まず整理：何を「暗号化したい」のか

「TCP/IPパケットの暗号化」と言っても、どの層を保護したいのかで最適解は変わります。Layer 3 IPsecは主にIPレイヤ（IPパケット）を扱う発想なので、暗号化対象が“IPヘッダを含むのか／含まないのか”、また“トンネルとして新しい経路を作るのか”が選定の中心になります。

ここでの要点は、TCPはトランスポート層のプロトコルであり、TCPセグメントはIPパケットに載って運ばれる、という関係です。したがってTCPを守りたいなら、実際にはIPパケットをどう扱うか（どこまで暗号化・カプセル化するか）を見て判断します。

簡単なモデル：トンネル型と保護の範囲

VPNプロトコルを選ぶときは、次の2つを分けて考えると混乱が減ります。

  1. トンネルを作るか（経路の作り方）
  • トンネル型は、送信元から宛先までの間に“別の通信経路”を作り、その中でカプセル化されたデータを運びます。
  • 結果として、元のパケットの見え方や、経路上での処理（例：中継機器の設定）が変わることがあります。
  1. どの部分が暗号化・認証されるか（保護の範囲）
  • 目的は機密性（暗号化）だけではなく、改ざん検知や正当性確認（認証）も含めて“安全な配送”を確立することです。
  • IPレイヤでの保護は、TCPセグメントそのものを直接暗号化するというより、TCPを運ぶ入れ物（IPパケット）をどう守るか、という形になります。

Layer 3 IPsecは、この「IPパケットを保護する」というモデルと整合します。よって選定の指針は、要件に対してIPレイヤの保護範囲が合っているか、トンネル運用が現実的か、という順になります。

違いと限界：プロトコル選びで起きやすい“ズレ”

最適な選び方を妨げるのは、往々にして暗号方式や名前だけ見た判断です。次のズレが典型です。

  • 暗号化対象の期待値のズレ 「TCPペイロードが暗号化されるはず」と思っていても、実際の保護範囲やカプセル化の有無によって、観測される情報（ヘッダの扱い等）が変わります。

  • 到達性への影響（MTUなど） トンネルやカプセル化が入ると、パケット長や分割の扱いが変わり、経路上での到達性に影響が出ることがあります。ここは“セキュリティ設定”と同じくらい重要です。

  • 片側だけの整合性問題 鍵管理、認証、トンネル設定などは両端で整合していないと成立しません。どれか一方の設定が要件に対して不足・過剰だと、通信は成立しても保護が想定どおりにならない可能性があります。

  • 他の要件との競合 ルーティング、フィルタリング、ログ方針、既存機器との相性など、VPNの“実装周辺”で成立条件が変わることがあります。つまり「プロトコル名」単体の比較より、「環境で成立する設計か」を見る必要があります。