VPN（IKE・フェーズ1・フェーズ2）

　VPNで、実際にパケットをやり取りする前に、VPN装置間でコネクションを「SA」と呼ばれるトンネルで確立する必要があります。IPSec で通信行う場合、すべて、この「SA」というトンネルを経由してパケットを送受信します。

　「SA」を生成するためにIPSecでは、IKE（インターネット鍵交換プロトコル）を使用してIPSec においてセッションとも言える「SA」を制御しています。

　IKEのコネクションは、安全性を高めるためにフェーズ1とフェーズ2の2つの段階を経て「SA」が構築されます。フェーズ1は、「SA」を生成するための下準備になります。

それでは、フェーズ1から、何が行われるかを解説していきます。

　「ISAKMP」と書いて「アイサキャンプ」と読みます。フェーズ1には、「メインモード」と「アグレッシブモード」の2種類があります。この2つのモードの大きな違いは、接続先相手の認証で交換されるID情報が暗号化されるかどうかです。

　メインモードは、ID情報を暗号化して送信するのに対して、アグレッシブモードでは、暗号化されず、平文のままで送信されます。

　IKEでは、対になるVPN装置ごとに秘密鍵を設定するようになっています。アグレッシブモードでは、ID情報が暗号化されないため、IPアドレスで相手を特定する必要がありません。メインモードでは、送信元IPアドレスをIDとして使用する実装になっています。

　アグレッシブモードよりセキュリティの高いネゴシエーション方法です。IPSec を張る側装置のIPアドレスは、固定でなければなりません。ISPより不定期にIPアドレスが切り替わってしまうインターネット環境で、利用するのは困難な方法です。

セッションは、「固定IP＋固定IP」になります。

　メインモードよりもセキュリティが低いネゴシエーション方法です。IPSec を張る側装置のIPアドレスは、動的に変化しても利用可能です。ISPより不定期にIPアドレスが切り替わってしまうインターネット環境では、こちらのモードが利用されます。

セッションは、「動的IP＋固定IP」になります。

　安全でない通信経路上で秘密鍵を安全に送受信するための鍵交換方式で、「離数対数」という計算方式で得られる乱数を使用する。

　「Group1(768bit)」、「Group2(1,024bit)」、「Group5(1,536bit)」などがあり、数値の大きい方が暗号化強度が高い。ただし、暗号化強度が高いほどオーバーヘッドがかかります。

メインモード	アグレッシブモード
【フェース1】 (Initiator)　　　　　　　　　　(Responder) ①SAパラメータの交換　アルゴリズム方式、SAパラメータ－－－－－－－－－－－－－－－－－→ 　条件の一つを選択 ←－－－－－－－－－－－－－－－－－ ②Diffie-Hellmanによる鍵交換－－－－－－－－－－－－－－－－－→ ←－－－－－－－－－－－－－－－－－ ③接続先認証（VPNルータ間）－－－－－－－－－－－－－－－－－→ ←－－－－－－－－－－－－－－－－－ ISAKMP SAの生成	【フェース1】 (Initiator)　　　　　　　　　　(Responder) ①SAパラメータの交換　ほとんどの情報（SAパラメータ、ID、秘密鍵など）－－－－－－－－－－－－－－－－－→ 　全て交換 ←－－－－－－－－－－－－－－－－－　ハッシュ値の交換－－－－－－－－－－－－－－－－－→ ISAKMP SAの生成
【フェーズ2】 IPSec SAの生成	【フェーズ2】 IPSec SAの生成

Initiator：セッション開始側
Responder：セッション応答側

　フェーズ1で暗号化された経路「ISAKMP SA」が確立されているため、メッセージのやり取りは簡略化されています。やり取りする内容は、IPSec SAの暗号化方式や鍵の生成に必要な情報や鍵の有効期限などです。フェーズ2で実際に暗号化したいデータを暗号化と認証が行われます。

　安全性を高めるために、IPSecでは、トンネルの張り直しが行われます。フェーズ1、フェーズ2には有効期限が設定されおり、古いSAは、削除されるようになっています。

　有効期限は、経過時間または、送受信したパケット量（バイト数）で設定するようになっています。有効期限が過ぎると通信が切断されることになるので、切断を防ぐために古いSAが動作している間に、新しいSAを作成しておきます。ことことをリキーと言います。

　対向装置が、動的にIPアドレスを取得している場合、対向装置のIPアドレスが変更されてしまいます。IKEキープアライブ機能は、不意の切断にも再接続を試みて回線を復旧することができます。

「アグレッシブモード」の場合に必要な機能になります。

次の「VPN（トランスポートモード・トンネルモード）」では、VPNの通信モードについて解説します。