【VPN】社内VPN接続時に『証明書を検証できません』と出る時

社内VPN接続を試みた際に「証明書を検証できません」というエラーが表示され、業務に支障をきたすケースは少なくありません。このエラーは、クライアント端末がVPNサーバーから提示された証明書を信頼できないと判断したときに発生します。原因は端末側の証明書ストアの問題、社内の認証局(CA)設定、あるいはネットワーク環境の違いなど多岐にわたります。本記事では、会社員が自分で切り分けられるポイントと、管理部門へ正確に報告するための情報整理方法を解説します。

エラーが発生する代表的な原因

「証明書を検証できません」というエラーは、VPNクライアントがサーバー証明書の検証に失敗したときに表示されます。主な原因は以下の4つに分類できます。

1. ルート証明書の欠落: 社内のプライベート認証局(CA)が発行したルート証明書が端末の「信頼されたルート証明機関」ストアにインストールされていない。
2. 中間証明書の不足: サーバー証明書を発行した中間CAの証明書が、VPNサーバーから適切に提供されていない、または端末側で欠落している。
3. 証明書の有効期限切れ: サーバー証明書またはルート証明書の有効期限が切れている。
4. 端末の日時設定の誤り: 端末のシステム日時が大幅にずれていると、証明書の有効期間チェックに失敗する。

また、接続環境によっても挙動が異なります。社内LAN経由でVPNに接続する場合と、自宅のインターネット回線から接続する場合では、プロキシやファイアウォールの影響が異なるため、切り分けが必要です。

最初に行うべき情報収集と手順

エラーの詳細を正確に管理部門へ伝えるために、以下の手順で情報を記録してください。

1. エラーダイアログのスクリーンショットを撮影します。特に「詳細」ボタンがある場合はクリックして、発行者やサブジェクト、シリアル番号を表示させます。
2. VPNクライアントの接続先サーバー名(例: vpn.contoso.com)をメモします。
3. 端末のシステム日時を確認します。Windowsの場合はタスクバーの時刻表示を右クリックし「日付と時刻の設定」を開き、現在の時刻とタイムゾーンが正しいか確認します。
4. 接続元のネットワークをメモします。社内LAN、自宅Wi-Fi、公衆Wi-Fi(カフェ、ホテルなど)のいずれかを記録します。
5. 可能であれば、別のネットワーク(例: スマートフォンのテザリング)から接続を試し、同じエラーが再現するか確認します。これにより、ネットワーク起因の問題かどうかを切り分けられます。

原因切り分けの具体的な方法

社内LANと外部ネットワークの違い

接続元が社内LANか外部ネットワークかで、証明書の検証に影響が出る場合があります。社内LANでは、ドメイン参加している端末がグループポリシーでルート証明書を自動配布されている一方、外部から接続する端末は証明書を持っていない可能性があります。以下の表を参考に、現在の環境をチェックしてください。

切り分け項目	社内LANから接続	自宅Wi-Fiから接続	公衆Wi-Fiから接続
ルート証明書の自動配布	グループポリシーで配布されている可能性が高い	配布されない(手動インストールが必要な場合あり)	同左
プロキシの影響	社内プロキシを経由する場合あり、VPNクライアントがプロキシ設定を継承するか要確認	通常プロキシなし	公衆Wi-Fiのポータルページやプロキシの影響を受ける可能性がある
日時同期の精度	ドメインコントローラーと同期され、正確	端末の設定に依存、狂いが生じやすい	同左

証明書ストアの確認方法(Windows)

Windows端末で証明書の状態を確認する手順を紹介します。ただし、証明書の削除やインポートは管理者に相談してから行ってください。

1. キーボードの「Windowsキー + R」を押し、「ファイル名を指定して実行」ダイアログを開きます。
2. 「certlm.msc」と入力し、Enterキーを押します(ローカルコンピューターの証明書ストアが開きます)。UACの確認があれば「はい」を選択します。
3. 左側のツリーから「信頼されたルート証明機関」→「証明書」を展開し、リストを確認します。社内のCA名が発行したルート証明書が存在するか調べます。
4. 同様に「中間証明機関」→「証明書」も確認します。ここに不足があると検証エラーが発生することがあります。
5. 証明書の有効期限をダブルクリックして確認します。期限切れのものがあれば、それが原因の可能性があります。

