コース （A  B  C  D  E）

リモートアクセスでは、外部から企業内のオフィス情報システムに対してインターネットや公衆回線網を通じて、重要なデータの送受信を行うため盗聴や改ざん等のセキュリティ上の問題を抱えることになります。

　そこで、データを送出する前にデータを暗号化して送り、受信側ではそのデータの復号化を行って、目的の相手に届けるようにすれば、セキュリティを高めることが可能になります。暗号化、ヘッダー交換、認証などの技術を用いて、ある特定のユーザーだけしかアクセスできないようにしておけば、インターネットや公衆回線網を使っても、専用線接続と同じようなセキュリティを保つことができます。

　この時に使用するグローバルなネットワークアドレス間に特定のユーザーしか認識できない仮想の通信路を設けて通信する方式を「トンネリング」と呼んでいます。
　トンネリングでは、オフィス内ネットワークで使われるプライベートアドレスを持ったIPパケットをインターネット上でデータとして扱い、これをグローバルなＩＰパケット（宛先ＩＰアドレスはリモートアクセスサーバー）に包み込んで（カプセル化という）送受信することになります。トンネリングによって、実際に通信したいデータパケットをカプセル化及び暗号化し、その内容を第三者が見ても判別することをできなくすることにより、セキュリティを高めることができます。

　このように、インターネットや公衆回線網を利用する際に、暗号化、ヘッダー交換、認証、トンネリング、カプセル化技術を適用してセキュリティを確保したネットワークをVPNと呼びます。
　

VPNを導入するメリットは、通信コスト削減と通信セキュリティ確保です。  

　VPNは、もともとリモートアクセスにおけるコスト削減を実現する技術として考案されたものです。最近では、出先や自宅などから企業内のオフィス情報システムにアクセスする際、PHSや公衆回線網からインターネットサービスプロバイダーのアクセスポイントに接続したり、出先や自宅から直接インターネットに接続して、インターネット経由で安全に企業内のオフィス情報システムへアクセスするために利用されています。

　このとき、インターネット内でのデータ通信のためにVPNプロトコル（暗号化、ヘッダー交換、認証、トンネリング、カプセル化技術）を使用することにより、セキュリティも確保することができます。 
　

VPNの構築形態
　VPNの構築形態は、大きく分けて次の3つになります。

�@ ネットワーク-端末型

コース （A  B  C  D  E）

SSH (Secure Shell)は、通信路を暗号化することで安全性を高めたリモート通信用のシェル（ユーザーの操作を受け付けて、与えられた指示をOSの中核部分に伝えるソフトウェア）をさします。
　UNIX系OSでは、telnetやrloginなど、シェルの機能をリモート環境下で扱うためのプログラムやコマンドツールが用意されていますが、ログイン時のパスワード認証以外にセキュリティ機能は持っていません。またパスワードや通信内容はクリアテキストの形でIPパケットに格納して送られるため、パケット盗聴によって通信内容を簡単に知られてしまいます。SSHは、これを防ぐために暗号化した通信経路を提供してセキュリティの強化を図っています。
　

SSHには以下の機能があります。

�@ 通信の暗号化

　SSHは、SSHコミュニケーションズ・セキュリティという会社がライセンスを保有していて、商用利用するためにはこのライセンスを購入しなければなりません。
　OpenSSHは、製品版になる前のフリーライセンスのSSHを、フリーUNIXを開発しているメンバーが主体となってフリーライセンスで使用できるようにしたSSHです。
　

コース （A  B  C  D  E）

SSLの機能
　SSLは以下の3つの機能を有しています。
�@ クライアント・サーバー認証機能

インターネット上での暗号化などで標準的に用いられているSSL（Secure Sockets Layer）を利用してインターネットをトンネリングして、以下のVPN接続を行います。
�@ ネットワーク−端末間接続

