスワード、プッシュ、FIDO、PKI証明書、パターン認証まで幅広く、トークンやサポートを含むライセンス体系が特徴です。VPNを含む複数のアクセスを1つのポリシーで束ねて管理したい場合に使いやすいサービスです。価格は要お問い合わせです。

8. OneLogin（One Identity Japan合同会社）

OneLoginは、SSOと多要素認証を備えたクラウドのID基盤です。VPN認証では、クラウドRADIUSや仮想LDAPを通じて既存VPNに多要素認証を追加でき、Cisco ASA・Fortinet・Juniper SSL VPNへのRADIUS連携手順が用意されています。

認証方式は、OneLogin Protectによるプッシュ、ワンタイムパスワード、WebAuthn・生体認証などに対応します。クラウド型でVPNと社内外のアプリのログインをまとめて扱いたい場合に適しています。初期費用・料金は代理店により異なるため、要お問い合わせです。

9. JumpCloud（JumpCloud, Inc.）

JumpCloudは、デバイス管理やディレクトリ機能を1つにまとめたクラウド基盤です。VPN認証では、内蔵のCloud RADIUSを使ってVPNやWi-Fiのネットワーク認証に多要素認証を追加できます。

フィッシング耐性のあるパスワードレス認証「JumpCloud Go」を備え、端末・ID・ネットワークの認証を1つの基盤に集約できる点が特徴です。VPN単体の強化にとどまらず、情報システムの土台をまとめて整えたい企業の選択肢になります。国内の価格は代理店見積もりとなります。

10. PassLogic（パスロジ株式会社）

PassLogicは、画面に表示される位置のパターンからワンタイムパスワードを生成する「マトリックス方式」を特徴とする国産の認証サービスです。利用者は専用トークンを持たず、ブラウザだけで認証を完結できます。

VPN認証では、RADIUSやSAML 2.0連携でVPN・VDIへの認証追加に対応します。クラウド版・オンプレミス版・専用サーバー型クラウドから提供形態を選べ、クラウド版は1IDあたり480円からと、国産で導入しやすい価格帯です。トークン配布の手間をかけずに多要素認証を広げたい企業に適しています。

11. Soliton OneGate（株式会社ソリトンシステムズ）

Soliton OneGateは、認証局（CA）機能を標準搭載した国産のクラウド認証サービスで、証明書認証を得意とします。クライアント証明書によるIEEE802.1XのEAP-TLSネットワーク認証や、VPN（PAP）認証、RADIUS連携に対応し、許可した端末だけをネットワークに接続させる構成を作れます。

デジタル証明書に加えてFIDO2や生体、ICカード、スマートフォン認証にも対応し、証明書の発行・配布・運用を1つのサービスでまかなえます。自社で認証局を構築せずに証明書認証でVPNの端末を限定したい場合に有力です。PKIプランは1ユーザー月150円からと、始めやすい価格です。

ここで紹介した製品を含め、多要素認証システム全体を認証方式・料金・タイプ別に比較して選びたい方は、以下の記事で詳しく解説しています。VPN以外の用途もまとめて検討する際の参考にしてください。

まとめ

VPN認証には、事前共有鍵・ID／パスワード・証明書・多要素認証・FIDO2・SAML連携という複数の方式があり、フィッシングへの強さや運用の手間はそれぞれ異なります。ID・パスワードだけの認証は、漏えいした情報を突かれて実際の侵入被害に直結しており、公的なデータでもVPN機器を悪用した侵入が被害の多くを占めています。

対策は、まずRADIUS連携などで多要素認証を足して底上げし、重要なアクセスには証明書認証で端末を限定し、最も強度が要る場面にはFIDO2を取り入れる、という段階的な進め方が現実的です。自社のVPN機器がRADIUS・SAML・証明書のどれに対応しているかを確認すれば、取れる方式と使える製品が見えてきます。

本記事の比較表やサービス紹介を、自社に合う認証強化の検討材料にしてください。気になるサービスがあれば、資料をまとめて取り寄せて具体的に比較できます。

よくある質問（FAQ）

Q. VPN認証とは何ですか？

A. VPN認証とは、VPNに接続しようとする利用者や端末が正当な相手かどうかを確かめる仕組みです。VPNは通信を暗号化して専用の通信路を作りますが、その通信路に「誰を通すか」を判断するのが認証の役割で、認証の強さがそのままVPNの安全性を左右します。方式には、事前共有鍵・ID／パスワード・証明書・多要素認証・FIDO2（パスキー）・SAML連携などがあり、仕組みも強さも異なります。

Q. VPN認証で最もセキュアな方式はどれですか？

A. VPN認証では、端末を限定する証明書認証と、フィッシング耐性の高いFIDO2（パスキー）を組み合わせた方式が最も安全とされます。いずれも公開鍵暗号を使い、偽サイトに認証情報を渡してしまうことがないため、パスワードの漏えいや巧妙なフィッシングにも突破されにくいのが理由です。

