こんにちは！インフラやネットワークの世界へようこそ。日々のインフラ運用やセキュリティ対策、本当にお疲れ様です。
ネットワークの勉強を始めると、必ずと言っていいほどぶつかる壁がありますよね。「VPNって何となくすごそうだけど、中で何が起きているのかサっぱりわからない…」「IPsecって呪文みたいな名前で近寄りたくない…」そんな風に感じていませんか？
大丈夫です、安心してください！今回は、企業ネットワークの要塞である「IPsec VPN」の基本概念と、その心臓部である「AH」と「ESP」というプロトコルについて、難しい専門用語の裏側にある「現実世界の仕組み」に例えながら、一歩ずつ優しく紐解いていきましょう。
—
1. そもそもVPNって何だろう？ 〜インターネットという「大都会」を安全に渡る方法〜
私たちが普段使っているインターネットは、例えるなら「誰もが行き交う大都会のオープンな大通り」です。そんな大通りで、会社の機密データや個人のパスワードをそのまま叫びながら歩いたらどうなるでしょうか？ そう、通りすがりの怪しい人にすべて聞かれて（盗聴されて）しまいますよね。
離れた場所にある本社のネットワークと支店のネットワークを、この危険な大通り（インターネット）を挟んで安全につなぎたい。そこで登場するのが VPN（Virtual Private Network） です。
VPNは、インターネットという公道の中に、自分たち専用の「見えない頑丈なトンネル」を掘る技術です。このトンネルの中を通るデータは、すべて厳重にカプセル化され、鍵がかけられます。だから、たとえ途中でデータが盗み見られても、中身が全く読めないというわけですね。
—
2. IPsecの正体：インターネットの郵便局員
このVPNトンネルを築くための「最強のセキュリティ規格」が IPsec（Security Architecture for IP） です。名前の通り、インターネットの基本ルールである「IP（Internet Protocol）」の層で、通信の安全を守る仕組みです。
IPsecがやっていることは、実は私たちが日常で使っている「書留の郵便配達」と全く同じです。想像してみてください。
1. 暗号化（中身が見えないようにする）：他愛のないハガキではなく、頑丈な封筒に入れてノリをベッタリ貼り、さらに特殊な鍵をかけます。
2. 完全性（途中で書き換えられていないかチェックする）：封筒に「特殊なワックスの封蝋（ふうろう）」をして、途中で誰かが封を開けたら一目でわかるようにします。
3. 認証（差出人が本物か確認する）：裏面には、本人の直筆サインと公式のスタンプが押されています。
IPsecはこの3つを、ネットワークを流れるデータ（パケット）に対して完璧にこなしてくれます。そして、この「封筒の作り方」や「安全対策のルール」を担当するのが、これから解説する AH と ESP という2つの相棒です。
—
3. AHとESP：セキュリティの「ハンコ」と「鍵付き金庫」
IPsecの中には、データを守るための2つのメインキャラクターがいます。それぞれ得意分野が違うので、役割分担をみていきましょう。
3-1. AH（Authentication Header）：中身は見せるが、改ざんは許さない「ハンコ係」
AHは、データの「完全性（改ざんされていないこと）」と「送信元の認証」を保証するプロトコルです。
- 現実世界の例え：重要な書類に、割印（わりいん）や公的な電子印鑑をビシッと押すイメージです。
- 特徴：書類の中身自体は暗号化しません（丸見えのまま）。ただし、途中で誰かが1文字でも書き換えると、ハンコ（チェックサム）の計算が合わなくなるため、「おい、途中で誰か触ったな！」と瞬時に見破ることができます。
- 弱点：中身が丸見えなので、盗聴を防ぐことはできません。「見られてもいいけれど、書き換えられては困る」という特殊なシーン以外では、現代の企業ネットワークで単体で使われることは少なくなっています。
3-2. ESP（Encapsulating Security Payload）：中身を隠し、丸ごと守る「鍵付き金庫係」
現代のIPsec VPNの主役であり、99%の現場で使われているのがこの ESP です。
- 現実世界の例え：大切な現金や契約書を頑丈なジュラルミンケース（金庫）に入れ、さらに厳重に鍵をかけてから配送業者に預けるイメージです。
