まず結論：IPsecは「暗号化＋認証」で通信を保護する

IPsec VPNプロトコルは、ネットワーク間の通信を暗号化し、同時に通信の改ざんなどを検知できるようにすることで、オンライン上のデータを保護します。さらに、そのために必要な鍵の扱い（鍵管理）や、通信相手との合意の手順が重要になります。

ただし、保護の強さは「IPsecという方式があるかどうか」だけで決まるわけではありません。実際には、設定（どの通信を守るか、どの暗号・認証を使うか）、鍵管理、運用（鍵の更新や監視）が適切であることが前提になります。[[不確実性：一般論のみのため]]

簇のない簡単モデル：何が守られるのか

IPsecのイメージとしては、通信データをそのまま“包む”ようにして、経路上の第三者が内容を読み取れない状態にし、改ざんがあれば検知できる状態にします。

  • 暗号化：通信内容を読み取りにくくします（機密性の確保）。
  • 認証／完全性：通信が途中で変えられていないことを確かめます（完全性の確保）。
  • 鍵管理：暗号化・認証に使う鍵を、安全に合意・更新できるようにします。

この3つが揃うことで、「盗聴されにくい」「勝手に書き換えられにくい」といった効果が得られます。[[不確実性：方式一般の説明に留まる]]

IPsecを構成する代表的な要素（用語の押さえどころ）

IPsecは、単一の機能というより複数の要素の組み合わせとして理解すると整理しやすくなります。

SA（セキュリティ・アソシエーション）という“合意の単位”

IPsecでは、ある通信の保護方法についての合意が「SA」と呼ばれる単位で扱われます。SAには、どのように暗号化・認証するかといった情報が含まれます。

ここがポイントで、SAが正しく成立し、正しい設定同士で対応できているほど、意図した保護が働きやすくなります。逆に言えば、SAが成立していない、または想定と違う設定で成立している場合、期待する保護にならないことがあります。[[不確実性：環境依存のため]]

どんな“保護の形”を取るか（トンネル保護／トランスポート保護の考え方）

IPsecでは、保護のかけ方として複数の形が考えられます。代表例として、トンネルの考え方に近い形で通信を丸ごと包んで保護する運用と、より一部に対して保護を行う運用の違いがあります。

一般に、トンネル寄りの考え方は、特定区間をまとめて保護する目的に合いやすく、トランスポート寄りの考え方は、直接的な保護として設計されることがあります。[[不確実性：具体的な適用は製品・構成に依存]]

鍵交換（ネゴシエーション）の重要性

暗号化と認証には鍵が必要です。IPsecでは、通信を始める前に鍵交換や合意の手順を行い、鍵やパラメータの前提をそろえます。

ここが弱いと保護効果が下がり得るため、「鍵交換がうまくいっているか」「想定どおりの方式で合意できているか」は実務上の確認ポイントになります。[[不確実性：通信状況・実装依存]]