IKEとは？あいけー
IKEとは、IPsecの通信を始める前段として、相手の認証、共通鍵の生成と交換、暗号方式や鍵の有効期間を取り決めたSA（セキュリティアソシエーション）の確立をまとめて担うプロトコル。UDP 500番（NAT越え時は4500番）で動き、フェーズ1では鍵交換自体を守るIKE SAを、フェーズ2では通信を守るIPsec SAを作る。
最終更新：2026-10-06
エンベデッドSPを最短で暗記・合格する →背景
暗号通信を始めるには、双方が同じ鍵と同じアルゴリズムを持っていなければならない。ところが鍵を人手で機器へ焼き込む運用は台数が増えた時点で回らなくなり、期限が来ても更新できない。盗聴されている経路の上で相手を確かめ、共通鍵を作り、期限が来たら作り直す——この段取りを自動化するために鍵交換のプロトコルが要る。組込みでは公開鍵演算がMCUにとって最も重い処理になるため、SAの有効期間を短くして安全側へ倒すか、再ネゴシエーションの負荷を避けて長めに取るかが設計判断になる。
具体例
産業機器の遠隔保守では、現地のゲートウェイと保守センタのVPN装置が事前共有鍵またはデジタル証明書で相手を認証し、Diffie-Hellman鍵交換で共通鍵を作る。現地がNATの内側にあるとUDP 500では成立しないため、NATトラバーサルでUDP 4500へ移り、以降のESPパケットもUDPで包んで運ぶ。
試験での引っ掛け
IKEが担うのはSAの確立と鍵交換までで、実際のデータを暗号化して運ぶのはESP（完全性だけならAH）。フェーズの対応も逆に覚えやすく、フェーズ1で作るのが鍵交換自体を守るIKE SA、フェーズ2で作るのが通信を守るIPsec SA。NAT越えでUDP 500から4500へ移る点も狙われる。加えて、鍵交換が済むまで通信は流れないので、電源復帰後の再接続時間にはこの往復ぶんを織り込んでおく。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。