IP SECURITY / VPN / ENCAPSULATION
IPsecとは？
VPNとトンネルモードを体系的に理解する
公開日：2026-10-12
出張先や自宅から会社の社内ネットワークへつながるVPN。インターネットの中に「専用の通り道」を作るとは、パケットの中で何が起きているのでしょうか。
身近なVPN → IP・レイヤーの基礎 → トンネリングとカプセル化 → IPsecの二つのモード → ESP・AH・IKEv2 → L2TP・PPTP・GRE・RSTP → パケット図 → 操作ラボ。
1. 身近な場面：テレワークと拠点間VPN
自宅のノートPCから社内ファイルサーバーへアクセスするとき、会社のVPNに接続することがあります。別の例では、東京本社と大阪支社のルーター同士にVPNを構成し、両拠点の社内LAN間通信を保護します。VPN（Virtual Private Network）とは、共有する通信基盤上に論理的な私設通信路を構成する考え方です。
| 技術・用語 | 役割・処理対象 | 混同しないポイント |
|---|---|---|
| リモートアクセスVPN | 従業員PCと会社側VPN装置を接続 | 端末にVPNクライアントを導入する構成など |
| サイト間VPN | 本社と支社のVPNゲートウェイ同士を接続 | 社内の多数の端末の通信を装置がまとめて保護 |
| HTTPS | WebブラウザとWebサービスのアプリ通信をTLSで保護 | VPNに接続しなくてもWebの暗号化は可能 |
| 企業のゼロトラスト接続 | アプリ単位などで認可・接続を限定 | 常にネットワーク全域を開くVPNとは異なる設計もある |
2. IP・パケット・カプセル化を先に理解する
IP（Internet Protocol）は送信元・宛先IPアドレスを持つパケットをネットワーク間に運ぶための基本プロトコルです。データはネットワーク階層ごとにヘッダーを付けて運ばれます。カプセル化（encapsulation）は、あるデータ構造を外側の別の構造で包む処理。トンネリング（tunneling）は、それを利用して既存ネットワークの上で論理的な通信路を実現する方式です。
例として社内PCが 10.0.1.20 から別拠点の 10.0.2.30 へIPパケットを送るとします。VPN装置Aは元のIPパケットを内側に入れ、装置Bへ届く外側のIPヘッダーを作ります。途中のルーターは外側の宛先を見て転送します。上の構造は概念図であり、L2フレームとIPパケットが同じヘッダー階層ではない点に注意してください。
- PCが本来の宛先 10.0.2.30 に向けてIPパケットを生成。
- ゲートウェイAが元のIPパケットをESPで保護し、外側IPヘッダーを付与。
- 公衆インターネットのルーターはゲートウェイBのグローバルIPを見て転送。
- ゲートウェイBで検証・復号・外側の除去を行い、内側IPを宛先LANへ転送。
3. 最重要：IPsecのトンネルモードとトランスポートモード
IPsec（Internet Protocol Security）はIP通信に認証、完全性保護、機密性保護などを提供する規格群です。ESPを利用した場合の代表的な二つのモードがトランスポートモードとトンネルモードです。トンネルモードでは元のIPパケットを外側のIPパケットで包み、内側のIPヘッダーと上位層データをESPで保護できます。
トランスポートモード：元のIPヘッダーは外側に残る
主にホスト間で利用する構成があります。ESPトランスポートモードではIPヘッダー自体を基本的に暗号化しません。正確な配置はESPの使用方法やIPバージョンによって変わります。
トンネルモード：内側IPパケットを丸ごと包む
4. ESP・AH・IKEv2は「何を担当する技術」なのか
| 技術・用語 | 役割・処理対象 | 混同しないポイント |
|---|---|---|
| ESP（Encapsulating Security Payload） | 機密性（暗号化）と完全性・送信元認証などを提供 | IPsecのデータ面。暗号化はESPで構成可能 |
| AH（Authentication Header） | データの完全性・送信元認証などを提供 | AH自体に暗号化機能はない。IPヘッダーの一部も保護可能 |
| IKEv2（Internet Key Exchange v2） | 暗号方式・鍵・SAをネゴシエーション | データ本体の暗号化を担当するESPと役割が異なる |
| SA（Security Association） | 暗号方式・鍵・保護対象などの片方向のセキュリティ関連付け | 通信ペアにどんな保護を適用するかを規定 |
| NAT-T（NAT Traversal） | NAT越えのためESPをUDPにカプセル化する方式 | UDP/4500などを使用。ESPがUDPの暗号に置き換わるわけではない |
ESPとAHの双方がIPsecの枠組みにありますが、現代の構成ではESPが中心です。IKEv2は相手認証や鍵共有、IPsec用SAの確立を行います。IKEv2の制御通信とESPのユーザーデータ通信を混同しないのが重要です。
- IKEv2で対向装置の認証と暗号パラメータの交渉を実施。
- 互いにIPsec用のSAと鍵情報を確立。
- ESPで内側IPパケットを保護した通信を転送。
- 受信側はESPの完全性・再送攻撃対策等を検査し復号。
5. IPsec・L2TP・PPTP・GRE・RSTPの違い
| 技術・用語 | 役割・処理対象 | 混同しないポイント |
|---|---|---|
| IPsec トンネルモード | ネットワーク層のIPパケットを保護し別IPに包む | ESPで暗号化・認証などを実現 |
| L2TP（Layer 2 Tunneling Protocol） | PPP等のレイヤー2フレームをトンネル化 | L2TP単体には暗号化がない。IPsecと組み合わせることがある |
| PPTP（Point-to-Point Tunneling Protocol） | PPPフレームをGREベースの方式で運ぶ | 古いVPN方式で現在は安全性の観点から非推奨 |
| GRE（Generic Routing Encapsulation） | さまざまなネットワーク層パケットを包む汎用のトンネリング | GRE単体には暗号化機能がない |
