IPsecのIKE SA/トンネルモード・トランスペアモード/パケットサイズ【ネットワークスペシャリスト試験平成29年度秋期午後1 問3 No.2】

ネットワークスペシャリスト試験平成29年度秋期午後1 問3 No.2

【出典：ネットワークスペシャリスト試験平成29年度秋期午後1 問3（一部、加工あり）】

【インターネットVPN接続の検討】
　L社クラウドサービスのVPNルータとK社NWのVPNルータでは、互いのグローバルIPアドレスを利用して、RFC1853に記載されているIP in IPを用いて、トンネルが構成される。このトンネルの通信を、IPsecを用いて暗号化する。
　暗号化は、フェーズ1と呼ばれるIKE SAの確立、フェーズ2と呼ばれるIPsec SAの確立を経て行われる。
　フェーズ1では、接続する相手を認証する方式として、両方の機器であらかじめ、（イ：事前共有鍵）と呼ばれる同じ鍵を共有する方式を利用する。
　フェーズ2では、①IPヘッダを暗号化対象とするトンネルモードではなく、IPヘッダを暗号化対象としないトランスポートモードを選択する。
　IP in IPでトンネルを構成し、更にIPsecを用いて暗号化することによって、②元のIPパケットと比較してパケットサイズは大きくなる。そこで、IP in IPで作成されたトンネルインタフェースではMTUのサイズを適切な値に設定し、さらに、トンネルインタフェースを通過するパケットのTCP MSS（Maximum Segment Size）を適切な値に書き換える。

イ：事前共有鍵

　SA（Security Association）とは、暗号化通信に先立ち、暗号化方式や暗号鍵などの情報を交換して確立された仮想的な暗号通信路（トンネル）のことです。
　IKE（Internet Key Exchange）は、暗号鍵を交換するために利用される通信プロトコルのことで、接続する機器であらかじめ鍵を共有する方式は、事前共有鍵（PSK：Pre-Shared Key）といいます。

①について、今回の構成では、トランスポートモードを選択している。選択した根拠を、IPアドレスに着目して30字以内で述べよ。：暗号化対象の通信がグローバルIPアドレス間の通信だから。

　まず、IPsecを用いて暗号化する箇所を再確認します。
　本文に「L社クラウドサービスのVPNルータとK社NWのVPNルータでは、互いのグローバルIPアドレスを利用して、RFC1853に記載されているIP in IPを用いて、トンネルが構成される」とあるように、IP in IPで元々のIPパケットを新たなIPヘッダでトンネル化しています。
　そして新たなIPヘッダにグローバルIPアドレスを使用してインターネット経由で通信することになります。
　したがって、IPヘッダ（←新たなIPヘッダ）を暗号化対象としないトランスポートモードを採用するのが適切です。

②について、IP in IPで作成されたトンネルインタフェースのMTUの値を1,500とした場合、VPNルータで発生する処理を、30字以内で述べよ。ここで、インターネットを含む全てのインタフェースのMTUの値を1,500とする。：フラグメントとリアセンブルの処理が発生する。

　IP in IPでのトンネル化とIPsecを用いた暗号化で、元のIPパケットからどれくらいパケットサイズが大きくなるのでしょうか。
　まず、IP in IPでは、新たなIPヘッダとして20バイト分が付加されます。
　IPsecでは、暗号化通信のESP（Encapsulated Security Payload）では、ESPヘッダ8バイト、ESPトレーラとESP認証データがそれぞれ十数バイト分付加されます。
　したがって、全体で40バイト程度、元のIPパケットよりもパケットサイズが大きくなります。
　そして、元のIPパケットが最大1,500バイトのパケットを送信する場合、トンネルインタフェースでは1,540バイトのパケットサイズとなり、MTU（Maximum Transfer Unit：最大パケット長）の1,500バイトを超過することになります。
　このとき、発生する処理としては、送信側ではIPパケットを分割するフラグメント、受信側では再構成するリアセンブルとなります。