一般的に、外出先から企業内のオフィス情報システムに接続するといったリモートアクセス用途に適したVPNです。
　

コース （A  B  C  D  E）

　SSLの最新バージョンはSSL3.0です。次期のSSLのバージョンを4.0とせずに、TLS（Transport Layer Security）1.0として、SSL3.0に若干の改良を加え名称変更を行いました。これは、インターネットで利用される様々な技術の標準について考える組織 The Internet Engineering Task Force (IETF)で標準化されています。
　機能はSSLとほぼ同じで、WWWやFTPなどのデータを暗号化し、プライバシーに関わる情報やクレジットカード番号、企業秘密などを安全に送受信することができます。公開鍵暗号や秘密鍵暗号、デジタル証明書、ハッシュ関数などのセキュリティ技術を組み合わせ、データの盗聴や改ざん、なりすましを防ぐことができます。
　

コース （A  B  C  D  E）

SOCKSは、ソケットプログラムを利用しアプリケーションプロトコルに依存せずに、トランスポート層上でアクセス制御を行うためのセキュリティプロトコルです。SOCKSサーバーにコネクションリクエストを渡すと、SOCKSサーバーはクライアントを認証してからコネクションを確立します。
　SOCKSは｢Sockd｣というプログラムを介して、プロキシサーバーとクライアントの通信を行う仕組みになっています。この図で説明するとSockdにFTPやtelnetをカプセル化して通信を行おうとするクライアントAは内部ネットワークの資源を利用できますが、直接telnetを使って通信を試みるクライアントBはプロキシサーバーによって通信を拒否されます。
TCPパケットがSockdにカプセル化されるため、外部から内部ネットワークの構成を隠蔽することができます。
　SOCKS経由でアプリケーションを動作させる場合、SOCKSサーバーへの接続設定やアプリケーションをSOCKS化させるクライアント環境での設定変更が必要になります。
　

他のVPNプロトコルとの連携
　SOCKSは、トランスポート層以上で動作するため、インターネット層やネットワークインターフェース層で動作する他のVPNプロトコルと併用することが可能になります。組み合わせて利用することにより、よりセキュリティレベルを高めることが可能になります。例えば、SOCKSサーバーで、アプリケーションやユーザーに別に切り分けを行って、より高いセキュリティ機能が要求される通信に対しては、IPsecなどのVPNに対応したルーターを経由して通信させ、その他の通信はSOCKSの機能のみで通信を行う、などの方法が考えられます。
　

コース （A  B  C  D  E）

IPsec（IP security Protocol）は，認証や暗号のプロトコル，鍵交換のプロトコル，ヘッダー構造など，複数のプロトコルを総称するもので、インターネットの標準団体であるIETF(Internet Engineering Task)において，IP(Internet Protocol)レベルの暗号化プロトコルとして標準化されています。現在では、ファイアウォールをはじめとする多くのVPN製品に搭載されており、ルーターなどにおいても搭載されるケースが増えてきています。また、マイクロソフト社も最近のWindowsでは、IPsecに標準対応しています。

　IPsecによってIPパケットの完全性や機密性が保護され、HTTPやFTPといったアプリケーションプロトコルを使って転送されるデータが保護されます。
　また既存のアプリケーションプログラムを変更しなくてもよいのも特徴です。
　

IPsec の特徴は、ネットワーク層で動作し、なおかつ認証、暗号化の仕組みを独立させた点にあります。 
　IPsecでは、認証を受け持つ「認証ヘッダー（AH：Authentication Header）」と暗号化を受け持つ「暗号ペイロード（ESP：Encapsulating Security Payload）」の２つのプロトコルを規定しています。
　「認証ヘッダー」は、IPパケットにメッセージ認証の機能を提供します。
　「暗号ペイロード」は、VPNの暗号化やトンネリングの機能を提供します。
　これらの仕組みは独立して動作するので、IPパケットのメッセージ認証の機能を利用したい場合は認証ヘッダーを利用し、データの暗号化やトンネリングの機能を利用したい場合は暗号ペイロードを利用することが可能で、両方を組み合わせて利用することも可能です。
　

IPsec(VPN)通信を行うために，通信相手との間でSA(Security Association)と呼ばれる論理的なコネクションを確立します。
　SAはVPN通信を行うトラフィック毎に確立され，トラフィック情報(selector)、暗号アルゴリズム、認証アルゴリズム等のトラフィックに適用するセキュリティ情報を含んでいます。あるIPsecのパケットがどのSAに対応しているかは、HA（IPsecのヘッダー中）に含まれるSPI（Security Parameters Index）というポインタによって指定されます。
　SAを確立した後，ルーターはSAの情報に基づいてVPN通信処理を行います。
　

