サーバーの管理・保守・更新作業において、接続経路のセキュリティ対策は必須です。
とはいえ、IDとパスワード、公開鍵などによる基本的な認証だけでは、万が一のリスクを容易には排除しきれません。
そこで、有効とされるのが「IPアドレスによるアクセス制限」です。
しかし、業務メンバーの作業環境にあわせて都度アクセス制限の設定を変更するのは、管理負担が重く、導入が困難なケースも少なくありません。
こうした、IPアドレス制限の導入に伴う運用負荷を抑えるために役立つのが『XServer 固定IPアクセス』です。
この記事では、「サーバー接続環境」として代表的なFTP / SFTPやSSHを中心に、『XServer 固定IPアクセス』でIPアクセス制限の管理負担を軽減する手法を解説します。
具体的な設定や利用手順までご紹介しますので、実際の運用をイメージし、導入の検討にお役立てください。
サーバー接続環境におけるセキュリティ上のリスク
サーバーの管理や保守、更新作業で利用する接続経路は、いわばWebサイトやシステムの基盤に直接アクセスできる「勝手口」のようなものです。
万が一、これらの接続経路が第三者に不正利用された場合、以下のような深刻な被害を受けるおそれがあります。
それぞれ、詳しく解説します。
FTP / SFTP：Webサイトの改ざんやフィッシング詐欺の悪用
FTP / SFTPの接続情報が漏洩すると、悪意ある第三者がサーバー内に自由にアクセスし、ファイルの改ざんや削除、不正なプログラムの設置などを行える状態になります。
これにより、Webサイトの表示崩れや、フィッシング詐欺を目的とした偽ページの作成といった被害に繋がるのです。
その結果、サイトの所有者だけでなく、訪問者にも二次的な被害が及ぶおそれがあるでしょう。
SSH：データの削除やサイバー攻撃の踏み台化
SSH（セキュアシェル）は、サーバーの根幹を操作できる強力な接続経路です。
この接続経路への不正ログインを許してしまうと、アカウントの権限範囲において、サーバーを不正に操作されてしまう危険性があります。
その結果、サーバー内の全データを一瞬で削除されたり、引き換えに金銭を要求されたりするほか、他社へのサイバー攻撃を仕掛けるための「踏み台」として悪用されるリスクも生じてしまうのです。
サーバー・データベース管理画面：不正な設定変更や機密情報の漏洩
サーバーやデータベース（phpMyAdminなど）の管理画面への不正アクセスも危険です。
サーバーの管理画面では、サーバーの契約やドメインの設定などを勝手に変更されるリスクがあります。
また、データベースの内容によっては、顧客の個人情報、クレジットカード情報、あるいは企業の機密情報が盗み出され、大規模な情報漏洩へと発展するおそれがあるでしょう。
サーバー侵入による被害は、自社内にとどまらず取引先へも拡大し、企業に致命的な打撃を与えます。
セキュリティ意識の低さから社会的信用を失わないためにも、サーバー接続環境への徹底した対策が欠かせないのです。
- 自社への影響： 復旧作業や原因究明へのコスト増大、ブランド価値や顧客からの信頼失墜
- 社外への影響： 損害賠償の請求、取引打ち切り、事業継続の困難化
サーバー接続環境に「IPアドレス制限」が必要な理由
前述したようなリスクを防ぐには、基本的な認証に加えて「IPアドレス制限」を組み合わせる対策が有効です。
一般的には、サーバーに接続するときに「ID・パスワード」や「秘密鍵」などの認証だけに頼っていることも多いでしょう。
しかし、これらの認証情報だけの管理では、以下のような原因による漏洩リスクを排除しきれません。
- 開発担当者のパソコンがマルウェアに感染する
- フィッシング詐欺により、ログイン情報を入力してしまう
- 暗号化されていない通信を、公共のフリーWi-Fiなどで盗み見される
- 認証情報を記載したメールやチャットを誤送信してしまう
認証情報が漏洩した結果、サーバーへの不正アクセスに繋がってしまいます。
しかし、あらかじめIPアドレス制限を導入していれば、万が一の事態にも対応できます。
ID、パスワード、秘密鍵といった認証情報が漏洩してしまったとしても、そもそも許可されたIPアドレス以外からの接続は、サーバー側で自動的に遮断されるためです。
このように、認証とIPアドレス制限を組み合わせることで、不正アクセスのリスクを軽減できます。
【注意点】他の安全対策と併用する
IPアドレス制限をすれば、他のセキュリティ対策をしなくてよいわけではありません。
IPアドレス制限も万全ではないため、それぞれの接続環境に応じた「基本の安全対策」をあらかじめ施しておくことが重要です。
- 共通： 第三者に推測されにくい、複雑で強力なパスワードを設定する。