- 特徴：データの「暗号化（盗聴防止）」、「完全性（改ざん防止）」、「認証（本人確認）」のすべてをこれ一つでこなします。
- すごいところ：元のデータパケットを丸ごとESPの「金庫」の中にポイッと放り込み、外側から見えないようにカプセル化してしまいます。外から見えるのは「どこからどこへ運ぶか」という宛先情報（新しいIPヘッダー）だけなので、途中で中身をのぞき見られる心配が一切ありません。
基本的には「IPsec＝ESPを使うもの」と覚えておいて間違いありません！
—
4. 現場の裏側：IPsec VPNの設定を覗いてみよう
「概念は分かったけれど、実際の現場ではどう設定するの？」
ここからは、Linux（強固なオープンソースVPNルーターなどでよく使われる StrongSwan や libreswan などの設定ファイル、あるいはCisco等のルーターの概念）をイメージした、実践的な設定パラメーターのサンプルを見てみましょう。
インフラエンジニアとして現場に立つと、こうしたパラメータを一つひとつチューニングしていくことになります。
# ==========================================
# IPsec VPNトンネル設定サンプル（概念設定）
# ==========================================
[Connection_Branch_to_HQ]
# 1. 接続方式の定義
authby = pubkey # 認証方式（事前共有鍵: psk または公開鍵: pubkey）
left = 203.0.113.5 # 自拠点（支店）のグローバルIPアドレス
right = 198.51.100.200 # 相手拠点（本社）のグローバルIPアドレス
# 2. 守るべきネットワークの範囲（トラフィックセレクター）
leftsubnet = 192.168.10.0/24 # 支店のローカルネットワーク
rightsubnet = 192.168.1.0/24 # 本社のローカルネットワーク
# 3. 第一段階：安全な通信路を作るための交渉ルール（IKE Phase 1 / ISAKMP）
# 郵便配達員同士が「どの合い言葉で安全に会話するか」を決めます
ike = aes256-sha256-modp2048 # 暗号化:AES-256 / ハッシュ:SHA-256 / 鍵交換:DHグループ14
keyingtries = %forever # 接続が切れても無限に再接続を試みる
# 4. 第二段階：実際にデータを流すトンネルのルール（IKE Phase 2 / IPsec）
# ここで主役の「ESP」が登場します！
esp = aes256-sha256 # データの暗号化にAES-256、完全性確認にSHA-256を使用
salifetime = 3600 # セキュリティを保つため、1時間ごとに暗号鍵を自動更新する
# 5. トンネルの起動モード
auto = start # ルーター起動時に自動でトンネルを立ち上げる設定のポイント
esp = aes256-sha256の部分で、先ほど解説したESPプロトコルを指定しています。現代のセキュリティ基準では、古い暗号方式（3DESやMD5など）は簡単に破られてしまうため、必ず強力なAES-256やSHA-256などのアルゴリズムを選択するのが鉄則です。salifetime（鍵の寿命）を短めに設定することで、万が一暗号鍵が解析されそうになっても、被害を最小限に食い止めることができます。こういう細かな気配りが、凄腕エンジニアの腕の見せ所ですね。
—
おわりに：セキュリティは「難しくない、基本の積み重ね」
いかがでしたでしょうか？
IPsec VPNという一見すると取っつきにくい技術も、「インターネットという危険な大通りに、ESPという頑丈な金庫を使って安全なトンネルを掘る技術」だと思えば、少し親しみが湧いてきたのではないでしょうか。
ゼロトラストアーキテクチャが叫ばれる現代においても、「拠点間を安全につなぐ」というIPsec VPNの役割は、エンタープライズの現場で決して色褪せることはありません。
まずは基本の概念と、AH・ESPの役割をしっかり押さえておくこと。それが、トラブルシューティングで迷子にならないための最強の武器になります。
これからも一緒に、楽しくインフラとセキュリティの技術を深掘りしていきましょう！次の記事もお楽しみに！
コメント