【入門編】 IPsec VPNの基本概念とセキュリティアーキテクチャ – ゼロトラスト＆エンタープライズセキュリティ実践ガイド

こんにちは！インフラやネットワークの世界へようこそ。日々のインフラ運用やセキュリティ対策、本当にお疲れ様です。

ネットワークの勉強を始めると、必ずと言っていいほどぶつかる壁がありますよね。「VPNって何となくすごそうだけど、中で何が起きているのかサっぱりわからない…」「IPsecって呪文みたいな名前で近寄りたくない…」そんな風に感じていませんか？

大丈夫です、安心してください！今回は、企業ネットワークの要塞である「IPsec VPN」の基本概念と、その心臓部である「AH」と「ESP」というプロトコルについて、難しい専門用語の裏側にある「現実世界の仕組み」に例えながら、一歩ずつ優しく紐解いていきましょう。

—

1. そもそもVPNって何だろう？〜インターネットという「大都会」を安全に渡る方法〜

私たちが普段使っているインターネットは、例えるなら「誰もが行き交う大都会のオープンな大通り」です。そんな大通りで、会社の機密データや個人のパスワードをそのまま叫びながら歩いたらどうなるでしょうか？そう、通りすがりの怪しい人にすべて聞かれて（盗聴されて）しまいますよね。

離れた場所にある本社のネットワークと支店のネットワークを、この危険な大通り（インターネット）を挟んで安全につなぎたい。そこで登場するのが VPN（Virtual Private Network） です。

VPNは、インターネットという公道の中に、自分たち専用の「見えない頑丈なトンネル」を掘る技術です。このトンネルの中を通るデータは、すべて厳重にカプセル化され、鍵がかけられます。だから、たとえ途中でデータが盗み見られても、中身が全く読めないというわけですね。

—

2. IPsecの正体：インターネットの郵便局員

このVPNトンネルを築くための「最強のセキュリティ規格」が IPsec（Security Architecture for IP） です。名前の通り、インターネットの基本ルールである「IP（Internet Protocol）」の層で、通信の安全を守る仕組みです。

IPsecがやっていることは、実は私たちが日常で使っている「書留の郵便配達」と全く同じです。想像してみてください。

1. 暗号化（中身が見えないようにする）：他愛のないハガキではなく、頑丈な封筒に入れてノリをベッタリ貼り、さらに特殊な鍵をかけます。
2. 完全性（途中で書き換えられていないかチェックする）：封筒に「特殊なワックスの封蝋（ふうろう）」をして、途中で誰かが封を開けたら一目でわかるようにします。
3. 認証（差出人が本物か確認する）：裏面には、本人の直筆サインと公式のスタンプが押されています。

IPsecはこの3つを、ネットワークを流れるデータ（パケット）に対して完璧にこなしてくれます。そして、この「封筒の作り方」や「安全対策のルール」を担当するのが、これから解説する AH と ESP という2つの相棒です。

—

3. AHとESP：セキュリティの「ハンコ」と「鍵付き金庫」

IPsecの中には、データを守るための2つのメインキャラクターがいます。それぞれ得意分野が違うので、役割分担をみていきましょう。

3-1. AH（Authentication Header）：中身は見せるが、改ざんは許さない「ハンコ係」

AHは、データの「完全性（改ざんされていないこと）」と「送信元の認証」を保証するプロトコルです。

現実世界の例え：重要な書類に、割印（わりいん）や公的な電子印鑑をビシッと押すイメージです。
特徴：書類の中身自体は暗号化しません（丸見えのまま）。ただし、途中で誰かが1文字でも書き換えると、ハンコ（チェックサム）の計算が合わなくなるため、「おい、途中で誰か触ったな！」と瞬時に見破ることができます。
弱点：中身が丸見えなので、盗聴を防ぐことはできません。「見られてもいいけれど、書き換えられては困る」という特殊なシーン以外では、現代の企業ネットワークで単体で使われることは少なくなっています。

