VPN Gateとは？筑波大学の無料VPNの仕組み・危険性・業務利用の可否を解説

筑波大学とソフトイーサの共同研究として運営される学術実験

公式サイトの説明によれば、VPN Gateは筑波大学における学術的な研究を目的として実施されているオンラインサービスで、ソフトイーサ株式会社との共同研究プロジェクトとして運営されています。研究の狙いは、世界中に分散して配置された公開VPN中継サーバーに関する知見を得ることです。プロジェクトは2013年3月8日に始まり、2026年8月時点でも稼働が続いています。

重要なのは、VPN Gateが企業が対価を得て提供する商用サービスではないという点です。公式のよくある質問では、国立大学では一般に収益目的の活動を行えないこと、営利目的の電気通信サービスには政府への届出義務が生じることを理由に、将来的に有償サービスになることはないと明記されています。学術実験として無料で提供されている点は、広告表示や利用者データの活用などを収益源とする一部の無料VPNサービスとは運営目的が異なります。

ボランティアの公開VPN中継サーバーで成り立つ仕組み

VPN Gateの通信を実際に中継しているのは、筑波大学が用意したサーバーではありません。世界中のボランティアが、自分のコンピュータをVPNサーバーとして実験に提供しています。参加は誰でも可能なため、サーバーの台数やIPアドレスは日々増減します。2026年8月時点の公式サイトでは、数千台の中継サーバーが公開されています。

サーバーが特定のデータセンターに集中せず、多数の異なる事業者の回線上に散らばっているため、IPアドレスがまとまった範囲に収まりません。これは検閲を目的としたフィルタリングで遮断されにくいという、研究上の狙いにつながっています。同じ公式サイトでは累計の接続回数が224億件を超え、239の国と地域から利用されていることも公表されています。

一方で、利用者の側から見れば「毎回どこかの誰かが運用しているコンピュータを経由する」構造でもあります。この点が後述するリスク評価の出発点になります。

対応プロトコルと利用できる端末

VPN Gateは、SSL-VPN（SoftEther VPN）、L2TP/IPsec、OpenVPN、Microsoft SSTPの4つの方式に対応しています。Windows、Mac、iPhone、iPad、Androidから接続でき、ユーザー登録は不要です。ソフトウェアは同じく筑波大学で開発されたSoftEther VPNをベースに、プラグインの形で拡張されています。

なお、SoftEther VPNプロジェクトとVPN Gateプロジェクトは、いずれも筑波大学で実施されているものの、目的の異なる別のプロジェクトであると公式に説明されています。方式ごとの暗号強度や相性の違いを整理したい場合は、次の記事も参考になります。

VPN Gateで実現できることと、その限界

公式サイトは、VPN Gateに接続することで得られる利点として3つを挙げています。それぞれ何が実現でき、どこまでは実現できないのかを分けて理解しておくと、過大な期待による誤用を避けられます。

検閲用ファイアウォールの回避

第一の利点として挙げられているのは、政府等が設置した検閲目的のファイアウォールを越えて、海外のWebサイトを閲覧できるようになることです。海外に設置された中継サーバーを経由すれば、自国から直接アクセスできないサービスにも到達できる可能性があります。

公式サイトの国別ランキングを見ると、累積の利用が多い地域として韓国、イラン、ロシア、日本、米国などが並びます。ネットワークへのアクセスが制限されやすい地域からの利用が相当量を占めていることがうかがえます。また、公式サイト自体が閲覧できなくなった場合に備えて、サーバー一覧を掲載したミラーサイトが複数用意されています。

IPアドレスの置き換え

第二の利点は、通信の発信元IPアドレスが中継サーバーのものに置き換わることです。アクセス先のサーバー側のログには中継サーバーのIPアドレスが記録されるため、利用者本人の回線のIPアドレスは直接残りません。公益通報のような場面で発信元を隠したいという研究上の動機が、公式サイトでも説明されています。

ただし、これは「匿名になる」ことと同じではありません。後述するとおり、VPN Gate側には接続元の生のIPアドレスが記録されており、正当な理由に基づく請求があれば開示される仕組みが用意されています。IPアドレスの置き換えは、アクセス先から見えにくくなる仕組みであって、追跡不能になる仕組みではないと理解する必要があります。

