PPTP・L2TPの固定IPは乗り換えどき？WireGuardへの移行手順

数年前に契約した固定IPサービス、いまの接続方式を確認したことはありますか？SaaSのIPアドレス制限や取引先システムへの接続許可のために導入した固定IPが、実は PPTP や L2TP/IPsec といった古い方式のまま、というケースは少なくありません。

結論から言うと、PPTP・L2TP方式の固定IPは今日明日に使えなくなるわけではありません。ただし、OS側のサポート縮小や接続トラブル、セキュリティ監査での指摘といった「じわじわ効いてくる不便」を抱えやすく、契約更新・OS更新・監査のタイミングで見直す価値がある方式です。

こんな症状があれば、乗り換えを考えるサイン

PPTP・L2TPの固定IPを使っている現場でよく聞く悩みと、WireGuard方式に乗り換えるとどう変わるかを並べました。1つでも当てはまるなら、この記事を最後まで読んでみてください。

PPTP・L2TPとは？いまも使われている理由

PPTPもL2TPも、インターネット上に仮想的な専用線（トンネル）を作る「VPNプロトコル」の一種です。VPN型の固定IPサービスでは、端末からサービス事業者のVPNサーバーへこのトンネルをつなぎ、サーバー側の固定IPアドレスでインターネットへ出ていく仕組みになっています。

PPTP（Point-to-Point Tunneling Protocol） は1990年代に策定された古いプロトコルです（仕様：RFC 2637）。認証には主にMS-CHAPv2という方式が使われます。設定項目が少なく、かつてはWindows・macOS・iPhoneのいずれにも標準で接続機能が入っていました。

L2TP/IPsec は、トンネルを作るL2TPと、暗号化を担うIPsecを組み合わせた方式です。L2TP自体は通信を暗号化しないため、IPsecと組み合わせて使うのが一般的です（参考：RFC 3193）。PPTPより安全とされ、こちらもOS標準のVPN機能で接続できます。

どちらも「専用アプリを入れなくても、OSの設定画面だけでつながる」ことが最大の利点でした。社員の端末にソフトを配布しなくてよいため、情シスの負担が小さく、多くの固定IPサービスで採用されてきた経緯があります。

レガシープロトコルを使い続ける4つのリスク

PPTP・L2TPは、登場から20年以上がたつ技術です。この間にセキュリティの弱点が公表され、OSベンダーも段階的にサポートを縮小してきました。

ここからは、使い続けるときに具体的に何が困るのかを4つに分けて見ていきます。

1. セキュリティ：PPTPの認証方式には既知の弱点がある

Microsoftは2012年に公開したセキュリティアドバイザリで、PPTPで広く使われている認証方式MS-CHAPv2について、既知の暗号上の弱点を突く詳細な攻撃コードが公開されたことを周知しています。MS-CHAPv2を唯一の認証方式とするPPTPのVPNでは、通信の途中を傍受されるとユーザーの認証情報を解読されるおそれがあるとされ、より安全なトンネル方式への移行などが推奨されています（出典：Microsoft Security Advisory 2743314）。

社内のセキュリティチェックシートや取引先の監査で「利用しているVPNの方式」を問われたとき、PPTPと回答すると説明を求められる可能性があります。

2. OS・プラットフォームのサポート縮小

AppleはiOS 10とmacOS Sierraで、OS標準のVPNクライアントからPPTPを削除しました。アップグレードした時点でVPNプロファイルからPPTP接続が削除され、PPTPのVPNサーバーには接続できなくなると案内しています（出典：Apple サポート「iOS 10 および macOS Sierra にアップグレードする前に PPTP VPN の削除に備える」）。つまり、いまのMacやiPhoneでは、OS標準機能でPPTPの固定IPに接続することはできません。

Microsoftも2024年10月、将来のWindows ServerではRRAS（Windows ServerのVPNサーバー機能）がPPTP・L2TPによる着信接続を受け付けなくなる方針を発表し、SSTPやIKEv2への移行を推奨しています。なお、この発表の対象はVPNサーバー側で、Windowsから外向きにPPTP・L2TP接続する機能は引き続き利用できると説明されています（出典：Microsoft Windows Server Blog「PPTP and L2TP deprecation: A new era of secure connectivity」）。

固定IPサービスのVPNサーバーがWindows Serverとは限らないため、この発表がそのまま契約中のサービスに影響するわけではありません。ただ、OSベンダー2社がそろってレガシープロトコルから距離を置き始めている、という流れは押さえておきたいところです。

3. つながりにくさ：ネットワーク環境の影響を受けやすい

L2TP/IPsecは、鍵交換にUDPの500番ポートを使い、途中にNAT（ルーターなどでのアドレス変換）がある環境ではUDPの4500番ポートに切り替えて通信します（参考：RFC 3947）。そのため、これらのポートが制限されているネットワークでは接続できないことがあります。PPTPも、TCP 1723番ポートに加えて「GRE」という特殊な通信を使うため、ルーターやファイアウォールの設定によっては通りません。

