IPsec

「Internet Protocol Security」の略です。

IPsecは、ネットワーク経由で2台のデバイス間に安全な接続を作成するのに役立つプロトコルのグループです。標準のIPプロトコルスイート上で動作し、ネットワークトラフィックに認証と暗号化を追加します。トラフィックがローカルネットワークを経由する場合でも、パブリックインターネットを経由する場合でも機能します。最も一般的には、Virtual Private Networks(VPN）の安全な接続を確立するために使われますが、さまざまな目的のデータ転送を保護するのにも役立ちます。

IPsecプロトコルスイートは、IPトラフィックの認証と暗号化を行うために連携する、次の3つのプロトコルで構成されています。

• Internet Key Exchange（IKE）プロトコルは、2台のデバイス(ホストとも呼ばれます）間のネゴシエーションを処理し、認証と暗号化に使用するアルゴリズムを決定します。また、両方のホストがデータの暗号化と復号に使用できる、安全な共有暗号鍵を生成します。
• Authentication Header（AH）プロトコルは、各データパケットのヘッダーに認証情報を追加します。この情報には、パケットの内容から生成された暗号学的なハッシュが含まれます。受信者はこれを使って、転送中にパケットが変更されていないか確認できます。
• Encapsulating Secure Payload（ESP）プロトコルは、通常のIPデータパケットを取得し、合意したアルゴリズムと暗号鍵を使って暗号化します。その後、AHプロトコルが生成した情報を含む新しいヘッダーを持つ新しいデータパケットを作成し、暗号化した元のパケットをそのペイロードとして格納します。

これら3つのプロトコルは連携して、IPトラフィックをエンドツーエンドで保護します。IKEプロトコルはホスト間に安全な接続を作成し、認証と暗号化の詳細を確立します。次にESPプロトコルが各データパケットを暗号化し、AHプロトコルがパケットを宛先にルーティングするためのヘッダー情報を追加します。また、受信デバイスがパケットを認証できるようにし、ほかのデバイスがパケットを傍受した場合は受信者に警告します。

IPsecのモード

IPsecプロトコルスイートは、動作するネットワークの種類と、転送するデータの種類に応じて、データを安全に転送するための2つのモードをサポートしています。

• トンネルモードはIPパケット全体を暗号化し、新しいパケットにカプセル化します。このパケットには、トンネルのエンドポイント通常は、セッションに関係するコンピューターに直接接続する(ルーター）の送信元アドレスと宛先アドレスを含む、まったく新しいヘッダーが入ります。受信側のルーターはパケットを復号し、宛先アドレスを読み取って、宛先に転送します。トンネルモードは通常、VPN接続や、パブリックインターネット経由でIPsecパケットを転送するときに使用されます。
• トランスポートモードはIPパケットの内容だけを暗号化し、元のヘッダーはそのまま残します。認証のためにAHプロトコルの情報をヘッダーに追加しますが、送信元ホストと宛先ホストのアドレスは隠しません。トランスポートモードは各パケットに必要なオーバーヘッドがやや少なく、通常はローカルネットワーク経由でIPsecパケットを転送するときに使用されます。