プロキシと SWG とは ── 実機を触ったことがない人のための Web アクセスの中継と制御

午後のセキュリティ分野で、社内から Web へ出る通信の話が出ると必ずプロキシサーバが登場し、近年はその置き換え先としてセキュア Web ゲートウェイ（SWG）が出ます。 一言で言えば「社内の PC を直接インターネットに出さず、代理の 1 台を通して検査・記録する」仕組みですが、設問では 「HTTPS をどう中継するか、中身を見るには何が要るか、クラウドに移すと何が変わるか」まで問われます。1 台のプロキシを置いた会社を例に、順に説明します。

1. プロキシが解いている問題

PC がそれぞれ勝手にインターネットへ出る構成では、「誰がどこへアクセスしたか」が分からず、危険なサイトも止められません。 そこで社内のすべての Web 通信を DMZ のプロキシサーバに集め、FW では「PC から直接インターネットへ」を拒否します。プロキシを置く目的は次の 4 つで、設問で「目的を 2 つ答えよ」と来たらここから選びます。

2. フォワードプロキシの動作ステップ

PAC ファイルの骨格
function FindProxyForURL(url, host) {
  if (isInNet(host, "172.16.0.0", "255.240.0.0")) return "DIRECT";   // 社内宛てはプロキシを使わない
  if (dnsDomainIs(host, ".saas.example.com"))     return "DIRECT";   // SaaS 宛ても直接（ローカルブレイクアウト）
  return "PROXY proxy.a-sha.jp:8080";                                 // それ以外はプロキシ経由
}
一部の PC（対応しないアプリ・OS）では PAC が効かない＝「対応する PC やサーバでしか利用できない」（R5 午後Ⅱ問1）

3. HTTPS の中継と TLS 復号

今の Web はほぼ HTTPS です。暗号化された通信を「URL ごと読んで中継する」ことはできないので、HTTPS だけは別の方法で中継します。

ブラウザはまず「CONNECT www.example.jp:443」という要求をプロキシへ平文で送ります。プロキシは Web サーバの 443 番へ TCP 接続し、「200 Connection established」を返します。以後プロキシは両方の TCP をつなぐだけのトンネルになり、TLS ハンドシェイクも暗号化データもそのまま通り抜けます。 CONNECT は平成30年 午後Ⅰ問1、令和4年 午後Ⅰ問1、平成28年 午後Ⅰ問2 と繰り返し空欄になっています。

• プロキシが知れるのは CONNECT 行の接続先ホスト名とポート番号だけ（平成28年 午後Ⅰ問2 設問4(2)）。URL フィルタは FQDN 単位になり、パスやクエリでは判定できません。
• CONNECT は任意のポートへの TCP トンネルを作れてしまうので、443 以外への CONNECT を拒否するのが定石です（平成30年 午後Ⅰ問1 設問2(1)「HTTPS 以外のポートの CONNECT を拒否する」）。許すと、SSH や独自プロトコルをプロキシ経由で外へ出す抜け道になります。

中身を見たいなら TLS を復号する

マルウェア検査や詳細な URL フィルタをするには平文が必要なので、プロキシ（または SWG）が意図的な中間者になります。 ブラウザとの間はプロキシが即席で発行した example.jp の証明書で TLS を張り、Web サーバとの間は本物の証明書で別の TLS を張ります。その証明書に署名しているのはプロキシ自身の CA なので、PC が普通にアクセスすると証明書エラーになります。

4. FW・IDS/IPS・WAF・UTM との役割分担

セキュリティ機器は「どの層の何を見るか」で役割が分かれます。設問で「どの機器で防げるか」を問われたら、この表で判断します。

5. クラウド型 SWG への移行

テレワークと SaaS が増えると、自宅の PC は本社のプロキシを通りませんし、本社のプロキシに全拠点の SaaS 通信を集めると詰まります。 そこでプロキシの機能をクラウドのサービスとして使うのが SWG（Secure Web Gateway）です。令和7年 午後Ⅰ問3 がまるごとこの移行の問題でした。

SWG へ通信を向ける 3 つの方法

移行で変わる 3 点（ここが設問になる）

• FW のルール: 「プロキシ → インターネット」の許可が不要になり、代わりに「内部セグメント → SWG サービス TCP/443」（エージェントやトンネルの接続先）を許可します（令和7年 午後Ⅰ問3 設問3(3)）。
• SaaS 側の送信元 IP 制限: SaaS から見た送信元が本社のグローバル IP から SWG の出口 IP（SWG-GIP）に変わるので、許可リストを変更します（同 設問3(4)）。SWG の出口 IP は共用の場合があり、「自社専用の IP であること」を要件にする問題もあります（令和4年 午後Ⅰ問2 設問3(1)）。
• 経路と遅延: 全通信が SWG を経由するので、SWG のデータセンターが遠いと RTT が増えます（令和4年 午後Ⅰ問2 設問3(2)「SGW サービスの経由によって発生する遅延」）。SaaS 宛てを SWG を通さず直接出す（ローカルブレイクアウト）と速くなりますが、ログとフィルタの対象外になります（令和7年 午後Ⅰ問3 設問3(5)）。

6. 用語集（午後で出る順）

7. 午後での問われ方と答え方の型

8. ミニ確認問題

クリックで答えが開きます。

用語の振り返り

このページの用語集（19 語）から作った確認問題です。「意味 → 用語」は意味の説明（用語そのものは＿＿で伏せてある）を読んで用語を入力し、Enter で答え合わせします。 表記ゆれで × になったときは「合っていた」で直せます。「用語 → 意味」は口で説明してから答えを開いて自己採点します。結果はこのブラウザに保存され、「×だけ」で間違えた語だけを解き直せます。

関係の深いページ

• 拠点間VPN … ローカルブレイクアウトで SaaS 宛てだけ拠点から直接出す
• DNS … プロキシを使うとき、名前解決をするのはプロキシ
• 認証連携 … プロキシ認証、SWG と IdP の連携
• メールと送信ドメイン認証 … 標的型メールから C&C 通信への流れと出口対策

作成 2026-10-28。ネットワークスペシャリスト 科目B（午後）対策。出典は平成27〜30年秋・令和元年秋・令和4〜7年春の午後Ⅰ・Ⅱ（IPA 公開問題と解答例）。 関連: 拠点間 VPN とは、認証連携とは、午後 解答用紙 令和7年（問3 が SWG 移行）。