ホテルや公衆Wi-Fi、一部のモバイル回線、IPv6を前提とした回線など、社外のネットワークは情シスが設定をコントロールできません。「出張先でだけ固定IPにつながらない」という問い合わせが続く場合、原因はプロトコル側にあるかもしれません。

4. 速度・安定性：オーバーヘッドと再接続の手間

L2TP/IPsecは、L2TPのトンネルをさらにIPsecで包む二重のカプセル化構造になっており、データ本体以外のヘッダー情報（オーバーヘッド）が大きくなりがちです。また、Wi-Fiからモバイル回線へ切り替わるなど端末のIPアドレスが変わると、セッションを張り直す必要があり、そのあいだ通信が途切れます。

WireGuardとは？レガシープロトコルとの違い

WireGuard（ワイヤーガード）は、2020年3月リリースのLinux 5.6で、Linuxカーネルに標準で組み込まれたVPNプロトコルです（出典：KernelNewbies「Linux 5.6」）。

公式サイトによると、WireGuardは少ないコード量で実装でき、セキュリティの監査がしやすいことを設計目標にしており、IPsecより高速でシンプル、OpenVPNより大幅に高性能であることを目指しています。また、端末のIPアドレスが変わっても通信を継続できる「ローミング」に対応しています（出典：WireGuard 公式サイト）。プロトコルとしての詳しい特徴は「WireGuardとは？OpenVPN・IPsecとの違いと選び方」で解説しています。

WireGuard方式の固定IPサービスでは、端末とVPNサーバーのあいだをWireGuardの暗号化トンネルで結び、VPNサーバーの固定IPアドレスからSaaSや社内サーバーへアクセスします。オフィス・自宅・出張先のどこから接続しても、接続先から見える接続元は同じ固定IPアドレスです。

PPTP・L2TP/IPsec・WireGuardを、情シスが気にするポイントで比較すると次のとおりです。

一方で、WireGuardにも注意点があります。導入前に次の2点は確認しておきましょう。

• 公式のWireGuardアプリのインストールが必要 … OS標準のVPN機能ではなく、公式アプリを使います。端末管理ツールでアプリの配布を制限している場合は、許可の手続きが必要です。
• UDP通信を使う … UDPを厳しく制限しているネットワーク（一部の社内ネットワークや施設のWi-Fiなど）では接続できない場合があります。社内から接続する場合は、事前に無料お試しで疎通を確認しておくと安心です。

乗り換え前に確認すべきチェックリスト

乗り換えの準備で最も手間がかかるのは、プロトコルの切り替えではなく「固定IPアドレスを登録している場所の洗い出し」です。次のチェックリストをそのまま社内の確認用に使ってください。

• 現在の固定IPを許可登録している先 … Microsoft 365・Google Workspace・kintone・SalesforceなどのSaaSのIPアドレス制限、自社サーバーやクラウドのファイアウォール、NASや管理画面のアクセス制限、取引先システムの接続許可リスト、社内ルーターの設定など
• 登録変更の担当者と所要期間 … 自社で変更できるのか、取引先への申請が必要なのか。申請から反映まで日数がかかる先は早めに着手します
• 利用人数と端末のOS … Windows・Mac・iPhone・Androidの台数と、端末管理ツールでアプリ配布を制御しているか
• 現契約の解約条件 … 最低利用期間、違約金、解約申請の締め日
• 切り替え時期 … 決算期や繁忙期を避け、並行稼働の期間を確保できるか

業務を止めずに乗り換える5ステップ

IPアドレスが変わる乗り換えでも、順番さえ守れば業務を止めずに移行できます。ポイントは「新しいIPを足してから、古いIPを消す」ことです。全体の流れを図にすると、次のようになります。

各ステップでやることは次のとおりです。

固定IPアクセスの無料お試しは、申し込み月の翌月末まで最大2ヶ月です（1つ目の固定IPのみ・最大10ライセンスまで）。この期間をそのまま並行稼働の期間にあてれば、新しいサービスの料金をかけずに検証と切り替えを進められます。

ロリポップ！固定IPアクセスが乗り換え先に選ばれる理由

乗り換え先を比べるときに確認したい項目を、先に一覧にしておきます。

いまの回線のまま、その日から使える

VPN型のサービスなので、回線工事やプロバイダの変更、専用機器の設置は必要ありません。いまの回線のまま、申し込んだその日から使えます。プロバイダの固定IPとVPN型サービスの違いは「固定IPの取得方法と手順：プロバイダ契約 vs 専用サービス徹底比較」で詳しく比較しています。

