こんにちは！ネットワークやインフラの世界に一歩を踏み出した皆さん、日々の学習お疲れ様です。
新しい技術を学ぶとき、見慣れないアルファベットの羅列や、なんだか厳めしい専門用語の壁にぶつかって「ううっ…」と頭を抱えてしまうことってありますよね。でも、安心してください。どんなに複雑に見えるネットワークの仕組みも、私たちが普段何気なく使っている現実世界のルールに置き換えてみると、驚くほどスッと頭に入ってくるものなんです。
今回は、企業ネットワークの要である「IPsec（アイピーセック）」、その中でも拠点同士をガッチリ結ぶために欠かせない「トンネルモード」の仕組みについて、一緒に紐解いていきましょう！
難しいパケットの構造や暗号の数式はいったん脇に置いて、まずは身近な「郵便配達」のたとえから出発しますよ。一歩ずつ、丁寧に進んでいきましょうね。
—
1. そもそもIPsecの「トンネルモード」って何だろう？
会社の本社と、遠く離れた地方の支店とを安全につなぎたいとき、私たちはよく「IPsec VPN」という技術を使います。インターネットという「誰が覗き見しているかわからない危険な公道」の上に、自分たち専用の安全なパイプ（VPN）を通す技術ですね。
このIPsecには、主に「トランスポートモード」と「トンネルモード」という2つの顔（モード）があります。それぞれの違いを、手紙を送るシチュエーションで例えてみましょう。
- トランスポートモード（中身だけを守るスタイル）
- 手紙の「本文」だけを頑丈なカギ付きの封筒に入れて送るイメージです。宛先が書かれた封筒の表書きは丸見えの状態なので、「誰から誰宛てか」は道行く人にバレてしまいます。主にサーバーとクライアントの1対1の通信で使われます。
- トンネルモード（まるごと包み込んで守るスタイル）
- 手紙の本文だけでなく、宛先が書かれた封筒ごと、さらに一回り大きな「新しい専用の封筒」に入れて送るイメージです。これなら、外側の封筒に書かれた宛先を見て中継地点の配達員が荷物を運びつつ、中身は完全に秘密に守られますよね。
拠点間を結ぶネットワークの世界では、この「トンネルモード」が主役になります。なぜなら、本社と支店という「組織と組織」をつなぐときには、個人の手紙以上に、プライベートなネットワーク情報（IPアドレスなど）を丸ごとカプセル化して隠す必要があるからです。
—
2. トンネルモードのパケットはどう変身するの？
それでは、もう少しだけネットワーク寄りの世界をのぞいてみましょう。私たちがパソコンから送り出した「データ（IPパケット）」が、ルーターを通ることでどのようにトンネルモードに変身するのか、その流れを追ってみますね。
通常、ネットワークを流れるデータには「元の宛先と送り主（IPヘッダー）」がくっついています。
[ 元のIPヘッダー (宛先・送信元) ] + [ 実際のデータ ]これを、拠点間を結ぶVPNルーターが受信すると、トンネルモードの魔法（カプセル化）をかけます。
1. まず、元のデータと元のIPヘッダーの全体をまるごと大切な荷物として扱います。
2. その上から、新しく「VPNルーター同士の住所（新しいIPヘッダー）」をペタッと貼り付けます。
3. 必要に応じて、途中で中身を改ざんされないための「認証情報」や「暗号化」の処理を施します。
パケットのイメージ図を見てみましょう。
+-----------------------+-----------------------+--------------------+
| 新しいIPヘッダー | IPsecセキュリティ | 元のIPヘッダー | 実際のデータ
| (VPNルーター間の宛先) | ヘッダー (暗号化の目印) | (本来の宛先) |
+-----------------------+-----------------------+--------------------+このように、本来の宛先情報がすっぽりと内側に隠され、外側には「ここからあそこのVPNルーターまで運んでね」という新しい宛先だけが見える状態になります。これが、インターネットという荒波を安全に渡るための「トンネル」の正体です。
