【ネスペ３問】IPsecからVPNまで（ネットワークスペシャリスト）

このNoteでは、ネスペR06～H21からIPsecの問題だけを集めました。

ネスペにおいてIPsecは最も重要なテーマ。なぜなら暗号化リモートアクセス「VPN」の実現手段だから。

午後問題に必ず絡んできます。在宅ワークが当たり前になり、VPNの需要は一般化しました。私も学生時代に大学にアクセスするために使っていました。

このNoteではIPsec・構成要素（AH, ESP, IKE）・VPNに至るまでまとめ切りました。できればブクマして繰り返し読んで頂きたいです。

私の全てのNoteは、学生時代の独学合格体験、大学・IT専門学校での授業経験に基づいています。受ける側・教える側の実績があるので、少しでも信用して頂けたら嬉しいです。

それでは始めましょう！

＞TOPページ：全てのNoteへの入口＜

＼私の3ヶ月の学習記録／

IPsecはVPNに使われるので重要

IPsecは、ネスペのセキュリティプロトコルの中で一番重要な印象です。

暗号化と云えば、IPsecとSSL/TLSで決まりですね。＞SSL/TLSのNote

IPsecはインターネット層のプロトコル（OSIのネットワーク層ぐらい）。IPレベルで暗号化・認証機能追加・改ざん検知などを行えます。

暗号化プロトコルは、HTTPSやSSHやSMTPSなどありますが、アプリケーションごとにしか使えません。HTTPSはWeb、SSHは遠隔操作、SMTPSはメール送信ですね。

例えるなら、鍵付きアタッシュケースを中身に応じて形の違うものを用意して、小包を入れて送るようなもの。

一方、IPsecはIPレベルで暗号化するので、Webでも遠隔操作でもメールでも気にせず全てセキュリティを高めることができます。

VPNは暗号通信路を作る技術です。IPsecを使って実現します（正確にはPPTPを使う方式もありますが気にせず）。

VPNで一度暗号通信路を作ってしまえば、その中で暗号化していないHTTPやTelnetやSMTPを使っても大丈夫。

例えるなら、外から見えないパイプやトンネルを作って、その中で小包を送るようなもの。

IPsecとVPNのモードが問題的に重要

午後問題では、プロトコルの名前や「モード」がよく問われます。

知らないと失点が確定。今後過去問やテキストで遭遇したら、ノートの裏に書き出した方が良いですね。

IPsecは使用環境によって適切なモードを選びます。

• メインモード：IPアドレスが固定の場合に使う。LAN間接続を想定。

• アグレッシブモード：IPアドレスが変わる場合に使う。リモートアクセスを想定。

VPNも2つのモードがあります。暗号化される場所・データ領域・準備作業などの違いを理解しておきます。

• トランスポートモード：端末が暗号化する（端末にインストール作業必要）。ただしIPヘッダは暗号化されない。

• トンネルモード：VPNゲートウェイが暗号化する。IPヘッダも暗号化（カプセル化）され、新たなIPヘッダを付けて伝送する

端末が多いとインストールが大変ですし、IPヘッダが平文なので攻撃者に手がかりを与えてしまいます。一方、VPNゲートウェイは準備が大変ですが、端末はゲートウェイに接続するだけで良いですし、IPヘッダも暗号化されます。

IPsecの重要な構成要素

IPsecを構成している/で使われる技術も出題されます。

具体的にはESP、AH、IKEなどです。

これがややこしい。全体の流れや詳細は無理なので、個別に何となくで良いので覚えていくのが良いです。どうしてもな方はテキストや調べるなどしてみてください。ただ、私はお薦めはしません。

ESPはIPsecが暗号化した時に用いる構造。

例えば暗号化計算するにはデータが小さければ、ダミーデータを追加するなどの処理も含まれます。

ESPのモードもVPNのモードと全く同じ動作です。

• トランスポートモード：端末が暗号化する（端末にインストール作業必要）。ただしIPヘッダは暗号化されない。

• トンネルモード：VPNゲートウェイが暗号化する。IPヘッダも暗号化（カプセル化）され、新たなIPヘッダを付けて伝送する

ペイロードの状態（伝送データの状態）も出題されます。

ネスペで暗号化やルーティングのために、カプセル化してヘッダを追加することは良くあります。今はIPsecやVPNの話ですが、MPLSやVLANでも注目点は同じです。