公衆無線LANでの盗聴対策と、暗号化が届く範囲

第三の利点は、暗号化によって公衆無線LANを安全に利用しやすくなることです。カフェや空港のアクセスポイントでは、同じネットワークにいる第三者が通信を傍受できる場合があり、VPN接続によって手元の端末から中継サーバーまでの区間は暗号化されます。

ここで公式サイトが自ら明記している限界があります。VPNによる暗号化は手元の端末から中継サーバーまでの区間に適用され、中継サーバー以降はVPNトンネルによる暗号化の対象外です。ただし、HTTPSなどアプリケーション側で暗号化されている通信は、その暗号化が中継サーバー以降も継続します。したがって、VPNを使うだけで通信全体が端から端まで保護されるわけではなく、アクセス先との通信にHTTPSなどが使われているかも重要です。公衆Wi-Fi利用時のリスクそのものについては、次の記事で整理しています。

VPN Gateの使い方と接続手順の概要

接続手順は公式サイトのOS別ページにまとまっています。ここでは全体像と、つまずきやすい点を押さえておきます。なお、以下は仕組みを理解するための概要であり、業務端末での利用を推奨するものではありません。

Windowsから接続する

Windowsでは4通りの方法が案内されており、公式が推奨しているのは「SoftEther VPN Client」と「VPN Gate Client Plug-in」を組み合わせる方法です。専用のプラグインを入れると、接続マネージャの画面から稼働中の中継サーバーの一覧を表示し、選んで接続できます。

そのほか、Windows標準のL2TP/IPsec機能を使う方法、OpenVPNのクライアントに設定ファイルを読み込ませる方法、SSTPで接続する方法があります。いずれの方法でも、接続先のサーバーは公式サイトのサーバー一覧から選ぶ形になります。

Mac・iPhone・Androidから接続する

MacやiPhone、iPadでは、OSに標準で備わっているL2TP/IPsecの設定画面から接続する方法と、OpenVPN用のアプリに設定ファイルを読み込ませる方法が案内されています。追加のソフトを入れずに接続できるのは前者です。Androidについても公式サイトではL2TP/IPsecまたはOpenVPNを使う方法が案内されていますが、現行のAndroidではOSや端末によってL2TP/IPsecを標準機能から設定できない場合があります。利用環境に応じて、OpenVPN対応アプリなどを利用します。

接続先サーバーの指定にはホスト名とIPアドレスの両方が公開されていますが、公式は通常はホスト名の指定を推奨しています。サーバーのIPアドレスが変わっても接続を継続できるためです。ただし、検閲用のファイアウォールがある地域からはホスト名で指定できず、IPアドレスを直接指定する必要があると公式サイトに注意書きがあります。

接続できないときに確認する点

中継サーバーはボランティアが任意のタイミングで停止できるため、昨日つながったサーバーが今日は使えないことは珍しくありません。公式のよくある質問でも、普段使っていたサーバーが利用できなくなった場合は一覧から別のサーバーを選ぶよう案内されています。回線品質や連続稼働期間、累積利用者数といった数値が一覧に表示されるため、これらを見て選び直すことになります。

サーバー側の問題ではなく、手元の環境が原因で接続できないケースもあります。切り分けの手順や、業務端末でVPN接続を解除する際の注意点は、次の記事にまとめています。

VPN Gateのログ記録ポリシーを正確に理解する

業務利用の可否を判断するうえで最も重要なのが、通信ログの扱いです。VPN Gateはこの点を隠していません。公式サイトの「不正利用防止の取り組み」のページに、何をどれだけ保管し、どのような場合に開示するのかが詳しく書かれています。以下はその内容の要点です。

接続ログは最低3か月保管される

公式サイトには、公開VPN中継サーバーへのVPN接続ログを最低3か月間保管すると明記されています。記録されるのは接続時と切断時の2回で、ログは接続先のサーバー上に残るとともに、実験運営者が管理するログ管理サーバーに集約されます。

記録される項目として公式が列挙しているのは、記録日時、接続先サーバーの識別情報、接続または切断という動作の種類、接続元クライアントの生のIPアドレスとホスト名、使用したVPNプロトコルの種類、クライアントソフトの名称やバージョン、通信したパケット数やバイト数などです。

