ドメイン参加のWindows 10 PCでVPN接続中にMicrosoft Storeが開かない原因と対処法

ドメインに参加しているWindows 10コンピューターを、強制トンネリングが有効なVPN接続に接続した状態でMicrosoft Storeを開こうとすると、ストアが起動せず「このページを読み込めませんでした（This page failed to load）」というエラーが表示されることがあります。本記事では、この問題が発生する仕組みを解説し、グループポリシーを使った恒久的な解決方法をご紹介します。

原因：ネットワーク分離とファイアウォールの既定のブロック規則

Microsoftによると、Windows ストアアプリは「ネットワーク分離（Network Isolation）」に依存するセキュリティモデルを採用しています。ストアアプリが正常に通信するには、特定のネットワーク機能と境界を有効化し、アプリに対してネットワークアクセスを許可する必要があります。

Windowsファイアウォールのプロファイルが「パブリック」以外の場合、リモートIPが0.0.0.0に設定されているすべての送信トラフィックをブロックする既定のブロック規則が存在します。強制トンネリングが有効なVPN接続中は、デフォルトゲートウェイのIPが0.0.0.0として扱われます。そのため、ネットワークアクセスの境界が適切に設定されていないと、この既定のブロック規則が適用され、Microsoft Storeアプリのトラフィックが遮断されてしまうのです。

一時的な回避策

実際、以下のいずれかの操作を行うと、Microsoft Storeは正常に開くことが確認できます。

• コンピューターをドメインから切断してからVPN接続する
• 強制トンネリングが無効になっているVPN接続に接続する
• Windows Defender ファイアウォールサービスを停止してからVPN接続する

ただし、これらはあくまで一時的な回避策です。運用環境では次に紹介するグループポリシーの設定で根本的に対処しましょう。

グループポリシーでネットワーク分離を設定する手順

ドメイン参加のWindows 10 PCがVPN接続中にMicrosoft Storeを開けない場合は、以下の手順に従って設定を行うことで問題を解消できます。

1. グループポリシー管理スナップイン（gpmc.msc）を開きます。
2. Default Domain Policy（既定のドメインポリシー）を編集用に開きます。
3. グループポリシー管理エディターで、コンピューターの構成 > ポリシー > 管理用テンプレート > ネットワーク の順に展開します。
4. ネットワーク分離（Network Isolation）を選択します。
5. 右側のペインで「アプリのプライベートネットワーク範囲」（Private network ranges for apps）をダブルクリックします。
6. ダイアログボックスで「有効」を選択します。
7. 「プライベートサブネット」のテキストボックスに、VPNアダプターのIP範囲を入力します。

たとえば、VPNアダプターのIPアドレスが172.x.x.xの範囲にある場合は、「172.0.0.0/8」と入力します。

8. OKをクリックします。
9. 「サブネット定義は権限を持つ」（Subnet definitions are authoritative）をダブルクリックします。
10. 「有効」を選択します。
11. OKをクリックします。
12. GPOが確実に反映されるよう、クライアントPCを再起動します。

グループポリシーが適用されると、追加されたIP範囲がネットワーク分離において利用可能な唯一のプライベートネットワーク範囲となるため、Windowsはトラフィックを許可する新しいファイアウォール規則を作成し、従来の送信ブロック規則を上書きします。

作成したGPOは、ドメインコントローラー（DC）から複数のコンピューターへ一括展開できます。また、個々のクライアントPCでは、以下のレジストリキーを確認することで、GPOが正しく適用されているかを検証できます。

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\NetworkIsolation

最後に注意点として、VPNのアドレスプール範囲を変更した際は、このGPOも必ず併せて更新してください。更新を怠ると、同じ問題が再発します。

以上で設定は完了です！