IPsec：IKEv2、ESP、AHプロトコル

IPsecは単一のプロトコルではなく、IPトラフィックを認証および暗号化するための標準規格群です。主な構成要素は、セキュリティアソシエーションの確立と管理を行うIKE（Internet Key Exchange）、暗号化と完全性を提供するESP（Encapsulating Security Payload）、暗号化なしで完全性を提供するAH（Authentication Header）です。IPsecはネットワーク層で動作するため、アプリケーションを変更せずにすべてのトラフィックを保護できます。

IKEv2（RFC 7296）は、よりシンプルで効率的な設計によってIKEv1に取って代わりました。IKEv1では複数のモードとメッセージ交換が必要でしたが、IKEv2では単一の統合された交換モデルを使用します。IKEv2には、NATトラバーサル、ユーザー認証用のEAPサポート、モバイル環境でのIPアドレス変更に対応するMOBIKE、より強力なセキュリティデフォルトも組み込まれています。現在のVPN実装のほとんどはIKEv2を使用しています。

IKE_SA_INIT交換では、IKEセキュリティアソシエーションを確立します。イニシエーターは、サポートするアルゴリズム、Diffie-Hellman鍵共有、ノンスを送信します。レスポンダーはアルゴリズムを選択し、自身のDH鍵共有とノンスを送信します。両者は同じ共有秘密を計算し、IKE SA用の鍵を導出します。この交換によって、後続のIKE_AUTHフェーズが保護されます。

IKE_AUTH交換では、通信相手を認証し、実際のトラフィック用の最初のChild SAを作成します。認証には、X.509証明書（最も安全）、事前共有鍵（PSK）、またはユーザーレベルの認証を行うEAP方式を使用できます。この交換では、Child SAのパラメーターもネゴシエートします。具体的には、トラフィックセレクター（保護するIP範囲）、暗号化アルゴリズム、完全性アルゴリズムです。

ESP（Encapsulating Security Payload）は、IPsecによるトラフィック保護の中心的な役割を担います。トンネルモードでは、ESPが元のIPパケット全体をESPヘッダー付きの新しいIPパケット内にカプセル化し、暗号化と完全性の両方を提供します。トランスポートモードでは、元のIPパケットのペイロードだけを保護し、元のIPヘッダーを維持します。現代の環境でESPに使用する推奨アルゴリズムはAES-256-GCMです。

AH（Authentication Header）は、暗号化なしで完全性と認証を提供します。ESPとは異なり元のIPヘッダーも保護対象に含めますが、そのためIPヘッダーのフィールドを変更するNATとは互換性がありません。AHは機密性を提供せず、NATトラバーサルも妨げるため、実際にはほとんど使用されません。強力なAEADアルゴリズムを使用するESPのほうが、AHと暗号化を別々に組み合わせるよりも優れた保護を提供します。

トランスポートモードでは、IPsecは2つのエンドポイント間のペイロードを保護しますが、IPヘッダーは見える状態のままです。これは、ルーティング情報を隠す必要がないホスト間通信で使用されます。トンネルモードでは、元のIPパケット全体を新しいパケット内にカプセル化し、監視者から送信元と宛先を隠します。VPNゲートウェイでは、ネットワーク間またはユーザーからネットワークへの接続に必ずトンネルモードを使用します。

標準のESPは、ESPの完全性保護の対象となるIPヘッダーとポート番号をNATが変更するため、NATを通過できません。IPsecでは、NAT-T（NAT Traversal）によってこの問題を解決します。IKE交換でNATを検出し、ESPパケットをUDPポート4500内にカプセル化します。このUDPラッパーにより、ESPの完全性検証を壊さずにNATでアドレスを変換できます。

IPsecはセキュリティアソシエーションデータベース（SAD）を保持し、アクティブなすべてのSAについて、鍵、アルゴリズム、ライフタイムを保存します。セキュリティポリシーデータベース（SPD）は、どのトラフィックを保護、バイパス、破棄するかを定義します。送信トラフィックがSPDのエントリに一致すると、カーネルはSAD内の適切なSAを検索または作成し、指定された保護を適用します。

IKEv2のEAP（Extensible Authentication Protocol）により、証明書やPSK以外のユーザーレベルの認証方式を利用できます。EAP-TLSはクライアント証明書を使用し、EAP-MSCHAPv2はユーザー名とパスワードを使用します（Windowsクライアントで一般的です）。EAP-TTLSは、TLSセッション内に内部方式をトンネリングします。エンタープライズ向けのIPsec VPNの多くは、ゲートウェイに証明書認証を使用し、個々のユーザーにはEAPを使用します。

セキュリティアソシエーションには、バイト数と時間によるライフタイムの制限があります。Child SAがライフタイムに近づくと、IKEv2はCREATE_CHILD_SA交換を通じて新しい鍵を持つ新しいSAを自動的に作成します。この鍵の再交換によって前方秘匿性が得られ、現在の鍵が漏えいしても、以前の鍵で暗号化された過去のトラフィックは漏えいしません。通常、IKE SAのライフタイムはChild SAより長く設定されます。

IPsecの復習です。IKEv2は、IKE_SA_INIT（DH鍵交換）とIKE_AUTH（通信相手の認証）によってセキュリティアソシエーションを確立します。ESPはトラフィックに対して暗号化および認証されたトンネルモードを提供し、AHはNATとの互換性がないためほとんど使用されません。NAT-TはESPをUDPでラップしてNATトラバーサルを可能にし、自動的な鍵の再交換によってVPNセッションのライフタイム全体を通じて前方秘匿性を提供します。