- 追加された行はこの色です。
- 削除された行はこの色です。
- IPSecまとめ へ行く。
→VPNまとめ
→IPSecで使うプロトコル
→[[暗号化]]
#contents
*特徴 [#y5a64ba4]
-暗号化をレイヤ３＝ネットワーク層＝IP（Internet Protocol）プロトコルのレベルで行う仕組み
--IP層レベルで自動的に暗号化された通信を行うので、上位のアプリケーションでは暗号化のことを特別に意識する必要がない。
-IETF(Internet Engineering Task Force）による暗号化通信方式の標準規格
-現在の主流暗号化技術である
*IPSecによるVPNの問題点 [#l450319c]
**ファイアーウォールとの併用 [#i8476e10]
-暗号化されている通信であるため、やりとりしているデータの中味をファイアウォールなどでチェックできない。
-VPNを介して不正プログラムが侵入してしまう可能性
**NAT,IPマスカレードとの併用の問題 [#xba330f6]
-NATとVPNは通常のままでは併用できない。VPNパススルーという技術を使うと解決できる
-[[NATトラバーサル---端末を識別可能にする「NAT越え」，実現手法は用途によりまちまち（上）>http://itpro.nikkeibp.co.jp/members/NIT/ITARTICLE/20020605/1/]]
-制約：パケット内のデータが暗号化されるため、ポート番号がわからなくなるのでNAPTと相性が悪い。IPSecとNAPTを同時に行うにはルータがVPNパススルー機能に対応するか、NATトラバーサルを行う必要がある。
--参考：[[NATトラバーサル>http://www.infraexpert.com/study/ipsec15.html]]
-NATトラバーサルはIPsecの拡張機能。VPNパススルーはIPsecに限った話ではない。
--[[How NAT traversal works · Tailscale>https://tailscale.com/blog/how-nat-traversal-works/]] 2020
**アクセス制御 [#ea165114]
-VPN装置の背後に別途ファイアウォール配置して、再度アクセスコントロールを行う場合もあるが、
-運用面などを考えると現実的ではない。
*２つの動作モード [#s7c7d184]
-''トランスポート・モード''~
IPパケットで運ぶデータ部分のみを暗号化し、これにあて先などを指定したIPへッダを付けて送信
-''トンネル・モード''~
ほかのホストからいったん受信したIPへッダとデータ部分を合わせたものをまとめて暗号化したうえで、ゲートウェイにて新たにIPへッダを再度つけ直して送信を行う。パケットの真の送り先まで暗号化される。
*プロトコル [#a3470ca0]
IPSecでは３種類のプロトコルを使用：IKE, AH, ESP
-IPSecは、暗号化方式として共有鍵暗号方式が採用されている
-暗号化に使うアルゴリズムは複数から選択可
|種類|実装|h
|DES-CBC|実装が必須とされている|
|3DES-CBC|実装はオプション（多くのIPSeｃ製品が実装）|
|CAST-128|実装はオプション|
|RC-5|実装はオプション|
|IDEA|実装はオプション|
|Blowfish|実装はオプション|
*SA（Security Association） [#jb9533c5]
-一連のネゴシエーションの結果として、お互いの間で得られた暗号化アルゴリズムやどんな暗号鍵を使うか、に関する合意。
-VPNによってできる接続をSAと呼ぶイメージ
*SPI（Security Pointer Index) [#re9adf1f]
-SAの確定と同時に、SAと関連付けされたSPIと呼ばれる32ビットの整数値が割り当てられる
-暗号化通信で各パケット中(ESPヘッダ内)に挿入され、パケット内の通信内容がどのような 暗号化アルゴリズムで暗号化されたのか、どの暗号鍵を使うのかといったことを示すガイドとなる。
- 同時に複数の相手と通信する場合、相手によってSPIが変わる
*参考URL [#aa0f1ea7]
-[[IT管理者のためのIPSec講座：技術解説（1/3 ページ） - ＠IT>https://atmarkit.itmedia.co.jp/ait/articles/0011/27/news001.html]] 2000
![[PukiWiki]](image/pukiwiki.png "[PukiWiki]")
