ネットワークを整える
専門IPsec VPNを整える。
＝ 公道の下に見えないトンネルを掘る
ネットワークのどこの話？ 会社の拠点どうし、または出先のパソコンと会社のあいだを、インターネット（WAN）越しに安全につなぐ話です。
① 拠点間 VPN とリモートアクセス VPN
ボタンで切り替えると、トンネルの両端がどこにあるかが変わります。
- つなぐもの
- トンネルの両端
- 認証のしかた
- ひとこと
② パケットはどう包まれる？
モード（どこまで包むか）とプロトコル（ESP か AH か）を選ぶと、盗み見る人に見える部分と、暗号化される部分が色で変わります。
元のパケット（VPN に入る前）
包んだあと（左から外側）
- そのまま見える
- 🔒 暗号化されて見えない
- VPN が足した部分
※ サイズは AES-CBC＋HMAC-SHA1-96 の場合の目安です。AES-GCM などでは変わります。ESP の認証値（ICV）は暗号化の外に付くため「足した部分」の色にしています。
③ トンネルを掘る前の話し合い（IKE）
フェーズ1で「安全に話し合える道」を作り、その道の中でフェーズ2として実際のデータ用トンネルの条件を決めます。再生を押すと順に進みます。
言葉の整理
- トンネルモード：元のパケットを丸ごと包み、新しい IP ヘッダーを付けます。拠点間 VPN の基本形で、VPN ゲートウェイ（ルーター）どうしがトンネルの両端になります。
- トランスポートモード：元の IP ヘッダーはそのまま使い、その後ろ（TCP/UDP とデータ）だけを守ります。通信する機器どうしが直接 IPsec を話すときの形です。
- ESP：暗号化と認証の両方ができます。実際の VPN ではほぼこちらです。
- AH：認証（改ざん検出）だけで、暗号化はしません。IP ヘッダーのアドレスも検算に含めるので、NAT をまたげません。
- SA（Security Association）：「この鍵とこの方式で守る」という取り決めの単位です。IKE SA が話し合い用、IPsec SA がデータ用（向きごとに1本）です。
IPsec と SSL/TLS VPN の違い
どちらも「安全なトンネル」ですが、働く層と使い方が違います。
| 観点 | IPsec | SSL/TLS VPN |
|---|---|---|
| 働く層 | ネットワーク層（L3）。IP パケットごと包む | トランスポート層より上（TLS）。ブラウザやクライアントを通す |
| 使うポート | UDP 500（IKE）・UDP 4500（NAT-T）・ESP（プロトコル番号 50） | 多くは TCP 443（Web と同じ） |
| 主な使い道 | 拠点間をつなぐ・全通信を社内につなぐ | 出先から使うアプリ・社内ポータルをつなぐ |
| 利用者の準備 | 専用のクライアントや OS の設定が要ることが多い | ブラウザだけで使える形（クライアントレス）もある |
| 制限のある回線 | ESP や UDP 500 を止める回線では通らないことがある | 443 は通ることが多く、つながりやすい |
TLS 自体の仕組みは TLS を整える、ポート番号は ポートを整える を参照してください。なお WireGuard という新しい VPN の方式もありますが、CCNA の範囲外です（実務では選択肢の1つです）。
CCNA ではここが問われる
- CCNA 200-301 v1.1 の「セキュリティの基礎」で、IPsec のリモートアクセス VPN とサイト間 VPN の概念を説明できること（設定コマンドの暗記ではなく、違いの理解）。
- サイト間はゲートウェイどうし・常時接続、リモートアクセスは端末のクライアント・必要なとき。
- ESP は暗号化＋認証、AH は認証のみ。NAT をまたぐなら AH は使えない。
- IKE フェーズ1（IKE SA・ISAKMP SA とも呼ぶ）とフェーズ2（IPsec SA）の役割分担。Cisco IOS では
show crypto isakmp sa・show crypto ipsec saで状態を確認します。 - IPsec 全体は CCNA の範囲では概念までです。VPN を張ったあとの経路は ルーティング、アドレスの書き換えは NAT のページで確かめられます。
公道の下に、中の見えないトンネルを掘る
インターネットは、だれでも通れる公道です。普通の通信は、中身が見える荷物をそのまま運ぶのと同じです。
IPsec VPN は、荷物を頑丈な箱に入れて封をし、さらに外側に「トンネル専用」の宛名札を貼って運びます。途中の道を通る人には、どこの出入口の間を運んでいるかしか分かりません。
ただし、トンネルを掘る前に、両端で「どんな鍵と封のしかたにするか」を話し合う必要があります。この話し合いが IKE です。
このツールは、ネットワーク全体図のここ
- 自分の端末
- 家・会社の中
- 出入口
- 建物の外
