VPNとIPsecの基礎

この単元で学ぶこと

VPNは、共有されるネットワークを経由しても、離れた利用者・拠点・ネットワーク間を安全に接続するための仕組みです。VPNには複数の方式がありますが、ネットワーク機器でよく使われる代表例の一つがIPsecです。

この単元では、VPN、拠点間VPN、リモートアクセスVPN、IPsec、Security Association、IKE、ESP、トンネルモード、トランスポートモード、事前共有鍵の基本を学びます。

VPNとは

VPNはVirtual Private Networkの略で、共有ネットワーク上に論理的な専用経路を作り、遠隔地との通信を保護する考え方です。インターネットを経由する通信でも、認証・暗号化・完全性確認などを組み合わせて、第三者に内容を見られたり変更されたりするリスクを減らします。

拠点間VPNとリモートアクセスVPN

拠点間VPNは、二つ以上のネットワークを接続する方式です。たとえば、本社と支社に設置したVPNゲートウェイ同士を接続し、各拠点の端末が相互に通信できるようにします。

リモートアクセスVPNは、社外の利用者端末から組織のネットワークへ接続する方式です。利用者と端末の認証、接続後に許可するネットワーク範囲、端末の安全性確認などをあわせて設計します。

IPsecとは

IPsecはIP層で通信を保護するための標準的な仕組みです。IPsecは、アクセス制御、完全性、送信元認証、再送攻撃の検出、暗号化による機密性などのセキュリティサービスを提供できます。

IPsecを使うと、ホスト同士、セキュリティゲートウェイ同士、またはゲートウェイとホストの間で、保護された通信を構成できます。

Security AssociationとIKE

Security Associationは、どの通信をどの方式で保護するかを表すセキュリティ上の関連付けです。利用する暗号アルゴリズム、鍵、通信の対象などを、両端で合意して管理します。

IKEはInternet Key Exchangeの略で、IPsecで使う鍵やSecurity Associationを自動的に確立・管理するための仕組みです。両端の設定や認証方式が一致していないと、VPNトンネルを確立できません。

ESPと通信の保護

ESPはEncapsulating Security Payloadの略で、IPsecで広く使われる保護方式です。ESPは完全性や送信元認証を提供でき、暗号化を有効にした場合は機密性も提供します。

実際に使える暗号方式や認証方式は、機器・ソフトウェア・ポリシーにより異なります。運用では、両端で同じ方式を設定し、サポート状況と組織の暗号ポリシーを確認します。

トンネルモードとトランスポートモード

トンネルモードでは、元のIPパケット全体を保護対象として、新しい外側IPヘッダーを付けて運びます。拠点間VPNのように、ネットワーク同士を接続する構成で使われる代表的な方式です。

トランスポートモードでは、主にIPパケットのペイロードを保護します。どちらを使うかは、通信の端点、保護する範囲、機器の機能、設計要件に応じて決めます。

認証と事前共有鍵

VPNの両端は、相手が正しい接続先であることを確認する必要があります。事前共有鍵は、両端であらかじめ共有する秘密情報を使って認証する方式です。

事前共有鍵は設定が比較的簡単ですが、利用者や接続先が増えるほど管理が難しくなります。規模や運用要件に応じて、証明書を使う認証方式なども検討します。

設計とトラブルシュートの視点

VPNでは、通信対象のネットワーク、暗号・認証方式、鍵の管理、NATの有無、ルーティング、アクセス制御、MTUを確認します。トンネルが確立しても、保護対象の通信が正しく定義されていなければ、期待した通信は流れません。

問題が起きたときは、到達性、時刻、名前解決、認証、提案する暗号設定、Security Association、ルーティング、フィルタ設定を順に確認します。

まず覚えたいポイント

VPNは遠隔地との通信を保護する仕組みで、IPsecはIP層でそれを実現する代表的な技術です。IKEで鍵とSecurity Associationを確立し、ESPなどで通信を保護します。拠点間VPNでは、トンネルモードと両端の設定整合性が重要です。