2026.06.22 2026.06.23

【SSE】[Zscaler] ZIAとZPAの違い（インターネット向け通信と社内アクセスを分けて考えよう）

buffoon

はじめに

前回の記事では、Zscalerの主力ソリューションとして

ZIA（Zscaler Internet Access）
ZPA（Zscaler Private Access）

の2つを紹介しました。

しかし初めてZscalerに触れる方の中には、

「結局何が違うのか」

「どちらを使うのか」

と疑問に感じる方も多いと思います。

結論から言うと、両者の違いは非常にシンプルです。

ZIAはインターネット向け通信を保護するためのソリューション。

ZPAは社内システムへのアクセスを保護するためのソリューション。

本記事では機能の違いではなく、「通信がどこへ向かうのか」という観点からZIAとZPAを整理していきます。

まずは通信の向きを考える

企業ネットワークで発生する通信は大きく2種類に分類できます。

インターネット向け通信

Google検索
Microsoft 365
Salesforce
Box

などへのアクセスです。

ユーザから見れば「インターネットへ出ていく通信」です。

社内アクセス向け通信

社内Webシステム

ファイルサーバ
業務アプリケーション
Active Directory関連通信

などへのアクセスです。

こちらは「企業が管理するシステムへ接続する通信」と言えます。

ZIAはインターネット向け通信を保護する

ZIAはインターネット向け通信に対してセキュリティチェックを実施するクラウド型セキュリティサービスです。

通信経路としては以下のようになります。

利用者端末 → ZCC（任意） → インターネット → ZIA Public Service Edge → インターネット

ZIAへの転送方法

実際には様々な転送方式が存在します。

Explicit Proxy
ZCC Tunnel
GRE Tunnel
IPSec Tunnel 等

クライアントレスで利用することもできますし、ZCCを利用してフルトンネルのように転送することもできます。

Public Service Edgeとは

ZIAの中心となるのがPublic Service Edgeです。

利用者から見るとクラウド上のプロキシサーバのような存在であり、

Firewall Control
URL Filtering
SSL Inspection
Advanced Threat Protection
Data Loss Prenvention

などの機能がここで実行されます。

なお、利用する転送方式によっては利用者からプロキシとして認識される場合もあれば、透過的に動作しているように見える場合もあります。

またZPAにもPublic Service Edgeが存在しますが、同様にクラウド上の接続POPであり、機能の要であるとご認識いただければと思います。

一部の通信はApp Connectorへ向かう

少し発展的な話になりますが、ZIAで受け付けた通信がそのままインターネットへ出ていくとは限りません。

例えばSIPA（Source IP Anchoring）を利用する構成では、

利用者端末 → 略 → ZIA Public Service Edge → (ZPA Public Service Edge) → App Connector → インターネット

という経路を通るケースもあります。

このあたりは後続の記事で詳しく解説します。

ZPAは社内アクセス向け通信を保護する

次にZPAです。

ZPAは企業が管理するアプリケーションへのアクセスを保護するためのZTNAソリューションです。

通信経路としては以下のようになります。

利用者端末 → ZCC（任意） → インターネット → ZPA Public Service Edge ←（※） App Connector → 社内アプリケーション

ZIA同様クライアントレスで利用することも可能です。

VPNとの大きな違い

従来のVPNでは、以下のような形でネットワーク全体へ接続していました。

利用者端末 → VPNクライアントソフト → インターネット → VPN終端装置 → 社内ネットワーク

VPNで接続後、社内ネットワークは「IPの疎通性によってアクセスが可能」でVPN終端装置はリモートでアクセスする利用者のためにインターネット側からの「インバウンド通信（＝ネットワークの公開）」を受け付ける必要があります。

一方ZPAは、認証情報を通じて ”許可された” 「社内アプリケーション」のみへアクセスが可能で、※のように社内アプリケーションと接続性があるApp Connectorはインターネット側（ZPA Public Service Edge）への「アウトバウンド通信」のみで成立させることができます。ユーザの社内アプリケーションへの通信はApp Connector側から確立したTLSトンネルを利用して転送されます。

そのため、ゼロトラスト（ネットワーク非公開　×　最小権限アクセス）を実現できます。

App Connectorとは

ZPAで重要なコンポーネントがApp Connectorです。

App Connectorは社内に配置する仮想アプライアンスであり、

社内アプリケーションとZPAクラウドを接続する役割を担います。

ZPAの通信設計を考える上では、App Connectorの配置設計が非常に重要になります。

ZIAとZPAは役割が異なる

ここまで見てきた通り、

ZIAとZPAはどちらもZscalerの主要ソリューションですが、役割は大きく異なります。

項目	ZIA	ZPA
主な用途	インターネット向け通信	社内アクセス
主な考え方	SWG/SSE	ZTNA
接続先	インターネット	社内アプリケーション
主なコンポーネント	Public Service Edge	Public Service Edge + App Connector