重要なのは、VPNへ接続した後にIBM i周辺のネットワーク全体を公開しないことです。

許可
IBM i：992/TCP

拒否
他サーバー
他ポート
管理ネットワーク
バックアップネットワーク

これは完全なレガシー脱却ではありませんが、接続範囲を狭めることでリスクを低減できます。

フェーズ4：TCP対応ZTNAを検証する

非Webアプリケーションを扱えるZTNA製品であれば、5250などのTCP通信をアプリケーション単位で公開できる可能性があります。

ただし、本番移行前に次を検証します。

• 5250エミュレーターが正常に接続できるか

• クライアント追加ソフトが必要か

• アイドルタイムアウトが業務に合うか

• 再認証でセッションが切断されないか

• 経路切り替え時に画面が維持されるか

• 印刷セッションが利用できるか

• DNS名が正しく解決されるか

• 固定IP前提の制御が壊れないか

• 障害時に元の経路へ戻せるか

「TCPに対応している」だけで、5250のすべての利用形態に対応するとは限りません。

フェーズ5：必要な機能だけAPI化する

RPGプログラムをすべて書き直す必要はありません。