- SSH：「公開鍵認証」の導入や、最高権限での直接ログインを防ぐ「rootログインの禁止」などをあわせて設定する。
- ファイル転送：通信内容が暗号化されない「FTP」の利用は避けて、「SFTP」や「FTPS」といった、より安全な接続方式へと切り替える。
以上のように、複数の安全対策を組み合わせることで、多角的な視点からの強固な防御が可能になります。
IPアドレス制限の運用が困難な理由
不正アクセス対策として有効なIPアドレス制限ですが、いざ導入しようとすると実務上の課題に直面し、スムーズにいかないのが実状です。
その主な理由として、以下の2つの課題が挙げられます。
それぞれの課題を具体的に解説します。
1. 作業場所の変化と「動的IP」の問題
IPアドレスは、接続する回線や場所によって割り当てられる番号が変化する仕組みです。
そのため、リモートワークの普及や外出先での作業など働き方が多様化した現代では、メンバーごとに利用するIPアドレスが異なるケースも少なくありません。
また、同じ回線であっても、再接続などのタイミングで割り当てられるアドレスが変わることがある「動的IP」が一般的です。
そのため、一度アクセス許可リスト（ホワイトリスト）に登録しても、不定期にIPアドレスが変更されて接続できなくなることがあります。
その結果、正規の業務メンバーであっても、サーバー側から「許可していないアクセス」と判定され、接続を遮断されてしまうのです。
以上のことから、「メンバーごとの柔軟な作業環境」と「特定の接続元だけに縛るIPアドレス制限」を両立させるのは困難だと言えます。
2. 管理者にかかる設定変更の負担と削除漏れのリスク
IPアドレス制限の運用には、サーバー管理者の作業負担が増えるうえに、設定の放置や削除漏れによるセキュリティリスクが生じるという課題があります。
Webやシステム開発の現場では、自社の社員だけでなく、外部パートナーとチームを組んで業務を進めるケースが珍しくありません。
当然ながら、メンバーや組織ごとに接続元のIPアドレスはすべて異なります。
そのため、メンバーのIPアドレスが変わるたびに、管理者はサーバー側の許可リストを何度も書き換える必要があるのです。
業務に関わる組織や人数が増えるほど、この設定変更にかかる業務負担は比例して大きくなっていくでしょう。
さらに、外部パートナーとの契約終了時や社内メンバーの退職時など、本来であればアクセス権を消さなければならないタイミングでの「削除漏れ」リスクも伴います。
その結果、IPアドレスが許可リストに登録されたまま放置され、セキュリティの弱点となってしまうおそれがあるのです。
以上のことから、IPアドレス制限の導入は、管理者の業務負担の増大に加えて、かえってセキュリティ上の潜在リスクも増やしてしまう結果に繋がります。
『XServer 固定IPアクセス』で運用の負担を軽減
前述したIPアドレス制限の運用課題の軽減に役立つのが『XServer 固定IPアクセス』です。
以下のメリットにより、サーバー接続環境へのIPアドレス制限の導入や運用に伴う管理負担を軽減できます。
『XServer 固定IPアクセス』の導入によって、運用の手間がどのように解消されるのか、具体的に解説します。
接続環境に左右されずIPアドレスを固定できる
一般的な接続方法であれば、オフィスや自宅、外出先など、メンバーの作業場所が変われば、接続時のIPアドレスも当然変わります。
しかし、『XServer 固定IPアクセス』を経由することで、接続元のIPアドレスを1つに固定できるようになります。
これにより、働く場所や通信回線が変わっても接続元IPを一定に固定でき、突然アクセスできなくなるリスクを減らせます。
各メンバーは、接続元IPアドレスの変化によるアクセス拒否を気にせず業務を進めやすくなります。
サーバー側の設定は初回設定時だけ
これまでであれば、メンバーの作業場所が変わったり、動的IPのアドレスが切り替わったりするたびに、管理者はサーバーの許可リストを何度も手動で書き換える必要がありました。
しかし『XServer 固定IPアクセス』を導入すれば、サーバー側で行うホワイトリストの設定は、最初の登録時だけで済みます。
それ以降は、サーバー側の設定を変更する必要はありません（※なお、新しく固定IPアドレスを追加契約した場合は、同様にサーバーへの登録が必要です）。
これにより、管理者は頻繁に起こる設定変更の作業や、利用者からの「サーバーに繋がらない」という突発的なトラブル対応に時間を奪われることがなくなります。
端末紛失やメンバー退職時の負担も軽減
社内メンバーの退職や外部パートナーとの契約終了が発生した場合でも、スムーズなリスク対策が可能です。
