基本情報技術者試験など情報処理技術者試験を受験する方にとっては必須の，IPsecについてシンプルにまとめています。IPsecの概要とSA，IKE（フェーズ1（メインモード，アグレッシブモード），フェーズ2），IPsec通信（トンネルモード，トランスポートモード），AH，ESP，IPsecの問題点について説明しています。通信の流れなど，ややこしいところもありますが，しっかり頑張りましょう。
IPsec（Security Architecture for Internet Protocol）
IPsecは，IPネットワークでセキュリティ機能を提供するプロトコルです。鍵交換を行うIKE，認証を行うAH，暗号化や認証を行うESPなど，複数のプロトコルで構成されています。
※ IPsecはネットワーク層（OSI基本参照モデル）のプロトコルである
※ IPsecは，インターネットVPNを構築する際に用いられる（IPsec-VPN）。インターネットVPNについては，「WAN－VPN－インターネットVPN －情報処理シンプルまとめ」を参照
| SA | Security Association。通信を行う際に使用する論理的な通信路（コネクション）。SAは，一方向通信のコネクションであるため，双方向で通信する場合は，2つ必要になる（各SAは，SPIというインデックスを使用することで一意に識別することができる） |
| ISAKMP-SA | Internet Security Association and Key Management Protocol SA。IKEのフェーズ2で使用する論理的な通信路 |
| IPsec-SA | IPsecの暗号通信で使用する論理的な通信路 |
※ SPIや，IKE，IPsec通信の詳細は，後述
IKE（Internet Key Exchange）
IKEとは，暗号化や認証に使用するアルゴリズムや共通鍵などの情報を，事前に通信者間で共有するためにやり取りする鍵交換プロトコルのことをいいます。
※ IKEでは，DH（Diffie-Hellman）法により動的に設定する
フェーズ1
フェーズ1では，フェーズ2で行う通信を暗号化するための情報を交換し，ISAKMP-SAを確立します。
※ フェーズ2では，IPsecの暗号通信で使用する情報を交換するが，その情報が漏えいすると信頼性が損なわれるので，フェーズ2の通信も暗号化する必要がある
メインモード
メインモードの場合は，次のような流れになります。
アグレッシブモード
アグレッシブモードの場合は，次のような流れになります。
フェーズ2
フェーズ2では，IPsecの暗号通信で使用する暗号アルゴリズムと認証アルゴリズムを決定して，暗号用の鍵と認証用の鍵を生成し，IPsec-SAを確立します。
※ フェーズ2では，フェーズ1で確立した（暗号化された通信路である）ISAKMP-SAを使用する
確立されたSAは，SADに登録され，これ以降のIPsec通信で使用されます。
※ SAD（Security Association Database）…SAを識別するための情報を登録するデータベース
IPsec通信
トンネルモード
トンネルモードの場合は，LAN間を接続します。IPパケット全体をカプセル化して（新規にIPヘッダーを付け）インターネット上をトンネリングします。
※ カプセル化を解除しないと，元のIPアドレスやポート番号は分からない。そのため，LAN間をVPN装置を使用して接続する
トランスポートモード
トランスポートモードの場合は，端末間を接続します。IPパケットのペイロードのみを暗号化や認証しトンネリングします。
※ ペイロード…ヘッダーを除いたデータ本体のこと
AH（Authentication Header）
AHは，送信元の認証やデータの完全性（改ざんされていないこと）の機能を提供します（暗号化の機能は提供されません）。
パケット構造
AHの場合，認証ヘッダーは，IPヘッダーの後ろに付きます。
ESP（Encapsulated Security Payload）
ESPは，データの暗号化と，送信元の認証，データの完全性（データが改ざんされていないこと）の機能を提供します。
※ 暗号化と認証のどちらか，または，両方を使用することができる（どちらか一方は使用しなければならない）
パケット構造
ESPの場合，ESPヘッダーは，IPヘッダーの後ろに付きます。また，ペイロードの後ろに，ESPトレーラとESP認証データも付きます。
IPsecの問題点
IPsecを利用すると，低コストで比較的安全なネットワークを実現できますが，次のような問題点もあります。
- IPsec対応のVPN装置（ルーターなど）やVPNソフトウェアを導入する必要がある
- VPN装置がインターネットから攻撃可能な位置に配置されているため，完全な閉域性は確保できない
- 通信速度は保証されない
- 経路の途中に，アドレス変換（NATやNAPT）を行う機器がある場合には利用できない ⇒ ネットワーク間の接続に適している
※ VPN装置がNAT機能を備えている場合は，問題が起こりにくい
※ AHの場合，トンネルモードでVPN装置がNAT装置の内側に設置されている場合に問題が発生することがある。⇒ IPヘッダーも認証対象になるため，NAT装置によるIPアドレスの変換が改ざんとみなされる
※ ESPの場合は，どちらのモードの場合でもTCPヘッダーが暗号化されるため，ポート番号が識別できない。また，トンネルモードの場合は，IPヘッダーがカプセル化されるため，IPアドレスを識別することができない
※ NAT/NAPTについては，「IP（インターネット層）－IP－NAT －情報処理シンプルまとめ」を参照
まとめ
今回は，IPsecについて，シンプルにまとめてみました。IKE，AH，ESPなど，各プロトコルの特徴をしっかり理解するよう努めましょう。
