IPsecとは？あいぴーせっく
IPsecとは、IP層で認証・完全性保護・暗号化を提供するプロトコル群。完全性と認証だけを行うAH、暗号化も行うESP、鍵交換とSA（セキュリティアソシエーション）の確立を担うIKEから成る。IPヘッダごと包み直すトンネルモードと、ペイロードだけを保護するトランスポートモードがあり、拠点間VPNでは前者を使う。SAは方向ごとに1つずつ張られる片方向の取り決めである。
最終更新：2026-10-06
この語が出る過去問を解く →背景
暗号化をアプリケーションごとに実装すると、対応していない業務システムは平文のまま流れ続ける。IP層で保護すれば、上位が何であっても、既存のアプリケーションに手を入れずにまとめて守れる。専用線の代わりにインターネットを使って拠点をつなぎたいという要求と、そこを流れるデータを他人に見せられないという制約の折り合いがIPsecである。回線費用と保護の設計を絡めて問われる。
具体例
仕様はIETFが RFC 4301 以降のシリーズとして定めている。本社と支店をインターネット回線で結ぶサイト間VPNでは、両拠点のルータ間でESPのトンネルモードを使い、拠点間の業務通信をまとめて暗号化する。
試験での引っ掛け
AHはIPヘッダを含めて完全性を守るため、途中でアドレスを書き換えるNATを通過できない。NAT配下で使うにはESPを選び、さらにNAT-T（UDP4500番でのカプセル化）を併用する。AHは認証と完全性だけで暗号化を行わない点、トンネルモードとトランスポートモードで保護される範囲が変わる点も取り違えやすい。
関連用語
出た過去問
出典：平成28年度 秋期 ネットワークスペシャリスト試験 午前Ⅱ 問7（IPA）
図はIPv4におけるIPsecのデータ形式を示している。ESPトンネルモードの電文中で、暗号化されているのはどの部分か。
正解：オリジナルIPヘッダからESPトレーラまで
要点：ESPトンネルモードは元IPヘッダ以降を暗号化する
ESPのトンネルモードでは、元のIPパケット全体を新しいIPヘッダでカプセル化する。暗号化の対象は、オリジナルIPヘッダからESPトレーラまでの範囲である。新IPヘッダとESPヘッダは中継に必要なので暗号化されず、ESP認証データは暗号化後のデータに対する完全性チェック値なので対象外となる。
出典：平成30年度 秋期 ネットワークスペシャリスト試験 午前Ⅱ 問19（IPA）
IPsecに関する記述のうち、適切なものはどれか。
正解：ESPのトンネルモードを使用すると、暗号化通信の区間において、エンドツーエンドの通信で用いる元のIPヘッダを含めて暗号化できる。
要点：ESPトンネルモードは元のIPヘッダごと暗号化する
ESPのトンネルモードでは、元のIPパケット全体（元のIPヘッダを含む）を暗号化し、その前に新しいIPヘッダを付けて転送する。このため、経路上では実際の通信相手のIPアドレスが見えなくなり、拠点間VPNのように途中経路を隠したい用途に適する。
出典：令和元年度 秋期 ネットワークスペシャリスト試験 午前Ⅱ 問1（IPA）
ネットワーク層のパケットを対象としてIPパケットでカプセル化し、トンネリングを行えるプロトコルはどれか。
正解：IPsec
要点：IPsecトンネルモードはIPパケットをIPでカプセル化する
IPsecはネットワーク層で動作し、トンネルモードを使うと元のIPパケット全体を新しいIPヘッダでカプセル化して転送できる。つまりネットワーク層のパケットをIPパケットに包んでトンネリングするプロトコルである。暗号化と認証も併せて提供するため、拠点間VPNに広く使われる。
出典：令和5年度 春期 ネットワークスペシャリスト試験 午前Ⅱ 問9（IPA）
図はIPv4におけるIPsecのデータ形式を示している。ESPトンネルモードの電文中で、暗号化されているのはどの部分か。
正解：オリジナルIPヘッダーからESPトレーラまで
要点：ESPトンネルモードは元IPヘッダーからトレーラまでを暗号化
ESPのトンネルモードでは、元のIPパケット全体（オリジナルIPヘッダーを含む）をESPトレーラとともに暗号化し、その前に新しいIPヘッダーとESPヘッダーを付ける。したがって暗号化範囲はオリジナルIPヘッダーからESPトレーラまでである。ESPヘッダーはSPI（どのSAかを示す識別番号）やシーケンス番号を平文で運び、末尾のESP認証データは完全性検査値なので暗号化されない。
出典：令和6年度 春期 ネットワークスペシャリスト試験 午前Ⅱ 問21（IPA）
IPsecに関する記述のうち、適切なものはどれか。
正解：ESPのトンネルモードを使用すると、暗号化通信の区間において、エンドツーエンドの通信で用いる元のIPヘッダーを含めて暗号化できる。
要点：ESPトンネルモードは元のIPヘッダーごと暗号化する
IPsecのESPトンネルモードでは、元のIPパケット全体（元のIPヘッダーを含む）を暗号化し、その外側に新しいIPヘッダーを付けて転送する。そのため経路上では通信相手の本来の送信元・宛先アドレスが見えず、拠点間VPNで広く使われる。トランスポートモードでは元のIPヘッダーは暗号化されない点が対比になる。
出典・参考
高度試験 午前I（高度午前I 相当）のシラバスの3 技術要素 ＞ 5. セキュリティ実装技術 ＞ (1) セキュアプロトコルに掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。