IP制限・固定IPで管理画面と社内システムを守る｜仕組みと、テレワーク・委託先から接続するときの使い方
PRこの記事にはPRを含みます
WordPressの管理画面、サーバーの管理画面、社内の業務システム。こうした「社内の人だけが使えればよい画面」が、インターネットのどこからでもアクセスできる状態になっていないでしょうか。パスワードだけで守っている画面は、パスワードの使い回しや総当たり攻撃によって、不正にログインされるおそれがあります。
その対策として基本になるのが、アクセスできる場所を限定するIP制限です。この記事では、IP制限と固定IPの仕組み、どこにかけるとよいか、テレワークや委託先からの接続でつまずく点と解決方法、設定するときの注意点を、専門家でない担当者にも分かるように解説します。
- IP制限は、決められたIPアドレス（接続元の住所）からのアクセスだけを許可する仕組みです。管理画面や社内システムを、攻撃者から見えにくくできます。
- IP制限をかけるには、接続元のIPアドレスが変わらない固定IPが必要です。会社の回線を固定IPにする、VPNで会社を経由する、固定IPを提供するサービスを使う、などの方法があります。
- テレワークや委託先からの接続では、自宅や外出先のIPアドレスが変わることが課題になります。誰が、どこから接続するのかを整理してから方法を選びます。
- IP制限は万能ではありません。多要素認証、ソフトウェアの更新と組み合わせて使います。
- 接続元を固定IPに集約
- 通信の範囲を選べる
- ライセンス管理・接続履歴
IP制限・固定IPとは
IP制限とは、Webサイトやシステムにアクセスできる接続元を、あらかじめ許可したIPアドレスだけに限定する設定です。IPアドレスは、インターネット上で通信相手を見分けるための番号で、住所のような役割を持ちます。許可していない場所からのアクセスは、ログイン画面を表示する前に断られます。
固定IPとは、いつ接続しても同じ値になるIPアドレスのことです。一般的な家庭用や多くの法人向けのインターネット回線では、接続し直すたびにIPアドレスが変わる場合があります（動的IP）。IP制限は「このアドレスなら許可する」という仕組みなので、接続元のアドレスが変わってしまうと使えません。そのため、IP制限と固定IPはセットで考える必要があります。
固定IPと動的IPの違い
| 項目 | 固定IP | 動的IP |
|---|---|---|
| IPアドレス | いつも同じ | 接続し直すと変わることがある |
| IP制限との相性 | よい（許可リストに登録できる） | 悪い（変わるたびに登録し直す必要がある） |
| 主な入手方法 | 回線事業者・プロバイダーの固定IPオプション、固定IPを提供するサービス | 一般的な回線の標準 |
| 費用 | 追加の月額費用がかかることが多い | 追加費用なし |
IP制限をかけたい場所
IP制限は、「社外の不特定多数が使う必要がない画面」にかけるのが基本です。お客様が使う公開ページや問い合わせフォームにはかけません。
- WordPressの管理画面：ログイン画面（wp-login.php）と管理画面（wp-admin）。総当たり攻撃の対象になりやすい場所です
- サーバー・ドメインの管理画面：レンタルサーバーやVPSのコントロールパネル、DNSの設定画面。サービス側にIP制限の機能があるか確認します
- 社内の業務システム：受発注、顧客管理、勤怠など、社員だけが使うWebシステム
- サーバーへの管理用の接続：SSHやリモートデスクトップ。インターネット全体に公開したままにしないことが特に大切です
- IP制限に対応したクラウドサービス：多くの法人向けクラウドサービスに、接続元のIPアドレスを限定する機能があります
- 開発・検証環境：公開前のサイトやテスト用のシステム
関連記事企業サイトのWordPressセキュリティ対策｜被害の原因と対策の優先順位、PHP更新・バックアップ・月次の保守チェック表
テレワーク・委託先からの接続でつまずく点
オフィスだけで働いていた頃は、会社の回線に固定IPを付けて、そのアドレスだけを許可すれば済みました。テレワークや外部委託が増えた今は、次のような問題が起きます。
こうした状況で、IP制限をあきらめて誰でもアクセスできる状態に戻してしまうのが、一番避けたいパターンです。主な解決方法は次の3つです。
社外から固定IPで接続する方法
| 方法 | 仕組み | 向いているケース | 注意点 |
|---|---|---|---|
| 会社のVPNを経由する | 社外の端末から会社のネットワークにVPN（通信を暗号化してつなぐ仕組み）で接続し、会社の固定IPから外に出る | すでに社内にVPN機器があり、管理する人がいる | VPN機器の更新を怠ると、そこが侵入口になる。会社の回線に通信が集中する |
| 固定IPを提供するサービスを使う | サービスが用意する固定IPを経由して接続する。社内に機器を置かない | 社内にVPN機器がない、委託先や複数拠点からの接続をまとめたい | 利用者ごとの費用がかかる。サービスの仕組みと対応端末を公式サイトで確認する |
| IP制限以外の方法で守る | 多要素認証、端末の認証、ID管理のサービスなどで、利用者と端末を確認する | クラウドサービス中心で、場所を問わず使いたい | 設計と運用に知識が必要。IP制限と組み合わせることも多い |
