IPsec-VPNとは？仕組みと他のVPNとの違いについて解説

「IPsec-VPNとはどのような技術か知りたい」
「IPsec-VPNを構築するために何をすればいい？」

安全なネットワークを構築するために、IPsec-VPNが注目されています。しかし、機能や導入方法がよく分からない方も多いですよね。

そこで、本記事ではIPsec-VPNについて詳しく解説します。

最後まで読むと、IPsec-VPNを自社でも導入すべきかが判断できるようになります。

IPsec-VPNとは

まずVPNについておさらいしましょう。VPNとは直訳すると「仮想専用線」。インターネットで送受信するデータを暗号化し、専用回線を使っているようにやり取りする技術です。一般のインターネットを利用すると、第三者に通信を盗聴される危険性があるため、多くの企業がVPNを利用しています。

IPsec-VPNは、IPパケット（※）を暗号化するプロトコル（通信上のルール）を使ったVPN。データの暗号化に加え、改ざんも検知できます。

※IPパケット：ネットワークでやり取りするデータの単位

IPsec-VPNと他のVPNとの違い

ここでは、IPsec-VPNと混同しやすいVPN方式について2つ紹介します。導入目的によっては、IPsec-VPNより他のVPNの方が適している可能性もあるので、じっくり読んでください。

SSL-VPNとIPsec-VPNの比較

SSLとはWebサーバーとフロントエンド（ユーザーが触れる端末）間の通信を暗号化する技術です。IPsec-VPNとの大きな違いは、専用のソフトウェアが必要か否か。

IPsec-VPNを構築する際には、端末側にVPNソフトウェアをインストールしなければいけません。そのため、構築に手間がかかるのが難点です。

一方、SSL-VPNはWebブラウザから利用できるのが魅力。ソフトウェアをインストールする手間が省けるため、リモートワークを導入している企業では重宝されています。

SSL-VPNのデメリットは、高速性とセキュリティにおいて、IPsec-VPNより劣りやすい側面があること。そのためSSL-VPNは「そこまで強固なセキュリティは求めない」「手軽に導入できるVPNがいい」という企業に向いています。

IP-VPNとIPsec-VPNの比較

IP-VPNとは、インターネットとは切り離された専用のネットワークです。他の組織と通信できないため、高速かつセキュリティ性が高いネットワークを実現できる点がメリット。導入も簡単なため、手軽かつ安全なVPNを構築できる点も魅力です。

IP-VPNのデメリットは、ダイナミックルーティングが難しいこと。ダイナミックルーティングとは、サーバーからデータを送信する際に、ルーター同士で経路を教え合う仕組みです。ダイナミックルーティンはサブネット（組織内で分割されたネットワーク）が多いと適していません。

そのため、IP-VPNは「拠点数は多いけれど、拠点内のサブネットは少ない」という企業に向いています。

IPsec-VPNの運用方式は2種類    

IPsec-VPNの運用方式は2種類あり、導入目的によって適した方式が異なります。導入してから「自社の運用に向いていなかった」と後悔しないように、じっくり読んでください。

トンネルモード

トンネルモードとは、ルーター同士でIPsec-VPNを実現する方式です。データだけでなく、IPヘッダ（データの宛先が書かれた情報）も秘匿するため、インターネットの中にトンネルをつくるようにデータのやり取りが見えなくなります。

ただし、ルーターの先にある組織内のネットワークではVPN化しません。郵便に例えると、郵送されている間は宛先も中身も見えず、宛先に届くと封筒が開けられ、宛先の誰もが中身を自由に閲覧できるイメージ。

そのためトンネルモードは「拠点間では安全に通信をしたいが、組織内では自由に情報を共有したい」という企業に向いています。

トランスポートモード

トランスポートモードとは、ルーター越しにある端末までの通信もVPN化する方式です。端末には専用のソフトウェアをインストールする必要があります。IPアドレスは公開されたままで、データのみ暗号化されます。郵便に例えると、宛先は誰でも読めるけれど、郵便物の中身は開ける本人にしか分からないイメージ。

