こんにちは！ネットワークの裏側を覗くのが大好きなエンジニアの皆さん、そしてインフラの世界に一歩を踏み出したばかりの初学者の皆さん。
企業ネットワークの安全を守る「ゼロトラスト」や「VPN」という言葉、最近よく耳にしますよね。「なんだか難しそう……」「英語の専門用語ばかりで頭がパンクしそう……」そんな風に思っていませんか？
大丈夫です！一歩ずつ、身近な例えから紐解いていけば、決して怖くありません。今回は、VPNの基礎技術であるIPsecの中から、「トランスポートモード」という仕組みにスポットを当てて、その秘密を丸裸にしていきたいと思います。
それでは、さっそく「暗号化された通信の旅」に出発しましょう！
—
1. そもそもIPsecの「トランスポートモード」ってなに？
ネットワークの世界では、遠く離れたコンピュータ同士がデータをやり取りするとき、データは細切れの「パケット」という封筒に入れられて運ばれます。
このパケットを守る技術がIPsec（Security Architecture for Internet Protocol）なのですが、これには大きく分けて2つのモードがあります。1つは「トンネルモード」、そしてもう1つが今回主役の「トランスポートモード」です。
郵便配達でイメージしてみよう！
難しく考えるのをやめて、身近な「郵便配達」で例えてみましょう。
- トンネルモード：
手紙（データ）を、わざわざ一回り大きな新しい封筒に入れ替えて、宛先も新しいものを書き直して送る方法です。元の封筒の形はすっぽり隠れてしまいます。
- トランスポートモード：
手紙（データ）そのものに鍵をかけたり、厳重な封をするけれど、外側の封筒（宛先が書いてある部分）はそのまま使い回す方法です。
トランスポートモードの最大の特徴は、「中身（ペイロード）だけを暗号化して、一番外側のIPヘッダー（宛先情報）は書き換えない」という点にあります。
—
2. なぜ「トランスポートモード」を使うの？（仕組みとメリット）
パケットの構造を少しだけ覗いてみましょう。通常のIPパケットは、大まかに以下の2つでできています。
1. IPヘッダー：「どこから（送信元IP）」「どこへ（宛先IP）」届けるかという宛先情報
2. ペイロード：実際に届けたい中身のデータ
トランスポートモードでは、この「2. ペイロード」の部分だけを暗号化し、必要に応じて暗号化の証明書のような情報（ESPヘッダーなど）を中身のすぐ脇に挟み込みます。そして、一番外側の「1. IPヘッダー」はそのまま残します。
ここがうれしい！トランスポートモードのメリット
- ルーターの負担が少ない（オーバーヘッドが小さい）
新しい封筒をわざわざ用意しないため、パケットのサイズが無駄に膨らみません。
- ホスト間の直接通信に最適
VPN専用のルーター（ゲートウェイ）を間に挟まない、「サーバーとサーバー」「PCとサーバー」といった1対1の直接通信（ホスト間通信）で真価を発揮します。
「なるほど、中身だけをこっそり暗号化して、宛先は堂々と見せながら運ぶんだな」とイメージできれば完璧です！
—
3. どんなときに使うの？（適用シナリオ）
では、このトランスポートモードは、実際の現場でどんなシーンで使われているのでしょうか？ 代表的な2つのシナリオを見ていきましょう。
シナリオA：クラウド上のサーバーと社内サーバーの直接通信
最近は、AWSやAzureなどのクラウド環境にメインのデータベースサーバーを置き、社内の管理サーバーから直接アクセスしてデータをやり取りする構成が増えていますよね。
このとき、「インターネットという危険な道路を走るけれど、余計なルーター機器を間に置かずに、サーバー同士で直接がっちり暗号化して通信したい！」という要件で、トランスポートモードが選ばれます。
シナリオB：社内のPCから特定の機密サーバーへのアクセス（エンドポイントセキュリティ）
ゼロトラストの考え方では、「社内ネットワークだから安全」とは考えません。「社内であっても、人事給与システムや顧客データベースへの通信は、個々のPCからサーバーまで直接暗号化するべきだ」という厳格なセキュリティポリシーを適用する際、トランスポートモードが活躍します。
—
4. 【実践】Linux環境での設定イメージを見てみよう！
百聞は一見に如かず。実際にLinux（ここではStrongSwanという有名なIPsecソフトウェアを使用する想定）で、トランスポートモードを設定する設定ファイルの例を覗いてみましょう。
実務でそのまま参考にできるよう、日本語で丁寧にコメントを添えています。
# /etc/ipsec.conf
# StrongSwanにおけるIPsec接続の設定ファイル例
conn host-to-host-transport
# 接続を有効化する
auto=start
# 暗号化の鍵を交換するプロトコル（IKEv2を使用）
ike=aes256-sha256-modp2048!
# 実際のデータ通信を暗号化するアルゴリズム
esp=aes256-sha256!
# 【重要】ここが今回のキモ！「transport」を指定することでトランスポートモードになります
type=transport
# 自ホストのIPアドレス（例：社内サーバーA）
left=192.168.1.10
leftauth=psk
# 相手ホストのIPアドレス（例：クラウド上のサーバーB）
right=203.0.113.50
rightauth=psk
# 共有秘密鍵（Pre-Shared Key）を使用する設定
# ※実際の運用では証明書認証（PKI）を使うことが推奨されますこのように、設定ファイルの一行に type=transport と指定するだけで、パケットの中身だけを保護するトランスポートモードとして動作させることができるんです。意外とシンプルですよね！
—
5. まとめとこれからのステップ
今回は、IPsecの「トランスポートモード」について、郵便配達の例えやパケットの構造、そして実際の適用シナリオを交えて解説してきました。
- トランスポートモードとは：パケットの「中身（ペイロード）」だけを保護し、外側の「IPヘッダー（宛先）」はそのままにする仕組み。
- 主な利用シーン：ルーターを介さない「ホスト間（サーバーとサーバーなど）」の直接通信や、エンドポイント間の厳格な暗号化。
- メリット：オーバーヘッド（通信の無駄な負荷）が少なく、効率的であること。
インフラやネットワークの世界は、最初は難解な用語の壁にぶぶつかりがちですが、こうして「何のために、どうやって運んでいるのか」を紐解いていくと、とても論理的で美しい仕組みに満ちていることがわかります。
ゼロトラスト時代において、こうした基礎的な暗号化技術を正しく理解し、適材適所で使い分けていくスキルは、インフラエンジニアにとって大きな武器になります。
この記事が、皆さんのネットワーク学習の楽しい一歩になれば幸いです。それでは、また次回の技術解説でお会いしましょう！
コメント