【会社PC】VPNの分割トンネルで社外サービスへの接続がブロックされる時の対処

会社のPCからVPN接続を行うと、社内ネットワークにはアクセスできるのに、社外のWebサービスやクラウドツールにつながらなくなることがあります。その原因の一つが「VPNの分割トンネル」設定です。分割トンネルは通常、社内向けトラフィックだけをVPN経由にし、それ以外の通信は直接インターネットへ出す仕組みですが、設定によっては意図せず社外サービスへの経路が遮断されるケースがあります。本記事では、分割トンネルの基本からブロックの原因、確認手順、管理者への相談ポイントまでを解説します。

VPNの分割トンネルとは何か

VPN(Virtual Private Network)は、社外から社内ネットワークに安全に接続するための技術です。通常、VPN接続を有効にすると、すべての通信がVPN経由で送受信されます(フルトンネル)。これに対し、分割トンネル(スプリットトンネリング)は、社内向けの通信だけをVPN経由にし、社外向けの通信(ニュースサイト、SaaS、検索エンジンなど)は直接インターネットへ流す設定です。この方式により、社内リソースへのアクセスを確保しながら、社外サービスへの帯域を圧迫しない利点があります。

しかし、分割トンネルの設定が不完全だったり、ルーティングポリシーが適切でない場合、本来直接通信すべき社外サービスへの経路がVPN経由に強制され、ブロックされる現象が発生します。たとえば、VPNサーバー側で特定のIPアドレス範囲をVPN経由に指定していると、その範囲に含まれる社外サービス(特にクラウドサービス)への通信が社内ネットワークを通ろうとし、ファイアウォールやプロキシで遮断されるのです。

ブロックされる原因とメカニズム

分割トンネルで社外サービスがブロックされる主な原因は、次の3つに分類できます。

1. ルーティングテーブルの不整合

VPNクライアントは接続時にルーティングテーブルを更新し、特定の宛先への経路をVPNインタフェースに変更します。このルート設定が広すぎる場合(例:0.0.0.0/0すべてをVPN経由にするフルトンネルと同様の動作)、社外サービスへの通信もVPN経由になります。また、ルートの優先順位の誤りにより、直接通信すべき経路がVPN経路に上書きされることもあります。

2. DNS解決の混乱

VPN接続時にDNSサーバーが社内のものに切り替わると、社外サービスのドメイン名を社内DNSで解決しようとします。社内DNSが外部ドメインを正しく解決できない場合、名前解決に失敗して接続できなくなります。分割トンネルであっても、DNS設定がフルトンネル的に動作することがあります。

3. セキュリティポリシーによる強制ルーティング

会社のセキュリティポリシーにより、すべてのトラフィックをプロキシ経由にする設定がVPNクライアントに組み込まれているケースがあります。この場合、分割トンネル設定でもプロキシが適用され、社外サービスへの直接通信が禁止されることがあります。

症状を確認するための手順

まずは、現在の接続状態を正しく把握するために、以下の手順を試してください。

1. 問題の社外サービス(例:Google Drive、Slack、社外Webサイト)にアクセスし、エラーメッセージを確認します。タイムアウトなのか、DNSエラーなのか、アクセス拒否なのかを記録します。
2. VPNを切断した状態で同じサービスにアクセスできるか試します。切断後もアクセスできない場合は、端末自体のネットワーク問題またはサービス側の障害です。
3. VPN接続中にコマンドプロンプトを開き、「nslookup サービス名」を実行して名前解決が正しいか確認します。VPN切断時と結果を比較してください。
4. 「tracert サービス名」を実行し、通信経路を確認します。VPN接続中に途中で止まる場合は、ルーティングの問題が疑われます。
5. VPNクライアントの設定画面を開き、分割トンネルの設定が有効かどうか確認します。設定項目名は「分割トンネル」「スプリットトンネリング」「除外ルート」など様々です。会社のポリシーで変更できない場合がありますので、必ず管理者に相談してください。