トランスポートモードは､自宅や出張先等から会社のネットワークを利用したい企業におすすめです｡

IPsec-VPNで使用されるプロトコル

プロトコルとは、インターネットでデータを送受信するための技術的なルール。プロトコルのおかげで、異なるOSや端末同士でもデータのやり取りが実現できています。

ここでは、IPsec-VPNで使われるプロトコルについて紹介します。詳しい技術的な内容まで知る必要ありません。「このようなルールで成り立っているのか」と把握するくらいでOKです。

IKE

IKE（Internet Key Exchange）とは、暗号鍵（平文を暗号化する符号）を安全に交換するためのプロトコルで、暗号鍵の生成にはDH法（Diffie-Hellman法）が採用されています。

DH法とは暗号鍵を交換する際に、第三者からの盗聴を防ぐための技術。一般のネットワークを使う際にデータを暗号化する上で、重宝されています。

AH

AH（Aurhentication Header）とは、データをメッセージ認証するプロトコルです。メッセージ認証とは、データが改ざんされていないか確認するための技術。

以下の流れで改ざんの有無を確認します。

1. 送信者が特別なアルゴリズムにデータと暗号鍵を入力
2. 1で出力された結果（ハッシュ値）と元データを受信者に送る
3. 受信者は元データをアルゴリズムに入力してハッシュ値を出力
4. 1と3で得られたハッシュ値を比較して改ざんの有無を確認

ESP

ESP（ Encapsulating Security Payload）とはAHの機能に加えて、ペイロード（データの本体）も暗号化するプロトコルです。

ESPで用いられる主な暗号化手法はAESで、アメリカ国立技術標準研究所（NIST）が開発しました。デジタル庁や経済産業省などが運営する暗号技術プロジェクト「CRYPTREC」でも推奨されている方式です。

日本国内のIPsec-VPNはESPとIKEで構成されています。しかし海外だと暗号化を規制している国もあるため、IKEとAHでIPsec-VPNを構築することもあります。

IPsec-VPNの構築手順

VPNルーターを用意する

IPsec-VPNを構築する際には専用のルーターを用意しなければいけません。ルーターを選ぶポイントは次の3つです。

1. IPsec対応であること
2. セキュリティ機能の有無
3. VPNパススルー機能の有無

IPsec対応であること

VPNルーターは、製品によって対応しているプロトコルが異なります。必ずIPsec対応かどうか調べましょう。特に価格重視でルーターを選んでいる方は要注意。リーズナブルな値段に惹かれて仕様を確かめずに購入したらIPsec非対応だった、というケースは珍しくありません。貴重な予算を浪費しないよう、仕様をよく確かめましょう。

セキュリティ機能の有無

多くのVPNルーターにセキュリティ機能は付いていますが、製品によって細かな機能が異なります。下の表に代表的なセキュリティ機能と概要を載せていますので、参考にして下さい。

VPNパススルー機能

VPNパススルー機能とは、VPNで扱うデータをルーターから外部ネットワークへ通過させる仕組みのことです。多くのVPNルーターはVPNパススルー機能を搭載していますが、デフォルトでOFFになっているケースがあります。設定画面からVPNの種類にあわせて、パススルー機能をONにしましょう。

接続方式を決める

ルーターを購入したら接続方式を決めましょう。

• メインモード
• アグレッシブモード

費用とセキュリティ面で違いがあるので、自社の状況にあわせて選んでください。

メインモード

メインモードとは、拠点双方のIPアドレスを固定する方式で、どちらの拠点からも接続手続き可能です。また固定IPアドレスを使えば、ファイアウォールで指定のIPアドレス以外からの接続を受け付けない設定も可能。そのため、第三者から不正にVPNへ侵入されるリスクを抑えられます。

デメリットは費用が高くなりがちなこと。安価に構築したい場合は、次のアグレッシブモードを利用しましょう。

アグレッシブモード

アグレッシブモードとは、拠点のどちらか一方を動的IPアドレスにして接続すること。動的IPアドレスとは、インターネットにつなぐ度に付与されるIPアドレスです。

メリットは導入費用を安く抑えられること。動的IPアドレスは安価なため、1つの拠点を固定IPアドレスにして、そのほかの拠点を動的IPアドレスにする企業が多いです。

デメリットは、接続方法に制限があること。動的IPアドレスはころころ変わるため、固定IPアドレスを持つ拠点からは接続できません。そのため、動的IPアドレスを持っている拠点から接続する必要があります。

