理Kotowary

IPsec — IPパケットそのものを暗号化して守る

大人こども
初級中級上級

概要 — まず全体をつかむ

インターネットの荷物は IP という仕組みで運ばれます。ただしIPはもともと「速く届ける」ことが目的で、中身を守る機能はありません。そこに暗号化と認証を足すのが IPsec（IP security）です。

詳細 — 1段階ずつ追う

これは何をする係？

普通の郵便は、封筒の宛先も中身も、途中の人に見えてしまいます。IPsecは、この郵便を「中身を暗号化し、宛先も丸ごと包める封筒」に変える仕組みです。

  • 暗号化 — 中身を鍵がないと読めない形にする（盗み見を防ぐ）
  • 認証・完全性チェック（※1）— 「本物の相手からで、途中で書き換えられていない」と確かめる

IPsecは VPN を実現する中核技術のひとつです。VPNという「安全なトンネル」の、中を流れる荷物を守る係だと考えると分かりやすいです。

登場人物メモ:

  • ※1 完全性チェック — 途中で1文字でも書き換えられていないかを確かめる仕組み（ハッシュ を使う）
  • ※2 IP — インターネットで荷物（パケット）を宛先まで運ぶ基本ルール
この部分をもっと深く（中級）

IPsecは1つの部品ではなく、いくつかの部品の組み合わせです。

  • ESP（Encapsulating Security Payload）— 暗号化＋完全性。中身を隠し、改ざんも検知する。VPNの主役
  • AH（Authentication Header）— 完全性のみ。改ざん検知はするが暗号化はしない。今は使う場面が限られる
  • SA（Security Association / ※1）— 「どの暗号方式で・どの鍵で・どちら向きに」通信するかの取り決め。方向ごとに1本ずつ持つ
  • IKE（※2）— そのSAと鍵を、安全に自動で取り決める手続き

仕事の流れ

  1. 通信の前に、二者が相手を確認し、共有する鍵を決める
  2. 送るIPパケットを暗号化し、封をする
  3. 途中の機器は中身を読めないまま、宛先まで運ぶ
  4. 受け取った側が復号し、書き換えがないかを確かめてから使う
この部分をもっと深く（中級）
  1. IKE で相手を認証し、鍵と SA を取り決める
  2. 送信側で ESP を使い、選んだモードでパケットを暗号化・カプセル化
  3. 公衆網を通し、途中の機器には中身を見せない
  4. 受信側が SA に従って復号し、完全性を確かめてから元パケットを取り出す

どこで使われる？

  • 会社の拠点間接続 — 東京と大阪のオフィスを安全に常時接続
  • 在宅勤務のVPN — 自宅から社内システムへ安全に入る
  • OSに標準搭載 — WindowsやスマホのOSにも組み込まれており、VPNの土台として広く使われている
この部分をもっと深く（中級）

IPsecには、どこまでを包むかが違う2つのモードがあります。

アニメーション『IPsecの2モード（トランスポート/トンネル）』を開く
IPsecの2つのモード（守る範囲が違う）もとのIPパケット元IPヘッダ宛先など元データ（ペイロード）トランスポートモード元IPヘッダは素のまま／中身だけを守る（端末どうしが直接話すとき）元IPヘッダそのまま見えるESP元データ暗号化🔒 ここだけ暗号化・完全性保護（宛先は隠れない）トンネルモード元パケット丸ごとを暗号化し新IPヘッダを付ける＝VPN向き（元の宛先も隠せる）新IPヘッダゲートウェイ宛ESP元IPヘッダ暗号化元データ暗号化🔒 元の宛先ごと丸ごと暗号化（新IPヘッダだけが外から見える）ESPは暗号化＋完全性／AHは完全性のみ。VPNは宛先を隠せるトンネルモードを使う
  • トランスポートモード — 元のIPヘッダはそのまま残し、中身（ペイロード）だけを守る。端末どうしが直接IPsecで話すときに使う
  • トンネルモード — 元パケットを丸ごと（元IPヘッダごと）暗号化し、新しいIPヘッダを付けて運ぶ。元の宛先すら隠せるので、ゲートウェイ間の VPN にはこちらを使う

なぜVPNはトンネルモードなのか。拠点間VPNでは「トンネルの出口（ゲートウェイ）」あてに運び、そこで開封してから社内の本当の宛先へ渡します。だから外側には新しい宛先が要り、元の宛先は隠したい——この形がトンネルモードそのものだからです。

登場人物メモ:

  • ※1 SA — 通信の暗号方式・鍵・方向をまとめた「取り決め」。片方向ごとに1つ
  • ※2 IKE — 鍵とSAを安全に交換する手続き（公開鍵暗号 の考え方を使う）

⚠️ うまくいかないとき

  • 設定が難しい — 暗号方式や鍵の取り決めが多く、両側を正しく合わせないとつながらない
  • NATと相性が悪いことがある — 途中でアドレスを書き換える機器と衝突しやすい（対策あり）
  • 鍵の管理が命 — 鍵が漏れると、暗号化していても中身が読まれてしまう
この部分をもっと深く（中級）
  • モードの取り違え — VPNなのにトランスポートを選ぶと、元の宛先が隠せず意図と合わない
  • SAの不一致 — 暗号方式や鍵の設定が両側でずれるとトンネルが張れない
  • AHとNATの衝突 — AHは元ヘッダも保護するため、途中でアドレスを書き換えるNATと相性が悪い
  • 鍵の寿命切れ — SAには有効期限があり、期限が来たら張り直し（再鍵）が必要

理解度チェック

そのまま解けます（成績は保存されません）。無料アカウントを作ると、学習の記録と進捗の山登りが始まります。

問1. IPsecで暗号化していても、鍵が漏れるとどうなる？

問2. IPsecとVPNの関係で正しいのは？

問3. IPsecは何を守る仕組み？

問4. IPsecの使われ方として正しいのは？

問5. IPsecが土台として支える「安全なトンネル」の総称を、英字3文字の略語で答えてください。

問6. インターネットで荷物（パケット）を宛先まで運ぶ基本ルールを、英字2文字の略語で答えてください。

問7. IPsecがIPパケットに足す機能の組み合わせとして正しいのは？

問8. IPsecの「完全性チェック」が確かめるのはどれ？