IPsecの定義：何をどう守る仕組みか

IPsec（Internet Protocol Security）は、IPネットワーク上の通信に対して、暗号化（機密性）や認証（完全性・なりすまし対策）などを組み合わせて保護するための枠組みです。通信データそのものを保護対象として扱うため、適用の設計次第では、アプリケーションに依存しにくい形でセキュリティ機能を提供できます。

重要なのは、IPsecが「通信を守るための方法の集合（設計の考え方と仕組み）」であり、単一の製品名や1つの手順だけを指すわけではない点です。実際の動作は、暗号方式、認証方法、鍵の取り扱い、そしてトラフィックをどこまで保護するか（後述のモード）によって決まります。

わかりやすいモデル：SAと鍵、保護の単位

IPsecを理解するうえで役立つのが「SA（Security Association）」という考え方です。SAは、その通信に使う保護の設定セットをまとめたもので、暗号化・認証の方式、鍵、適用範囲などが含まれます。IPsecでは、このSAに紐づく形で、実際にパケットへ付与する保護（暗号化や整合性確認）が行われます。

また、SAを成立させるために鍵管理が必要になります。鍵は無制限に使い回すのではなく、設定や運用方針に沿って更新されます。鍵管理の方式や、相手と同じ条件になっていない場合は、保護は意図どおりに成立しません。

コンポーネント：AHとESPの役割

IPsecには大きく分けて、パケットに対して異なる種類の保護を行うための仕組みがあります。

  • AH（Authentication Header）：主に認証（完全性）を中心に扱い、整合性の確認を行います。
  • ESP（Encapsulating Security Payload）：暗号化と認証を組み合わせて扱うことが多く、機密性を重視する場合に使われます。

どちらを使うか、そしてどの暗号・認証方式を選ぶかは運用要件によって変わります。一般に、保護の狙い（盗聴対策が必要か、改ざん検出が必要か）に応じて選定します。

トランスポートとトンネル：保護範囲の違い

IPsecでは「モード」によって、保護をどの範囲に適用するかが変わります。

  • トランスポートモード：保護の対象が比較的限定され、元のIPヘッダの扱いに違いが出ます。
  • トンネルモード：パケットをトンネルとして包み込み、ネットワーク間の設計に合わせて保護範囲を広げられます。

この違いは、ルーティング設計、トラフィックの見え方、そして中間機器の挙動に影響し得ます。そのため「通信相手がどのモードを使っているか」「こちらがどのモードで構成されているか」は、つまずきポイントになりやすいです。

制限とつまずきどころ：実装差・条件不一致

IPsecは設計としては柔軟ですが、運用上の制約もあります。代表的には次のような点です。

1つ目は「条件の一致」です。