ネットワーク・通信セキュリティ重要度:★★★出題: AM2・PM1

IPsec (IKEv2 / ESP) と SSL-VPN

あいぴーせっく / えすえすえるぶいぴーえぬ / Security Architecture for Internet Protocol / SSL-VPN

ネットワーク層（L3）でIPパケット全体を暗号化・認証するIPsecと、トランスポート層以上（TLS）でリモートアクセスを提供するSSL-VPN。

3行速習ポイント

IPsecのESP（Encapsulating Security Payload）は暗号化と改ざん検知の両方を提供し、トンネルモード（拠点間VPN）とトランスポートモードが存在
トンネルモードでは元のIPヘッダごと丸ごと暗号化し、外側にVPNゲートウェイ間の新IPヘッダを付与
SSL-VPN（TLS-VPN）やVPN機器の脆弱性を突いた侵入が多発しており、クライアント証明書認証＋多要素認証の併用と迅速なパッチ適用が不可欠

図IPsec（トンネルモード / トランスポートモード）と SSL-VPN の比較

IPsec トンネルモード（拠点間VPN等）ネットワーク層 (L3)

元のIPヘッダごとペイロード全体をESPで暗号化・認証

VPNゲートウェイ間で元のIPパケット全体を丸ごと暗号化し、外側に新しいIPヘッダを付与。NAT越え時はUDP 4500番（NAT-T）でカプセル化

SSL-VPN / ZTNA（リモートアクセスVPN）アプリケーション層

TLS暗号化とクライアント証明書による端末単位アクセス

PCやスマートフォンのWebブラウザ・エージェントからTLSで接続。スプリットトンネリング利用時は端末のパーソナルFWとEDR制御を徹底

💡 VPN機器の脆弱性や認証情報漏洩による侵入を防ぐため、迅速なパッチ適用と「クライアント証明書（TPM格納）＋多要素認証」の併用が必須

拠点間LAN接続ではネットワーク層で透過的に動作するIPsec（トンネルモード）が主に使われ、PCやスマホからのリモートアクセスではファイアウォールやNAT越えが容易なSSL-VPN（またはZTNA）が広く使われます。

IKE（Internet Key Exchange）：IPsecの通信開始前にDiffie-Hellman鍵交換と相互認証を行い、SA（Security Association：暗号アルゴリズムや鍵の取り決め）を確立
NATトラバーサル（NAT-T）：ESPパケットはTCP/UDPポート番号を持たないため、UDPポート4500番でカプセル化してNATを通過させる
スプリットトンネリングの注意点：テレワーク端末からSaaS通信のみを直接インターネットへ逃がす設定にする場合、端末自体が踏み台にならないようパーソナルFWとEDR制御が必須