【VPN】会社VPNのサインインで多要素認証の画面に戻され続ける時の見直し

会社のVPNに接続しようとした際、ユーザー名とパスワードを入力した後に多要素認証(MFA)の画面が表示され、認証コードを入力してもまた同じ画面に戻されてしまう——このようなループ現象に遭遇したことはありませんか。正しいコードを入力しているのに先に進めないケースは、意外に多くの会社員が経験しています。本記事では、この「MFAループ」の原因を端末側・ネットワーク側・サーバー設定側の3軸で切り分け、具体的な確認手順と解決策を解説します。

考えられる原因の切り分け

MFAループが発生する原因は単一ではありません。まずは大きく3つの領域に分けて原因を推定します。

端末側の時刻同期ズレ

認証アプリ(Microsoft Authenticator、Google Authenticatorなど)は、端末の時刻とサーバーの時刻を基にワンタイムパスワード(OTP)を生成します。端末の時刻が数秒以上ずれていると、サーバーがコードを無効と判断し、再度認証画面を表示させます。

ブラウザまたはVPNクライアントのキャッシュ問題

古いセッション情報やCookieが残っていると、認証のたびに不整合が生じてループすることがあります。特にブラウザベースのサインインページでは、キャッシュが原因で正しい応答が返らないケースが頻発します。

ネットワーク機器による通信妨害

会社のファイアウォールやプロキシが、MFAの応答パケットを正しく中継できず、認証完了のシグナルが届かない場合があります。また、一部のセキュリティソフトがHTTPS通信を検査して改変するケースも報告されています。

サーバー側のMFAポリシー設定

管理者が設定した認証のタイムアウト値が短すぎる、または認証方式の優先順位が不適切であると、ユーザーがコードを入力する前にセッションが切れてループします。また、条件付きアクセスで特定のIPアドレスからの接続のみ許可されている場合、VPN経由のIPが対象外だと繰り返し認証を求められることがあります。

原因別の確認手順

以下の手順を順に試し、どの段階で問題が解消するか確認してください。

1. 端末の時刻を自動設定に変更する:Windowsの場合は「設定」→「時刻と言語」→「日付と時刻」で「時刻を自動的に設定する」をオンにし、同期ボタンをクリックします。スマートフォンでも同様に自動時刻同期を有効にしてください。
2. ブラウザのキャッシュとCookieを削除する:使用しているブラウザ(Edge、Chrome、Firefoxなど)の設定から「閲覧履歴データの削除」を開き、「キャッシュされた画像とファイル」と「Cookieとその他のサイトデータ」を選択して削除します。特にEdgeでは企業ポリシーにより自動削除が制限されている場合があるため、管理者に相談してください。
3. VPNクライアントを最新版にアップデートする:古いバージョンのクライアントは認証プロトコルの不具合を抱えている可能性があります。会社の公式配布元から最新のインストーラをダウンロードし、再インストールしてください。
4. シークレットウィンドウまたは別ブラウザで試す:通常のブラウザではなく、InPrivate(Edge)やシークレットモード(Chrome)でサインインページにアクセスします。拡張機能やプロファイルの影響を排除するためです。
5. 認証アプリの再設定(リセット)を行う:アプリから該当アカウントを削除し、管理者から再発行されたQRコードまたはシークレットキーで再登録します。この操作はアカウントに影響を与えるため、管理者の了解を得てから実行してください。
6. 一時的に別の認証方式(電話・テキスト)を試す:MFAの手段が複数ある場合、認証アプリではなくSMSや電話を受け取る方法に切り替えてみます。これでループが解消されれば、認証アプリ側の問題と特定できます。

失敗パターンと対処法の比較

実際のトラブル事例をパターン別にまとめました。自身の状況に当てはまるか確認してください。

管理者に確認すべき設定項目

ユーザー側で対応しきれない場合、情報システム部門またはMFAの管理者に以下の点を確認してください。

• MFAのタイムアウト時間:一般的に60～120秒に設定されていることが多いですが、短すぎるとコード入力前に期限切れになります。目安として180秒以上あるとユーザーの負荷が軽減されます。
• 認証方式の優先順位:Microsoft Entra ID(旧Azure AD)では、ユーザーが利用可能なMFA方式の順番を設定できます。プッシュ通知が最優先になっていると、SMSが使えない場合にループを招くことがあります。
• 条件付きアクセスポリシー:VPN接続後のIPアドレスが条件に合致しているか確認してください。特に「信頼できるIP」以外からのアクセスをブロックするポリシーがあると、認証後に再度サインインを求められる場合があります。
• 認証アプリの登録数上限:1アカウントあたりの登録可能デバイス数に上限があり、超えると新しいデバイスが登録できずループするケースがあります。

よくある質問

Q1: 会社のVPNは社外からしか使えませんが、自宅のWi-Fiでも同様のループが発生しますか?

はい、発生します。自宅のルーターやISPがMFAの通信をブロックしている場合、またはモバイルデータ通信とWi-Fiで認証アプリの応答が異なる場合があります。まずはモバイルデータ通信に切り替えて試してください。

Q2: スマートフォンの認証アプリだけ問題が起き、パソコンでは正常に利用できるのはなぜですか?

通常はパソコンとスマートフォンで同じ原因が現れますが、パソコンではMFAにパスワードレス認証(Windows Helloなど)を利用している場合、スマートフォンだけがループすることがあります。この場合、スマートフォンの認証アプリの時刻同期や登録状態を確認してください。

Q3: 「このサインインはブロックされました」と表示されるのはなぜですか?

条件付きアクセスポリシーにより、サインインが拒否されている可能性が高いです。管理者に連絡し、アクセスログを確認してもらってください。

Q4: 数回試すとアカウントがロックされました。どうすればいいですか?

連続した認証失敗により、アカウントが一時的にロックされている可能性があります。一定時間(通常15分～30分)待つか、管理者によるロック解除を依頼してください。

まとめ

会社VPNのサインインで多要素認証の画面に戻され続ける問題は、端末の時刻ズレやブラウザのキャッシュ、ネットワーク設定、サーバーポリシーなど複数の要因が考えられます。まずは本記事で紹介した手順を順番に試し、切り分けを進めてください。解決しない場合は、管理者にサーバー側の設定を確認してもらう必要があります。日頃から認証アプリの時刻同期やブラウザのキャッシュクリアを習慣づけることで、再発を予防できるでしょう。