失敗パターンと注意点

よくある失敗として、ユーザーが自己判断で証明書をダウンロードし、手動でインポートしてしまうケースがあります。しかし、社内の認証局が発行した正しい証明書でない場合、セキュリティリスクが生じるだけでなく、後日別のエラーが発生したり、端末が管理対象外と見なされる可能性があります。また、「証明書を削除して再取得しよう」と試みる方もいますが、削除してしまうと接続できなくなるだけでなく、管理者による再配布が必要になるため、絶対に行わないでください。

もう一つの注意点は、802.1X認証やスマートカードを使用している環境です。これらの認証方式では、クライアント証明書の検証も同時に行われるため、エラーメッセージが異なる場合があります。たとえば「サーバー証明書の検証に失敗しました」という文言と「クライアント証明書が見つかりません」という文言は異なる原因を示します。エラーメッセージを一字一句正確に記録することが重要です。

管理部門へ伝えるための情報まとめ

管理部門(情報システム部門やヘルプデスク)に問い合わせる際は、以下の情報を盛り込むとスムーズです。

• エラーメッセージの全文(スクリーンショット添付)
• 接続しようとしたVPNサーバーの完全修飾ドメイン名(FQDN)
• 使用しているVPNクライアントの種類(例: Cisco AnyConnect、Pulse Secure、OpenVPNなど)とバージョン
• 端末のOSとバージョン(例: Windows 11 Pro 22H2)
• 接続元ネットワーク(社内LAN / 自宅 / 公衆Wi-Fi)
• 端末の日時設定が正しいかどうかの確認結果
• 別のネットワークから試した結果(再現する/しない)

これらの情報があれば、管理者はルート証明書の配布状態やサーバー証明書の設定を迅速に調査できます。また、エラーが特定のネットワークでのみ発生する場合は、プロキシやファイアウォールの設定を確認する必要があります。

よくある質問(FAQ)

Q1. 証明書を手動でインストールしてもよいですか?

A. 管理者の指示なしに証明書をインストールしないでください。社内用の証明書は、配布方法が決まっている場合が多く、誤った証明書をインストールするとセキュリティリスクが高まります。必ず管理部門に確認してください。

Q2. 別のネットワークでは接続できるのに、特定のWi-Fiだけエラーが出ます。なぜですか?

A. 該当のWi-Fiネットワークがキャプティブポータル(認証ページを表示する仕組み)を使用している場合、VPN接続前にブラウザで認証が必要なことがあります。また、プロキシ設定が自動検出されず、VPNクライアントが正しく通信できない可能性もあります。まずはブラウザで任意のWebサイトにアクセスし、認証が必要か確認してください。

Q3. 「証明書の検証に失敗しました」と「サーバーが見つかりません」はどう違いますか?

A. 前者は証明書の問題、後者はネットワーク到達性の問題です。エラーメッセージの違いで原因を大まかに切り分けられます。しっかり読み取って記録しましょう。

まとめ

VPN接続時の「証明書を検証できません」エラーは、適切な情報収集と切り分けを行うことで、原因を特定しやすくなります。まずはエラーメッセージの詳細、接続先サーバー、接続元ネットワーク、端末の日時を確認してください。その上で、証明書の状態を確認し、必要なら管理部門に正確な情報を伝えることが解決の近道です。証明書の手動操作は必ず管理者の指示を仰ぎ、自己判断で端末の設定を変更しないように注意してください。

🔐

会社アカウント・認証トラブル完全解決データベース 職場または学校アカウント、MFA、Authenticator、VPN、権限、会社ポリシーで止まる問題を横断的に確認できます。