応用情報技術者 2017年 春期 午前2 問45

VPNプロトコルの階層位置【午前2解説】

正解の理由

解法ステップ

1. 各プロトコルの目的を確認する
   • TLS：アプリケーション層のプロトコル（例：HTTPS）を暗号化・認証するために使われる。実装上はTCP/UDPを下に使うため「トランスポートの上、アプリに近い層」に位置づける。
   • IPsec：IPv4/IPv6のIPパケットをそのまま保護する（AH/ESP）。よってネットワーク層（レイヤ3）で動作する。
   • L2TP：PPPフレームなどをカプセル化して仮想回線を作るトンネリング（Layer 2 Tunneling Protocol）。データリンク層（レイヤ2）相当。
2. 上記を上下関係で並べる：TLS（上） → IPsec（中） → L2TP（下）。
3. 選択肢を照合してTLS→IPsec→L2TPの順になっているものを選ぶ（ウ）。

選択肢別の誤答解説

• ア（IPsec → L2TP → TLS）
  IPsecを最上位に置いていますが、IPsecはネットワーク層であり、アプリケーションに近いTLSより下位です。またTLSが最下位にあるのは役割と逆になります。
• イ（IPsec → TLS → L2TP）
  TLSをIPsecの下に置いていますが、TLSはトランスポートの上（アプリ寄り）で動作するため、IPsecより上位に位置します。L2TPが最下位である点は合うものの、TLSとIPsecの順序が逆です。
• エ（TLS → L2TP → IPsec）
  L2TPをIPsecの上に置いていますが、L2TPはデータリンク相当であり、IPsec（ネットワーク層）より下になります（IPsecがIPパケットを扱うため、L2TPのカプセル化対象と比較して位置が逆転しています）。

よくある誤解

• 「TLSはトランスポート層プロトコルだ」という誤解
  TLSはTCP/UDPといったトランスポート上で動作しますが、OSIでは厳密にトランスポート層ではなく、主にセッション/プレゼンテーション層相当の機能（アプリケーションに近い層）を持ちます。したがって「トランスポート層そのもの」と断定するのは誤りです。
• 「L2TPは常に下位にあるからIPsecで保護されない」と考える誤解
  L2TPはレイヤ2のトンネリングですが、実際の運用ではL2TPパケット自体をIPsec（レイヤ3）で保護してL2TP over IPsec構成にすることが多く、下位だから保護されないわけではありません。
• 「プロトコルがUDP/TCPを使う＝上位層である」
  例えばL2TPはUDP（ポート1701）上で運ばれることがあり、それをもってレイヤ3以上にいると誤解しやすいですが、プロトコルのカプセル化対象（PDU）がどの層のデータかで評価します。

補足コラム

• 実運用での組み合わせ例
  • L2TP over IPsec：L2TP（PPPフレームのトンネル）をIPsecのトンネルモードで保護する典型的構成。
  • TLSベースのVPN（例：OpenVPN）：TLSを使ってトンネルを張る方式で、アプリケーション寄りの柔軟性があり、TCP/UDP（通常はTCP 443やUDPポート）を利用する。
  • WireGuard：設計上はネットワーク層に相当する軽量なVPNで、IPsec同様にIPパケットレベルで動作するが実装や鍵管理が異なる。
• プロトコルの実際の識別情報・番号
  • L2TPはUDPポート1701を使用（ただし保護のためにIPsecと併用されることが多い）
  • IPsecのデータ平面はESP（IPプロトコル番号50）やAH（51）、鍵交換にはIKE（UDP 500 / 4500）を使用
  • TLSは通常TCP上（HTTPSではTCP 443）で、UDP上でも使うDTLS（Datagram TLS）という派生がある

FAQ