応用情報技術者 2017年 春期 午前2 問45

VPNプロトコルの階層位置【午前2解説】

正解の理由

解法ステップ

1. 各プロトコルの目的を確認する
   • TLS：アプリケーション層のプロトコル（例：HTTPS）を暗号化・認証するために使われる。実装上は TCP/UDP を下に使うため「トランスポートの上、アプリに近い層」に位置づける。
   • IPsec：IPv4/IPv6 のIPパケットをそのまま保護する（AH/ESP）。よってネットワーク層（レイヤ3）で動作する。
   • L2TP：PPPフレームなどをカプセル化して仮想回線を作るトンネリング（Layer 2 Tunneling Protocol）。データリンク層（レイヤ2）相当。
2. 上記を上下関係で並べる：TLS（上） → IPsec（中） → L2TP（下）。
3. 選択肢を照合して TLS→IPsec→L2TP の順になっているものを選ぶ（ウ）。

選択肢別の誤答解説

• ア（IPsec → L2TP → TLS）
  IPsec を最上位に置いていますが、IPsec はネットワーク層であり、アプリケーションに近い TLS より下位です。また TLS が最下位にあるのは役割と逆になります。
• イ（IPsec → TLS → L2TP）
  TLS を IPsec の下に置いていますが、TLS はトランスポートの上（アプリ寄り）で動作するため、IPsec より上位に位置します。L2TP が最下位である点は合うものの、TLS と IPsec の順序が逆です。
• エ（TLS → L2TP → IPsec）
  L2TP を IPsec の上に置いていますが、L2TP はデータリンク相当であり、IPsec（ネットワーク層）より下になります（IPsec が IP パケットを扱うため、L2TP のカプセル化対象と比較して位置が逆転しています）。

よくある誤解

• 「TLS はトランスポート層プロトコルだ」という誤解
  TLS は TCP/UDP といったトランスポート上で動作しますが、OSIでは厳密にトランスポート層ではなく、主にセッション/プレゼンテーション層相当の機能（アプリケーションに近い層）を持ちます。したがって「トランスポート層そのもの」と断定するのは誤りです。
• 「L2TP は常に下位にあるからIPsecで保護されない」と考える誤解
  L2TP はレイヤ2のトンネリングですが、実際の運用では L2TP パケット自体を IPsec（レイヤ3）で保護して L2TP over IPsec 構成にすることが多く、下位だから保護されないわけではありません。
• 「プロトコルが UDP/TCP を使う＝上位層である」
  例えば L2TP は UDP（ポート1701）上で運ばれることがあり、それをもってレイヤ3以上にいると誤解しやすいですが、プロトコルのカプセル化対象（PDU）がどの層のデータかで評価します。

補足コラム

• 実運用での組み合わせ例
  • L2TP over IPsec：L2TP（PPPフレームのトンネル）を IPsec のトンネルモードで保護する典型的構成。
  • TLSベースのVPN（例：OpenVPN）：TLS を使ってトンネルを張る方式で、アプリケーション寄りの柔軟性があり、TCP/UDP（通常は TCP 443 や UDP ポート）を利用する。
  • WireGuard：設計上はネットワーク層に相当する軽量なVPNで、IPsec 同様に IP パケットレベルで動作するが実装や鍵管理が異なる。
• プロトコルの実際の識別情報・番号
  • L2TP は UDP ポート 1701 を使用（ただし保護のために IPsec と併用されることが多い）
  • IPsec のデータ平面は ESP（IP プロトコル番号 50）や AH（51）、鍵交換には IKE（UDP 500 / 4500）を使用
  • TLS は通常 TCP 上（HTTPS では TCP 443）で、UDP 上でも使う DTLS（Datagram TLS）という派生がある

FAQ