外出先から社内ネットワークに接続する方法

「出張先から事務所のパソコンのファイルを開きたい」
「自宅から社内の勤怠システムに入りたい」
「現場に置いてある機器の状態を、会社から確認したい」

この手の相談を受けると、たいてい先に答えが決まっています。
困っているのは接続のやり方ではなく、今やっている回避策のほうだからです。

「外から社内に入りたい」を、今はどう片付けているか

実際に見かけるのは、だいたい次の4つです。

ファイルを持ち出す
・何をしているか: USBメモリや個人のクラウドにコピーする
・危ないところ: 紛失する。誰がどのファイルを持っているか分からなくなる

ポート開放
・何をしているか: 業者に頼んでルーターに穴を開け、外から直接つなげるようにする
・危ないところ: インターネット側に入口ができる

VPN装置
・何をしているか: 事務所に装置を置いて、そこを通って入る
・危ないところ: 同じく入口ができる。装置の更新を続ける仕事がついてくる

遠隔操作ソフト
・何をしているか: 事務所のパソコンに入れて、画面を外から操作する
・危ないところ: サービス提供元のアカウントが突破されると画面を丸ごと渡す

どれも動きます。
ただ、何が危ないのかはそれぞれ違います。

どのやり方も、インターネット側に入口を置いている

4つのうち、ファイルの持ち出しだけは別の種類の問題です。
入口の話ではなく、持ち出した先で何が起きるかという話。

残る3つは、インターネット側から見える入口を自分で作る方法です。
入口がある以上、世界中から休みなく侵入を試される場所ができます。

これは感覚の話ではありません。
警察庁が2026年上半期に公表した資料では、報告されたランサムウェア被害が123件あります。
そのうち感染経路について有効な回答が得られた36件を見ると、18件がVPN機器からの侵入でした。半数です。

同じ資料で、被害123件のうち79件が中小企業です。
規模が小さいから狙われないという話にはなっていません。

装置の更新は、置いた日から終わりがありません。
そして更新が止まっても、入口であることは変わりません。

つまり、どのやり方を選んでも守る場所が増えます。
問題は、増えた場所を全部守り続けられるかどうかです。

入口を置かず、端末同士を直接つなぐ

ここで発想を変えて、インターネット側に入口を作るのをやめ、許可した端末同士だけを1対1でつなぎます。

事務所のパソコン側からも、自宅のパソコン側からも、両方が外に向かって接続を出す形です。
出ていった接続同士を合流させるので、待ち受ける入口が要らなくなります。

このとき、事務所のパソコンはインターネットからの接続を待ち受けていません。
外から探しても、叩くための入口が見つからない状態です。

ルーターのポート開放も、固定IPアドレスの契約も、専用の装置も必要ありません。

違いは、接続がどちら向きに始まるかだけです。
この1点が変わると、守る対象が「入口」から「許可した端末の組み合わせ」に変わります。

これをアプリの導入だけでやれるのがTailscaleです

ここでようやく道具の名前が出てきます。
いま説明した形は、Tailscale（テイルスケール）というサービスで作れます。装置は買いません。

Windows、Mac、iPhone、Android、サーバー機に、同じアプリを入れます。
入れた端末同士が、自分たちだけの閉じたネットワークを作ります。

この閉じたネットワークの呼び名が「tailnet」です。以降もこの言葉を使います。

暗号化にはWireGuardという仕組みを使います。
端末同士が持つ鍵で暗号化するので、途中を通る経路から中身を読むことはできません。

相手と直接つながれない回線環境のときだけ、中継サーバーを経由します。
その場合も暗号化されたまま通るので、中継側は内容を見られません。

「それもVPNでは」と言われたら

ここまで読んで、引っかかった方がいると思います。

そのとおりで、Tailscaleも広い意味ではVPNです。通信を暗号化して、離れた場所をつなぐ仕組みだからです。
「VPNが危ないと言っておいて、VPNを勧めるのか」と聞かれたら、答えははっきりしています。

狙われているのは、暗号化してつなぐことではありません。
インターネット側で接続を待ち受けている装置のほうです。

警察庁の資料でVPN機器と書かれているのは、事務所に置いて外向きに口を開けておく、あの箱のことです。
その箱に未修正のぜい弱性や設定の不備があると、外から直接たどり着けます。

