本社と支社を安全につなぐ「拠点間VPN」。その定番技術、IPsec VPNの仕組みを整理します。
VPNとは
インターネットのような公衆網の上に、暗号化された「仮想的な専用線（トンネル）」を作る技術です。通信を暗号化するので、途中で盗み見られても中身が読めません。専用線より安く、拠点間やリモート接続に広く使われます。
IPsecの役割
IPsecは、IPパケットを暗号化・認証するための仕組みです。拠点間VPN（Site-to-Site）で定番です。主に2つの働きをします。
- 暗号化: 中身を読めなくする（機密性）
- 認証・改ざん検知: 正しい相手か、途中で書き換えられていないかを確認（完全性）
2つのフェーズ
IPsecの接続は、2段階で確立します。
- IKEフェーズ1: まず「安全な相談用の通路」を作る。お互いを認証し、鍵交換の土台を用意する。
- IKEフェーズ2: その通路を使って、実際のデータ通信用の暗号化パラメータ（SA）を合意する。
このフェーズ1→2の流れを知っておくと、VPNが張れない時の切り分けに役立ちます。
合わせる必要があるパラメータ
両拠点で以下を一致させないと、トンネルは張れません。
- 暗号化アルゴリズム（AESなど）
- ハッシュ（SHAなど）
- 事前共有鍵（Pre-Shared Key）または証明書
- 対象トラフィック（どのセグメント間を通すか）
「VPNが上がらない」時は、たいていこのどれかの不一致です。
トンネルモードとトランスポートモード
- トンネルモード: 元のIPパケットごと暗号化して包む。拠点間VPNの標準。
- トランスポートモード: ペイロードのみ暗号化。ホスト間などで使う。
拠点間VPNでは、通常トンネルモードを使います。
つまずきポイント
- フェーズ1で止まる → 認証（事前共有鍵）、IKEの設定不一致
- フェーズ1はOKだがフェーズ2で止まる → 対象トラフィック（暗号化対象）の定義不一致
- MTU/MSSの問題で、VPN越しの大きい通信だけ詰まる（別記事のMSSクランプ参照）
まとめ
IPsec VPNは、公衆網の上に暗号化トンネルを作って拠点を安全につなぐ技術です。IKEフェーズ1→2で接続を確立し、両側のパラメータ一致が必須。「VPNが上がらない」の多くは設定不一致なので、フェーズごとに切り分けるのがコツです。