加えて、VPN Gateのセッションを使って通信した先のHTTP／HTTPSホスト名、IPアドレス、ポート番号も記録項目に含まれると書かれています。つまり「どのサイトに接続したか」に相当する情報が、暗号化された通信であっても接続先の単位で残る前提です。業務端末から社内システムや取引先のサービスにアクセスした場合、その接続先が第三者の管理するログに残ることを意味します。

なお、この集約ログサーバーはソフトイーサ株式会社が所有・運用・管理しており、筑波大学は情報を保有していないと明記されています。開示の判断と対応も原則として同社が単独で行うとされています。

中継サーバー側のパケットログは最低2週間保管される

集約されるログとは別に、各中継サーバー側でもログが記録されます。ボランティアのコンピュータ上で動作するサーバープログラムは、接続してきた利用者の通信パケットのヘッダをログに記録しており、時刻、接続元利用者の物理的なIPアドレスとポート番号、接続先サーバーのIPアドレスとポート番号などが残ります。

このパケットログは、各サーバーのディスク上で少なくとも2週間、TCP／IPヘッダの情報を保存すると説明されています。実際に公式のサーバー一覧を見ると、各サーバーのログ記録ポリシーの欄に保存期間が表示されています。

重要なのは、このログを保有しているのがVPN Gateの運営者ではなく個々のボランティアである点です。公式サイトも、中継サーバーのパケットログは運営者側に伝送されておらず保有していないため、開示請求は各サーバーの管理者に対して行うよう案内しています。

捜査機関・司法機関への開示方針

公式サイトは、接続ログを保存する主たる目的をトラブルシューティングと不正利用の防止と説明しつつ、警察や検察などの捜査機関、裁判所などの司法機関から正当な理由を添えてログの開示を求められた場合には開示する方針を明記しています。その際、裁判所の令状の提出は必ずしも要求されないとして、総務省の見解に言及しています。

開示の基準も具体的に示されており、日本国内の捜査機関や司法機関であって在籍と権限を確認できた場合は直接開示、国外の機関の場合は日本の外務大臣への正式な要請などを経て間接的に開示するとされています。権利侵害を受けたと主張する被害者に対して、一定の条件を満たす場合に発信元の情報を提供する運用にも触れられています。

さらに公式サイトには、警察庁でVPN Gateの悪用防止と犯人追跡手法に関する勉強会が開催されたことと、VPN Gateを悪用した違法な書き込みや不正アクセスは検挙されるという注意書きも掲載されています。匿名化のための道具として設計されているわけではないことが、運営側から明確に示されています。

ノーログVPNとは前提が異なる

以上のとおり、VPN Gateは通信ログを記録しないことを売りにするサービスとは前提が異なります。学術実験として不正利用を抑止し、問題が起きたときに追跡できる状態を保つことが設計に組み込まれているためです。この設計自体は研究プロジェクトとして筋の通ったものですが、業務データを流す経路として評価すると話が変わります。

運営形態の違いを整理すると、次のようになります。

業務利用に向かない4つの理由

VPN Gateは違法なサービスでも詐欺でもありません。国内で利用すること自体が法に触れるわけでもありません。それでも業務用途には向きません。理由は「危険だから」という漠然としたものではなく、企業が通信経路に求める条件を構造的に満たさないためです。

中継サーバー運営者の本人性・信頼性を十分に確認できない

中継サーバーを動かしているのは、世界各地のボランティアです。サーバー一覧には運営者名やメッセージ、連絡先が表示される場合がありますが、すべてのサーバーで運営主体の本人性や信頼性を利用企業側が十分に確認できる仕組みではありません。公式のよくある質問でも、サーバー一覧に運営者の連絡先が表示されていない場合は連絡できないと説明されています。

加えて前述のとおり、各サーバーの管理者は接続してきた利用者の通信パケットのヘッダをログとして保有します。業務通信を通す相手として、本人性や信頼性を十分に確認できない主体を経由先に選ぶことは、通常の委託先管理の考え方と整合しにくいと考えられます。

