【会社PC】VPNの条件付きアクセスで海外IPからの接続がブロックされる時の対応

海外出張や在外採用のリモートワークで、会社のVPNに接続しようとしたら「このリソースにはアクセスできません」というエラーが表示され、先に進めないトラブルが発生することがあります。多くの場合、これはAzure Active Directory(Azure AD)の条件付きアクセスポリシーが原因で、海外IPアドレスからのアクセスをブロックする設定が関わっています。会社のセキュリティポリシーを守るために必要な措置ですが、正当な業務で海外から接続する場合には大変な不便です。本記事では、この問題が発生したときの原因の切り分け方と、ユーザー側で確認できること、管理者に依頼すべきことを具体的に解説します。

1. VPN接続がブロックされる仕組み:条件付きアクセスと場所条件

条件付きアクセスは、Azure ADが提供するセキュリティ機能のひとつで、ユーザーがリソースにアクセスする際に、場所、デバイスの状態、アプリケーション、リスクレベルなどの条件を評価し、許可・ブロック・多要素認証の要求などを制御します。企業がよく利用するシナリオとして、「企業ネットワークのIPアドレス範囲(信頼できる場所)からのみVPNを許可する」というポリシーがあります。このポリシーでは、国や地域を指定してブロックすることも可能です。

海外からVPN接続しようとすると、ユーザーのパブリックIPアドレスが会社で許可されたIP範囲外と判断され、条件付きアクセスポリシーによってアクセスが拒否されます。エラーメッセージには「サインインはブロックされました」や「条件付きアクセスポリシーが適用されました」と表示されることが多いです。

2. 原因の切り分け手順

2.1 ユーザー側で確認できること

1. エラーメッセージの正確な内容を記録する。 「アクセスが拒否されました」「サインインがブロックされました」などの文言と、可能であればエラーコード(例: 53000, 53003)をメモします。
2. 現在のパブリックIPアドレスを確認する。 Webブラウザで「What is my IP」などを検索し、表示されたIPが国情報とともにどの国に割り当てられているか確認します。
3. 他の方法で会社リソースにアクセスできるか試す。 たとえば、会社のメールをWebブラウザ(Outlook on the web)で開けるかどうかを確認します。もしWebメールが使えれば、VPNだけがブロックされている可能性が高いです。
4. 社内の別のVPN接続方法(クライアントの種類)を試す。 会社が複数のVPNプロトコル(SSTP, IKEv2, OpenVPNなど)を提供している場合は、接続方法を変えてみます。ただし、設定変更は管理者の指示に従ってください。
5. 会社から支給されたデバイス(会社PC)か、個人デバイスかを確認する。 会社PCであれば、Intuneなどでコンプライアンスポリシーが適用されている可能性があります。個人デバイスの場合は、デバイス登録やコンプライアンスの条件を満たしていないことが原因の場合もあります。

2.2 管理者に依頼して確認すること

• Azure ADサインインログの確認:ユーザーがいつ、どのIPから、どのアプリケーション(VPNゲートウェイ)にアクセスしようとしたか、そしてどのポリシーが適用されたかを調べます。
• 条件付きアクセスポリシーの確認:場所条件で「すべての場所」または「信頼できる場所以外の場所」がブロック対象になっていないか、特定の国が除外されていないかを確認します。
• VPNサーバー側のログ:Azure ADではなく、オンプレミスのVPNサーバー(RRAS, VPN Gatewayなど)でログを確認し、NPS(Network Policy Server)のポリシーやRADIUS認証の設定も見直します。

3. 実際の対応方法

3.1 ユーザーがすぐに試せる対処

自分で解決できるケースは限られていますが、以下の手順は試してみる価値があります。

1. 別のネットワークに接続する。 ホテルのWi-Fiや現地のモバイル回線など、異なるインターネット接続を試します。場合によっては、特定のIP範囲だけがブロック対象になっている可能性があります。
2. VPNクライアントの設定を再確認する。 正しいサーバーアドレスや認証方式が設定されているか確認します。ただし、会社が配布した設定ファイルがある場合は、それを使用してください。
3. デバイスの時刻とタイムゾーンを正しく設定する。 時刻がずれていると証明書の有効期限エラーや認証に失敗することがあります。自動設定にしておきましょう。
4. 一度サインアウトして再度サインインする。 ブラウザのキャッシュやトークンが古い場合、再認証で解消することがあります。

