---
title: "IPsecとは？IP通信を保護する仕組み【SG試験】"
description: "IPsecはネットワーク層でIP通信を暗号化や認証によって保護する仕組みです。AH・ESP・IKEの役割と、S/MIME・SSH・XML暗号との切り分けをSG試験向けに整理します。"
last_modified_at: "2026-07-09"
canonical_url: "https://stemtazoo.github.io/sg/ipsec/"
section: "sg"
---

## まず結論

IPsecは、IP通信を暗号化や認証によって保護するための仕組みです。

SG試験では、IPsecそのものを細かく設定できるかではなく、**OSI基本参照モデルのネットワーク層で動作する通信保護の仕組み**として、AH・ESP・IKEの役割を切り分けられるかが問われやすいです。

特に、次の整理が大切です。

| 用語 | 役割 |
|---|---|
| IPsec | IP層・ネットワーク層でIP通信を保護する仕組み全体 |
| AH | 認証・改ざん検知を行うが、暗号化はしない |
| ESP | 暗号化を行える。必要に応じて認証も行える |
| IKE | 暗号化方式や鍵を決めるための仕組み |

## このページで切り分けること（先にここだけ）

このページは、**IPsec全体とAH/ESP/IKEの役割差**を中心に整理します。

- IPsec：ネットワーク層で動作する通信保護の総称
- AH：認証・改ざん検知（暗号化はしない）
- ESP：通信データの暗号化を担当
- IKE：鍵交換や暗号方式の合意を担当

> 迷ったら、**「暗号化の話か、認証・鍵交換の話か」**を見ます。

## SG試験で選択肢を切る判断軸（IPsec編）

- 「暗号化しないが完全性確認を行う」と出る
  → AH

- 「通信内容を暗号化する」と出る
  → ESP

- 「鍵交換・アルゴリズム合意」と書かれている
  → IKE

- 「ネットワーク層で動作」「AHとESPを含む」と書かれている
  → IPsec全体の説明

## 関連記事との役割分担（混同防止）

- AHを単体で確認したい → [IPsecのAHとは？暗号化しない認証ヘッダー【SG試験】](https://stemtazoo.github.io/sg/ipsec-ah/)
- ESPを単体で確認したい → [IPsecのESPとは？暗号化できるセキュリティ機能【SG試験】](https://stemtazoo.github.io/sg/ipsec-esp/)
- IKEを単体で確認したい → [IKEとは？IPsecで鍵を交換する仕組み【SG試験】](https://stemtazoo.github.io/sg/ipsec-ike/)

## 直感的な説明

IPsecは、ネットワーク上を流れる通信に対して、安全な通路を作る仕組みと考えると分かりやすいです。

たとえば、会社の拠点同士をインターネットでつなぐ場合、そのまま通信すると第三者に盗み見されたり、途中で改ざんされたりする危険があります。

そこでIPsecを使うと、通信に対して、

中身を見られにくくする

途中で改ざんされていないか確認する

正しい相手との通信か確認する

といった保護を行えます。

イメージとしては、普通の道路を走る荷物に対して、鍵付きの専用ルートや封印シールを付けるようなものです。

ただし、IPsecは1つの機能だけではありません。
暗号化、認証、鍵交換など、いくつかの部品を組み合わせて通信を守ります。

## 定義・仕組み

IPsecは、IP層で通信を保護するためのプロトコル群です。
OSI基本参照モデルでは、ネットワーク層で動作する仕組みとして整理します。

「プロトコル群」というのは、1つの機能だけでなく、複数の仕組みを組み合わせたものという意味です。

IPsecで特に重要なのは、次の3つです。

| 用語 | 役割 | 試験での見分け方 |
|---|---|---|
| AH | 認証、完全性確認、リプレイ攻撃対策 | 暗号化はしない |
| ESP | 暗号化、必要に応じて認証や完全性確認 | 暗号化が出たら候補 |
| IKE | 鍵交換、暗号化方式の決定 | 鍵を決める話なら候補 |