全サーバー共通の認証情報で接続する設計

公式サイトのサーバー一覧には、すべてのVPNサーバーに共通のユーザー名とパスワードで接続できることが明記されています。これは誰でも登録なしに使えるという設計意図に沿ったものですが、利用者を識別する仕組みが認証段階に存在しないことも意味します。

企業のリモートアクセスでは、誰がいつどこから接続したかを認証情報の単位で管理し、退職や異動に応じて権限を止められることが前提になります。共通の認証情報で誰でも接続できる経路は、この前提とかみ合いません。アカウントの棚卸しも、接続元の制限も、多要素認証の追加もできないためです。

学術実験であり品質・サポートの保証がない

通信速度や安定性は、接続したサーバーの回線やコンピュータの性能に大きく左右されます。加えて、利用者側の回線状況や通信経路、混雑状況、利用するVPNプロトコルなども影響します。公式のサーバー一覧には各サーバーの回線速度やPing値が表示されていますが、これは実測値の目安であり、品質を保証するものではありません。サーバーはボランティアの判断でいつでも停止します。

問い合わせ窓口も用意されておらず、公式のよくある質問では質問やサポートはフォーラムで行うよう案内されています。障害が起きたときに復旧の見込みを聞ける相手がいない経路の上に業務を載せることは、事業継続の観点から現実的ではありません。

社内規程・委託先管理の観点で説明できない

情報セキュリティの観点で問われるのは「事故が起きたかどうか」ではなく、「事故が起きたときに説明できる管理体制があったかどうか」です。個人情報や取引先の情報を扱う通信が、利用企業側で本人性や信頼性を十分に確認できない第三者のサーバーを経由し、その先で最低2週間分のログが保有されていたという状況は、取引先や監査に対して説明が困難です。

従業員が善意で、通信を暗号化するために使っている場合もあります。しかし会社として承認していないツールを業務で使う状態は、いわゆるシャドーITにあたります。悪意がなくても管理外の経路が生まれることが問題であり、そこが統制の対象になります。

従業員のVPN Gate利用を統制する方法

VPN Gateの公式サイトには、社内のネットワーク管理者が従業員による利用を禁止したい場合の対策方法が掲載されています。以下では、公式が案内している遮断・制限策に加え、企業側で事前に行いたい利用実態の把握も含めて、実務上の統制策として整理します。

まず利用実態を可視化する

最初にやるべきことは、遮断ではなく把握です。誰がどのような目的で使っているのかがわからないまま禁止しても、私物端末に移るだけで管理外の状態は変わりません。プロキシやファイアウォールの通信ログから、外部のVPNサービスへの接続や、標準的でないポートへの長時間の通信が発生していないかを確認します。

ブラウザやエンドポイントの側から利用状況を可視化する手段もあります。シャドーITの可視化と統制については、次の記事でも取り上げています。

公式サイトとミラーサイトへのアクセスを遮断する

公式サイトが挙げている最初の対策は、VPN GateのWebサイトへのアクセスを社内のファイアウォールでブロックすることです。利用者は接続先サーバーの一覧を取得する必要があるため、一覧の入手経路を止めるのが最も効率的だという考え方です。

ただし、公式サイトが閲覧できない状況でも一覧を入手できるように、多数のミラーサイトが用意されています。公式はこれらのミラーサイトのURLもあわせてブロックするよう案内しており、URLの一覧は変更される場合があるとも書かれています。一度設定して終わりではなく、定期的な見直しが必要になる性質の対策です。

無許可ソフトのインストールとOS標準のVPN機能を制限する

サイトを遮断しても、専用クライアントを何らかの方法で持ち込まれれば通信は可能だと公式サイトは明記しています。対策として案内されているのは、グループポリシーなどを設定して社内のコンピュータへの無許可のソフトウェアのインストールを禁止することです。

さらに、VPN GateはOS標準のVPNクライアント機能でも接続できるため、OSのVPNクライアント機能の使用そのものも禁止するよう書かれています。業務で正規のリモートアクセスを使っている環境では、許可した接続先以外を使えないように構成プロファイルなどで制御する形になります。

