IPsecによるネットワーク層の暗号化

IPsec（アイピーセック）は、IPパケット単位で暗号化と認証を行い、通信を保護するプロトコル群である。OSI基本参照モデルのネットワーク層で動作するため、上位のアプリケーションごとに個別の保護機構を用意しなくても、IP通信全体を守ることができる。VPN（仮想私設網）の基盤として広く使われており、試験では構成要素の役割と動作モードの区別が中心に問われる。

構成要素と役割分担

IPsecは、役割の異なる要素の組合せで構成される。認証ヘッダ（AH）は送信元の認証とデータの完全性を提供するが、暗号化は行わない。 カプセル化セキュリティペイロード（ESP）は、暗号化によって機密性を提供する要素であり、認証機能も併せ持つ。 両者は、ネットワーク層で動作するIPsecを構成する中核的なプロトコルとして位置づけられる。

鍵交換を担うIKEは、通信相手との間でAHやESPの利用、使用するアルゴリズムや鍵を取り決める役割を持つ。 IKEは通常UDPのポート500番を使い、NATを越える場合はUDPのポート4500番が用いられる。 HMAC-SHA1のような方式は、データの完全性や送信元の認証に用いられるものであり、暗号アルゴリズムではない。

動作モードによる保護範囲の違い

トランスポートモードは、元のIPヘッダをそのまま残し、上位層のデータ部分だけを保護する。ホスト同士が直接通信する場面で用いられる方式である。トンネルモードは、元のIPパケット全体を保護対象とし、その外側に新しいIPヘッダを付加して運ぶ方式である。 トンネルモードでは元のIPヘッダも含めて暗号化できるため、内側の通信の送信元と宛先を外部から見えにくくできる。

拠点間のVPNのように、ゲートウェイ同士が通信を仲介する場面では、トンネルモードが中心的に用いられる。外側のIPヘッダでゲートウェイ間を往復させ、内側の元のパケットを丸ごと守るという考え方を理解しておくと、判断に迷いにくくなる。

他のプロトコルとの階層関係

IPsecはネットワーク層で動作するため、IPv4とIPv6のどちらの通信にも適用できる。 TLSはアプリケーションの通信を保護する仕組みであり、アプリケーション層とトランスポート層の間で動作するため、IPsecよりも上位に位置づけられる。