### AH

AHは、Authentication Headerの略で、日本語では認証ヘッダーと呼ばれます。

主な役割は、通信相手の確認と改ざん検知です。
一方で、データの暗号化は行いません。

SG試験では、AHを「暗号化する仕組み」として説明する選択肢は誤りとして切ります。

### ESP

ESPは、Encapsulating Security Payloadの略です。

主な役割は、通信データの暗号化です。
必要に応じて、認証や完全性確認も行えます。

SG試験では、IPsecで暗号化を行う中心はESPと考えると整理しやすいです。

### IKE

IKEは、Internet Key Exchangeの略です。

通信を暗号化するには、どの暗号方式を使うか、どの鍵を使うかを決める必要があります。
この鍵交換や条件の合意を行うのがIKEです。

選択肢で「暗号化アルゴリズムを決める」「鍵を動的に生成する」「鍵交換プロトコル」と書かれていたら、AHやESPではなくIKEを疑います。

### トランスポートモードとトンネルモード

IPsecには、保護する範囲の違いによって、トランスポートモードとトンネルモードがあります。

| モード | イメージ | 主な使い方 |
|---|---|---|
| トランスポートモード | 元のIPヘッダーを基本的に残して中身を保護する | 端末同士の通信保護 |
| トンネルモード | IPパケット全体を包み込んで保護する | VPNなどの拠点間通信 |

SG試験では、細かいパケット構造よりも、トンネルモードはVPNで使われやすいという理解を優先するとよいです。


### IPsecの選択肢で狙われる細かい切り分け

IPsecの設問では、AH・ESP・IKE・モードの役割を少しずつずらした選択肢が出ます。

| 選択肢の表現 | 判断 |
|---|---|
| IKEをWeb用の80番ポートで動作するものとして説明する | IKEは鍵交換に関係するが、通常 UDP/500 を使う。80番はHTTPなので誤り |
| HMACをデータ暗号化方式として説明する | HMACはメッセージ認証・改ざん検知の文脈で考える。暗号化アルゴリズムではない |
| トンネルモードでは元のIPヘッダーまで含めて保護する | 正しい。元のIPパケットを包み、新しいIPヘッダーを付けて送る |
| 認証と暗号化の両方にAHを使う | AHは暗号化しない。暗号化が必要ならESPを疑う |

👉 判断のコツ

- **鍵交換・暗号方式の合意** → IKE
- **暗号化** → ESP
- **認証・改ざん検知だけ** → AH
- **元のIPヘッダーごと包む** → トンネルモード


## どんな場面で使う？

IPsecは、ネットワーク上の通信を安全にしたい場面で使われます。

代表的なのは、VPNです。

たとえば、

本社と支社を安全につなぐ

外出先から社内ネットワークへ安全に接続する

インターネット上で通信内容を保護する

といった場面で使われます。

特に企業では、インターネットを使いながらも、社内ネットワークのように安全に通信したい場面があります。
このようなとき、IPsecによって通信経路を保護します。

ただし、IPsecを使えばすべてのセキュリティ問題が解決するわけではありません。

IPsecは、あくまで通信経路を保護する仕組みです。
端末自体がマルウェアに感染していたり、利用者のIDやパスワードが漏えいしていたりする場合は、別の対策も必要です。

SG試験では、IPsecを「通信路の保護」として考え、アクセス管理、認証、マルウェア対策などと役割を分けて判断します。

## よくある誤解・混同

### IPsecとSSL/TLSの混同

IPsecとSSL/TLSは、どちらも通信を保護する仕組みです。
ただし、使われる位置づけが違います。

| 用語 | 主な保護対象 | よく使われる場面 |
|---|---|---|
| IPsec | IP層・ネットワーク層の通信 | VPN、拠点間通信 |
| SSL/TLS | アプリケーション寄りの通信 | HTTPS、Web通信 |

