ZTNAとVPN：本質的な違いは何か

どちらも安全なリモートアクセスに利用されますが、基本となる認可の単位が異なります。従来のVPNはネットワーク接続を先に確立することが多く、ZTNAは個々のアプリケーションとリソースへのアクセス可否を中心に判断します。

要点の比較​

従来のリモートアクセスVPNの仕組み​

VPNは暗号化されたネットワーク接続を提供します。接続後に何へ到達できるかは、経路、ファイアウォール、アクセス制御、ネットワークセグメンテーション、ID管理などで決定されます。適切に設計したVPNは安全に利用できます。

ZTNAの仕組み​

ZTNAはアクセス要求ごとに「このユーザーとデバイスが、今このリソースへアクセスしてよいか」を判断します。ID、デバイスポスチャー、時間、場所、役割などのシグナルを組み合わせます。

ネットワークアクセスとリソースアクセス​

ネットワークに接続できることは、すべての内部リソースへのアクセス権を意味しません。ZTNAでは必要最小限の対象を明示的に定義することが中心です。

IDはログイン以上の役割を持つ​

ユーザー認証だけでなく、役割やライフサイクルの変化をアクセス判断へ反映できます。OIDC認証やSCIM同期は、対応するシステムと連携するための一般的な手段です。

デバイスの信頼性​

個別に登録された端末のIDや、MDM/EDRによるポスチャー情報を評価できます。ただし実際のポスチャー範囲は製品と連携構成によって異なります。

継続的なポリシー適用​

ログイン時だけでなく、アクセス期限、ロール、デバイスの信頼性などが変化した際に、実行中のアクセスを再評価・失効する設計が重要です。

クライアント型とクライアントレス型​

クライアント型​

管理対象端末からの幅広いネットワークプロトコルのアクセスに適しています。ZTXGateではWireGuardを安全な通信経路として使用します。

クライアントレス型​

対応するWebアプリケーションへブラウザーからアクセスできます。ZTXGateの現行クライアントレスプロキシはHTTP/HTTPS向けのライセンス機能です。

制御プレーンとデータプレーン​

ZTNAはすべて同じ構成ではありません。制御をベンダークラウドに置くモデルと、顧客またはMSPの環境で運用するモデルでは、接続性、可用性、運用責任が異なります。

VPNが適する場面​

VPNは従来のネットワーク接続が必要な用途、既存のアプリや特殊な経路要件などで今後も有用です。ZTNAへの移行が必ずしもVPNの即時廃止を意味するわけではありません。

一斉移行は必要ない​

リソースと対象ユーザーを絞り、パイロットで検証しながら移行できます。既存VPNと新しいアクセスモデルを段階的に併用する計画が現実的です。

ZTXGateの位置付け​

ZTXGateはWireGuardベースの管理対象アクセス、HTTP/HTTPSクライアントレスアクセス、ID・デバイス・リソースポリシー、監査、継続的な適用を組み合わせる商用ZTNA製品です。中核アクセスのためにCoreZTのクラウド制御プレーンを必須としません。

参考資料​

• 英国NCSC：ZTNAの概要
• ZTXGateのZTNAアーキテクチャ
• VPNからZTNAへの移行ガイド