Network+ Academy · レッスン

トンネリングと暗号化のプロトコル

Q: 「トンネリングと暗号化のプロトコル」で何を学びますか？

IPsec、SSL/TLSと、それらがリモート接続を保護する方法を学びます。 ブラウザで直接実行するハンズオンコードでNetwork+ Academyを演習し、24時間対応のAIチューターがレッスンを進める中での質問に答えます。

IPsec、SSL/TLSと、それらがリモート接続を保護する方法を学びます。

「トンネリングと暗号化のプロトコル」はCoddyKit上の無料Network+ Academyレッスンです。これはレッスン3/4です。下記で完全なレッスンを無料で読むことができます。その後、ブラウザ内の組み込みコードエディタと24時間対応のAIチューターでハンズオン演習できます。これはNetwork+ Academy学習パスの一部であり、ウェブとCoddyKitアプリ全体で進捗が同期されます。 Network+ Academyコースには全4レッスンが含まれています。

トンネルを支えるプロトコル

VPNトンネルは、通信のカプセル化、暗号化、認証の方法を定義する特定のプロトコルによって構築されます。プロトコルごとに適した用途が異なり、セキュリティ、速度、互換性のバランスも異なります。

VPN技術を代表する2つの大きな方式がIPsecとSSL/TLSです。これらの役割を理解すると、実際に使用するほぼすべてのVPNがどのように構築されているかが分かるようになります。

IPsecの概要

IPsec（Internet Protocol Security）は、ネットワーク層（Layer 3）で通信を保護するプロトコルスイートです。2つのエンドポイント間で各パケットを暗号化および認証でき、多くのsite-to-site VPNの基盤となっています。

Layer 3で動作するため、IPsecは通信を送信するアプリケーションに関係なく、すべての通信を透過的に保護できます。そのため、ネットワーク全体の接続に適しています。

IPsecの構成要素

IPsecはいくつかの要素で構成されます。

AH（Authentication Header）：完全性と認証を提供しますが、暗号化は行いません。
ESP（Encapsulating Security Payload）：暗号化に加えて完全性も提供します。最もよく使用される要素です。
IKE（Internet Key Exchange）：鍵をネゴシエートし、安全なセキュリティアソシエーションを確立します。

ESPとIKEの組み合わせが一般的で、完全な機密性と完全性を実現します。

トランスポートモードとトンネルモード

IPsecには2つのモードがあります。トランスポートモードはパケットのペイロードだけを暗号化し、元のIPヘッダーを残します。これはホスト間の接続で使用されます。トンネルモードは元のパケット全体を暗号化し、新しいパケットで包みます。

site-to-site VPNで使用されるのはトンネルモードです。内部のアドレス情報を隠し、2つのゲートウェイ間で元のパケット全体を保護できるためです。

SSL/TLS VPN

SSL/TLS（Secure Sockets Layer / Transport Layer Security）VPNは、より上位のレイヤーで通信を保護し、多くの場合Webブラウザー内や軽量なクライアントで直接動作します。TLSはHTTPSのWebサイトを保護するものと同じプロトコルです。

SSL VPNは、導入が容易で、ファイアウォールやNATを容易に通過でき、ブラウザー以外の特別なソフトウェアを必要としない場合もあるため、clientによるリモートアクセスで広く利用されています。

IPsecとSSL/TLSの比較

両者は異なる用途を得意とします。

IPsec: site-to-siteやネットワーク全体へのアクセスに適していますが、NATやファイアウォールとの相性に問題が生じることがあり、設定もより複雑です。
SSL/TLS: 特定のアプリケーションへのclientアクセスに適しており、ブラウザーやファイアウォールとの親和性に優れています。

多くの組織では、拠点間にIPsecを使用し、リモートユーザーにはSSL/TLSを使用しています。

避けるべきレガシープロトコル

古いVPNプロトコルの中には、現在では安全でないため使用すべきでないものがあります。PPTP（Point-to-Point Tunneling Protocol）には既知の脆弱性があり、暗号化も破られています。単体のL2TP（Layer 2 Tunneling Protocol）には暗号化機能がなく、IPsecと組み合わせる必要があります。

古いプロトコルを見分けることは重要です。これらを使うと、通信をさらしたまま誤った安心感を抱くことになります。

鍵と暗号技術

これらすべてのプロトコルは暗号技術に依存しています。大量のデータには、高速に処理できる共通鍵暗号（1つの共有鍵）を使用します。また、その共有鍵を安全に合意するために、公開鍵暗号（鍵ペア）と鍵交換アルゴリズムを組み合わせます。

トンネルを本当に安全にするのは、強力で現代的な暗号方式と適切な鍵交換です。弱い暗号技術や古い暗号技術を使うと、適切に設計されたVPNであっても安全性が損なわれます。

トンネル設定の例

VPNの設定では、エンドポイント、鍵、許可する通信が中心となります。この簡略化したスニペットは、WireGuardのピアで使用する設定の例です。

[Peer]
PublicKey = <remote-public-key>
Endpoint = vpn.example.com:51820
AllowedIPs = 10.0.0.0/24

まとめ

IPsecはESPとIKEを使ってLayer 3の通信を保護し、site-to-site接続にはトンネルモードを使用します。SSL/TLS VPNはclientアクセスを保護し、ブラウザーやファイアウォールとの親和性に優れています。WireGuard、OpenVPN、IKEv2などの最新の選択肢は速度とモバイル環境への適応性を高めます。一方、古いPPTPは避けるべきです。

クイックチェック

VPNプロトコルに関する知識を確認しましょう。

復習

IPsecはAH、ESP、IKEを使ってネットワーク層の通信を保護し、site-to-site VPNにはトンネルモードを使用します。SSL/TLS VPNはブラウザーを使ったclientアクセスに適しています。最新のプロトコルにはWireGuard、OpenVPN、IKEv2があり、PPTPのような安全でないレガシーな選択肢は廃止すべきです。

よくある質問