IPsec（インターネットプロトコルセキュリティ）とは｜定義・仕組み・用途を解説

IPsec（インターネットプロトコルセキュリティ）の定義、仕組み、導入方法やVPN・ゲートウェイでの用途まで、実務で使える基本と応用をやさしく解説。

インターネットプロトコルセキュリティ（IPsec）は、インターネット通信をより安全でプライベートなものにするための方法です。

IPsec は、データストリームの各 IP パケットを認証（およびオプションで暗号化）することで、インターネットプロトコル（IP）通信を保護するためのプロトコルの集まりです。IPsec には、セッションの開始時にエージェント間の相互認証を確立し、セッション中に使用する暗号鍵のネゴシエーションを行うためのプロトコルも含まれています。IPsec は、一対のホスト（コンピュータユーザやサーバなど）間、一対のセキュリティゲートウェイ（ルータやファイアウォールなど）間、またはセキュリティゲートウェイとホスト間のデータフローを保護するために使用することができます。RFC 2406

IPsec はエンドツーエンドのセキュリティソリューションであり、OSI モデルのレイヤ 3 に匹敵するインターネットプロトコルスイートのインターネット層で動作します。SSL、TLS、SSHなど、広く使われている他のインターネットセキュリティプロトコルは、これらのモデルの上位層で動作します。これは、TLS/SSLや他の上位層プロトコルの使用がアプリケーションに組み込まれている必要があるのに対し、アプリケーションはIPsecを使用するように設計されている必要がないため、IPsecはすべての上位層プロトコルを保護するために使用することができるため、より柔軟性が高くなっています。

IPsec」という用語は、インターネット技術タスクフォース（IETF）によって公式に定義されています。この定義には、この用語に使用される大文字の形式が含まれています。

IPsec の主な要素と機能

• セキュリティサービス
  • 機密性（Confidentiality）：データの暗号化によって第三者に内容を知られないようにする。
  • 完全性（Integrity）：データが途中で改ざんされていないことを保証する。
  • 認証（Authentication）：通信相手が正当であることを確認する。
  • 再送防止（Anti‑replay）：パケットの再利用攻撃を防ぐ。
• 主要プロトコル
  • AH（Authentication Header）: パケットの完全性と認証を提供します（機密性は提供しません）。
  • ESP（Encapsulating Security Payload）: 認証と暗号化を提供します。RFC 2406 は ESP を定義した文書の一つです。
• 動作モード
  • トランスポートモード：エンドツーエンドのホスト間でIPペイロードを保護（主にホスト間通信）。
  • トンネルモード：元のIPパケット全体を新しいIPパケットにカプセル化して保護（ゲートウェイ間のVPNなど）。
• セキュリティアソシエーション（SA）：両端で合意した暗号アルゴリズム、鍵、寿命などの一連のパラメータ。SA によりどのようにパケットが保護されるかが決定されます。
• IKE（Internet Key Exchange）：相互認証と鍵交換を行うためのプロトコル。IKEv1 と IKEv2 があり、IKEv2（RFC 7296）が現在の主流です。IKE により SA の確立と鍵ネゴシエーションが行われます。

利用用途（ユースケース）

• サイト間VPN（Site-to-Site VPN）：拠点間をセキュアに接続するためにルータやファイアウォールでトンネルモードのIPsecを利用。
• リモートアクセスVPN（Remote Access）：在宅勤務者やモバイルユーザが企業ネットワークへ安全に接続する際に、ホストベースまたはゲートウェイベースで使用。
• ホスト間セキュリティ：サーバ同士やクライアントとサーバ間で、アプリケーションや設定に依存せずに通信を保護。
• セキュアなインフラ接続：クラウド環境やデータセンター間の安全なリンク確立。

導入時の考慮点と運用上のポイント

• アルゴリズム選択：暗号化（AES など）、ハッシュ（SHA‑2 系など）や鍵交換方式（Diffie‑Hellman 群）を推奨設定に基づいて選択することが重要です。
• NAT（ネットワークアドレス変換）との互換性：ESP は一部の NAT 環境で問題になるため、NAT‑T（NAT Traversal）を使ってUDPでカプセル化することが一般的です。
• パフォーマンス：暗号処理は CPU 負荷となるため、ハードウェアアクセラレーション（暗号化オフロード）や適切な機器選定が必要です。
• 鍵管理と有効期限：鍵のローテーションポリシー、SA の有効期限設定、認証方式（事前共有鍵、証明書）の運用が重要です。
• ファイアウォールとルーティング：IPsec トンネルを通すためのポート／プロトコル開放（例えば IKE は UDP 500、NAT‑T は UDP 4500）やルーティング設定が必要です。
• 相互運用性：異なるベンダー機器間の相互運用を確保するために、設定の共通項目（暗号スイート、認証方式、モードなど）を合わせます。

簡単なパケットフロー（概略）

1. IKE によるピアの認証と IKE SA の確立（双方で認証と鍵交換）。
2. CHILD SA（実際にデータ保護に使う SA）のネゴシエーションと確立。
3. 確立された SA に基づき、IP パケットが AH または ESP によって認証／暗号化され送信される。
4. 受信側で SA を使って復号と認証を行い、元のペイロードを取り出して上位プロトコルに渡す。

長所と短所（まとめ）

• 長所
  • IP 層での保護により、アプリケーションを変更せずに幅広いトラフィックを保護できる。
  • ホスト間・ゲートウェイ間の柔軟な構成が可能で、VPN やリモートアクセスに広く利用されている。
  • 強力な認証・暗号化機能を備え、再送防止などのセキュリティ機能も提供する。
• 短所
  • 設定や運用がやや複雑で、誤設定がセキュリティリスクになることがある。
  • 暗号処理によるパフォーマンス負荷や、NAT 環境での追加対応が必要となる場合がある。
  • アプリケーションレベルのセキュリティと組み合わせて運用する必要がある場合がある（多層防御）。

参考情報と標準化

IPsec は IETF により標準化され、多数の RFC によって定義・更新されています。初期の RFC シリーズ（例：RFC 2401～2409）は基本仕様を示し、その後の更新でプロトコルや実装が改善されています。IKEv2 や最新の暗号スイートの利用など、現在はより堅牢で使いやすい実装が普及しています。

IP 層で動作するため、TLS/SSL や SSH などの上位層プロトコルとは異なる利点と役割を持ち、必要に応じて併用されます。導入時は利用目的（サイト間 VPN、リモートアクセス、ホスト間保護など）に応じたモードやアルゴリズム選定、運用ポリシーの整備を行ってください。

質問と回答

Q:インターネットプロトコルセキュリティ（IPsec）とは何ですか?

Q:IPsecはどのように機能するのですか?

Q:インターネット・セキュリティ・プロトコルには、他にどのようなものがありますか?

Q: IPsecはどのように柔軟性を高めているのですか?

Q:「IPsec」の意味を定義しているのは誰ですか?

文字で検索