これまで社外から社内ネットワークに安全にアクセスする手段として、SSL-VPNは設定の容易さや互換性の広さから多くの企業で活用されてきた技術です。

ところが、SSL-VPNアプライアンスの代表的なベンダーであるFortinetが、SSL-VPNトンネルモードを段階的に廃止する方針を打ち出したことで、世界中に大きな波紋を呼んでいます。この決定は、ただの仕様変更ではなく、リモートアクセスの在り方を大きく見直す必要があることを意味しています。企業のIT担当者だけでなく、経営層にとっても今後のセキュリティ戦略やインフラ方針を考える重要なタイミングといえるでしょう。

なぜFortinetはSSL-VPNを廃止するのか

SSL-VPNは、インターネット経由で社内ネットワークに接続できる便利な仕組みです。しかし、SSL-VPNは、社外からアクセスできるようインターネットに公開された状態で稼働しています。つまり、攻撃者から見れば「世界中から見える攻撃対象」でもあるのです。

Fortinetだけでなく、Ivanti（旧Pulse Secure）、SonicWallといったベンダーのSSL-VPN製品には、多数の深刻な脆弱性（CVE）が報告されており、実際に攻撃にも悪用されています。こうした脆弱性が公表されると、ベンダーはセキュリティパッチを配布します。しかしながら、すべての企業が即座にパッチを適用できるとは限らず、その間に攻撃者から狙い撃ちされるリスクを抱えることになります。

事態をさらに深刻化させているのは、全世界のVPNエンドポイントがShodanやCensysなどのサービスによって可視化できる状態にあることでしょう。たとえば、Fortinetの脆弱性が公表されると、攻撃者はFortinetのVPNエンドポイントを検索して総当たり的に攻撃を仕掛けます。

こうした背景から、Fortinetは「もはやSSL-VPNのトンネルモードは安全性を維持できない」と判断し、今後のOSバージョン（FortiOS 7.6.3以降）から段階的にSSL-VPNトンネルモードのサポート終了を決定したのです。なお、SSL-VPNを利用できるFortiOSバージョンの技術サポートは2026年5月に終了し、Fortinetが2025年4月に公開したFortiOSは、既にSSL-VPNを搭載していません。

■FortiOS サポート終了

バージョン	リリース	技術サポート終了日	サポート終了日
7.6	2024年7月25日	2027年7月25日	2029年1月25日
7.4	2023年5月11日	2026年5月11日	2027年11月11日
7.2	2022年3月31日	2025年3月31日	2026年9月30日
7	2021年3月30日	2024年3月30日	2025年9月30日
6.4	2020年3月31日	2023年3月31日	2024年9月30日
6.2	2019年3月28日	2022年3月28日	2023年9月28日
6	2018年3月29日	2021年3月29日	2022年9月29日

関連記事：なぜVPN機器の脆弱性は管理しづらいのか？～課題と対策を実例から探る～
https://hypervoice.jp/VirtualPrivateNetwork

Fortinet製品のユーザー企業がとるべき3つの選択肢

当然ですが、Fortinetの製品でSSL-VPNを実現していた企業にとって、この決定は大きな問題です。同社の「FortiGate」シリーズは、ファイアウォール、IPS、アンチウイルス。Webフィルタリングなどの複数のセキュリティ機能を一台に集約したUTM (統合脅威管理)製品です。SSL-VPN機能も標準搭載されていたため、別途VPN装置を用意することなく導入できる点が業種や企業規模を問わず幅広く支持されてきました。世界中で数十万以上の企業がFortinet製品を導入し、特に新型コロナウィルス(COVID-19)の感染拡大によるテレワーク需要の急増によって爆発的にシェアを拡大しています。

また、Fortinetは「FortiClient」というクライアントソフトを無償で提供しています。SSL-VPNの利用が手軽であることや、ユーザー数や機能制限が緩やかだったため、日本国内でも中小企業や学校など予算的な制約がある組織での導入が多いことでも知られています。

現在、Fortinet製品を利用してSSL-VPNを実現している企業には、大きな決断が求められています。以下に主な選択肢を整理します。

IPSec-VPNに切り替えて現行構成を延命 (短中期的計画)

Fortinet製品のままVPNを継続するには、リモートIPSec VPN (L2TP/IPSecなど) への移行が最も直接的で推奨される選択肢の一つです。もちろん、FortiClientも活用できます。

AES-GCM、ChaCha20-Poly130など強力な暗号化に対応し、IKEv2＋L2TPによるWindows/Mac対応も可能です。

ただし、接続設定が複雑で、クライアント管理や配布が煩雑になることから、情報システム部門が少ない (または専任者がいない)企業では、運用の負荷が大きくなる可能性があります。

ZTNA構成に移行 (中長期的計画)

FortiOS 7.0以降では、ZTNA（Zero Trust Network Access）構成も可能です。「すべてのアクセスを信頼せず、常に検証する」というゼロトラストの原則に基づき、ネットワーク全体ではなく、アプリケーションごとにアクセスを制御します。デバイスやユーザー属性による常時検証も可能です。