3-2. ESP（Encapsulating Security Payload）：中身を隠し、丸ごと守る「鍵付き金庫係」

現代のIPsec VPNの主役であり、99%の現場で使われているのがこの ESP です。

現実世界の例え：大切な現金や契約書を頑丈なジュラルミンケース（金庫）に入れ、さらに厳重に鍵をかけてから配送業者に預けるイメージです。
特徴：データの「暗号化（盗聴防止）」、「完全性（改ざん防止）」、「認証（本人確認）」のすべてをこれ一つでこなします。
すごいところ：元のデータパケットを丸ごとESPの「金庫」の中にポイッと放り込み、外側から見えないようにカプセル化してしまいます。外から見えるのは「どこからどこへ運ぶか」という宛先情報（新しいIPヘッダー）だけなので、途中で中身をのぞき見られる心配が一切ありません。

基本的には「IPsec＝ESPを使うもの」と覚えておいて間違いありません！

—

4. 現場の裏側：IPsec VPNの設定を覗いてみよう

「概念は分かったけれど、実際の現場ではどう設定するの？」
ここからは、Linux（強固なオープンソースVPNルーターなどでよく使われる StrongSwan や libreswan などの設定ファイル、あるいはCisco等のルーターの概念）をイメージした、実践的な設定パラメーターのサンプルを見てみましょう。

インフラエンジニアとして現場に立つと、こうしたパラメータを一つひとつチューニングしていくことになります。

# ==========================================
# IPsec VPNトンネル設定サンプル（概念設定）
# ==========================================

[Connection_Branch_to_HQ]
  # 1. 接続方式の定義
  authby = pubkey                 # 認証方式（事前共有鍵: psk または公開鍵: pubkey）
  left = 203.0.113.5              # 自拠点（支店）のグローバルIPアドレス
  right = 198.51.100.200          # 相手拠点（本社）のグローバルIPアドレス
  
  # 2. 守るべきネットワークの範囲（トラフィックセレクター）
  leftsubnet = 192.168.10.0/24    # 支店のローカルネットワーク
  rightsubnet = 192.168.1.0/24    # 本社のローカルネットワーク

  # 3. 第一段階：安全な通信路を作るための交渉ルール（IKE Phase 1 / ISAKMP）
  # 郵便配達員同士が「どの合い言葉で安全に会話するか」を決めます
  ike = aes256-sha256-modp2048    # 暗号化:AES-256 / ハッシュ:SHA-256 / 鍵交換:DHグループ14
  keyingtries = %forever          # 接続が切れても無限に再接続を試みる

  # 4. 第二段階：実際にデータを流すトンネルのルール（IKE Phase 2 / IPsec）
  # ここで主役の「ESP」が登場します！
  esp = aes256-sha256             # データの暗号化にAES-256、完全性確認にSHA-256を使用
  salifetime = 3600               # セキュリティを保つため、1時間ごとに暗号鍵を自動更新する

  # 5. トンネルの起動モード
  auto = start                    # ルーター起動時に自動でトンネルを立ち上げる

設定のポイント

esp = aes256-sha256 の部分で、先ほど解説したESPプロトコルを指定しています。現代のセキュリティ基準では、古い暗号方式（3DES や MD5 など）は簡単に破られてしまうため、必ず強力な AES-256 や SHA-256 などのアルゴリズムを選択するのが鉄則です。
salifetime（鍵の寿命）を短めに設定することで、万が一暗号鍵が解析されそうになっても、被害を最小限に食い止めることができます。こういう細かな気配りが、凄腕エンジニアの腕の見せ所ですね。

—

おわりに：セキュリティは「難しくない、基本の積み重ね」

いかがでしたでしょうか？
IPsec VPNという一見すると取っつきにくい技術も、「インターネットという危険な大通りに、ESPという頑丈な金庫を使って安全なトンネルを掘る技術」だと思えば、少し親しみが湧いてきたのではないでしょうか。

ゼロトラストアーキテクチャが叫ばれる現代においても、「拠点間を安全につなぐ」というIPsec VPNの役割は、エンタープライズの現場で決して色褪せることはありません。

まずは基本の概念と、AH・ESPの役割をしっかり押さえておくこと。それが、トラブルシューティングで迷子にならないための最強の武器になります。
これからも一緒に、楽しくインフラとセキュリティの技術を深掘りしていきましょう！次の記事もお楽しみに！