ネットワークセキュリティ・VPN・認証 重要度:★★★出題: AM2・PM1・PM2
IPsec VPN と IKEv2 / ESP
あいぴーせっくぶいぴーえんとあいけーいーぶいつー / IP Security Architecture & IKEv2 / ESP
IP層（レイヤ3）でパケットの暗号化・改ざん検知・通信相手認証を行い、拠点間やクラウド間の安全なVPNトンネルを構築する技術。
3行速習ポイント
- IKEv2により制御用のIKE SAを確立した上で、実際のIPパケットを暗号化転送する単方向のChild SA（IPsec SA）をペアで生成
- トンネルモードのESPでは「元のIPパケット全体＋ESPトレーラ」が暗号化され、新IPヘッダとESPヘッダは暗号化されない
- NAPT越えを行う場合はNAT-T（NATトラバーサル）によりESPパケットをUDPポート4500番でカプセル化して転送
図解
図IPsec トンネルモード（ESP）のカプセル化・保護範囲
ヘッダ部
新IPヘッダ + ESPヘッダ
新IPヘッダはルーティング用、ESPヘッダはSPI・シーケンス番号を格納（非暗号化）
↕
暗号化範囲
元のIPパケット（IPヘッダ＋データ）＋ ESPトレーラ
トンネルモードESPにおける「暗号化」対象範囲
↕
認証範囲
ESPヘッダ 〜 ESPトレーラ ＋ ESP ICV
改ざん検知（メッセージ認証・完全性検証）の対象範囲
概要と本質
IPsecは拠点間VPNやクラウド接続（AWS Site-to-Site VPN、SD-WAN、セキュアWebゲートウェイ接続）の基盤プロトコルです。事前共有鍵（PSK）または公開鍵証明書を用いてIKEv2で相互認証とDiffie-Hellman鍵交換を行い、ESP（Encapsulating Security Payload）でデータの機密性と完全性を保護します。
重要ポイント・コア概念
- ESPトンネルモードの暗号化範囲：「元のIPヘッダ＋ペイロード（元のIPパケット）＋ESPトレーラ」（※ESPヘッダは暗号化されない）
- ESPトンネルモードの認証（改ざん検知）範囲：「ESPヘッダ＋元のIPパケット＋ESPトレーラ」（※外側の新IPヘッダは含まれない）
- DPD（Dead Peer Detection）やBFDを併用することで、IPsecトンネル対向機器の障害を高速に検知してバックアップ回線へ切り替え
午後I・午後II記述試験での攻略ポイント
令和6年春午後I問3でも採点講評で指摘された通り、「ESPトンネルモードの暗号化範囲にESPヘッダを含めないこと（元のIPパケットとESPトレーラのみ）」は極めて重要な頻出ポイントです。
午後記述で使える加点キーワード（クリックでコピー）
この用語が出題された過去問を解く（1分演習）
即時アウトプットで定着ネットワークスペシャリスト 過去問演習で実践力を鍛える