ここで説明しているのは、その箱を置かずに済ませるやり方です。
VPNをやめる話ではなく、待ち受ける箱をやめる話だと考えてください。

入れてログインすると、もうつながっています

導入の手数は、拍子抜けするほど少ないです。

アプリを入れて、GoogleやMicrosoftのアカウントでログインします。
同じアカウントでログインした端末同士が、自動的に同じtailnetに入ります。

あとは端末の名前を指定するだけです。
事務所のパソコンの共有フォルダや社内システムが、社内にいるときと同じように開きます。

つなぐための作業は、ここで終わりです。
ただ、安全に使うための設定はここから始まります。

初期設定のままだと、全員が全部につながります

ここが一番大事なところです。

Tailscaleは、tailnetを作った時点では、すべての端末がすべての端末につながる設定になっています。
公式のドキュメントにも、最初の方針ファイルはtailnet内の全端末間の通信を許可する、と明記されています。

便利なので最初はそれで動きますが、業務で使う状態ではありません。

たとえばアルバイトの私物スマートフォンを1台入れた瞬間に、そのスマートフォンから経理のパソコンにも、サーバーにも到達できる状態になります。

「入れただけで安全になるツール」ではなく、「入口を作らずに済む代わりに、中の仕切りは自分で決めるツール」です。
そこを引き受けられるかどうかが、導入の判断になります。

安全に使うために、最低限やる6つの設定

多くはありません。ほとんどは管理画面で順番に片付けられます。

1. ログインに使うアカウントの2段階認証
・何を防ぐか: アカウントの乗っ取りで社内ごと渡すこと
・自分でできるか: できる

2. 端末の承認を必須にする
・何を防ぐか: 私物の端末が気づかないうちに増えること
・自分でできるか: できる

3. 誰がどこにつながれるかを決める
・何を防ぐか: 1台から全部に到達できる状態
・自分でできるか: ここだけ人の手を借りる

4. 有効期限を無効にしない
・何を防ぐか: 退職者や紛失した端末が永久につながること
・自分でできるか: できる

5. 社内LANをまるごと通さない
・何を防ぐか: 外から社内ネットワーク全体に届く状態に戻ること
・自分でできるか: できる

6. インターネット公開の機能に触らない
・何を防ぐか: せっかく作らずに済んだ入口を自分で作ること
・自分でできるか: できる

ひとつずつ見ていきます。

1. ログインに使うアカウントに2段階認証をかける

Tailscaleは専用のパスワードを持たず、GoogleやMicrosoftのアカウントでログインします。

つまり、そのアカウントが乗っ取られた時点で、社内ネットワークごと渡すことになります。
守るべき対象はTailscaleではなく、ログインに使っているアカウントのほうです。

ここを後回しにするなら、そもそも導入しないほうが安全です。

2. 端末が増えるときに、承認を必須にする

既定では、アカウントでログインすればその端末はすぐtailnetに入れます。

管理画面の端末承認（Device approval）をオンにすると、管理者が許可した端末だけが入れるようになります。

私物の端末が気づかないうちに増えていく事故は、これで止まります。

3. 誰がどこにつながれるかを決める

初期設定の「全員が全部」を、ここで仕切ります。
管理画面のAccess Controlsで、どの人とどの端末が、どの相手に到達できるかを書きます。

正直に言うと、この設定だけは設定ファイルを書く作業になります。
エンジニアでない方がひとりで完結させるのは難しい部分です。

最初の1枚を誰かに書いてもらい、以降は社員の追加に合わせて直していく形が現実的です。
最初の1枚さえあれば、あとはほとんど触りません。

4. 有効期限を無効にしない

端末の認証には有効期限があります。
新しく作ったtailnetの既定は180日で、1日から180日の範囲で変えられます。

期限が来るとその端末の通信は止まり、再ログインすれば戻ります。
不便に見えますが、退職者や紛失した端末が永久につながり続けないための仕組みです。

無効化もできますが、対象はサーバーや現場の機器など、手が届きにくいものに限ります。
人が持ち歩く端末で期限を外すのはやめたほうがいいです。

5. 社内LANをまるごと通さない

古い複合機、ネットワークカメラ、業務用の機械など、アプリを入れられない機器もあります。
こうした機器には、1台を中継役にして社内LANへの通り道を作ります。
この中継役の呼び名がサブネットルーターです。

便利ですが、通す範囲を広く取れば、社内ネットワーク全体に外からつながる状態に戻ります。

通す範囲は管理画面で承認しない限り有効にならないので、必要な機器のアドレスだけを承認します。
もうひとつ気をつける点として、この中継を通った通信は中継役の端末からの通信に見えます。
そのため、どの機器が何をしたのかが追いにくくなります。

本当に必要な機器だけに絞ってください。

6. インターネットに公開する機能には触らない

Tailscaleには、社内のサービスをインターネット全体に公開するFunnelという機能があります。

これを使うと、せっかく作らずに済んだ入口を自分で作ることになります。
既定では無効で、コマンドから明示的に有効化しないと動かないので、普通に使っている限り誤って公開されることはありません。