管理者は、『XServer 固定IPアクセス』の管理画面から対象のライセンスを停止することで、該当する固定IPアドレス経由の接続を止められます。
固定IPアドレスへ接続するために必要な利用枠のことです。
ライセンスは複数の端末に設定できますが、同時に接続できるのは1台までです。複数の端末から同時に接続する場合は、端末数に応じたライセンスが必要になります。
これまでのように、サーバー側の設定ファイルを書き換えるような手間は発生しません。
また、万が一メンバーが端末を紛失してしまった場合にも、同様の操作で、そのライセンスによる固定IPアドレス経由の接続を停止できます。
迅速な対応により、不正利用のリスクを最小限に抑えることができます。
このように、管理者の作業を単純化することで削除漏れなどのリスクを軽減し、よりスムーズなサーバー運用につなげやすくなります。
『XServer 固定IPアクセス』の利用手順
ここからは、『XServer 固定IPアクセス』の利用手順を解説します。
ご利用のサーバーやWebシステムが「IPアドレス制限機能」に対応しているかを事前に確認しておきましょう。
サービスやプランによってはIPアドレス制限が利用できない場合があるため、必ず対応の有無を確認のうえ、手順を進めてください。
手順3ではサーバー環境に合わせた設定もご紹介するため、実際の運用をイメージし、導入の参考にしてください。
本手順では、固定IPアドレスでの通信に切り替えるために「WireGuard」アプリを使う方法を解説します。
なお、社内規定などでアプリを導入できない場合は、OS標準のVPN機能（IKEv2）をセットアップして利用することも可能です。
手順1：【管理者】『XServer 固定IPアクセス』に申し込む
まずは、『XServer 固定IPアクセス』に申し込み、固定IPアドレスを1つ取得したうえで、利用するメンバーごとにライセンスを発行します。
『XServer 固定IPアクセス』のトップページにアクセスし、30日無料お試しをクリックします。
XServerアカウントをまだ取得されていない方は、左側の新規お申込みから、アカウント登録とサービスの申し込みを同時に進められます。
XServerアカウントをお持ちの方は、ログインからサービスの申し込みを進めてください。
※以降は、XServerアカウントをすでにお持ちの場合の手順です。
XServerアカウントにログインし、表示されたページでXServer 固定IPアクセスを申し込むをクリックします。
プランやライセンス数など、契約内容を入力や選択します。
無料お試しでは、実際のサービスと同じ環境をご利用可能です。本契約に移行する場合、無料お試しの環境や契約内容をそのまま引き継いでご利用いただけます。
※「30日無料お試し」は、初めて『XServer 固定IPアクセス』を利用する方が対象です。
「XServer 固定IPアクセス利用規約」「個人情報の取り扱いについて」を確認したうえでチェックを入れて、お申し込み内容を確認するをクリックします。
内容を確認し、申し込みを完了するをクリックしてください。
5分～10分程度で、『XServer 固定IPアクセス』が利用可能になります。
『XServer 固定IPアクセス』の管理画面にログインし、契約したIPアドレスの詳細をクリックします。
対象のメンバーに割り当てるライセンスの詳細をクリックします。
表示された「設定ファイル」をメンバーの利用環境（PCまたはモバイル）に合わせてダウンロードし、対象メンバーへ個別に共有してください。
ライセンスを追加する方法
メンバーの増員などに伴いライセンスを追加したい場合は、管理画面から下記の手順で申請できます。
『XServer 固定IPアクセス』の管理画面にログインし、ライセンスを追加するIPアドレスの詳細をクリックします。
ライセンス一覧画面で、ライセンス追加をクリックします。
追加するライセンス数を入力してプランを選択し、入力確認画面に進むをクリックします。
内容を確認し、お支払いへ進むをクリックします。
お支払い内容を確認し、支払い方法に「クレジットカード」を選択して、決済画面へ進むをクリックします。
決済方法は、クレジットカード支払いのみに対応しています。
お支払いを行うクレジットカード情報を選択または入力し、確認画面へ進むをクリックしてください。
内容を確認し、支払いをするをクリックすれば、ライセンスの追加手続きは完了です。
5分〜10分程度で、新しいライセンスが利用可能になります。
発行したライセンスの詳細をクリックします。
表示された「設定ファイル」をメンバーの利用環境（PCまたはモバイル）に合わせてダウンロードし、対象メンバーへ個別に共有してください。
