トンネルモード／トランスポートモードとは？とんねるもーど／とらんすぽーともーど
トンネルモード／トランスポートモードとは、IPsecで、どこまでを保護対象にするかを決める2つの適用形態。トランスポートモードは上位層のデータ（IPペイロード）だけを保護し、元のIPヘッダには手を付けずそのまま使う。トンネルモードは元のIPパケットをヘッダごと丸ごと包み込み、その外側へ新しいIPヘッダを付けて送る。
最終更新：2026-10-06
エンベデッドSPを最短で暗記・合格する →背景
端末同士が直接暗号化して話すなら、宛先を書いたIPヘッダは経路上で読めなければ配送できず、隠す必要もない——これがトランスポートモードの前提。一方で拠点を丸ごと結ぶ用途では、社内アドレスや誰と誰が話しているかという情報自体を経路上へ晒したくないし、私設アドレスのままでは公衆網を通れない。元のパケットをまるごと包んで外側へ新しい宛先を書く、という発想が要る。遠隔保守で各拠点に機器を置く構成では、機器ごとに暗号処理を負わせるか、ゲートウェイでまとめて包むかという実装分担の判断へそのまま繋がる。
具体例
ESPのトンネルモードでは、元のIPヘッダからESPトレーラまでが暗号化され、その外側に新しいIPヘッダとESPヘッダが付く。経路上からはゲートウェイ同士が通信していることしか見えない。トランスポートモードでは元のIPヘッダが平文で残るため、どの端末とどの端末が話しているかは見える。
試験での引っ掛け
「トンネルモードでは元のIPヘッダも暗号化される」が要点で、トランスポートモードでは元のIPヘッダが平文のまま残る。使い分けはトランスポートモードが端末同士の直接通信、トンネルモードがゲートウェイ間のVPN。実装側では、トンネルモードは新しいIPヘッダとESPヘッダのぶんパケットが太るので、経路のMTUを超えないようMSSを下げる調整が要る点も落としやすい。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。