クラウドサービスや業務システムの中には、不正なログインを防ぐために「会社のIPアドレスから来た接続だけを受け付ける」設定ができるものがあります。社内では問題なく使えていても、在宅勤務や出張先では自宅やホテルの回線から接続することになり、ログインできなくなります。

この記事では、こうしたサービスを社外から使うための オフィスブレイクアウト を取り上げます。ここでは「指定したサービスへの通信だけを、VPNでいったんオフィスへ送り、オフィスの回線からインターネットへ出す」方式を指します。

※「ブレイクアウト」という言葉は、本社やデータセンターを経由せず、各拠点から直接インターネットへ出す方式（ローカルブレイクアウト）の意味で使われることもあります。この記事で扱うのは、その逆向きの「必要な通信だけオフィスから出す」使い方です。

この記事でわかること

  • 接続元のIPアドレスを制限したサービスが、社外から使えない理由
  • 全通信をVPNに通す方法と、オフィスブレイクアウトの違い
  • 接続先のIPアドレスが変わるサービスで起きること
  • ForceLink のオフィスブレイクアウトの仕組みと、導入前に確認すること

社外から使えないのは、接続元のIPアドレスが違うから

インターネット上のサービスから見ると、利用者は「どのIPアドレスから接続してきたか」で区別できます。会社のグローバルIPアドレスだけを許可リストに登録しておけば、IDとパスワードが漏れても、社外の第三者はログインできません。

その代わり、正規の社員でも、自宅の回線から接続すると接続元のIPアドレスが変わるため、許可リストから外れてしまいます。社内システムに入るためにVPNを使っていても、クラウドサービスへの通信は自宅の回線から直接出ていることが多く、同じ問題が起きます。

社外から使えるようにする方法と、それぞれの弱点

方法弱点
許可リストに社員の自宅のIPアドレスを足す家庭の回線のIPアドレスは変わることがあり、管理が追いつかない。許可する範囲も広がる
IPアドレスの制限をやめる制限で防いでいた不正ログインを、ほかの手段で防ぐ必要がある
すべての通信をVPNに通し、オフィスから出す動画やWeb会議まで含めて全社員の通信がオフィスの回線に集まり、混雑や遅延の原因になる
制限のあるサービスへの通信だけをオフィスから出す（オフィスブレイクアウト）対象のサービスを登録する手間がかかる。サービスのIPアドレスが変わったときの扱いが方式によって違う

オフィスブレイクアウトは、IPアドレスの制限を保ったまま、オフィスの回線に流れる通信を必要な分だけに絞れる方法です。一方で、どの方式で「対象の通信」を見分けるかによって、運用の手間が大きく変わります。

接続先のIPアドレスが変わると、宛先の登録が追いつかない

「この通信をオフィスへ送る」と決めるには、宛先を見分ける必要があります。素直なのは、サービスのIPアドレスを登録しておく方法です。

ところが、大手のクラウドサービスは、同じURLでも、時間や利用者の場所によって違うIPアドレスで応答することがあります。使うIPアドレスの数も多く、予告なく増えたり変わったりします。登録したIPアドレスが古くなると、そのサービスへの通信だけがオフィスを経由しなくなり、急にログインできなくなります。

サーバー側で前もってIPアドレスを調べて端末へ配る方式でも、Microsoft 365 のようにIPアドレスが多く、ときどき変わるサービスには追いつけないことがあります。

ForceLink は、オフィスに置く ForceLink BOX と、企業ごとに分離したクラウド中継、社員のPCに入れる専用アプリ（ForceLink Client）で、社外から社内ネットワークへ接続するリモートアクセスのサービスです。オフィスブレイクアウトを有効にすると、登録したサービスへの通信だけが、BOXを経由してオフィスの回線から出ていきます。

通信経路サービスから見た接続元
登録したサービスPC → クラウド中継 → オフィスの BOX → オフィスの回線会社のIPアドレス
それ以外PC → 自宅や出張先の回線（今までどおり）自宅や出張先のIPアドレス