社外の方に何かを見せたい場合は、次に書く端末の共有を使います。

業者に渡すのは、IDとパスワードではなく端末1つ

制作会社や会計事務所に、社内の1台だけを見てもらいたいことがあります。

いま多いのは、サーバーのIDとパスワードをメールで渡す形です。
渡した後は、相手が誰に転送したかも、いつまで使っているかも分かりません。

Tailscaleでは、端末を指定して相手のアカウントに共有します。
相手は共有された端末にだけ到達でき、ほかの端末は見えません。

作業が終わったら、管理画面で共有を外します。
パスワードを変更して全社に通知する作業は要りません。

人を消せば、その人の端末はまとめて切れる

ここが、今までのやり方との一番の違いだと思っています。

共有パスワードで運用していると、退職のたびにパスワードを変え、全員に配り直すことになります。
そして、たいてい誰かの手元に古い情報が残ったままです。

Tailscaleは人のアカウント単位で管理するので、管理画面からその人を外せば、その人の端末は全部まとめてつながらなくなります。

退職や契約終了の処理が、1人分の削除で終わります。

業務で使うなら、無料プランは対象外です

Personal
・料金: 無料
・使える範囲: 6ユーザーまで。個人の端末は台数無制限
・業務で使えるか: 使えない（非商用の利用に限ると明記されている）

Standard
・料金: 1ユーザー 月8ドル
・使える範囲: ユーザー・端末とも無制限
・業務で使えるか: 使える

Premium
・料金: 1ユーザー 月18ドル
・使える範囲: 同上。監査などの機能が増える
・業務で使えるか: 使える

無料のPersonalプランは、家庭内で自分の機器につなぐ用途のためのものです。
公式のFAQに、非商用の利用に限る、と書かれています。

会社の業務で使うなら、Standardで1ユーザーあたり月額8ドルです。
社員5人なら月40ドル。VPN装置を買って保守を続ける費用と比べると、判断しやすい金額だと思います。

無料で試して、業務で使うと決めた時点で有料に切り替える、という順番が正しいです。

これでは解決しない場合もあります

向かない場面も正直に書いておきます。

まず、不特定多数のお客様に見せるものには使えません。
これは社内・取引先など、相手を特定できる範囲をつなぐための道具です。

次に、端末にアプリを入れられない環境では、先に書いたサブネットルーターが必要になります。
ここを作り込み始めると、設計の話になるので、ひとりで進めるのは難しくなります。

そして、回線が細い場所で大きなファイルを扱うなら、速度の体感は回線の性能しだいです。
Tailscaleを入れても回線は速くなりません。

最後に、都合の悪いことも書いておきます。

ひとつは、この仕組み全体がTailscaleという会社の管理基盤に乗っていることです。
どの端末を仲間に入れるかを取り次いでいるのが、その基盤にあたります。

そこが破られた場合に見知らぬ端末を紛れ込ませられる可能性は、公式のドキュメントが自分で認めています。
自社側で止める追加の仕組みも用意されていますが、設定は専門的です。

もうひとつは、端末そのものを奪われる経路が残ること。
入口を無くしても、正規の端末を盗まれれば、その端末は仲間のままです。

画面ロックとディスクの暗号化、紛失したらすぐ管理画面から外すこと。
この3つは、どのやり方を選んでも残る宿題になります。

まずは、今のつなぎ方を一緒に確認しませんか

いま外から社内に入るためにどうしているか、入口を公開してしまっていないか、置いてある装置の更新が止まっていないか。

この3つを確認するだけで、やるべきことはだいたい決まります。

状況がうまく説明できなくても構いません。
使っている機器と、外から何をしたいかが分かれば、こちらで確認して構成をご提案します。

ご相談・ご依頼は、FlowCraftの相談フォームからお願いします。
https://flow-craft.dev/

参考

・Tailscale 料金プラン: https://tailscale.com/pricing
・アクセス制御の既定値について: https://tailscale.com/kb/1018/acls
・端末の有効期限: https://tailscale.com/kb/1028/key-expiry
・サブネットルーター: https://tailscale.com/kb/1019/subnets
・Funnel: https://tailscale.com/kb/1223/funnel
・管理基盤を信頼する前提とその対処（tailnet lock）: https://tailscale.com/kb/1226/tailnet-lock
・令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について（警察庁）: https://www.npa.go.jp/publications/statistics/cybersecurity/data/R8kami/R08_kami_cyber_jousei.pdf