IPsecの定義と目的

IPsec（Internet Protocol Security）は、IPパケットを暗号化や認証によって保護するための枠組みです。単に「暗号化」だけでなく、通信相手のなりすましを防ぐ認証や、改ざんの検出といった要素を組み合わせて、通信の機密性・完全性（改ざん耐性）・真正性に関わる性質を高めます。

IPsecはVPNと呼ばれる文脈で語られることがありますが、重要なのは「IP通信そのものを保護する」点です。そのため、上位のアプリケーションに依存せずに保護を適用できる設計思想になっています。

仕組みを掴む：基本モデル（SAとポリシー）

IPsecを理解するうえでは、次の2つの概念を押さえると整理しやすくなります。

まずポリシー（またはポリシー相当の考え方）です。これは「どの通信（どの宛先や通信種別など）をIPsecで保護するか」を決める考え方です。ポリシーに合致した通信は、IPsecで処理されます。

次にSA（Security Association：セキュリティ関連付け）です。SAは「暗号方式・認証方式・鍵・有効範囲」など、実際に保護を成立させるための条件をまとめた情報に相当します。通信の処理は、SAによってどの方式で保護するかが決まります。つまり、設定上は“守り方（SA）”と“守る通信（ポリシー）”が噛み合って初めて期待どおりに動きます。

形態の違い：トランスポートとトンネル

IPsecには、適用の仕方に違いがあります。代表的なのがトランスポートモードとトンネルモードです。

トランスポートモードは、IPパケットのうち保護対象となる範囲が比較的限定され、主に上位のデータ寄りを保護するイメージになります。用途としては、通信の形を比較的そのまま活かしたい場面で検討されます。

一方、トンネルモードは、IPパケットを“トンネル”のように包み込む形になり、外側のIPヘッダと内側のIPパケットの関係が変わります。その結果、ネットワーク間接続のように「ネットワーク全体の経路としてIPsecを適用したい」ケースで選ばれやすい傾向があります。