Always-On VPN.

Always-On VPN は、いかなるアプリケーションもネットワークを利用する前に、オペレーティングシステムが強制する管理端末向け機能です。Windows では Intune または PowerShell（MDM VPNv2 CSP）によって配信される VPN プロファイルとして提供され、2 種類のトンネルを区別します。デバイストンネルは IKEv2 上でマシン証明書によって認証し、ログイン画面の時点で接続します。これにより、誰かがサインインする前でもグループポリシー、パッチ適用、リモートヘルプが機能します。一方でユーザートンネルは、ログインしたユーザーの通信を運びます。デバイストンネルは証明書認証を伴う IKEv2 に限定され、また Enterprise/Education エディションに限定されるため、導入時にはほぼ必ず内部 PKI と組み合わせられます。

Apple の iOS、iPadOS、macOS は、mobileconfig ペイロード内の AlwaysOn フラグを用いて VPN On Demand と Per-App VPN を提供し、一般に IKEv2 やベンダー製の IKEv2/WireGuard トンネルを使用します。より厳格な**監視対象デバイス向けの「Always On VPN」**ペイロードは、システム通信さえもトンネル経由に強制します。Android はシステムレベルの Always-on VPN 設定を「VPN がない場合は接続をブロック」（キルスイッチ）と組み合わせて提供します。Workspace ONE や Intune といったエンタープライズ MDM は、Android Enterprise の alwaysOnVpnPackage ポリシーを通じてこれをフリート全体に展開します。この制御は、利用者が企業ゲートウェイを迂回することを防ぎ、ローミング中のノート PC を不正な「イービルツイン」Wi-Fi から堅牢に守り、すべてのセッションが検査されポリシーが強制される経路を通過しなければならないゼロトラスト設計を支えます。ただしフェイルクローズであるため、誤発行または期限切れの証明書があると、リモート端末がオフラインのまま孤立することがあります。

flowchart TD
  A[端末の電源投入] --> B{ネットワークは利用可能か}
  B -->|いいえ| A
  B -->|はい| C[OS が VPN トンネルを自動起動]
  C --> D{マシン証明書は有効か}
  D -->|いいえ| E[フェイルクローズ: 通信をブロック]
  D -->|はい| F[ログイン画面でデバイストンネル確立]
  F --> G[ユーザーがサインイン -> ユーザートンネル]
  G --> H[すべてのアプリ通信 -> 企業ゲートウェイ]
  H --> I[検査済み / ポリシー強制された egress]