サービスはIPアドレスではなく、ドメイン名で登録する

対象のサービスは、example.com のようなドメイン名で登録します。サブドメイン（login.example.com など）も対象に含まれます。登録と有効・無効の切り替えは、お客様の管理者が BOX の管理画面で行えます。

IPアドレスが変わっても、名前を調べるたびについていく

社員のPCが登録したサービスにアクセスしようとすると、ドメイン名からIPアドレスを調べる問い合わせ（名前解決）を ForceLink Client が受け取り、オフィス側で調べます。返ってきたIPアドレスへの経路を、その場でVPNの中に向けてから、ブラウザなどに答えを返します。

IPアドレスを前もって登録しておくのではなく、名前を調べるたびに経路を作るので、サービスのIPアドレスが変わっても登録をやり直す必要はありません。

オフィスの回線から出られるのは、登録したサービスだけ

BOX の側でも、オフィスで調べた登録済みサービスのIPアドレスに向かう通信だけを、オフィスの回線から外へ出します。それ以外の宛先への通信は、VPNから来てもオフィスの回線からは出しません。社員のPCの設定が書き換えられても、オフィスの回線をほかの用途に使われることはありません。

また、BOX に届かないときは、登録したサービスだけがつながらない状態になります。自宅の回線から勝手に接続しにいくことはなく、それ以外の通信には影響しません。

導入前に確認しておくこと

  • 対応している端末：オフィスブレイクアウトは、標準の Windows 向け ForceLink Client で使えます。個別に設定情報を発行して使う Mac・iPhone・Android の端末は対象外です
  • 登録するサービスの洗い出し：接続元のIPアドレスを制限しているサービスと、そのドメイン名を確認します。サービスによっては、ログイン画面と本体でドメイン名が違うことがあります
  • オフィスの回線と BOX の処理能力：対象のサービスへの通信はオフィスの回線を通ります。利用する人数と通信量に見合う回線か、事前に確認します
  • 名前を調べずに接続する通信は対象外：IPアドレスを直接指定した接続は対象になりません。また、ブラウザで「セキュアDNS（DNS over HTTPS）」を利用者が手動で有効にしていると、登録したサービスでもオフィスを経由しないことがあります
  • 切り替えの瞬間：オフィスブレイクアウトの有効・無効を切り替えると、利用中の社員の接続が数秒つながり直します

※ 実際の構成と利用の可否は、利用するサービス、オフィスのネットワーク環境、利用人数を確認したうえで個別に検討します。

こんな使い方ができます

  • 在宅勤務：会社のIPアドレスだけを許可している勤怠・経費精算・顧客管理などのサービスを、自宅から使う
  • 出張先・外出先：ホテルや移動先の回線からでも、同じ制限のあるサービスにログインする
  • 作業拠点からの作業：オフィスと別の拠点で、接続元を制限した管理用のサービスを使う（社内ネットワークへの接続とあわせた構成は PCキッティング事業者の作業拠点から顧客企業の社内ネットワークへつなぐ で紹介しています）

まとめ

  • 接続元のIPアドレスを制限したサービスは、自宅や出張先の回線からはログインできません
  • 全通信をVPNに通すとオフィスの回線に負担が集まるため、制限のあるサービスへの通信だけをオフィスから出すオフィスブレイクアウトが選択肢になります
  • サービスのIPアドレスは変わることがあるため、宛先をIPアドレスで登録する方式では追いつかない場合があります
  • ForceLink では、サービスをドメイン名で登録し、名前を調べるたびに経路を作るので、IPアドレスが変わってもついていけます。BOX の側でも、登録したサービス以外の通信はオフィスの回線から出しません

IPアドレスの制限があるサービスを社外から使いたい、という段階でも構いません。お問い合わせ からご相談ください。料金は 料金ページ、契約前の疑問は FAQ で確認できます。