ドメイン参加のWindows 10 PCでVPN接続時にMicrosoft Storeアプリが開かない原因と解決方法

ドメインに参加しているWindows 10コンピューターを、強制トンネリングが有効なVPN接続に接続した状態でMicrosoft Storeを開こうとすると、ストアが起動せず「このページを読み込めませんでした」というエラーメッセージが表示されることがあります。本記事では、この問題が発生する原因を解説し、実際に試せる解決策をご紹介します。

発生原因：ネットワーク分離とファイアウォールの既定ブロック規則

Microsoftによると、Windowsストアアプリはネットワーク分離(ネットワークアイソレーション)に依存するセキュリティモデルを採用しています。ストアアプリ用に特定のネットワーク機能と境界を有効化し、アプリへのネットワークアクセスを許可する必要があります。

Windowsファイアウォールのプロファイルが「パブリック」以外の場合、リモートIPが「0.0.0.0」に設定されたすべての送信トラフィックをブロックする既定のブロック規則が存在します。強制トンネリングが有効なVPN接続中は、デフォルトゲートウェイのIPが「0.0.0.0」に設定されるため、ネットワークアクセスの境界が適切に構成されていないと、この既定のブロック規則が適用され、Microsoft Storeアプリの通信が遮断されてしまうのです。

一方、次のいずれかの操作を行うと、Windowsストアは正常に開きます。

• コンピューターをドメインから切断してからVPN接続する
• 強制トンネリングが無効になっているVPN接続に接続する
• Windows DefenderファイアウォールサービスをオフにしてからVPN接続する

ただし、これらは根本的な解決策ではありません。業務上ドメインへの参加や強制トンネリングが必要な環境では、後述のグループポリシーによる設定変更が有効です。

グループポリシーでMicrosoft Storeが開かない問題を解決する手順

ドメイン参加済みのWindows 10コンピューターがVPN接続中にMicrosoft Storeアプリを開けない場合は、以下の手順に従ってください。

1. グループポリシー管理スナップイン(gpmc.msc)を開きます。
2. 「Default Domain Policy(既定のドメインポリシー)」を編集用に開きます。
3. グループポリシー管理エディターで、「コンピューターの構成」>「ポリシー」>「管理用テンプレート」>「ネットワーク」の順に展開します。
4. 「ネットワーク分離(Network Isolation)」を選択します。
5. 右側のペインで「アプリのプライベートネットワーク範囲(Private network ranges for apps)」をダブルクリックします。
6. ダイアログボックスで「有効」を選択します。
7. 「プライベートサブネット」のテキストボックスに、VPNアダプターのIP範囲を入力します。

たとえば、VPNアダプターのIPアドレスが172.x.x.xの範囲にある場合は、テキストボックスに「172.0.0.0/8」と入力します。

8. 「OK」をクリックします。
9. 「サブネット定義は権限を持つ(Subnet definitions are authoritative)」をダブルクリックします。
10. 「有効」を選択します。
11. 「OK」をクリックします。
12. GPOが確実に反映されるよう、クライアントを再起動します。

グループポリシーが適用されると、追加したIP範囲がネットワーク分離において利用可能な唯一のプライベートネットワーク範囲となるため、Windowsは通信を許可する新しいファイアウォール規則を作成し、従来の送信ブロック規則を上書きします。

GPOの適用確認方法

同じGPOをドメインコントローラー(DC)から複数のコンピューターへ一括展開できます。個々のクライアントでは、以下のレジストリキーを確認することで、GPOが正しく適用されているかどうかを検証できます。

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\NetworkIsolation

最後に重要な注意点として、VPNアドレスプールの範囲が変更された場合は、このGPOも必ず併せて更新してください。更新を怠ると、同じ問題が再発します。

以上で作業完了です!