1つの固定IPを全社で使え、管理も画面で完結

1つの固定IPに複数のライセンスを追加すれば、複数人が同じ固定IPアドレスで接続できます（1ライセンスを複数端末に設定できますが、同時に接続できるのは1台です）。SaaS側に登録するIPアドレスは1つのまま、人数だけを増やせます。部署や用途ごとに固定IPを分けたい場合は「複数の固定IPアドレスが必要なときは? ISP契約との比較と手軽な取得法」も参考にしてください。

管理画面では、次のような運用を追加費用なしで行えます。

• ライセンスを1つ単位で追加・削除
• 接続情報のメール送信と、既存ライセンスの接続情報の再生成
• 接続ログの確認（最大6ヶ月保存・CSVでダウンロード可能）
• VPNを経由する通信の範囲を、IPアドレス・サブネット単位で指定するルーティング設定
• Okta・Microsoft Entra ID・OneLoginとのIDaaS連携によるユーザーの自動同期

人数に合わせて選べる2つのプラン

最低利用期間や解約時の違約金はなく、月単位で契約できます。10ライセンス以上のご契約では請求書払いにも対応しています。社員数が多い場合のプラン選びは「スタンダードプランのリリース」で紹介しています。

導入実績としては、個人から1,000人規模の法人まで対応しており、中小企業から大企業、公的機関・学校法人まで幅広く利用されています。VPN接続時の通信速度が気になる場合は、固定IPアクセス接続時の速度の計測結果を公開しています。

乗り換え事例：プロバイダの固定IPから移行したケース

札幌でWebサイト制作を手がける株式会社ジャクスタポジション様は、プロバイダのオプションで契約していた固定IPから固定IPアクセスへ乗り換えた企業です。オフィスの回線にひも付いた固定IPは自宅や出張先で使えず、プロバイダを変えると固定IPも変わってしまうことが、回線見直しの足かせになっていたといいます。

導入後は、従業員に一定期間試してもらい、問題がないことを確認してから本格的に切り替えを進めたとのことです。接続方式は異なりますが、「新しい固定IPを試しながら段階的に移行する」という進め方は、PPTP・L2TPからの乗り換えでもそのまま参考になります。

よくある質問

今の固定IPアドレスをそのまま引き継げますか？

引き継げません。固定IPアドレスは各事業者が保有しているもののため、別のサービスへ持ち出すことはできず、ロリポップ！固定IPアクセスでもIPアドレスの指定や持ち込みはできません。新しい固定IPアドレスを許可リストに追加し、新旧を並行して使える期間を設けて移行してください。

業務を止めずに乗り換えられますか？

乗り換えられます。新しい固定IPアドレスを許可リストに追加してから端末を順に切り替え、全員の接続を確認した後に旧IPアドレスを削除する、という順番を守れば、業務を止めずに移行できます。最大2ヶ月の無料お試し期間を並行稼働の期間として使えます。

Mac・iPhone・Androidでも使えますか？

使えます。固定IPアクセスはWindows・macOS・iOS/iPadOS・Androidなどに対応しています。各端末に公式のWireGuardアプリをインストールし、接続情報を読み込んで利用します。

社員が多い場合、ライセンス管理はどうすればよいですか？

10ライセンス以上なら、1ライセンスあたり月額450円（税込495円）のスタンダードプランを選べます。ライセンスは管理画面から1つ単位で増減でき、Okta・Microsoft Entra ID・OneLoginを使っている場合は、IDaaS連携でユーザーの自動同期も追加費用なしで行えます。

無料お試しの条件は？

申し込み月の翌月末まで、最大2ヶ月無料でお試しいただけます。対象は1つ目の固定IPのみで、上限は10ライセンスです。2つ目以降の固定IPは初月から料金が発生します。

請求書払いはできますか？

10ライセンス以上のご契約で請求書払いに対応しています。ご希望の場合はお問い合わせフォームからご連絡ください。

まとめ：契約更新・OS更新・監査のタイミングが見直しどき

• PPTPは認証方式に既知の弱点があり、iOS 10・macOS Sierra以降の標準VPN機能からは削除されている
• L2TP/IPsecはネットワーク環境によってつながらないことがあり、MicrosoftもWindows ServerのVPNサーバー機能での非推奨化を発表している
• WireGuardは軽量で監査しやすく、IPアドレスが変わっても通信を継続できる。ただし公式アプリの導入とUDP通信の可否確認が必要
• 乗り換えると固定IPアドレスは変わるため、「新IPの追加 → 端末の切り替え → 旧IPの削除」の順に並行稼働で移行する

レガシープロトコルの固定IPは、すぐに使えなくなるものではありません。だからこそ、契約更新やOSの入れ替え、セキュリティ監査といった区切りのタイミングで、計画的に見直しておくのがおすすめです。