【VPN】接続先を変えると会社証明書が無効と表示される時の確認

会社のVPNに接続する際、普段は問題なく接続できていたのに、出張先や自宅など接続先を変えた途端に「証明書が無効です」と表示されることがあります。このエラーは証明書自体の問題だけでなく、ネットワーク環境やVPNクライアントの設定が原因となっている場合も多く、自己判断で証明書を削除してしまうと、復旧に時間がかかるケースも少なくありません。本記事では、VPN接続先を変更した際に会社証明書が無効と表示される原因を具体的に切り分け、管理者に適切な情報を伝えるための手順を解説します。

なぜVPN接続先変更で証明書が無効になるのか

VPN接続では、クライアントとサーバーが互いの証明書を検証して通信を確立します。接続先を変えると、ネットワーク経路やDNS名前解決が変わるため、証明書の検証に影響が生じる可能性があります。主な原因を以下にまとめます。

原因	説明	確認ポイント
証明書の有効期限切れ	クライアント証明書またはサーバー証明書の有効期限が切れている。接続先変更とは無関係に発生する。	証明書のプロパティで「有効期限」を確認
中間証明書の欠落	端末に中間CA証明書がインストールされていない。異なるネットワーク経路でチェーンが正しく構築できない。	certlm.mscで中間証明機関フォルダを確認
サーバー名と証明書の不一致	接続先VPNサーバーのFQDNが証明書のサブジェクトまたはSANと一致しない。内部DNSと外部DNSで名前解決が異なる場合に発生。	VPNクライアントの接続先ホスト名と証明書のサブジェクト代替名を比較
プロキシやファイアウォールによるSSLインスペクション	ゲストWi-FiやホテルのネットワークがSSL復号を行い、会社の証明書を独自の証明書で置き換えている。	異なるネットワーク(テザリングなど)で再現するかテスト
802.1X認証の証明書要件	VPNではなくWi-Fi接続の802.1X認証で証明書が使われており、ネットワーク変更で認証方式が変わる。	Wi-FiとVPNの両方で証明書エラーが出る場合、802.1Xの設定を確認

エラーメッセージの種類と読み解き方

証明書エラーは表示されるメッセージによって原因を絞り込めます。以下によく見られるパターンを挙げます。

「この証明書は失効しています」

証明書が発行元の失効リスト(CRL)に登録されている場合に表示されます。有効期限内でも、端末がCRL配布ポイントにアクセスできずに失効と誤判定されることもあります。接続先ネットワークでCRLのダウンロードがブロックされていないか確認してください。

「この証明書は信頼されたルート証明機関から発行されていません」

端末の「信頼されたルート証明機関」ストアに、サーバー証明書のルートCA証明書がインストールされていない、または認識されていない状態です。会社の標準PCであれば通常は自動配布されていますが、ネットワーク変更によってグループポリシーの適用が遅れたり、証明書ストアが破損している可能性があります。

「サーバーの証明書に問題があります」

接続先のサーバー名と証明書の名前が一致しない場合に表示されます。出張先で内部DNSとは異なるDNSサーバーを使用すると、VPNサーバーのIPアドレスは正しくても名前解決の結果が変わり、SANチェックに失敗することがあります。

自分でできる確認手順

管理者に連絡する前に、以下の手順で問題を切り分けてください。なお、証明書の削除やインポートは行わないでください。

1. システムの日付と時刻を確認する
   画面右下の時刻表示をクリックし、「日付と時刻の設定」を開きます。インターネット時刻と同期しているか確認してください。日付がずれていると証明書の有効期限が正しく評価されず、無効と表示されます。
2. エラーメッセージをスクリーンショットに撮る
   エラー画面全体をキャプチャし、ファイル名に日時と接続先を付けて保存します。VPNクライアントによっては詳細表示ボタンがあるので、クリックして詳細なエラーコードも記録します。
3. 別のネットワークで接続を試す
   可能であれば、スマートフォンのテザリングや別のWi-Fiに切り替えて、同じVPN接続を試みます。ネットワーク経路が原因かどうかを判断できます。
4. 証明書の有効期限を確認する(管理者権限が必要な場合あり)
   Windowsで「ファイル名を指定して実行」から「certlm.msc」と入力してローカルコンピューターの証明書ストアを開きます。該当する証明書(発行先がVPNサーバー名のもの)をダブルクリックし、「全般」タブで有効期限を確認します。会社PCでは管理者権限がないと開けない場合があるため、その場合は管理者に依頼します。
5. イベントログを確認する
   「イベントビューアー」→「Windowsログ」→「システム」を開き、VPN接続時刻付近に警告やエラーがないか確認します。たとえば「Schannel」イベントは証明書関連の情報を含みます。

管理者に伝えるべき情報と注意点

自己解決が難しい場合は、管理者に正確な情報を伝えることで復旧が早まります。以下の情報をまとめて連絡しましょう。

エラーのスクリーンショットと接続先情報

エラー画面全体と、接続時に使用したVPNサーバーのURLまたはIPアドレス、接続元のネットワーク名(例:ホテルWi-Fi、自宅光回線)を伝えます。複数のネットワークで再現したかどうかも重要です。

証明書の詳細情報

certlm.mscで確認できる証明書のシリアル番号、拇印(Thumbprint)、発行元、有効期限を伝えます。管理者はこれらの情報から証明書の状態を確認できます。

注意点:証明書の削除は厳禁

エラーを無視して証明書を削除したり、インターネットから不適切な証明書をインポートすると、端末のセキュリティが損なわれるだけでなく、社内システム全般(メール、Wi-Fi)にアクセスできなくなる可能性があります。必ず管理者の指示を仰いでください。

よくある質問

Q. 証明書の有効期限が切れていると言われました。自分で更新できますか?
A. できません。会社の証明書は管理者が発行・管理するものです。自己更新用のツールが配布されている場合を除き、管理者に連絡し、新しい証明書の発行を依頼してください。

Q. 出張先のネットワークでは問題なく、自宅でエラーになります。なぜですか?
A. 自宅のインターネット接続に、SSLインスペクションを行うプロキシやファイアウォールが介在している可能性があります。また、自宅のDNSサーバーがVPNサーバーの名前を正しく解決できていないことも考えられます。管理者に自宅ネットワークの情報を伝え、切り分けを依頼してください。

Q. エラーが出ても接続を続行できます。問題ないですか?
A. 接続を続行すると通信が暗号化されていない可能性があり、会社のセキュリティポリシーに違反する場合があります。必ずエラーの原因を解決した上で接続してください。

まとめ

VPN接続先変更時に証明書が無効と表示される原因は、有効期限切れ、中間証明書の欠落、名前解決の不一致、ネットワーク経路上のSSLインスペクションなど多岐にわたります。最初にシステム日時とエラーメッセージを確認し、別のネットワークで再現テストを行ってください。自己判断で証明書を操作せず、エラー画面のスクリーンショットや接続先情報を管理者に正確に伝えることが、早期解決の鍵です。

🔐

会社アカウント・認証トラブル完全解決データベース 職場または学校アカウント、MFA、Authenticator、VPN、権限、会社ポリシーで止まる問題を横断的に確認できます。