手順2：【利用者】接続用アプリをインストールして有効化する
利用者は各自の端末に接続用アプリ（WireGuard）をインストールし、固定IPアドレス経由の通信ができるように設定します。
サーバー側のIPアドレス制限を有効化する前に、この設定をメンバー全員が必ず完了させておきましょう。
お使いの端末（PCやスマートフォン）に、接続用のWireGuardアプリをインストールします。
アプリを起動し、ファイルからトンネルをインポートをクリックします。
管理者から共有された設定ファイルを読み込みます。
追加されたトンネルの有効化をクリックします。
状態が「有効」に切り替われば、完了です。
アプリのインストールとライセンスの設定は初回のみです。
次回以降は、アプリを起動して「有効化」するだけで、固定IPアドレス経由の接続に切り替わります。
手順3：【管理者】サーバー環境に固定IPアドレスを登録する
ご利用のサーバー環境にあわせた手順で、固定IPアドレスを許可リストに追加します。
なお、当記事では『エックスサーバー』の画面を例に解説します。
FTP / SFTP
サーバーへのファイル転送（FTP / SFTP接続）へのIPアドレス制限は、『エックスサーバー』の「FTP制限設定」から設定可能です。
サーバーパネルにログインし、「FTP制限設定」を選択します。
FTP接続許可IPアドレスを追加をクリックします。
設定対象と許可IPアドレスを選択または入力し、追加するボタンをクリックします。
- 設定対象：アクセス制限をかける範囲を選択します。
- サーバーアカウント全体： サーバー内のすべての領域に対して制限が有効になります。
- 該当ドメインのみ： 指定したドメインのフォルダ配下に対してのみ制限が有効になります。
- IPアドレス：WireGuardを有効化した状態で「現在のIPアドレス」を選択するか、「任意のIPアドレス」に直接固定IPアドレスを入力します。
一覧に設定した固定IPアドレスが表示されていれば完了です。
設定後の接続確認
サーバー側の設定が完了したら、固定IPアドレス経由で問題なく接続できるか確認しましょう。
正常に接続できない場合は、WireGuardで対象のトンネルを有効化できているか、サーバーに登録したIPアドレスに間違いがないかを確認してください。
固定IPアドレスによるアクセス制限だけでなく、通信を暗号化する「FTPS」や「SFTP」の利用を徹底しましょう。
通常のFTPは通信内容（ID・パスワードやファイル）が暗号化されないため、IPアドレス制限とあわせて通信経路そのものを保護することが重要です。
SSH
SSH接続のIPアクセス制限は、『エックスサーバー』の「SSH設定」から設定できます。
エックスサーバーのSSH接続は、「公開鍵認証」にのみ対応しています。
SSH接続の「IPアクセス制限」を有効化する場合は、事前に「公開鍵」の登録を済ませたうえで、以降の手順を読み進めてください。
サーバーパネルにログインし、「サーバー > SSH設定」をクリックします。
「アクセス制限」タブをクリックします。
「IPアドレス制限」のスイッチをONに切り替えます。
ホワイトリストIPアドレスに固定IPアドレスを入力し、設定するをクリックします。
一覧の「ホワイトリスト」の欄に固定IPアドレスが表示されれば完了です。
設定後の接続確認
サーバー側の設定が完了したら、固定IPアドレス経由で問題なく接続できるか確認しましょう。
正常に接続できない場合は、WireGuardで対象のトンネルを有効化できているか、サーバーに登録したIPアドレスに間違いがないかを確認してください。
固定IPアドレスによるアクセス制限だけでなく、「公開鍵認証方式の利用」や「rootユーザーでのログイン禁止（※VPS利用時など）」といった、SSHの基本セキュリティ対策との併用を徹底しましょう。
サーバー管理画面
サーバーの管理画面にIPアクセス制限機能がある場合は、固定IPアドレスを許可リストに登録します。
なお、管理画面の仕様はサービスによって異なるため、利用中のサービスに応じて、具体的な手順を確認してください。
手順4：【利用者】いつもの方法でサーバー環境へ接続
WireGuardが有効になっていれば（手順2）、利用者側での特別な操作や設定は必要ありません。
SSH接続やFTP送信、Web管理画面へのアクセスなど、いつもの方法で接続できます。
『XServer 固定IPアクセス』でIPアドレス制限の運用を効率化する
当社が提供する『XServer 固定IPアクセス』を活用すれば、FTP、SSH、管理画面といったサーバー接続環境へスムーズにIPアドレス制限を導入可能です。
IPアドレス制限の適切な運用と管理負担の軽減に、ぜひお役立てください。
