【入門編】 TCP/IPスタックにおけるカプセル化の階層構造 – ネットワーク基礎とWebセキュリティ実践ガイド

こんにちは！ネットワークセキュリティの世界へようこそ。

現場でバリバリ働いていると、「ネットワークなんて目に見えないし、なんとなく動いているからいいや」と思いたくなる瞬間が一度はあるはずです。でも、いざトラブルが起きたとき、パケットがどこで迷子になっているのかを想像できるかどうかが、一流のエンジニアとそうでないエンジニアの分かれ道になります。

今日は、そんなネットワークの「心臓部」、データがパケットへと姿を変える「カプセル化」の旅路を、一緒に紐解いていきましょう。

—

インターネットの世界でデータが送られる仕組みは、実は皆さんの身近にある「郵便」と全く同じです。

あなたが友人に手紙（データ）を送る場面を想像してください。
1. まず、便箋にメッセージを書きますよね。
2. それを封筒に入れ、宛先（住所）を書きます。
3. さらに、その封筒を大きな郵便袋に入れて、配送センターの管理番号をつけます。

ネットワークの世界でも、これと全く同じことが行われています。これを専門用語で「カプセル化」と呼びます。

私たちがブラウザでWebサイトを見るとき、その中身（HTMLや画像）が「手紙」にあたります。HTTPというプロトコルで、「このページを見せて！」というリクエストを作ります。

手紙だけでは、相手が受け取ったかどうかわかりませんよね。そこで「TCP」という封筒に入れます。この封筒には「ポート番号」という、宛先の「どの部屋（サービス）に届けるか」という情報が書かれます。

次に、封筒を「IP」という宅配伝票に包みます。ここには、インターネット上の住所である「IPアドレス」が記されます。これで世界中のどこにでも届くようになります。

最後に、物理的なケーブルを流れるために、物理的な住所である「MACアドレス」を付与します。これが「イーサネットフレーム」です。

—

「理屈はわかったけど、本当にそんなことになってるの？」と思ったあなた。ぜひ、自分のPCで確認してみましょう。現場のエンジニアがトラブルシュートで必ず使うツールの一つが tcpdump です。

例えば、Webサーバーに対してパケットがどう動いているかを確認する場合、以下のようなコマンドを打ちます。

# eth0インターフェースを流れる80番ポート(HTTP)のパケットを覗き見する
# -n: 名前解決をしない（IPアドレスで表示させる）
# -v: 詳細情報を表示する
sudo tcpdump -i eth0 port 80 -n -v

これを実行すると、ターミナルにこのような情報が流れてきます。

# 読み解きのポイント
# IP 192.168.1.10.51234 > 192.168.1.1.80: Flags [S]
# ↑送信元IP    ↑ポート   ↑宛先IP     ↑ポート  ↑TCPフラグ(SYN)

この一行の中に、先ほど説明した「カプセル化」の層がギュッと凝縮されています。192.168.1.10という住所のPCから、192.168.1.1の80番ポート（Webサーバー）へ、手紙を送ろうとしている様子がリアルにわかりますよね。

—

「カプセル化」を知っておくと、セキュリティ対策の幅が劇的に広がります。

例えば、ファイアウォール（FW）やIDS/IPSを設定する際、「どの層の情報を使って通信を遮断するか？」を判断できるようになります。

「特定のIPアドレスからの攻撃がひどい」ならIPでブロックし、「脆弱性を突く怪しいリクエストが来ている」ならアプリ層でブロックする。この使い分けが、ゼロトラストアーキテクチャの第一歩なんです。

—

今日お話ししたカプセル化のプロセスは、ネットワークの基礎中の基礎です。でも、この「封筒の中に封筒が入っている」という構造を脳内でイメージできるかどうかで、将来あなたがネットワークトラブルに直面したときの冷静さが全く変わってきます。

「あ、今パケットがTCPの封筒を破って、中身のHTTPを取り出そうとしているんだな」

そんな風に、目に見えないデータに「命」を感じられるようになったら、あなたも立派なネットワークセキュリティエンジニアの仲間入りです。

次は、このカプセル化されたデータが、ルーターを通る際にどうやって「宛先」を書き換えていくのか（ルーティングとNAT）、そのエキサイティングな旅路についてお話ししましょう。

それでは、また次回の記事でお会いしましょう！