トンネルモード／トランスポートモードとは？

トンネルモード／トランスポートモードの意味

トランスポートモードはIPペイロード（上位層のデータ）だけを保護し、元のIPヘッダはそのまま使う。トンネルモードは元のIPパケット全体（元のIPヘッダを含む）を保護対象としてカプセル化し、新しいIPヘッダを付ける。

トンネルモード／トランスポートモードの具体例

ESPトンネルモードでは、元のIPヘッダからESPトレーラまでが暗号化され、その外側に新しいIPヘッダとESPヘッダが付く。

トンネルモード／トランスポートモードは試験でどう引っ掛けられる？

「トンネルモードでは元のIPヘッダも暗号化される」が要点。トランスポートモードは端末同士の直接通信、トンネルモードはゲートウェイ間のVPNに使う、という使い分けも押さえる。

トンネルモード／トランスポートモードと関連する用語

• IPsec
• ESP

トンネルモード／トランスポートモードが出た過去問

• 図はIPv4におけるIPsecのデータ形式を示している。ESPトンネルモードの電文中で、暗号化されているのはどの部分か。

  正解：オリジナルIPヘッダからESPトレーラまで

  要点：ESPトンネルモードは元IPヘッダ以降を暗号化する

  ESPのトンネルモードでは、元のIPパケット全体を新しいIPヘッダでカプセル化する。暗号化の対象は、オリジナルIPヘッダからESPトレーラまでの範囲である。新IPヘッダとESPヘッダは中継に必要なので暗号化されず、ESP認証データは暗号化後のデータに対する完全性チェック値なので対象外となる。

  出典：平成28年度 秋期 ネットワークスペシャリスト試験 午前Ⅱ 問7（IPA）

• IPsecに関する記述のうち、適切なものはどれか。

  正解：ESPのトンネルモードを使用すると、暗号化通信の区間において、エンドツーエンドの通信で用いる元のIPヘッダを含めて暗号化できる。

  要点：ESPトンネルモードは元のIPヘッダごと暗号化する

  ESPのトンネルモードでは、元のIPパケット全体（元のIPヘッダを含む）を暗号化し、その前に新しいIPヘッダを付けて転送する。このため、経路上では実際の通信相手のIPアドレスが見えなくなり、拠点間VPNのように途中経路を隠したい用途に適する。

  出典：平成30年度 秋期 ネットワークスペシャリスト試験 午前Ⅱ 問19（IPA）

• ネットワーク層のパケットを対象としてIPパケットでカプセル化し、トンネリングを行えるプロトコルはどれか。

  正解：IPsec

  要点：IPsecトンネルモードはIPパケットをIPでカプセル化する

  IPsecはネットワーク層で動作し、トンネルモードを使うと元のIPパケット全体を新しいIPヘッダでカプセル化して転送できる。つまりネットワーク層のパケットをIPパケットに包んでトンネリングするプロトコルである。暗号化と認証も併せて提供するため、拠点間VPNに広く使われる。

  出典：令和1年度 秋期 ネットワークスペシャリスト試験 午前Ⅱ 問1（IPA）

• 図はIPv4におけるIPsecのデータ形式を示している。ESPトンネルモードの電文中で、暗号化されているのはどの部分か。

  正解：オリジナルIPヘッダーからESPトレーラまで

  要点：ESPトンネルモードは元IPヘッダーからトレーラまでを暗号化

  ESPのトンネルモードでは、元のIPパケット全体（オリジナルIPヘッダーを含む）をESPトレーラとともに暗号化し、その前に新しいIPヘッダーとESPヘッダーを付ける。したがって暗号化範囲はオリジナルIPヘッダーからESPトレーラまでである。ESPヘッダーはSPIやシーケンス番号を平文で運び、末尾のESP認証データは完全性検査値なので暗号化されない。

  出典：令和5年度 春期 ネットワークスペシャリスト試験 午前Ⅱ 問9（IPA）

• IPsecに関する記述のうち、適切なものはどれか。

  正解：ESPのトンネルモードを使用すると、暗号化通信の区間において、エンドツーエンドの通信で用いる元のIPヘッダーを含めて暗号化できる。

  要点：ESPトンネルモードは元のIPヘッダーごと暗号化する

  IPsecのESPトンネルモードでは、元のIPパケット全体（元のIPヘッダーを含む）を暗号化し、その外側に新しいIPヘッダーを付けて転送する。そのため経路上では通信相手の本来の送信元・宛先アドレスが見えず、拠点間VPNで広く使われる。トランスポートモードでは元のIPヘッダーは暗号化されない点が対比になる。

  出典：令和6年度 春期 ネットワークスペシャリスト試験 午前Ⅱ 問21（IPA）