トランスポートモード(トランスポートモード)とは | 意味や読み方など丁寧でわかりやすい用語解説

トランスポートモードは、IPsec（Internet Protocol Security）が提供する二つの主要なセキュリティ動作モードのうちの一つである。IPsecは、インターネットプロトコル層で通信の認証、データの完全性、および暗号化を提供することで、安全な通信路を確立する技術である。トランスポートモードの基本的な役割は、通信を行っている二つの終端点、すなわちホスト間で、IPパケットのペイロード部分（通常はTCPヘッダ、UDPヘッダ、そしてその先のアプリケーションデータなど）のセキュリティを直接的に保護することにある。これにより、ネットワーク内部で特定のアプリケーションやサービス間の通信を、第三者による盗聴や改ざんから守ることが可能となる。

詳細に説明すると、トランスポートモードは、オリジナルのIPパケットヘッダは変更せずに保持し、その後のペイロード部分に対してセキュリティ処理を施すという特徴を持つ。具体的には、オリジナルのIPヘッダとペイロードの間にIPsecヘッダを挿入する形でセキュリティ機能を追加する。このIPsecヘッダには、AH（Authentication Header）とESP（Encapsulating Security Payload）の二種類があり、どちらを選択するかによって提供されるセキュリティサービスが異なる。

AHは、データの認証、データの完全性保護、そしてリプレイ攻撃からの保護を提供する。AHを適用した場合、元のIPパケットの大部分（一部の可変フィールドを除くIPヘッダ全体と、その後のIPペイロード全体）に対してハッシュ値が計算される。このハッシュ値はAHヘッダに格納され、送信される。受信側では、同様の計算を行い、受け取ったハッシュ値と比較することで、データが送出後に改ざんされていないこと、そして正規の送信元から送られたものであることを確認する。しかし、AHはデータの暗号化機能を持たないため、パケットの内容自体は第三者に読み取られる可能性がある。AHが保護する範囲は広範に及び、IPヘッダの一部も保護対象に含むため、IPヘッダのフィールドが途中で変更されるようなネットワーク経路、例えばNAT（Network Address Translation）が介在する環境では使用が難しい場合がある。

一方、ESPは、データの暗号化を主要な機能として提供し、さらにデータの認証、完全性保護、およびリプレイ保護もオプションで提供できる。ESPを適用する場合、オリジナルのIPペイロード全体が暗号化される。暗号化されたデータの前にESPヘッダが、後ろにESPトレーラがそれぞれ付加される。ESPヘッダにはセキュリティパラメータインデックス（SPI）などの情報が、ESPトレーラにはパディングや、認証が有効な場合は認証データが含まれる。ESPはデータの機密性を保護するため、特に外部に漏れては困る情報を含む通信に非常に適している。また、ESPはオリジナルのIPヘッダを保護しないため、IPヘッダのフィールドが変更されるネットワーク環境、例えばNAT環境でも比較的容易に利用できる。

トランスポートモードにおけるパケット構造の変化は、使用するIPsecヘッダによって以下のように変わる。元のIPパケットが「IPヘッダ + TCP/UDPヘッダ + データ」という構成であると仮定する。 AHを使用する場合、パケットは「IPヘッダ + AHヘッダ + TCP/UDPヘッダ + データ」という構成になる。元のIPヘッダのプロトコルフィールドは、次のヘッダがAHであることを示す値に変更される。AHヘッダはIPヘッダと元のペイロードの間に挿入され、認証情報を含む。 ESPを使用する場合、パケットは「IPヘッダ + ESPヘッダ + 暗号化された(TCP/UDPヘッダ + データ) + ESPトレーラ + ESP認証データ（オプション）」という構成になる。この場合も、元のIPヘッダのプロトコルフィールドは、次のヘッダがESPであることを示す値に変更される。ESPヘッダはIPヘッダと暗号化されたペイロードの間に挿入され、ESPトレーラと認証データは暗号化されたペイロードの後に付加される。このように、IPsecヘッダによって元のIPペイロードがカプセル化されることで、通信のセキュリティが確保される。

トランスポートモードは主に、二つのホストが直接通信する「エンドツーエンド」のセキュリティを確保するシナリオで利用される。例えば、クライアントPCが特定のサーバーに接続する際にその通信内容を保護したい場合や、企業内の特定のPC間でのみ高いセキュリティが必要な場合などに適している。このモードでは、オリジナルのIPアドレスが維持されるため、ネットワーク監視ツールなどで通信元と通信先を容易に特定できるという運用上の利点もある。

IPsecにはトランスポートモードの他にトンネルモードというもう一つのモードが存在するが、両者の違いは保護の範囲と目的にある。トランスポートモードがホスト間のIPペイロードの保護に焦点を当てるのに対し、トンネルモードは元のIPパケット全体を新しいIPヘッダとIPsecヘッダでカプセル化し、実質的に新しいIPパケットとして転送する。トンネルモードは主に、異なるネットワーク間の通信や、VPN（Virtual Private Network）トンネルを構築する際に用いられ、通信元と通信先のプライベートIPアドレスを隠蔽する目的がある。対してトランスポートモードは、あくまで既存のIP通信経路を活かしつつ、その上でやり取りされるデータのセキュリティを強化する役割を担う。システムエンジニアを目指す上で、IPsecが提供するこれらのセキュリティ機能を正しく理解し、適切なモードを選択できる知識は、セキュアなネットワーク環境を設計・構築する上で不可欠となる。