試験項目 4.5 · CCNA-126
IPsec Protocol / Transport Modes
ドメイン 4 · Network Services and Security · IPsec Remote Access / Site-to-Site VPN
このページのゴール
IKE・ESP・AHの責任と、Tunnel / Transport ModeのPacket構造・適用条件を説明できるようにする。
このページで学ぶこと
- IKE Role
- IKE Versus Data Protection
- IKE SA Versus IPsec SA
- ESP Confidentiality
- ESP Integrity Authentication
- ESP Anti-Replay
- AH Integrity Authentication
- AH No Encryption
- Tunnel Mode Encapsulation
- Tunnel Mode Outer Header
- Tunnel Mode Inner Header
- Transport Mode Common Behavior
- ESP Transport Protection
- AH Transport Protection
- Tunnel Versus Transport Mode 選択
- VPN Type Versus IPsec Mode
- ESP Versus AH 選択
- Anti-Replay Configurability
IKE
Peer Authentication、Key/Security Parameter Negotiationを担当し、IPsec SAの確立を支援します。Application DataをESP/AHの代わりに運ぶProtocolではありません。
ESP / AH
ESPはConfidentialityを提供可能で、Integrity/AuthenticationやAnti-Replayも利用可能です。AHはIntegrity/Data Origin Authentication/Anti-Replayを提供しますがEncryptionはしません。
Tunnel Mode
Original IP Packet全体をEncapsulateし、新しいOuter IP Headerを追加します。Outer HeaderはTunnel Endpoint、Inner HeaderはOriginal Communication Endpointを表します。
Transport Mode
Original IP Headerを維持し、通常は新しいOuter Headerを追加しません。ESP TransportとAH TransportではHeaderの保護範囲が異なります。
重要な注意点
Tunnel Mode ≠ Site-to-Site専用。Remote Access ≠ 必ずTransport Mode。VPN TypeとIPsec Modeは別軸です。
理解確認
このページの内容を36問で確認します。
理解確認36問へ →