VPN暗号化とトンネリングの構成

VPNは、インターネットなどの共有ネットワーク上に論理的なトンネルを作り、その中を暗号化して通信を流す技術である。元のパケットやフレームを別のプロトコルで包んで運ぶトンネリングと、暗号化や認証による保護を組み合わせることで、通信の機密性と完全性を確保する。試験では、各VPNプロトコルがOSI基本参照モデルのどの階層で動作するかという位置づけと、どの範囲を暗号化するかという区別が中心となる。

階層構造で見るVPNプロトコル

IPsecはネットワーク層で動作し、IPパケットそのものを保護する。TLSはトランスポート層とアプリケーション層の間で使われ、アプリケーションの通信を暗号化する。L2TPはデータリンク層に相当する階層でPPPフレームを運ぶトンネリングを担い、単独では暗号化を提供しないため、通常はIPsecと組み合わせて用いられる。上位から並べるとTLS、IPsec、L2TPの順になり、この位置関係を理解しておくと、どのプロトコルがどの範囲を守るかを判断しやすくなる。 IPsecは認証ヘッダー（AH）とカプセル化セキュリティペイロード（ESP）の二つのプロトコルを含む。AHは送信元の認証とデータの完全性を、ESPは暗号化による機密性を主に提供する。

IPsecの適用範囲と動作モード

IPsecはIP層で通信を保護するため、アプリケーションの種類に依存せずIPパケット単位で暗号化を行える。この性質によって、IPv6を利用する通信でもネットワーク層の暗号化を実現できる。 トンネルモードでは、元のIPパケット全体を新しいIPパケットでカプセル化して転送する。拠点間のVPNでこの方式が使われるのは、外側のIPアドレスを使って中継でき、内側の送信元と宛先を隠せるからである。

鍵交換と障害時の確認

IPsec VPNの確立では、IKEによる鍵交換で、まず管理用のセキュリティ関連付け（IKE SA）を作り、次に通信データを保護するためのセキュリティ関連付け（IPsec SA）を作る。拠点とPOPの間でVPNが張れないときは、どの段階のネゴシエーションが失敗しているかを、IKE SAとIPsec SAの状態から確認するのが基本である。