とことこロゴス
メニュー

トンネルモード

読み：とんねるもーど　／　英語表記：tunnel mode

IPsecの動作モードの一つ。元のIPヘッダーを含むパケットを内側に収め、その外側に新しいIPヘッダーを付けて送る。拠点間VPNなどで使われ、内側のパケットに認証や暗号化などの保護を適用する。

イマシルちゃんの解説

トンネルモードは、通信を保護するIPsecの動作モードの一つだよ。
拠点間VPNでは、端末が送ったIPパケットを元のIPヘッダーごと包み、新しいIPヘッダーを付けて運ぶんだ。
外側にはVPN装置のアドレス、内側には実際に通信する端末のアドレスが入るよ。
相手のVPN装置で外側を外すと、元の宛先へパケットを届けられるの。
暗号化を使うESPと組み合わせれば、内側のアドレスやデータも途中の第三者から隠せるんだ。
包む方法を決めるモードと、内容を暗号化するかどうかは分けて考えることが大切だよ。

より深い解説

定義

トンネルモードは、IPsecで保護する対象を、元のIPパケット全体（元のIPヘッダーとデータ）とし、その外側に新しいIPヘッダーを付けて送るモードである。新しいIPヘッダーの送信元と宛先は、トンネルの両端（VPN装置など）のアドレスになる。

2つのモードの比較

トランスポートモードトンネルモード
保護する範囲元のIPパケットのデータ部元のIPパケット全体
元のIPヘッダーそのまま使う（保護されない）新しいIPヘッダーの内側に入れる
外から見える宛先通信する端末のIPアドレストンネルの端（VPN装置）のIPアドレス
主な用途端末同士の通信（エンドツーエンド）VPN装置同士（拠点間VPN）、リモートアクセスVPN
ヘッダーの増加小さい大きい（IPヘッダーがもう1つ付く）

パケットの形（ESPの場合）

トランスポートモード

| 元のIPヘッダー | ESPヘッダー | TCP/UDP＋データ（暗号化） | ESPトレーラ | 認証データ |

トンネルモード

| 新しいIPヘッダー | ESPヘッダー | 元のIPヘッダー＋TCP/UDP＋データ（暗号化） | ESPトレーラ | 認証データ |

ESPのトンネルモードでは、元のIPヘッダーを含めて暗号化されるため、拠点の内部で使っているIPアドレス（プライベートIPアドレスなど）や、どの端末同士が通信しているかを、インターネット上の第三者から隠せる。

拠点間VPNの例

本社のPC（10.1.0.5） → 本社のVPN装置 ═══ インターネット ═══ 支社のVPN装置 → 支社のサーバ（10.2.0.8）
  1. 本社のPCは、支社のサーバ宛てに、ふつうのIPパケットを送る（宛先 10.2.0.8）
  2. 本社のVPN装置は、そのパケット全体を暗号化し、新しいIPヘッダー（送信元：本社のVPN装置、宛先：支社のVPN装置）を付けて送る
  3. 支社のVPN装置は、外側のヘッダーを外して復号し、元のパケットを支社のサーバに届ける

PCやサーバは、IPsecを意識する必要がない。

MTUへの影響

トンネルモードでは、新しいIPヘッダーやESPのヘッダー、トレーラが加わるため、パケットが大きくなる。元のパケットが回線のMTUぎりぎりの大きさだと、分割（フラグメント）が必要になったり、通信できなくなったりする。そのため、VPN装置では、TCPの最大セグメント長（MSS）を小さく調整する設定がよく使われる。

実際の試験ではここに出る！全9問

ネットワークスペシャリスト

午前Ⅱ
午後Ⅰ

テクニカルエンジニア（ネットワーク）

午前

この用語が出てくる記事

↑