3.2 管理者への依頼内容と伝え方

根本的な解決には管理者の権限が必要です。以下の情報を整理して連絡すると、迅速に対応してもらえます。

管理者は、条件付きアクセスポリシーの場所条件に「信頼できる場所」として会社のIP範囲を追加するか、海外からのアクセスを許可する国を個別に追加することができます。または、ポリシーに例外グループを作成し、対象ユーザーを一時的にそのグループに追加する方法もあります。

4. よくある失敗パターンとその対処

4.1 誤ったIPアドレスリスト

管理者が条件付きアクセスの「場所」に指定したIPアドレス範囲が実際の会社出口IPと異なるケースがあります。特に、ISPの変更やクラウドサービスの利用でIPが変わっている場合に起こります。この場合、国内からの接続でもブロックされることがあります。管理者は定期的にIPリストを更新し、Azure ADの「ネームドロケーション」を最新の状態に保つ必要があります。

4.2 多要素認証のタイムアウト

VPN接続時に多要素認証(MFA)が求められる設定で、MFAのセッションが切れているとブロックされることがあります。特に海外では通信遅延によりMFAの応答がタイムアウトしやすいです。対策として、MFAの認証時間を延長したり、アプリパスワードの利用を許可するなどの設定変更が考えられます。

4.3 デバイスのコンプライアンス違反

IntuneなどのMDMで管理されている会社PCの場合、デバイスがコンプライアンスポリシーを満たしていない(例:ウイルス対策が無効、ディスク暗号化未実施)と、条件付きアクセスでブロックされます。海外出張前に必ずデバイスの状態を確認し、必要な更新を適用しておきましょう。管理者側でも、コンプライアンスポリシーの除外設定を一時的に適用することも可能です。

5. 管理者が設定する場合の注意点(参考情報)

本記事は主にユーザー向けですが、管理者が設定を見直す際のポイントを簡単に紹介します。

• 場所条件の設計: 「すべての場所」をブロックするのではなく、「信頼できる場所以外」をブロックする方法と、特定の国をブロックする方法があります。海外出張が多い企業では、許可リスト方式ではなく、国単位の許可リストを用意すると管理が楽です。
• 緊急時のバイパス: グローバル管理者アカウントだけは条件付きアクセスの対象から外すか、緊急アクセス用のブレイクグラスアカウントを用意しておきます。
• ログ監視: Azure ADのサインインログを定期的に確認し、正当なユーザーがブロックされていないかモニタリングします。必要に応じてポリシーを調整します。

6. よくある質問(FAQ)

• Q: 海外からでもVPNに接続できるようにするにはどうすればいいですか?
  A: 管理者に依頼して、あなたのアカウントまたは現在地の国を条件付きアクセスポリシーの許可リストに追加してもらってください。また、多要素認証が有効な場合、認証方法が利用可能か事前に確認しましょう。
• Q: 自分でIPアドレスの許可リストに追加することはできますか?
  A: 通常、ユーザーがAzure ADの条件付きアクセスポリシーを編集する権限はありません。必ず管理者に連絡してください。もし管理者権限を持つアカウントをお持ちでも、セキュリティポリシーに従う必要があります。
• Q: エラーコード「53003」は何を意味しますか?
  A: 53003は条件付きアクセスポリシーによってブロックされたことを示します。詳細な理由はサインインログで確認できます。管理者にログを確認してもらい、該当するポリシーを特定してください。

7. まとめ

海外からのVPN接続がブロックされる問題は、多くの場合Azure ADの条件付きアクセスポリシーによるものです。ユーザー側でできることは限られていますが、エラーメッセージの記録や現在のIPアドレスの確認など、管理者に伝える情報を整理しておくと解決が早まります。管理者はサインインログを確認し、場所条件やデバイスコンプライアンスの設定を見直すことで、正当な海外業務を阻害しない柔軟なポリシーに調整できます。事前に出張前にIT部門と連絡を取り合い、必要な準備を整えておくことが最も重要です。