NATの壁を突き破る：UDP 4500番が支えるIPsecの深淵と「見えない壁」の攻略法
ネットワークエンジニアの諸君、今日もパケットの海を泳いでいるか。
IPsecを構築していて、NAT環境下で「なぜか通信が確立しない」「Phase 2でパケットが迷子になる」といった事象に直面したことはないだろうか。教科書には「NAT-T（NAT Traversal）を有効にせよ」としか書かれていないことが多いが、現場の泥臭いトラブルシューティングにおいて、この「UDP 4500番」の挙動を理解しているか否かが、解決までの時間を数時間短縮するか、あるいは無限の残業を生むかの分かれ道になる。
今日は、IPsecの生存戦略を支えるUDP 4500番の物理構造と、パフォーマンスを極限まで引き出すためのチューニングについて掘り下げていこう。
なぜIPsecはNATを嫌うのか？その根源的理由
IPsec（特にESP）は、元来「IPヘッダーのすぐ後ろにESPヘッダーを置く」というプロトコルだ。TCPやUDPといったポート番号を持つトランスポート層のヘッダーが存在しないため、NATルーターは「どのプライベートIPアドレス宛のセッションか」を識別できず、パケットをドロップしてしまう。
ここで登場するのが UDP 4500 だ。ESPパケットをUDPヘッダーで包み込む（カプセル化する）ことで、NATルーターに「これは普通のUDP通信ですよ」と誤認させ、ポートベースのNAPT処理を通過させる。これがNAT-Tの正体だ。
パケットレベルで紐解く「二重の鎧」
NAT-Tが有効な場合、パケットの構造は以下のようになる。
1. 外側IPヘッダー (送信元・宛先はNATルーターが書き換える)
2. UDPヘッダー (ソース・宛先ポートは 4500)
3. ESPヘッダー (ここから先が本来のIPsecペイロード)
4. 暗号化されたデータ部
ここで重要なのは、4500 番ポートで通信を開始するまでの「ネゴシエーション（IKE）」の挙動だ。
ネゴシエーションの遷移
1. IKE Phase 1 (UDP 500): まずは標準の 500 番でハンドシェイクを開始する。
2. NAT検出 (NAT-D): 相互に「NAT環境下にいるか？」を確認し、検知した瞬間に通信ポートを 4500 に切り替える。
3. ESP in UDP: 以降のESPパケットは全て 4500 を使用する。
この切り替えタイミングでパケットがフィルタリングされている場合、VPNトンネルは「Phase 1はOKだが、Phase 2でパケットが流れない」という、古典的かつ最もタチの悪い症状を引き起こす。
パフォーマンスを殺さないためのチューニング指針
高トラフィックなエンタープライズ環境では、このカプセル化によるオーバーヘッド（UDPヘッダー分8バイトの追加と、それに伴うMTU断片化リスク）が無視できない。
1. MTU/MSSの最適化
カプセル化によりパケットサイズが肥大化するため、VPNインターフェースの MTU を意図的に下げておくのが定石だ。パケットの断片化（Fragmentation）はCPU負荷を劇的に高め、スループットを低下させる。
# Linux (Strongswan/Libreswan等) でのMTU設定例
# 通常の1500から、ESPヘッダー分を考慮して1400～1420程度に絞る
ip link set dev vti0 mtu 1400
# 合わせてMSSクランプも適用し、TCPのセグメントサイズを強制的に小さくする
iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --set-mss 13602. UDPバッファの拡大
高スループットな環境では、OSのデフォルトのUDP受信バッファでは足りず、パケットロスが頻発する。カーネルパラメータでバッファを拡張せよ。
# /etc/sysctl.conf に追記し、UDP受信バッファを強化
net.core.rmem_max = 26214400
net.core.wmem_max = 26214400
# 負荷の高いルーターやゲートウェイでは、さらに数倍に設定しても良い現場で遭遇する「脆弱性」と回避策
NAT-T環境下で最も恐ろしいのは、UDP 4500番を突いた「DoS攻撃」や「認証バイパスの試行」だ。特に古いIPsec実装では、IKEのネゴシエーション中にメモリを食いつぶす攻撃が有効になりやすい。
- IKEv2への移行: IKEv1はレガシーであり、脆弱性の塊だ。必ずIKEv2を使用し、認証に
EAPやCertificateを強制すること。 - ポートの厳格な制限: NAT-Tを許可する際、全世界（0.0.0.0/0）からのUDP 4500を許可してはならない。接続元の信頼できるIP範囲のみにACLを絞り込むのは、ゼロトラストの基本中の基本だ。
結び：アーキテクトとしての矜持
UDP 4500番は、単なる「NATを通すための穴」ではない。それは、複雑怪奇なインターネットの荒波の中で、暗号化という「安全な小舟」を無事に届けるための、極めて精巧に設計されたプロトコルの一翼だ。
もし諸君が今、VPNのトラブルに悩んでいるなら、まずは tcpdump を走らせ、udp port 4500 が本当に双方向に流れているか、そして ESP パケットが期待通りのサイズで届いているかを確認してほしい。パケットは嘘をつかない。嘘をつくのは、いつだって設定ファイルや人間の方なのだ。
さあ、コマンドラインに戻ろう。まだ解決すべき課題が待っているはずだ。
コメント