SG試験では、WebサイトのHTTPS通信ならSSL/TLS、VPNやIP層の通信保護ならIPsecと考えると切り分けやすいです。

### IPsecとVPNの混同

VPNは、安全な仮想的な通信路を作る考え方や仕組みの総称です。
IPsecは、そのVPNを実現するために使われる代表的な技術の1つです。

つまり、

VPN：安全な通信路を作る仕組み全体の考え方

IPsec：VPNなどで使われる通信保護の技術

と整理します。

選択肢では、「VPNそのもの」と「VPNで使う技術」を混同させることがあります。

### AHとESPの混同

IPsecの中で特に間違えやすいのが、AHとESPです。

AHは、認証と改ざん検知を行います。
しかし、データの暗号化は行いません。

ESPは、データの暗号化を行えます。
必要に応じて、認証や完全性確認も行えます。

選択肢では、「AHが暗号化する」 と書かれていたら注意です。
AHは暗号化ではなく、認証と完全性確認です。

### IKEとの混同

IPsecでは暗号化通信を行うために、鍵や暗号方式を決める必要があります。
この役割を担うのがIKEです。

そのため、選択肢に、

暗号化アルゴリズムを決定する

暗号化鍵を動的に生成する

鍵交換を行う

と書かれていた場合は、IPsec全体の中でもIKEの説明として考えます。

SG試験では、IPsecという大きな枠の中に、AH・ESP・IKEがあると考えると整理しやすいです。

### S/MIME・SSH・XML暗号との違い

IPsec、S/MIME、SSH、XML暗号は、いずれも暗号化や認証に関係しますが、使う場所が違います。

| 用語 | 主な用途 | 試験での見分け方 |
|---|---|---|
| IPsec | IP層・ネットワーク層で通信を保護する | AH、ESP、ネットワーク層、VPN |
| S/MIME | 電子メールの本文暗号化・電子署名 | メール、MIME、電子メールソフト |
| SSH | 遠隔ログインやリモート操作を安全に行う | Secure Shell、リモート接続 |
| XML暗号 | XML文書の一部または全部を暗号化する | XML文書、要素単位の暗号化 |

SG試験では、問題文に **「ネットワーク層」「AH」「ESP」** が出ていれば、S/MIMEやSSHではなくIPsecを優先して考えます。

## 確認問題（SG試験対策）

拠点間VPNでIPsecを利用する場合の説明として、最も適切なものはどれか。

- ア. トンネルモードでは、元のIPパケットを包み込み、外側に新しいIPヘッダーを付けて送る。
- イ. IKEはWeb閲覧用のHTTPと同じ80番ポートで鍵交換を行う。
- ウ. HMACは、通信データそのものを暗号化する代表的な暗号方式である。
- エ. AHは認証だけでなく、通信データの暗号化も担当する。

<details markdown="1">
<summary>▶ クリックして答えと解説を見る（ここを開く）</summary>

**正解：ア**

### 解説

トンネルモードでは、元のIPパケットをESPなどで包み、その外側に新しいIPヘッダーを付けて送信します。そのため、元のIPヘッダーを含むIPパケットを保護対象として考えます。

- ア：正しい説明です。トンネルモードは、元のIPパケットを包み込む方式です。
- イ：IKEが鍵交換に使われる点は正しいですが、通常使うポートは UDP/500 です。80番はHTTPです。
- ウ：HMACは、メッセージ認証や改ざん検知に使う考え方であり、暗号化アルゴリズムではありません。
- エ：AHは認証・改ざん検知を行いますが、暗号化機能はありません。暗号化が必要ならESPを疑います。

👉 判断ポイント

**IKE＝鍵交換、HMAC＝認証、ESP＝暗号化、トンネルモード＝元のIPパケットを包む**で切り分ける。

</details>

## まとめ（試験直前用）

- IPsecは、IP層・ネットワーク層でIP通信を暗号化や認証で保護する仕組み
- AHは、認証・完全性確認を行うが、暗号化はしない
- ESPは、暗号化を行える
- IKEは、暗号方式や鍵を決める鍵交換の仕組み
- AHとESPを含むネットワーク層の仕組みなら、IPsecを候補にする
- S/MIMEはメール、SSHはリモート接続、XML暗号はXML文書の保護として切り分ける

## 公式情報・参考リンク
- [IETF RFC 4301｜Security Architecture for the Internet Protocol](https://www.rfc-editor.org/rfc/rfc4301)