【NW技術】IPsec-VPNとは？押さえるべきポイント解説

パケットの暗号化に使用する方式の選択。

DES:共通鍵暗号方式。鍵を使って暗号化を行う。
3DES:DES処理を3回繰り返す方式。各処理での鍵は異なる。
AES:DESより長い鍵長で暗号を行う。現在の主流。

任意のデータを一定の長さのハッシュ値に変換する関数。
isakmpメッセージの検証・鍵計算に使用する。
ビット長が長い方がセキュリティが高い。

MD5:ビット長128。セキュリティとしては脆弱。
SHA-1:ビット長:160。こちらも脆弱。
SHA-256:ビット長256。今の主流はこれ。

対向機器との認証を実施するための方式設定。
この設定によって鍵の生成のされ方が変わる。

Pre-shared Key:事前共有鍵。両機器で同じ鍵を設定する。
公開鍵暗号:公開鍵と秘密鍵を使って暗号復号化を行う。
デジタル署名:CA証明書によって認証を行う。それぞれの機器に証明書をインポートする必要あり。

秘密対象鍵を作成するための前提条件のこと。
設定によって鍵の強度が変わる。
基本的にグループの数字が大きいほどセキュリティ強化されるが、キー計算の時間は増加する。

ISAKMP SAを維持する時間。
lifetime内に対向機器から通信がなければSAは解除される。
ここは対向と値が違っても接続は可能。途中セッションは途切れる可能性があるが…

事前共有鍵の設定。対向機器と同一の文字列を設定する。
認証方式がPre-shared Keyの時に設定する項目。

対向機器のアドレス。相手の実アドレスを指定する。
IPsecで生成されるinterfaceのアドレスではない。

IKEキープアライブ時間。
IKEピアの活性状態を検出するプロトコル。
例えば対向機器が再起動してPhase1の再接続を行うとする。
その際に、DPD設定がなければ、本機器は対向機器の再起動を検知せず、ISAKMP SA Lifetimeにしたがって、以前のコネクション状態を維持し続けてしまう。

相手のアドレス体系(動的・静的)に対応するためのモード設定

Main:対向機器の特定を固定IPアドレスにて行う。
相手が固定IPを持っていることが前提のため、回線の種類によっては使用できない。

Aggressive:対向機器の特定を自身と相手のIDによって行う。
Mainより少ない手順でSAが確立できるが、IDの暗号化はされずDH-groupのnegotiationもないので、セキュリティ性が低い。

IPsec SAで使用するセキュリティプロトコル。
以下の２つから選択する。

AH:認証用プロトコル。暗号化は行われないので主流ではないが、暗号化通信が禁じられてるフランスなどで利用。
ESP:暗号化+認証を行うプロトコル。基本はこちらを設定。

上記でESPを設定した時のみ設定。
内容はPhase1と同様

AHの場合は設定が必須。
なりすまし防止に使用するための、ハッシュ計算方法。

HMAC:送信者の認証と、データの改ざん検知が可能な認証コードの１つ。鍵、ハッシュを組み合わせて算出される。HMACを使用することで、データの暗号化と認証の両方が可能になる。HMAC-MD5はハッシュの指定をMD5としている。

鍵の解読が他の鍵の解読につながらないようにする性質のこと。有効化すると、SAに使用する鍵の生成・更新の際に、再度DHアルゴリズムを実施する。

簡単に言うと、秘密鍵生成をよりセキュリティの高い方式で再度実施する設定。

IPsec SAを維持する時間。
内容としてはisakmpと同様。

通信データのIPsecの暗号化が適用される範囲を指定する設定。

トンネルモード:IPパケット全体を暗号化し、新しくIPヘッダを付与して通信を行う。ルータ同士でIPsecを張る場合は大抵こちらを使用する。
トランスポートモード:IPの変更は行わず、トランスポート層を暗号化する。PC-Server間など端末間での通信秘匿に使用される。

isakmpと同じく、対向機器の実IPを指定する項目。

IPsecを通過させる(暗号化してセキュリティを担保する)対象のアドレスを指定できる設定。「このIPsecには、この送信先or送信元の通信を通すためだけに設定する」などの場合に利用する。

クイックモードしかないです。
情報がないので正確ではないかもですが、IPsec SAの情報交換をするモードがQuickモードみたい…?

別のモードは使えないので、設定項目あればクイックモードに設定しないといけない、という感じで覚えましょう。