ネットワークスペシャリスト 2019年 午前2 問01

IPトンネリング【午前2解説】

正解の理由

解法ステップ

1. 問題が対象とする「層」を確認する（ここではネットワーク層＝IPパケット）。
2. 各選択肢がどの層で動作するかを思い出す。
3. ネットワーク層で直接IPパケットをカプセル化できるプロトコルを選ぶ（IPsecのトンネルモードが該当）。
4. 残りの選択肢（L2TP、PPTP、RSTP）は用途や動作層が異なるため除外する。

選択肢別の誤答解説

• ア（IPsec）
  IPsecはネットワーク層のセキュリティプロトコルで、トンネルモードでは元のIPパケットをまるごと新しいIPパケット内に包んで転送します。ESP（Encapsulating Security Payload）は暗号化と認証、AHは認証のみを提供します。よって設問の要件に合致します。
• イ（L2TP）
  L2TPは「Layer 2 Tunneling Protocol」の名が示す通り主にデータリンク層のPPPフレームをトンネルするプロトコルです。L2TPで運ばれるのはPPPの上に載ったIPなどの上位プロトコルであり、L2TP自体が直接ネットワーク層のIPパケットをそのままカプセル化するという扱いではありません（L2TPv3は拡張で多様なカプセル化をサポートしますが、試験の想定ではL2TP＝PPPのトンネルと理解するのが安全です）。したがって本問の「ネットワーク層を直接カプセル化する」には該当しません。
• ウ（PPTP）
  PPTPは制御チャネル（TCP）とデータチャネル（GRE）を組み合わせてPPPフレームを運ぶ方式です。GRE自体は多数のプロトコルをカプセル化できる汎用トンネリング技術ですが、PPTPの実装ではGREのペイロードにPPPが入ります。従ってPPTPは主にPPPトンネルであり、問題で意図する「IPパケットそのもののネットワーク層カプセル化（IPsecのような）」とは異なります。
• エ（RSTP）
  RSTP（Rapid Spanning Tree Protocol）はレイヤ2のブリッジでループを防ぐためのプロトコルであり、トンネリング機能やカプセル化とは無関係です。したがって不正解です。

よくある誤解

• GREがIPを直接カプセル化できるためPPTPもIPを直接トンネルすると誤解する。
  → PPTPではGREのペイロードがPPPであり、PPTP自体はPPPトンネルの一種として扱われる点を混同しやすいです。
• L2TPは「トンネル」という語からIPトンネルと同じと考える。
  → L2TPは通常データリンク層（PPP）をトンネルするため、IPパケットをそのままカプセル化するプロトコルとは区別されます。
• IPsecのモード（トンネル/トランスポート）を混同する。
  → トンネルモードはIPパケット全体を新IPで包む、トランスポートモードは上位ペイロードのみを保護して元のIPヘッダを保持します。

補足コラム

• IPsecのカプセル化（簡潔）
  トンネルモードの概念図（言葉で）：
  元のパケット: [IPヘッダ | IPデータ]
  トンネル後: [新IPヘッダ | ESPヘッダ | (元のIPヘッダ | IPデータ) | ESPトレーラ | ESP認証]
  このため送信側と受信側の間でIPレベルのVPNを形成できます。
• PPTPとL2TPの実務差
  PPTPは古く脆弱性が知られているため実運用では推奨されません。L2TPはしばしばIPsecと組み合わせてL2TP/IPsecとして用いられ、トンネルの認証・暗号化をIPsecが担います（この組合せでも「IPsecはネットワーク層でのカプセル化と保護を行う」点が重要です）。
• GREとの組合せ
  GRE単体は暗号化を行わないため、GREで運ばれるトラフィックを保護する目的でIPsecを併用することが多いです（例：GRE over IPsec）。

FAQ