| RSTP（Rapid Spanning Tree Protocol） | LANスイッチのループ防止と経路収束 | VPNや暗号化用のトンネリングではない |
| TLS VPN | アプリケーションやトランスポート付近を保護するVPN構成 | IPsecとは保護層と導入方法が異なる |
トンネリングを層で判断すると、L2TP／PPTPは主としてPPPなどのデータリンク層フレームを運ぶ仕組み、IPsecトンネルモードはIPパケットを保護して包む仕組みです。RSTPはそもそもトンネルを形成しません。
6. レイヤーで見直す：IPsec・DTLS・HTTPSの違い
| 技術・用語 | 役割・処理対象 | 混同しないポイント |
|---|---|---|
| IPsec | ネットワーク層（IP）でIPパケットを保護 | VPN装置間で多数のアプリ通信をまとめて扱える |
| TLS（Transport Layer Security） | 通常はTCPを使うアプリケーション通信を保護 | HTTPSで使われる代表例 |
| DTLS（Datagram Transport Layer Security） | UDP上のデータグラム通信を保護 | UDP上でTLS系の保護機能を使う |
| HTTPS | HTTPをTLSで保護 | VPNではなく個々のWeb通信を保護 |
| QUIC / HTTP/3 | UDP上にQUICの暗号化・多重化等を構築 | QUICの保護にDTLSを使うわけではない |
銀行サイトをHTTPSで閲覧するときはブラウザと銀行サイトのTLSがデータを保護します。さらに会社VPNに接続していた場合は、経路によってTLSとIPsecの保護が重ねて適用されることがあります。どちらか片方を導入するともう片方が不要になる、という単純な関係ではありません。
7. 設定と運用：VPNの盲点
| 技術・用語 | 役割・処理対象 | 混同しないポイント |
|---|---|---|
| 鍵交換と認証 | 対向VPN装置・ユーザーの正当性を検証 | IKEv2、強固な認証、証明書管理 |
| 暗号スイート | 適切な暗号・完全性保護アルゴリズムを選択 | 古いアルゴリズムの継続利用を避ける |
| NATとファイアウォール | ESP（IPプロトコル番号50）やUDPカプセル化の通過 | IKEでUDP/500、NAT-TでUDP/4500などを考慮 |
| MTUと断片化 | 外側IP・ESPなどで通信サイズが増える | 経路MTU・MSS調整や断片化への配慮 |
| スプリットトンネル | 通信をVPN経由／一般回線経由に分ける | 社内ポリシー・DNS・アクセス制御を確認 |
| 拠点間の経路設計 | トンネル両端のルーティングや冗長化 | 鍵交換が成功しても疎通するとは限らない |
VPNで通信を暗号化しても、接続後に端末がマルウェアに感染している場合や過剰なアクセス権がある場合のリスクは残ります。MFA、端末管理、ネットワーク分離、ログ監視も必要です。
8. 実際に触れる：カプセル化・モード切り替えラボ
同じ業務データを送る場合でも、トンネルモードとトランスポートモードでパケットがどう変わるか確認しましょう。さらにL2TP、PPTP、RSTPへ切り替え、方式ごとの「包む対象」と「暗号化の有無」を整理します。
INTERACTIVE LAB / PACKET VIEW
トンネルとパケットの中身を操作
このラボはパケットの構造を抽象化した教材です。暗号計算や実ネットワーク送信は行いません。
IPパケットを保護でき、トンネルモードではIPパケットを新しいIPパケットで包む
ノード図：どの装置が処理する？
10.0.1.20
203.0.113.10
198.51.100.20
外側IPはVPN装置間の宛先。内側IPは本来の通信先を示します。上図は拠点間VPNの一例です。
ESPトンネルモード：概念的なパケット
ESPの暗号化・完全性保護の範囲を概念的に示しています。SPI／シーケンス番号、IV、パディング、認証タグなどの詳細配置は暗号スイートにより異なります。
判別のポイント
「IPパケットをもう一つのIPパケットで包む」「暗号化されたVPN通信」という両条件ならIPsecトンネルモード（ESP）。L2TPやPPTPはPPPフレームを運ぶための方式、RSTPはLANループ防止です。
9. 記憶を整理するためのQ&A
いいえ。IPsecはIP層で保護するため、適用ポリシーに該当するTCP・UDPなどを含むIP通信を扱えます。
いいえ。GREやL2TP単体など、トンネリングをしても暗号化を提供しない方式があります。
いいえ。VPN装置まで配送するため、外側IPヘッダーは一般に見えます。
L2TPがPPP等のフレームを運ぶ層を担当し、IPsecがその通信の保護を担当する複合構成だからです。
いいえ。RSTPはEthernetスイッチ間の冗長経路からループを防ぎ、障害時に素早く収束するためのプロトコルです。
参考資料・RFC
まずIPsecの全体像（RFC 4301、NIST SP 800-77 Rev.1）、次にESP（RFC 4303）、IKEv2（RFC 7296）を読むと体系的です。
- RFC 4301: Security Architecture for the Internet Protocol（IETF）
- RFC 4303: IP Encapsulating Security Payload (ESP)（IETF）
- RFC 4302: IP Authentication Header（IETF）
- RFC 7296: Internet Key Exchange Protocol Version 2（IETF）
- RFC 3948: UDP Encapsulation of IPsec ESP Packets（IETF）
- RFC 2661: Layer Two Tunneling Protocol L2TP（IETF）
- RFC 2784: Generic Routing Encapsulation（IETF）
- Guide to IPsec VPNs, NIST SP 800-77 Rev.1（NIST）