【あいぴーせく】

IPsec とは?

最終更新:
💡 IPパケットに、通信を守る仕組みを加える

IPパケットに認証・改ざん検出・暗号化などの保護を加えるプロトコル群。VPNにも使われ、どの通信をどの方式で守るかは設定と選ぶプロトコルによって変わります。

📌 このページのポイント
IPsecでパケットを包む例元のIPパケット元IPヘッダーデータESPのトンネル+暗号化外側のIPヘッダー配送に使う元IPヘッダー+データここを暗号化外側の宛先まで隠れるわけではないどの通信を守るかは、設定で決める
ESPの暗号化を使うトンネルモードの概略。保護用ヘッダーなどを省略しています。IPsecには暗号化しない構成もあります。
ひよこ ひよこ
VPNの設定に、IPsecって出てきたよ。
ペンギン先生 ペンギン先生
IPパケットに暗号化や改ざん検出などを加える仕組みだよ。離れた拠点を結ぶVPNにも使われる。TLSが通信の接続を保護するのに対し、IPsecはIPパケットに対して保護を適用するんだ。
ひよこ ひよこ
IPsecなら、全部の通信が暗号化される?
ペンギン先生 ペンギン先生
それは設定によるよ。どの通信を保護するか、通すか、捨てるかをポリシーで決める。ESPには暗号化や改ざん検出のサービスがあるけど、選ぶ構成によって違う。AHは認証・改ざん検出を担い、暗号化はしないんだ。
ひよこ ひよこ
トランスポートとトンネルは、何が違うの?
ペンギン先生 ペンギン先生
ESPで比べると、トランスポートモードは元のIPヘッダーより後ろの内容を保護する。トンネルモードは元のIPパケットを包み、新しい外側のIPヘッダーを付けるよ。暗号化を使うトンネルでも、外側の配送用ヘッダーは暗号化されないんだ。
ひよこ ひよこ
暗号の鍵は、どう決めるの?
ペンギン先生 ペンギン先生
IKEで相手と方式や鍵の情報を取り決める。IKEv2では、最初にIKE_SA_INITで準備し、IKE_AUTHで相手の認証などを進めるよ。IKEv1の「フェーズ1・2」と混ぜず、設定画面やログがどの版を指すか確認しよう。
ペンギン
まとめ:ざっくりこれだけ覚えればOK!
「IPsec」って出てきたら「IPパケットを暗号化や認証などで守る仕組み」と思えばだいたいOK!
📖 おまけ:英語の意味
「Internet Protocol Security」 = IPのためのセキュリティ
💬 IP通信にセキュリティサービスを加えるプロトコル群の呼び名です。IETFの仕様には、保護の方針・パケットの形式・鍵管理などが定められています。

参考資料

← 用語集にもどる