IPsecではAHという構造も使います。

AHでは認証・改ざん検知を行う役割を果たします。暗号化はしません。ESPと併用できます。とはいえ、具体的なフレーム構造は出題されていないので、用語として覚えるに留めてOK。

IKEは、IPsec通信を確立するために必要な情報をやり取りするプロトコル。暗号鍵を交換します。

問題演習

正答はア。「ネットワーク層」「カプセル化（＝秘匿, 暗号化）」「トンネリング」からIPsecと判断。IPsecで使うESPのトンネルモードですね。

PPP→PPTP（ウ）→L2TP（イ）と理解を進めます。＞PPPのNote

ウ：PPTP。PPPを基に作られたプロトコル。PPPは第二層（データリンク層）なので、PPPTPも同じ。設問文の「ネットワーク層」と比較して弾きます。

PPTPはVPNの実現方式の1つ。データをGREプロトコルでカプセル化します（IPsecにおけるESPによるカプセル化と同じ）。

イ：L2TP。「L2」から第二層（データリンク層）なので、設問文の「ネットワーク層」と比較して弾けますね。

L2TPは、VPNに使われるPPTPを基に作られました。VPNと同じように仮想的なトンネルを作るプロトコルで、データリンク層で働きます。暗号化機能がないため、IPsecと組み合わせてVPN接続の実現方式の1つになっています。

エ：RSTP。ネットワークの障害や変更があった時に、素早く再計算できるプロトコル。STP（スパニングツリープロトコル）にR（rapid、素早い）が付いています。＞STPのNote

正答はウ。

• ア：「ポート番号80」が誤り（HTTPですよね）。UDP/500ですが覚えなくてOKです。それよりも「IKEはIPsecの鍵交換のためのプロトコル」が重要です。

• イ：HMAC-SHA1はハッシュ関数を使うので、暗号化ではなく改ざん検知で使います。

• ウ：トンネルモードでは、IPヘッダもデータも全て暗号化（カプセル化）して、新しいIPヘッダを付与して伝送します。

• エ：AHは認証や改ざん検知を行う役割で暗号化をしません。暗号化はESPで行います。

正答はエ。

IPsec絡みは3つが重要でしたね。

• ESP：暗号化→ア

• AH：認証・改ざん検知→エ

• IKE：鍵交換→ウ

正答はウ。すごく大事。午後問題では、送信先/元のIP/MACアドレスの把握が正解に必要不可欠ですから。

IPsecには「トランスポートモード」と「トンネルモード」があります。

• トランスポートモード：IPヘッダは暗号化されない

• トンネルモード：IPパケット全てが暗号化される

今回は「トンネルモード」なので、オリジナルIPヘッダ～ESPトレーラまでが暗号化されます。なお、ESPトレーラは暗号化に適したバイトに調整するために追加したので、暗号化の対象になります。

まとめ

お疲れ様でした！

IPsecは超重要なテーマで、覚えることも多いうえに複雑でしたね。まとめておきます。

IPsecの構成要素（AH, ESP, IKE）とモードが重要です。

• IPsec：

  • IPパケットの暗号化

  • VPNの実現方式。

• IPsecのモード

  • メインモード：IPアドレスが固定の場合

  • アグレッシブモード：IPアドレスが変わる場合

• IPsecの構成要素

  • ESP：暗号化

  • AH：認証・改ざん検知

  • IKE：鍵交換

• ESPのモード

  • トランスポートモード：端末が暗号化する。IPヘッダは暗号化されない。

  • トンネルモード：VPNゲートウェイが、IPヘッダごと暗号化（カプセル化）

• VPNのモード：ESPと同じ

IPsecは暗号化プロトコルの基盤なので、知識が定着するまでは、このNoteをブクマして何度も読んで頂けたら嬉しいです。

次回は＞【ネスペ用】デジタル署名/証明書のNote でお会いしましょう。でわでわ。

＞TOPページ：全てのNoteへの入口＜

＼私の3ヶ月の学習記録／