IPsec（Security Architecture for Internet Protocol）

分類: テクノロジ系ネットワーク
出る試験: 基本情報応用情報
重要度: ★★★★☆

IPの層で通信を暗号化し、改ざんも検知する仕組み。アプリを作り変えずに、通信すべてを守れる。

もう少し詳しい説明

IPsecは、IP（通信を小さく区切って宛先へ届けるための決まり）の層で通信を暗号化（中身を、決まった手順で読めない形に変えること）し、改ざんも検知する仕組みです。

層が下にあることの意味

いちばんの特徴は、働く位置です。

IPsecはネットワーク層で働くので、上で何が動いていても関係なく守れます。アプリを1つずつ作り変える必要がありません。SSL/TLSはもっと上の層なので、対応させたアプリの通信だけが守られます。

OSI基本参照モデルでいうと、IPsecはネットワーク層で働きます。SSL/TLSはもっと上の層です。

この差が、使い勝手の差になります。

	IPsec	SSL/TLS
働く層	ネットワーク層（下）	トランスポート層より上
守る範囲	その経路を通る通信すべて	対応させたアプリの通信
アプリの改修	要らない	対応が要る
使いどころ	拠点間のVPN（公衆回線の上に、専用線のような安全な通路を作る仕組み）	Webブラウザ（Webページを見るためのソフト）からの接続

IPの層で包んでしまうので、上で何が動いていても関係ありません。 メールでもファイル共有でも、古い業務アプリでも、そのまま守れます。アプリを1つずつ作り変える必要がない、というのがIPsecの売りです。

逆に、経路ごとに設定するものなので、不特定多数が相手の通信には向きません。そちらはSSL/TLSの領分です。

2つのモード

何を包むかで2つに分かれます。ここが頻出です。

	暗号化する範囲	もとのIPヘッダ	使いどころ
トランスポートモード	データ部分だけ	残る	端末どうしが直接
トンネルモード	パケット（通信するデータを小さく区切ったひとかたまり）丸ごと	隠れる（新しいヘッダを外に付ける）	拠点間VPN

上と下で、暗号化の範囲（色を付けたところ）が違います。下では、新しいヘッダを外側に足したぶんパケットが長くなります。回線の最大長を超えると分割が起きるので、拠点間VPNではこの増加ぶんを見込んで設定します。

トンネルモードでは、もとの宛先と送信元が隠れます。 外から見えるのは、入口と出口のルータ（ネットワークどうしをつないで、通信の行き先を振り分ける機器）のアドレスだけです。社内のどの機器がどこと通信しているのかが、途中の経路から分かりません。

拠点間VPNでトンネルモードを使うのは、このためです。

2つのプロトコル

何を守るかでも分かれます。

	改ざん検知	暗号化
AH（認証ヘッダ）	する	しない
ESP（暗号ペイロード）	する	する

AHは中身を隠しません。 改ざんされていないことだけを保証します。

実際に使われるのはほぼESPです。暗号化も改ざん検知も両方できるためです。試験では「暗号化もできるのはどちらか」という形で区別が問われます。

鍵をどうやって決めるか

暗号化するには、両方が同じ鍵を持っている必要があります。その鍵を安全に決める手順がIKE（Internet Key Exchange）です。

段	何をするか
1	互いに相手が本物かを確かめ、安全な通路を作る
2	その通路の中で、実際の通信に使う鍵を決める

鍵の受け渡しには公開鍵暗号方式の考え方を使い、決まった鍵で実際の通信を共通鍵暗号方式で暗号化します。 ハイブリッド暗号方式と同じ組み立てです。

鍵は定期的に作り直します。長く同じ鍵を使い続けると、破られたときの影響が大きくなります。

IPv6との関係

IPsecは、もともとIPv6のために設計された仕組みです。IPv6（IPアドレスを128ビットで表す新しい決まり。ビットは0か1が1つぶんの単位）では当初、実装が必須とされていました（現在は必須ではなく推奨の扱いです）。

IPv4（いま広く使われているIPアドレスの決まり。番号を32ビットで表す）でも使えます。 いま拠点間VPNで使われているのは、ほとんどがIPv4上のIPsecです。

NATとの相性

実務では問題になり、応用情報でも出ます。

NAPTはIPアドレス（機器1台1台に割り当てられる番号）とポート番号（1台の機器の中で、どの用途あての通信かを表す番号）を書き換えます。 ところがIPsecは、書き換えられていないことを確かめる仕組みです。

書き換えられると、改ざんされたと判断されます。

これを避けるために、IPsecのパケットをUDPで包み直すNAT（ナット）トラバーサル（NATを通り抜けさせる、という意味）という仕掛けが使われます。

試験ではこう出る

科目A（旧・午前）でいちばん多いのが、2つのモードの区別です。「もとのIPヘッダごと暗号化して新しいヘッダを付ける」＝トンネルモードです。

AHとESPの違いも出ます。暗号化までできるのがESPです。

働く層も問われます。ネットワーク層なので、アプリケーションを選びません。SSL/TLSとの対比で出ます。

応用情報では、拠点間VPNの構成の中で出ます。どのモードを選ぶか、NATとの併用で何が起きるか、といった形です。

ミニクイズ

IPsecのトンネルモードの説明として、適切なものはどれか。

正解は 3番：もとのIPパケット全体を暗号化し、新しいIPヘッダを付けて送る

トンネルモードでは、もとのIPパケットをヘッダごと丸ごと暗号化し、その外側に新しいIPヘッダを付けます。もとの宛先や送信元が隠れるため、拠点間を結ぶVPNで使われます。もとのIPヘッダを残してデータ部分だけを暗号化するのはトランスポートモードで、端末どうしが直接やりとりする場合に使います。専用の物理回線を用意するのは専用線で、IPsecとは関係ありません。アプリケーションごとに指定するのはSSL/TLSに近い考え方で、IPsecはIPの層で働くためアプリを選びません。

間違えた用語の復習リストを見る →

この分野をまとめて解く → ネットワークのミニテスト（全36問）

最終更新：2026-10-20