ただし、ZTNAの導入には設計やエージェント管理が必要で、VPNよりも初期構築に時間と知識が求められます。また、ライセンス体系が複雑化するため、コスト予測が難しなる点には注意が必要です。

関連記事：総務省も推奨する「ゼロトラストセキュリティ」とは？　次世代のセキュリティ対策を解説！
https://hypervoice.jp/zero-trust

SASE（Secure Access Service Edge）に移行(長期的計画)

ZTNAに加え、SWG(Secure Web Gateway)、CASB（Cloud Access Security Broker）、SD-WANなどの機能を統合したモデルで、FortiSASEなどで構築可能です。セキュリティとネットワークを統合的に運用できるメリットはありますが、クラウド前提の運用モデルとなるため、オンプレミス主体の企業には導入のハードルがやや高い傾向があります。

関連記事：SASE「Harmony SASE」で、ゼロトラストを実現！
https://hypervoice.jp/Harmony_SASE

他社製品へのリプレイスという現実解

FortinetのSSL-VPN廃止に伴い、Fortinet製品内での構成変更を進める企業が多い一方、次のような声も聞かれるようになっています。

「ZTNAに移行したいが、ライセンス体系が複雑になってしまう」

「GUIや設定の煩雑さが気になっている」

「この機会にセキュリティ機能全体を見直したい」

こうした背景から、他の主要なセキュリティベンダーの製品への乗り換えを現実的な選択肢として検討する動きも活発化しています。FortiGateと同様、次世代型ファイアウォール（NGFW）、およびリモートアクセス機能を核としてソリューションを展開しているセキュリティベンダーは他にもあります。

たとえば、Palo Alto NetworksのNGFWとGlobalProtect (VPNクライアント/ZTNA)の組み合わせ、あるいはJuniper NetworksのJuniper SRXシリーズとIvanti Secure Access (旧Pulse Secure)の組み合わせなどは有力なリプレイス候補として挙げられるでしょう。

そして、Fortinet製品からの有力な乗り換え候補として特に紹介したいのが、Check Point Software Technologies (以下、Check Point)の製品です。同社は1993年創業のサイバーセキュリティ専業ベンダーで、世界150カ国以上、10万社を超える企業での導入実績があります。

Check Pointの製品は、SSL‑VPN や IPSec VPN、そしてゼロトラスト型アクセス（ZTNA）にも対応しています。まずはVPN だけ導入し、次のフェーズでZTN/UTM機能を追加といった段階的な導入が可能なので、企業の成長やセキュリティ状況に応じて拡張できます。

また、UTMもファイアウォール、URLフィルタリング、マルウェア対策、VPN、リモートアクセス管理などを「ブレード形式」で必要に応じて追加できるため、「全機能込みで高額かつ複雑」になりがちな他のベンダーの構成と比べると、中小企業にとって心理的にもコスト的にも導入のハードルが低いと言えるでしょう。なお、オンプレミス型（アプライアンス/ゲートウェイ設置型）とクラウド/ホステッド型（クラウドVPN・SASE型）の両方に対応しています。

また、Check Point製品の管理 UI は比較的直感的で、「ファイアウォール設定」「アクセス制御」「VPN管理」などをひとつの画面から扱いやすく、情シスが小規模、あるいは専任者がいない企業でも、運用ハードルを下げやすい設計になっているのも特長です。

Checkpoint UTM｜もっとも脆弱性が少ない信頼性！！
詳細はこちら：https://www.securitier.jp/products/cyber-attack/checkpoint/

より将来的な状況を見据えるとSSL-VPN環境を維持するのは難しい

コロナ禍を契機に働き方が急速に変化し、リモートワークが常態化しています。その多くがSSL-VPNによるリモートアクセスの仕組みに支えられています。このように多くの企業が日常的にSSL-VPNを使用している現状において、FortinetがSSL-VPNトンネルモードのサポートを終了させたことは、同社にとって大きな決断であったことは間違いありません。

もちろん、SSL-VPNに関連する問題は、Fortinetだけのものではありません。脆弱性への対応には膨大なコストがかかるため、同社のようにSSL-VPNのサポートを終了させるベンダーは今後も増えていくことが予想されます。

Fortinetの問題は単なる始まりに過ぎません。大きなシェアを持つベンダーのサポート終了は、多くの企業に対して「将来的にはSSL-VPNによるリモートアクセスを廃止し、別のテクノロジーに移行しなければならない」という現実を突きつけています。そう考えれば、一刻も早く移行計画を検討することが重要であることは明らかではあるのですが、人数の少ない (あるいは専任者がいない) 情報システム部門ではこうした課題が大きな負担となるでしょう。スムーズな課題解決には、専門家を頼ることをお勧めします。

関連記事：社内ネットワークを守るおすすめの多層型セキュリティ対策
https://hypervoice.jp/network_security

まとめ

FortinetがSSL-VPNトンネルモードのサポートを終了
ユーザー企業は「リモートIPSec VPN」「ZTNA」「SASE」への移行を余儀なくされている
今後、Fortinet以外のベンダーでもSSL-VPNトンネルモードのサポート終了が予想される

あらゆる企業の情報セキュリティ対策を支援！ハイパーのセキュリティア推進部

詳細はこちら：https://www.securitier.jp/security/