総務省は、テレワークの安全対策として「テレワークセキュリティガイドライン（第5版）」と、専任の担当者がいない中小企業向けの「中小企業等担当者向けテレワークセキュリティの手引き（チェックリスト）」を公表しています。方式を選ぶ前に、一度目を通しておくと全体像がつかめます。
関連記事クラウドPC（DaaS）とは｜VDIとの違いと、中小企業のテレワーク・PC管理での使いどころ・向かない業務
IP制限を設定する手順と注意点
- 守りたい画面と利用者を洗い出すどの画面に、誰が、どこから接続するのかを一覧にする。委託先も含める
- 接続元の固定IPを用意する会社の回線の固定IP、VPN、固定IPのサービスなどから、接続元のIPアドレスを決める
- 許可リストを設定するサーバーの管理画面、Webサーバーの設定（.htaccessなど）、クラウドサービスの設定画面で、許可するIPアドレスを登録する
- 許可した場所とそれ以外から確認する許可した場所からは使え、それ以外からは表示されないことを確かめる
- 許可リストを台帳で管理するどのIPアドレスが誰のものか、いつ登録したかを記録し、不要になったものは削除する
WordPressの場合、プラグインの中には、ログインの試行回数の制限や、海外からのアクセス制限ができるものもあります。IP制限ほど厳密ではありませんが、固定IPを用意できない場合の次善の策になります。
関連記事Webサイトのセキュリティチェックリスト20項目｜担当者が自分で確認できる方法と頻度（IPAの20ヶ条と整合）
IP制限だけに頼らない
IP制限は強力な対策ですが、許可した場所の端末がウイルスに感染したり、許可したVPN機器が乗っ取られたりすると、その経路から侵入されます。1つの対策に頼らず、次のような対策を組み合わせましょう。全体の進め方は、IPAの「中小企業の情報セキュリティ対策ガイドライン」も参考になります。
- 多要素認証：パスワードに加えて、スマートフォンのアプリなどで本人を確認する
- ソフトウェアの更新：WordPress、プラグイン、OS、VPN機器を最新の状態に保つ
- アカウントの管理：退職者や委託が終わった相手のアカウントを、すぐに削除する
- ログの確認：誰が、いつ、どこから接続したかを記録し、定期的に確認する
- パスワードの管理：使い回しをせず、長く推測されにくいものにする
- 接続元を固定IPに集約
- 通信の範囲を選べる
- ライセンス管理・接続履歴
社内にVPN機器がない場合や、テレワークの社員・委託先からの接続元を固定IPにまとめたい場合は、XServer 固定IPアクセスという選択肢があります。2026年6月に提供が始まったサービスで、事前に許可した固定IPアドレスを使って各種サービスへ接続でき、固定IPを経由する通信の範囲を「すべての通信」か「指定した通信のみ」から選べます。利用者ごとのライセンス管理や接続履歴の確認にも対応しています（2026年10月時点の発表内容）。仕組み、対応端末、料金は公式サイトで確認してください。
よくある質問
- 自分のIPアドレスはどうやって確認できますか？
- 「IPアドレス 確認」で検索すると、今使っている回線のIPアドレスを表示するサイトが見つかります。ただし、動的IPの回線では後日変わることがあるため、IP制限には使えません。回線の契約で固定IPかどうかを確認してください。
- 固定IPは、どうすれば手に入りますか？
- 会社の回線であれば、プロバイダーの固定IPオプションを契約するのが一般的です。社外から接続する場合は、会社のVPNを経由するか、固定IPを提供するサービスを使います。
- IP制限をかければ、パスワードは簡単でもよいですか？
- よくありません。許可した場所の端末が乗っ取られた場合や、設定のミスがあった場合に備えて、パスワードの管理と多要素認証は引き続き必要です。
- スマートフォンから管理画面を使いたい場合は？
- スマートフォンのIPアドレスは場所によって変わるため、そのままではIP制限に登録できません。VPNや固定IPのサービスでスマートフォンに対応しているものを使うか、スマートフォンからは使わない運用にするかを決めます。
- IP制限をかけると、Googleの検索結果に影響しますか？
- 管理画面や社内システムなど、検索結果に出す必要のない画面だけにかければ影響はありません。公開しているページ全体にかけないよう注意してください。
まとめ
IP制限は、管理画面や社内システムへの入口を、決められた場所だけに絞る基本的な対策です。前提として接続元の固定IPが必要で、テレワークや委託先からの接続では、VPNや固定IPのサービスなどで接続元をまとめる方法を考えます。設定の際は締め出しに注意し、多要素認証や更新と組み合わせて守りを重ねてください。
関連記事簡易セキュリティ診断｜PHPの脆弱性（PHP2Shell）対応とサイトの設定を無料でチェック
参考：総務省「テレワークにおけるセキュリティ確保」（テレワークセキュリティガイドライン第5版、中小企業等担当者向けテレワークセキュリティの手引き（チェックリスト）第3版）、IPA「中小企業の情報セキュリティ対策ガイドライン 第3.1版」（2023年4月）、エックスサーバー株式会社「XServer 固定IPアクセス」提供開始のお知らせ（2026年6月、PR TIMES）。
この記事に関連するサービス
システム保守・運用
業務システムやWebシステムの監視、障害対応、セキュリティ更新、小さな修正を月額の定額制で行います。他社が開発したシステムも、引き継ぎ調査から対応します。 サービスの詳細を見る