VPNを構築

接続方式を決めたらいよいよVPNの構築です。具体的には以下の手順で構築します。

なお、細かな手順や入力内容は製品によって異なるので、詳しい手順は製品カタログを参照してください。

また、トランスポートモードで利用する場合は、端末側の設定も必要。Windows10の場合は以下の手順で設定できます。

IPsec-VPN構築におすすめのルーター3選

RTX830｜ヤマハ

画像引用：ヤマハ

RTX830は、静岡県浜松市に本社を構える「株式会社ヤマハ」が開発・販売しているVPNルーターです。従来の拠点間接続に加え、クラウドへのVPN接続や外出先からの組織内部ネットワークも利用できます。

そして大きな特徴が、1つのVPN設定で複数拠点への接続が可能なこと。従来のVPNルーターであれば拠点ごとにVPNを接続しなければいけませんが、その手間がなくなります。そのため、新しく拠点ができた場合、簡単にVPNを接続できる点が魅力です。

また、RTX830では最新のLANマップ機能を装備しています。組織内のネットワーク状態を可視化できるため、トラブルが発生してもスピーディに対応できます。

「拠点が増えるからなるべく簡単にVPNを繋ぎたい」「ネットワークの不具合にいつでも対応できる態勢にしたい」という企業におすすめです。

VR-U500X｜バッファロー

画像引用：バッファロー

VR-U500Xは、愛知県名古屋市に本社を構えるデジタル機器メーカー「バッファロー」が開発・販売しているVPNルーターです。

VPNに同時接続できる端末数は、最大で30台。製品には10Gbpsの高速通信用ポートも搭載され、スピード重視のネットワークを導入した企業にぴったりです。

また、ダイナミックDNSと呼ばれる固定IPアドレス不要のネットワークを利用できるため、安価に導入できます。

また､環境負荷が高い場所で動作する点も魅力｡動作温度は50度まで保証しているため、空調があまり利かない屋根裏や､工事現場のプレハブでも導入しやすくなります｡｢VCCI Class B｣と呼ばれる電波漏洩防止の規格にも対応しているため､電化製品から発せられるノイズの影響も少ないです｡

「安価で高速なVPNを構築したい」「多少劣悪な環境でも稼働するVPNルーターがいい」という企業に、VR-U500Xはおすすめです。

（※）VLAN：ルーターでLANをグループ分けする機能

ER8411｜TP-Link日本

画像引用：TP-Link

ER8411は東京に拠点を置くネットワークデバイス事業会社「TP-Link日本」が開発・販売しているVPNルーターです。

2つの内蔵電源で障害耐性を高め、ネットワークの高信頼性を実現。10Gbps対応のエンタープライズ向けポートも2つ搭載し、高速なネットワークを実現します。

また「OmadaSDN」と呼ばれる独自のネットワーク管理システムを利用できる点も魅力。アクセスポイントやスイッチ、ルーターなどの機器をクラウドで集中管理できるため、ネットワーク障害を素早く特定できます。

「障害に強いVPNを構築したい」「広域のVPNを効率的に管理したい」という企業に、ER8411はおすすめです。

この章ではIPsecの仕組みと他のVPNとの違いについて紹介しました

この記事では、IPsec-VPNの概要と他のVPNとの違い、構築方法などについて紹介しました。

• IPsec-VPNはパケットを暗号化するプロトコルで、データの改ざんを検知できる
• トンネルモードはルーター間の通信を暗号化するため、拠点間VPNに適している
• トランスポートモードは端末間を暗号化するため、リモートワークに向いている
• VPNルーターを用意する際にはIPsec対応か確認すること

IPSec-VPNは、安全なデータ通信を実現する上でメジャーな技術の1つ。本記事でご紹介した内容をぜひお役立てください。