—
3. なぜ「拠点間接続」でトンネルモードが必須なのか？
実務の現場でインフラを設計するとき、「なぜここでトンネルモードを選ばなければならないのか」を説明できることは非常に重要です。
企業の本社（例えばネットワークが 192.168.10.0/24）と支店（192.168.20.0/24）を繋ぐケースを想像してください。本社にいるスタッフが支店のサーバーにアクセスするためには、お互いのプライベートなIPアドレスのまま通信ができなければなりません。
しかし、インターネットの世界では、この 192.168.x.x のようなプライベートIPアドレスはそのままではルーティング（道案内）してもらえません。
ここでトンネルモードの出番です！
本社側のVPNルーターが、192.168.10.0 から 192.168.20.0 宛てのパケットを捕まえ、外側にグローバルIPアドレスの「新しい封筒」をかぶせてインターネットに送り出します。そして、支店側のVPNルーターがその封筒を受け取り、外側を剥がして元のプライベートなパケットに戻して支店の内部ネットワークへ送り届けるのです。
この仕組みがあるおかげで、私たちはインターネットという共通インフラを使っていながら、まるで本社と支店が一本の専用線で直接つながっているかのような安全な環境を手に入れることができるというわけですね。
—
4. 【実務で役立つ】IPsecトンネルモードの設定サンプル
「理屈はなんとなくわかったけれど、実際の現場ではどうやって設定するの？」
そんな声にお応えして、Linux（StrongSwanなどのIPsec実装）や一般的なルーター設定でよく見られる、トンネルモードを意識した設定の雰囲気をコードブロックでご紹介します。
以下の設定例は、本社ルーター側のIPsecトンネル（フェーズ2）を定義するイメージです。
# /etc/ipsec.conf の設定例（概念的なサンプル）
conn honsha-to-shiten
# 通信の両端となるVPNルーターのグローバルIPアドレスを指定します
left = 203.0.113.10 # 本社側のルーターIP
right = 198.51.100.20 # 支店側のルーターIP
# 隠して安全に通信したいお互いのプライベートネットワーク（関所の中身）
leftsubnet = 192.168.10.0/24 # 本社側ネットワーク
rightsubnet = 192.168.20.0/24 # 支店側ネットワーク
# ここがポイント！トンネルモードを指定します（デフォルトのことが多いです）
type = tunnel
# 暗号化アルゴリズムや認証方式の指定（固いカギをかけます）
esp = aes256-sha256-modp2048
# IPsecのトンネルを今すぐ有効化する設定
auto = start設定のポイント
type = tunnelという一行（またはそれに類するモード選択）が、今回解説した「パケット丸ごとカプセル化」の指示を出しています。leftsubnetとrightsubnetで指定した内側のネットワーク同士を、安全なトンネルで直結するイメージをそのままコードに落とし込んでいるのが分かりますよね。
—
おわりに
今回は、IPsecにおける「トンネルモードの仕組みと適用シナリオ」について、郵便配達のたとえを交えながら解説しました。
- トンネルモードとは、元のパケット（宛先含む）をまるごと新しい封筒で包み込み、安全に目的地へ運ぶ仕組みであること。
- 企業の本社と支店を結ぶような拠点間接続においては、プライベートIP同士の通信をインターネット上で安全に行うために必須の技術であること。
これらが皆さんの心の中に、すっきりとイメージとして定着していれば嬉しいです。
ゼロトラストやクラウド全盛の現代においても、拠点間のセキュアな接続基盤としてIPsec VPNの重要性は微塵も揺らいでいません。ぜひ今回の内容をベースに、実際の機器やクラウドのVPN設定画面も触ってみてくださいね。
それでは、次の技術解説でお会いしましょう！ネットワークスペシャリストの主筆ライターがお届けしました。
コメント