VPNの「二重底」を読み解く：パケットカプセル化が生むセキュリティとレイテンシの攻防
カフェのフリーWi-Fiに接続した瞬間、あなたのパケットは「見知らぬ誰か」の嗅覚にさらされる。そんな危うい世界で、VPN（Virtual Private Network）が提供するのは単なる暗号化ではない。それは、通信の「住所」を隠蔽し、パケットを別の殻で包み込むという極めて賢明なアーキテクチャだ。
今日は、VPNの心臓部である「パケットのカプセル化」に焦点を当て、その二重構造がネットワークのパフォーマンスやセキュリティにどう寄与しているのか、インフラエンジニアの視点で深掘りしよう。
—
1. カプセル化の真実：二重のIPヘッダーが語ること
VPNのパケットをキャプチャすると、そこにはまるでマトリョーシカのような構造が現れる。
外側IPヘッダー（Outer IP Header）
これは、パケットがインターネットという広大な荒野を渡り歩くための「配送伝票」だ。送信元はユーザーの端末のIP、宛先はVPNゲートウェイのIPとなる。ルーターはこのヘッダーだけを見てルーティングを行う。ここには、VPNセッションの維持に必要な物理的な経路情報が刻まれている。
内側IPヘッダー（Inner IP Header）
これがVPNの魔法の正体だ。暗号化されたペイロードの中に隠されており、本当の「エンドツーエンドの通信（例：ユーザーからGoogleのサーバーへ）」の宛先や送信元が記述されている。インターネット上のルーターからは、この内側ヘッダーは決して見えない。これがVPNにおける「プライバシー保護」の根幹である。
—
2. パフォーマンスの隘路：MTUとフラグメンテーションの呪縛
VPNを導入すると、必ず付いて回るのが「オーバーヘッド問題」だ。カプセル化によってパケットサイズが物理的に増大する。
もし物理リンクのMTUが1500バイトの環境で、VPNのオーバーヘッド（ESPヘッダーやIVなど）が加われば、パケットは即座に1500バイトを超過する。結果、パケットの断片化（フラグメンテーション）が発生し、CPU負荷の増大とスループットの低下を招く。
これを回避するための鉄則は、MSS（Maximum Segment Size）のクランプだ。Linux環境であれば、iptablesやnftablesを用いて、TCPハンドシェイク時にMSSを適切に絞り込む必要がある。
# VPNインターフェース(tun0)を通るパケットのMSSを調整する
# 1360バイト程度に絞ることで、カプセル化によるフラグメンテーションを防ぐ
iptables -t mangle -A FORWARD -o tun0 -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --set-mss 1360—
3. RTT削減とTCPバッファチューニングの極意
VPN越しの通信が「重い」と感じる原因は、往々にしてTCPの輻輳制御とRTT（Round Trip Time）の増加にある。カプセル化のオーバーヘッドに加え、VPNゲートウェイでの復号処理がバッファの滞留を生むからだ。
高スループットな環境を構築するには、LinuxカーネルのTCPウィンドウサイズを拡張し、BBR（Bottleneck Bandwidth and Round-trip propagation time）のような現代的な輻輳制御アルゴリズムを採用すべきだ。
# sysctl.confでのTCPバッファチューニング設定例
# メモリを潤沢に使い、パイプラインを太くする
net.core.rmem_max = 16777216
net.core.wmem_max = 16777216
net.ipv4.tcp_rmem = 4096 87380 16777216
net.ipv4.tcp_wmem = 4096 65536 16777216
# BBR輻輳制御アルゴリズムを有効化する（現代のVPNには必須）
net.core.default_qdisc = fq
net.ipv4.tcp_congestion_control = bbr—
4. セキュリティの死角：TLSハンドシェイクとDNSリーク
VPNでパケットを隠蔽しても、DNSクエリがVPNトンネルを通らずにISPのDNSサーバーへ流れてしまえば、それは「プライバシーのザル」だ。また、TLSハンドシェイクの最適化も忘れてはならない。
最近の高性能なVPNアーキテクチャでは、TLS 1.3の採用によるRTTの短縮が一般的だ。ハンドシェイクのラウンドトリップを1回に減らすことで、VPNという「遠回り」を感じさせないレスポンスを実現できる。
実践的な脆弱性回避チェックリスト
1. DNSリークの防止: systemd-resolvedなどでDNSサーバーをVPNトンネル内のIPに固定する。
2. UDPベースのVPNプロトコル選定: TCP over TCPの「TCP Meltdown」を避けるため、WireGuardのようなUDPベースのプロトコルを強く推奨する。
3. Perfect Forward Secrecy (PFS): 過去の通信が将来的に解読されないよう、常にエフェメラル鍵交換が有効な設定（WireGuardやOpenVPNの最新暗号スイート）を選択する。
—
結びに：境界防御の先にある「ゼロトラスト」へ
VPNはもはや「会社と自宅を繋ぐトンネル」ではない。どこにいても、どのネットワークに接続していても、パケットの正当性と秘匿性を担保する「個人のための境界防御」だ。
パケットの中身を理解し、MSSを微調整し、カーネルのバッファを最適化する。こうした泥臭いエンジニアリングの積み重ねこそが、現代のネットワークにおいて、真のセキュリティとスピードを両立させる唯一の解である。
もしあなたが今、VPNのパフォーマンスに頭を抱えているなら、まずは tcpdump を開き、内側と外側のパケットヘッダーをじっくりと眺めてみてほしい。そこには、ネットワークのすべてが記述されているはずだ。
コメント