原因を切り分けるための確認ポイント

手順を踏んだら、結果に基づいて原因を切り分けます。以下の表は、よくあるパターンと判断基準です。

状況	VPN切断時の動作	主な原因
VPN接続中のみ特定サービスにアクセスできない	正常にアクセスできる	VPNのルーティング設定、DNS設定、またはプロキシ設定が原因
VPN接続中も切断後もアクセスできない	アクセスできない	端末のネットワーク設定、ファイアウォール、またはサービス側の問題
すべての社外サービスがブロックされる	正常にアクセスできる	VPNがフルトンネルで動作している可能性が高い
一部の社外サービスだけブロックされる	正常にアクセスできる	特定のIPアドレス範囲がVPN経由に指定されている(分割トンネルの定義ミス)

また、次のような失敗パターンも注意してください。

失敗パターン:DNS解決の誤りを見逃す

「VPN接続中は社外サービスにアクセスできないが、IPアドレス直接指定ではアクセスできる」場合、原因はDNSにあります。この状況では、nslookupで社内DNSが返すIPアドレスが間違っているか、応答がない可能性があります。多くのユーザーが「接続できない」と報告しながら、DNSの問題に気づかず再インストールなどの無駄な作業を繰り返します。

失敗パターン:ルートテーブルの確認不足

自分でルートテーブルを変更してしまい、復旧できなくなるケースもあります。Windowsの場合は「route print」コマンドで確認できますが、不用意に変更すると社内ネットワークにもアクセスできなくなるため、必ず管理者の指示を仰いでください。

対処方法と管理者への相談内容

個人でできる対処は限られています。まずは以下の安全な方法を試し、問題が解決しない場合は管理者へ報告しましょう。

安全に試せる対処

1. VPNクライアントを再起動する:一時的なルーティングの不整合が解消されることがあります。
2. ブラウザのキャッシュとDNSキャッシュをクリアする:コマンドプロンプトで「ipconfig /flushdns」を実行します。
3. 別のブラウザでアクセスを試みる:プロキシ設定がブラウザ固有の可能性を排除します。
4. VPN接続を一度切断し、再接続する:VPNサーバーとのセッションがリセットされます。

管理者に相談する際の伝えるべき情報

管理者が問題を特定しやすくするため、以下の情報を準備しておきましょう。

• 発生しているサービスのURLやIPアドレス
• VPN接続中と切断時の動作の違い(アクセス可否、エラーメッセージのスクリーンショット)
• コマンド「nslookup サービス名」「tracert サービス名」「route print」の実行結果(管理者から指示があった場合のみ)
• 使用しているVPNクライアントの種類とバージョン
• 問題が発生した日時と、最近のPCアップデートやVPN設定変更の有無

管理者はこれらの情報をもとに、VPNサーバー側の分割トンネル設定の見直しや、ルート除外リストへの追加を検討します。たとえば、特定のクラウドサービスのIPアドレス範囲をVPN経由から除外することで、直接通信が可能になります。

よくある質問

Q1. 分割トンネルを自分で有効にしてもいいですか?

A. 会社PCでは、管理者が設定したVPNポリシーを変更しないでください。不正な変更はセキュリティリスクを生むだけでなく、内部情報漏洩の原因になります。必ず管理者に依頼しましょう。

Q2. すべての社外サービスがブロックされるのはなぜ?

A. VPNクライアントがフルトンネルで動作している可能性が高いです。この場合、すべての通信がVPN経由になり、社外サービスへの経路が社内のファイアウォールなどで遮断されていると考えられます。管理者に確認してください。

Q3. 再インストールで直りますか?

A. 根本原因がルーティングやDNSの設定であれば、再インストールでは解決しません。むしろ、設定が初期化されることで一時的に直ることもありますが、永続的な解決にはなりません。管理者による設定変更が必要です。

まとめ

VPNの分割トンネルで社外サービスがブロックされる問題は、ルーティング、DNS、セキュリティポリシーのいずれかに原因があることが多いです。自分でできる対処としては、VPNの再接続やDNSキャッシュクリアなど限定的なものにとどめ、設定変更は管理者に依頼してください。管理者に相談する際は、本記事で紹介した確認手順の結果をまとめて伝えると、迅速な解決につながります。日頃から接続状態を記録しておくことで、トラブル時の切り分けがスムーズになります。

🔗

社内ネットワーク・VPN・リモートアクセス完全解決データベースVPN、Wi-Fi・LAN、共有フォルダー、RDP、社内ポリシーの原因を横断して確認できます。