ただし最適な方式は利用環境によって変わり、まずは既存のID／パスワードに多要素認証（MFA）を足すだけでも不正ログインは大きく減らせます。重要度の高いアクセスから段階的に強い方式へ引き上げるのが現実的です。

Q. VPN認証では証明書認証と多要素認証（MFA）のどちらを選ぶべきですか？

A. まず多要素認証（MFA）でパスワード漏えいに備え、接続できる端末そのものを限定したい場合に証明書認証を加える、という組み合わせが基本です。両者は目的が異なり、どちらか一方を選ぶものではありません。MFAは既存VPNにRADIUS連携で後付けしやすく、短期間で底上げできます。

証明書認証は会社が配布・管理する端末にだけ証明書を入れておくことで、IDとパスワードが漏れても私物端末や攻撃者の端末からの接続を防げます。運用負荷とコストを踏まえ、重要なアクセスから証明書認証を重ねていくとよいでしょう。

Q. VPN認証の方式は運用中でも変更できますか？

A. VPN認証の方式は運用中でも変更できますが、テスト環境での事前検証と、利用者への通知・旧方式との並行運用期間を設けて進めるのが安全です。認証方式の切り替えは、設定ミスがあると全利用者が接続できなくなる影響の大きい変更です。一部の部署やテストアカウントで新方式の動作を確認し、問題がないことを見てから全体へ広げると、接続障害や問い合わせの集中を避けやすくなります。

SAML連携でIdP（認証基盤）に認証を委ねる構成にしておくと、将来の方式変更をIdP側で吸収しやすくなります。

Q. FortiGateなど自社のVPN機器でも多要素認証を追加できますか？

A. FortiGateをはじめ、Cisco ASAやPalo Alto GlobalProtect、SonicWallなど多くのVPN機器は、RADIUS連携やSAML連携で多要素認証を後付けできます。もっとも広く使えるのはRADIUS経由の構成で、VPN本体の設定を大きく変えずにワンタイムパスワードやプッシュ通知を追加できます。

SAMLに対応したSSL-VPNなら、認証そのものをIdP（IDaaS）に委ね、IdP側でMFAやFIDO2を有効にして強度を適用する構成も取れます。まず自社機器がRADIUS・SAML・証明書のどれに対応しているかを仕様書や管理画面で確認し、具体的な手順は各ベンダーの公式ドキュメントで補うのが確実です。

Q. VPN接続時に「認証情報を入力してください」と表示される場合はどう対処すればよいですか？

A. 「認証情報を入力してください」はVPNが接続の認証を求めている状態で、登録済みのIDとパスワード（多要素認証を設定している場合は追加の確認）を正しく入力すれば接続できます。正しく入力しても繰り返し表示される場合は、大文字・小文字の誤りやパスワードの有効期限切れ、アカウントのロック、証明書認証であれば端末の証明書の期限切れ・未導入などが原因として考えられます。

入力情報に心当たりがないのに求められるときは、偽の認証画面（フィッシング）の可能性もあるため、安易に入力せず情報システム部門に確認してください。

Q. 家庭用ルーターのVPN機能は企業のVPN認証に使えますか？

A. 家庭用ルーターのVPN機能は、選べる認証方式やログ・アクセス制御、脆弱性への対応が企業用途には不十分な場合が多く、業務での利用は推奨されません。利用者ごとの識別や多要素認証・証明書認証への対応が限られ、脆弱性が見つかった際のパッチ更新やサポートも手薄になりがちです。VPNは社内ネットワークへの入口であり、ここの認証が弱いと侵入の標的になります。

企業で使う場合は、法人向けのVPNアプライアンスやクラウドVPNを用い、多要素認証・証明書認証による強化とあわせて運用するのが安全です。

Q. VPN認証のログはどのくらいの期間保存すべきですか？

A. VPN認証のログは、不正アクセスが疑われたときの調査に耐えられる期間を、自社が属する業界の規制や社内規程に合わせて決めるのが基本です。侵入は発生から発覚まで時間がかかることがあり、「いつ・どのアカウントが・どこから接続したか」をさかのぼって追えることが調査の前提になります。

誰がいつ接続したかという認証ログは比較的長めに、容量が大きい詳細な通信ログは短めに、と性質で保存期間を分ける運用も現実的です。金融など法令・ガイドラインで保存期間が定められている業界では、その要件に合わせて設定してください。

VPN認証を強化する多要素認証・証明書サービスの資料を一括チェック

MCB FinTechカタログでは、VPNの認証に使える多要素認証・証明書認証・物理セキュリティキーの最新資料を無料で一括請求できます。対応する連携方式（RADIUS／SAML／証明書）や料金を見比べて、自社のVPN構成に合うサービスを選べます。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。