- 相手のサーバー
- データセンター
- 見る・動かす
建物の外の道（WAN・インターネット）— 外の道の上に、拠点同士だけが通れる暗号化したトンネルを掘る話です。
建物の外の道は、全国の道路と運送会社の中継所のような場所です。OSI では第3層（ネットワーク）。
このページに出てくる略語（17語）
- MAC （Message Authentication Code） — データが途中で書き換えられていないか確かめる、暗号の印
- VPN （Virtual Private Network） — 外の道の上に、暗号で守った自分たち専用の道を通す仕組み
- MPLS （Multiprotocol Label Switching） — 荷物にラベルを付けて高速に運ぶ、通信事業者の専用線網の仕組み
- GRE （Generic Routing Encapsulation） — 荷物を別の荷物の中に入れて運ぶトンネルの方式（暗号化はしない）
- IPsec （Internet Protocol Security） — IP の荷物を暗号化して届けるための決まりごとの一式
- IKE （Internet Key Exchange） — IPsec で使う暗号の鍵を、安全に決める手順
- ESP （Encapsulating Security Payload） — IPsec で荷物を暗号化して包む方式
- AH （Authentication Header） — IPsec で、荷物が書き換えられていないことを確かめる方式（暗号化はしない）
- SA （Security Association） — IPsec で、2台が取り決めた暗号の約束ごとの一組
- SPI （Security Parameter Index） — どの SA の荷物かを見分けるための番号
- ICV （Integrity Check Value） — 荷物が壊れていないか書き換えられていないかを確かめる値
- DH （Diffie-Hellman） — 離れた2者が、盗み聞きされても同じ鍵を作れる方法
ほか5語は、略語集で引けます。
このツールについて
インターネットという公道の上に、中の見えない専用トンネルを掘る仕組みが IPsec VPN です。トンネルのつなぎ方、通信の包まれ方、つなぐ前の話し合い（IKE）を、手を動かして確かめられます。
IPsec VPN は、インターネットの上に中身の見えないトンネルを作る仕組み。ESP で暗号化＋認証、AH は認証だけ。包むと大きくなる点は MTU、アドレス書き換えとの関係は NAT へ。
主な機能
- 拠点間 VPN とリモートアクセス VPN の切り替え図
- トンネル／トランスポート × ESP／AH の積み木図（見える部分・暗号化される部分を色分け）
- 包んだあとに増えるバイト数の目安
- NAT との相性（AH は不可・ESP は NAT-T）
- IKE フェーズ1・2 のステップ再生（IKEv1・IKEv2）
よくある質問
Q. VPN とは何ですか？
A. インターネットのような誰でも通れる道の上に、暗号化などで他人から中身が見えない専用の通り道を作る仕組みです。離れた拠点や自宅から、会社の中にいるように通信できます。
Q. VPN をつなぐと全部の通信が安全になりますか？
A. VPN の中を通る区間だけが守られます。トンネルの出口から先（会社の中や、その先のインターネット上のサイト）は別の話です。また、つないだ先のサイトが暗号化されているかは別に決まります。
Q. ESP と AH はどう違いますか？
A. ESP は暗号化と認証（改ざん検出）の両方ができ、実際の VPN ではほぼこちらを使います。AH は認証だけで暗号化せず、IP ヘッダーのアドレスも検算に含めるため NAT をまたげません。
Q. トンネルモードとトランスポートモードの違いは？
A. トンネルモードは元のパケットを丸ごと包んで新しい IP ヘッダーを付けるので、拠点間 VPN の基本形です。トランスポートモードは元の IP ヘッダーを残し、その後ろの TCP/UDP とデータだけを守ります。
Q. IKE のフェーズ1とフェーズ2は何をしますか？
A. フェーズ1で暗号方式・ハッシュ・認証方法・DH グループを決めて、安全に話し合える道（IKE SA）を作ります。フェーズ2でその道の中で、データ用の IPsec SA（ESP や AH の条件）を決めます。IKEv2 では 4 通のやり取りに簡素化されています。
入力値はURLの「#」以降に入るためサーバーには送信されません。リンクを開くと同じ状態を復元します。
続けて整える
この内容は、研修でも扱っています
totonoe.tech を運営する株式会社Koinobori は、法人向けの研修サービス「NOBORIBA®」も運営しています。 ここで手を動かした内容を、講師から教わる形の研修です。このページの道具は無料のまま、登録もいりません。
