LINE2017.10.14どうも!とろあ(@tohroa)です。暗号化とトンネリングを一括りにしてしまっていましたが、ぼくが特に理解できていないと感じているところを改めて見直してみたところ、IPsecやVPNに関する知識だと発覚しました。IPsecやVPNに関して覚えなければならないことはたくさんありますが...まず今回の記事ではIPsecについてまとめていきたいと思います。IPsecIPsecは認証や暗号化を行うことによって信頼性を高めるためのプロトコルです。IPsecを実現するAH、ESP、IKEといったキーワードについて理解しておきましょう。AHAHはIPsec通信において、認証のみを行うプロトコルです。IPsecにはトンネルモードとトランスポートモードという2つのモードがあり、モードによってAHパケット構成が異なるので理解しておきたいところ。トンネルモードにおけるAHでは、元のIPパケットを一切変更せずに、新しいIPヘッダとメッセージを認証するためのAHヘッダを付与します。対してトランスポートモードでは、元のIPパケットのIPヘッダの後ろにAHヘッダを追加することで、メッセージ認証を実現します。AHヘッダの付与する位置等は変わりますが、認証の範囲はいずれもヘッダを含めて、パケット全体となることは覚えておきましょう。ESPESPはIPsec通信において、認証と暗号化の両方を行うプロトコルです。ESPではトンネルモードまたはトランスポートモードによって暗号化範囲が異なるので理解しておきたいところ。トンネルモードにおけるESPヘッダ等の付与については、元のパケットの先頭にESPヘッダ、末尾にESPトレーラを付与することで挟みこみ、ESPヘッダより後ろ(IPヘッダ以降)からESPトレーラまでの内容を暗号化します。ESPヘッダからESPトレーラまでの認証情報をESP認証データとしてパケットの末尾に付与し、最後に暗号化の中に含まれてしまったIPヘッダの代わりとして新しいIPヘッダを先頭に付与して完了です。トランスポートモードでは、トンネルモードにおけるIPヘッダのあと付けと異なり、最初から元のパケットのIPヘッダを除く部分(TCPorUDPヘッダ及びデータ)に対してESPヘッダ及びESPトレーラを付与して暗号化、ESPヘッダからESPトレーラまでの認証情報としてESP認証データをパケットの末尾に付与して完了になります。トランスポートモードは通信を行うホスト間で認証および暗号化を行うため、送信元ホストから送信されて宛先ホストに届くまでの全経路上において暗号化された通信となりますが、それぞれのホストがIPsecに対応しなければなりません。対してトンネルモードは、IPsecに対応したルータ同士で暗号化が行われるため、ルータに到達するまで(宛先側ではルータ到達以降)はIPsecによる暗号化は行われていませんが、通信を行う各ホストでIPsecを認識および実現する仕組みは必要ありません。AHとESPは組み合わせて利用することも可能ですが、ここではESP認証データに変わりAHヘッダをIPヘッダの後ろに付与する(ESP認証データは付与されない)という程度の説明にて割愛します。IKEIPsec通信を実現するための3つ目のキーワードとして、IKEというプロトコルがあります。Association)という言葉などもあるので一緒に覚えていきましょう。IKEにはv1とv2という2つのバージョンがありますが、ネットワークスペシャリストで主に出題される範囲としてはIKEv1を抑えておいた方が良さそうなので、IKEv1について記載しています。IKEv1でIPsec通信を開始するためには、ISAKMPというフレームワークに基づきフェーズ1とフェーズ2で2段階の手順が必要となるので以降で手順を解説。フェーズ1ISAKMPのフェーズ1では送信元ホストと宛先ホスト間にて、エンティティ認証(通信相手の認証)、暗号化アルゴリズムの整合、および、鍵の生成が行われます。SA)というものが確立されます。Database)に登録され必要に応じて参照されます。フェーズ1はメインモードとアグレッシブモードの2つがあり、簡単な特徴としてはメインモードの方がセキュアな方法だが処理が複雑であり、アグレッシブモードの方が手順がシンプルということが挙げられます。加えて、メインモードは送信元、宛先ともに固定IPアドレスである必要があるが、アグレッシブモードは宛先のみIPアドレスが固定できればよいというのも特徴です。SAの情報を元にホスト間で暗号化通信を確立し、続いて実際に通信を行うための鍵を生成。SAと呼び、こちらもSADに登録・活用されることとなります。SAが確立され、ホスト間で暗号化通信を行う準備が整うことで、実際のIPsec通信が行えることとなります。IPsec通信において、フェーズ1とフェーズ2の2段階の手順が行われ、それぞれSAが確立される理由は暗号化するための情報を頻繁にアップデートするためです。SAを確立しなおす必要があります(この仕組みをReKey(リキー:鍵の再生成)と呼ぶ)。SAの確立時に複雑な鍵生成のための処理・時間を抑えつつ、頻繁に鍵を更新することを実現しているのです。最後に...相変わらずまとまりのない内容になってしまっている気がしますが、自分のためのまとめとしては非常に理解できている気がします。本当はイメージ付きで記載できればより良いのですが...そこまで凝ったものは試験後に考えます(汗)アウトプットしようとすると、記事を書いていて疑問に思ったところは調べざるをえないので、時間はかかりますがとても良い勉強方法ですね。目の当たりにしてとろあ(@tohroa)です。東京駅限定販売の駅弁東京弁当を食べてみました。生活うまく仕事を整理しよう。人間はマルチタスクにはなれませんどうも!とろあ(@tohroa)です。たくさんの仕事を同時にこなすことが求められ、たくさんこなせる人が凄いと言われる時代ですが、あくまで人間はマルチタスクにはなれないと考えています。生活ネットワークスペシャリスト試験直前!弱点を洗い出して強化しよう!どうも!とろあ(@tohroa)です。来週末はネットワークスペシャリスト試験本番。超直前ですが、いまのぼくの弱点を整理して、学習の方針を定めておこうと思います。生活auユーザーの皆様、2017年10月の三太郎の日はダイソーの商品が交換できますよ!どうも!とろあ(@tohroa)です。「水分」だけじゃダメ!!どうも!とろあ(@tohroa)です。コメントをキャンセルメールアドレスが公開されることはありません。*サイト次回のコメントで使用するためブラウザーに自分の名前、メールアドレス、サイトを保存する。書評ガンプラロードバイクパソコン仕事術ブログホーム検索トップサイドバースポンサーリンクアーカイブ2019年8月72019年6月12018年11月12018年9月12018年8月142018年7月222018年6月112018年5月42018年1月32017年11月62017年10月342017年9月252017年8月52017年7月42017年6月32017年5月72017年2月12016年7月12016年6月62016年4月82016年3月152016年2月232016年1月23。