技術的対策で塞ぎきれない範囲を運用で補う

公式サイトは、ここまでの対策を行っても、従業員が私物のパソコンとモバイル回線の端末を持ち込めば利用できてしまい、これを防ぐのはとても困難だと率直に認めています。つまり技術的な制御だけでは完全には塞げません。

残る部分は運用で補うことになります。就業規則や情報セキュリティ規程で、会社が承認していないVPNやプロキシの業務利用を明確に禁止し、違反時の扱いを定めておくこと。そして、なぜ使いたくなるのかを解消することです。社外から必要な業務システムに安全につながる手段が用意されていなければ、従業員は自分で手段を探します。禁止と同時に、承認された代替手段を提示することが実効性を左右します。

業務用途で選ぶべき代替手段

VPN Gateを使わせない前提で、では何を用意すればよいのか。用途を分けて考えると選択肢が整理できます。

法人向けVPN・リモートアクセスサービス

社外から社内システムにアクセスさせる用途であれば、法人向けのVPNやリモートアクセスサービスが基本の選択肢になります。従業員ごとのアカウントで認証でき、多要素認証を組み合わせられ、接続ログを自社の管理下で保持でき、障害時に問い合わせられる窓口があることが条件です。

なお、VPNを導入していれば安全というわけではありません。VPN装置の脆弱性を放置したことを起点とする不正アクセスやランサムウェア被害は国内でも報告されています。導入後のバージョン管理と認証情報の管理は必須です。VPNそのものの仕組みとメリット・デメリットは次の記事で解説しています。

ゼロトラストネットワークアクセスへの移行

社内と社外の境界を前提とする従来型の考え方では、テレワークや多様な端末の利用が広がるほど守りにくくなります。そこで、接続元を信頼せず、アクセスのたびに利用者と端末を検証してアプリケーション単位で許可するZTNA（ゼロトラストネットワークアクセス）に移行する動きが広がっています。

ZTNAでは、社内ネットワーク全体への到達を許すのではなく、必要なアプリケーションにだけ到達を許可します。認証情報が漏れた場合の被害範囲を限定しやすく、シャドーITの可視化とも組み合わせやすい構成です。既存のVPNから一度に切り替える必要はなく、対象業務を絞って併用しながら移していく進め方が現実的です。

公衆Wi-Fiに依存しない回線を用意する

従業員がVPNを探す動機のひとつは、外出先の公衆Wi-Fiを使うしかないという事情です。会社としてモバイル回線を支給し、そもそも不特定多数が接続するネットワークを使わせない構成にすれば、この動機自体がなくなります。拠点やイベント会場、車載機器、監視カメラなど、固定回線を引きにくい場所の通信手段としても同じ考え方が使えます。

業務端末に配る回線を検討する場合は、株式会社CoeNovaが提供するIoTBiz SIM、およびWiMAX+5G無制限プランが選択肢になります。

■ IoTBiz SIMの主な特徴

・4キャリア対応（ドコモ・ソフトバンク・KDDI・楽天）

・1回線から契約可能・最短翌日発送

・初回取引から売掛け対応（Paid決済）

・テストSIMの貸し出しが可能

代表的な料金は、ドコモ回線の通常プランが1GB 450円／月から50GB 6,500円／月まで（税別）です。監視カメラのように上り方向の通信が中心となる用途に向けた、上り特化大容量プランも用意されています。

固定IPオプションについては取り扱いがありますが、在庫が変動するため提供可否はお問い合わせください。

■ WiMAX+5G無制限プランの主な特徴

・データ容量無制限・5G対応

・モバイルタイプとホームタイプを選択可能

・1回線から契約可能・売掛け対応

料金はレンタルの場合が4,280円／月から、購入の場合は回線月額3,980円／月に端末代金30,200円（いずれも税別）です。このほか、初回事務手数料3,000円（税別）がかかります。詳細および問い合わせは次のページから確認できます。

VPN Gateは、公開VPN中継サーバーの分散運用を検証する学術実験として正当な取り組みです。仕組みを学ぶ対象としては価値がありますが、業務データを預ける経路としては前提が異なります。本記事の内容は2026年8月時点の公式サイトの記載に基づくものであり、ログポリシーやサーバー台数は変更される可能性があるため、判断の際は公式サイトの最新の記載を確認してください。