第6章 · ネットワークセキュリティ·v1.0.0·更新 2026/7/10·読了目安 約15分
変更要約: 初版
6.1セキュアプロトコルとVPN
この節の要点
IPパケットを暗号化・認証するIPsec（ESP・AH・IKE）のトランスポート/トンネルモード、Webの暗号化通信を支えるTLS、Webブラウザだけで使えるSSL-VPN、拠点間を結ぶサイト間VPNとリモートワーカー向けのリモートアクセスVPN、そしてNAT環境でIPsecを通すNAT-Tを学びます。
拠点間やリモートワーカーとの通信をインターネット経由で安全に行うには、盗聴・改ざん・なりすましへの対策が欠かせません。ネットワークスペシャリストには、要件（拠点間の常時接続か、外出先からの一時アクセスか）とセキュリティ要求（機密性まで必要か、完全性・送信元認証だけで足りるか）に応じて、IPsecのモード・SSL-VPNの方式を的確に選定・設計する能力が求められます。この節ではプロトコルの仕組みを踏まえた上で、構成判断の型を身につけます。
6.1.1IPsec（ESP・AH・IKE）
- IPsec＝IP層でパケット単位の認証・完全性・機密性を実現するプロトコル群。AH（認証ヘッダ）は送信元認証と完全性検証のみを提供し暗号化は行わない。ESP（暗号化ペイロード）はデータの暗号化に加え認証・完全性も提供でき、機密性が必要な通信ではESPを選ぶ。
- トランスポートモード＝元のIPヘッダはそのまま、ペイロード（上位層データ）のみを保護する方式。エンドツーエンド通信（ホスト間の直接通信）で使う。トンネルモード＝元のIPパケット全体を新しいIPヘッダでカプセル化して保護する方式。拠点間VPN（ゲートウェイ間）で使い、内部ネットワークのアドレス構成を外部から隠せる。
- IKE（Internet Key Exchange）＝IPsec通信の前段で、両者の認証とSA（セキュリティアソシエーション）（暗号アルゴリズム・鍵などの合意事項）を確立するプロトコル。IKEフェーズ1でIKE SA（制御通信の保護）を、フェーズ2でIPsec SA（実データの保護）を確立する2段階構成。