IPsecの通信モードにはIPパケットのデータ部分の認証及び暗号化を行い、もとのIPヘッダーは対象としない方式（トランスポートモード）とIPヘッダーも含めて暗号化し、新しいIPアドレスを付加して送信する方式（トンネルモード）の2つがあります。
　トランスポートモードはIPsecを搭載したホスト間で通信する場合使用されます。
　一方、リモートアクセスの場合はゲートウェイサーバーを経由して内部のサーバーに接続する必要があるためトンネルモードを使用します。
　

トンネルモードは、ネットワークのゲートウェイ間でIPsecの通信を行うことを想定しています。内部ホスト向けのIPヘッダーまでがESPによって暗号化される範囲となり、ゲートウェイでは、相手先のゲートウェイのIPアドレスを新たに付加して送信します。

　ESP（Encapsulating Security Payload）：暗号ペイロード
　AH （Authentication Header）：認証ヘッダー
　

IPSec（Security Architecture for Internet Protocol）を利用してインターネットをトンネリングして、以下のVPN接続を行います。

コース （A  B  C  D  E）

PPTP（Point to Point Tunneling Protocol）は、 PPPのパケットをIPパケットに包み込んで (カプセル化)、IPネットワーク上にPPPパケットをトンネルさせて運び、 リモートアクセスサーバーとの間でPPP接続を確立するというものです。
　PPTPは、Windowsによるクライアント・サーバー環境で多く利用されています。
　

PPTPの基本的な考え方は、PPPのパケットをIPパケットに包み込んで (カプセル化)、IPネットワーク上にPPPパケットをトンネルさせて運び、 リモートアクセスサーバーとの間でPPP接続を確立するというものです。
　トンネリングには、GRE(Generic Routing Encapsulation)というプロトコルを使用し、カプセル化したパケットデータはVPNインターフェースでRC4と呼ばれる暗号化アルゴリズムで暗号化されます。
　

コース （A  B  C  D  E）

L2F（Layer 2 Fowarding）は米シスコ社が、リモートアクセス用に考案したVPN用のプロトコルで、PPTPと同じくPPPヘッダーまでがカプセル化の対象となり、データリンク層で動作します。
　L2Fは、UDPの1701番を利用して通信し、制御コネクションの確立と、ユーザーセッション（接続要求）の確立手順の2段階の手順を使ってトンネルを確立します。
　

　L2Fも、リモートアクセス用のVPNプロトコルとして考案されたため、LAN間接続などのPPP以外のプロトコルをつかった接続には利用できません。また複数のベンダーが対応していますが、基本的にはシスコ社独自の仕様であるため、対応機器が限られてきます。
　またPPTPでは暗号化によってセキュリティ機能を提供（もともとのPPTPでは暗号化はサポートされていませんが、Microsoft WindowsのPPTPではMS-CHAPを用いて暗号化機能を提供）していますが、L2Fでは、トンネルセッションの提供のみで暗号化の機能は提供されません。
　シスコ社は、IETFに標準化を働きかけ、最終的には、この後説明するL2FとPPTPを組み合わせたL2TPが標準化されています。
　

コース （A  B  C  D  E）

L2TP（Layer 2 Tunneling Protocol）は、PPTPとL2Fという2つのトンネリングプロトコル仕様をIETFが標準化を図った、データリンク層で動作するVPNプロトコルです。
　リモートユーザーは端末からアクセスポイントにダイヤルアップPPP接続を行います。
　着信を受けたL2TP対応機器は、PAP（Password Authentication Protocol）やCHAP(Challenge Handshake Authentication Protocol)などのPPPのユーザー認証機能を使って、正規のユーザーであることを確認した後、内部ネットワーク側のL2TP対応機器と通信してトンネルを生成します。
　トンネルが確立された後は、ダイヤルインした社内の認証サーバーによって再度正式な認証を受け、PPPのネゴシエーションを行います。またPPTPでは、通信トンネルは1本に限定されますが、L2TPでは、複数のトンネルを張ることが可能です。
　

コース （A  B  C  D  E）