トランスポートモードとトンネルモード

IPsec のモードは、元の IP パケットをどの範囲で保護するかを決める。

IPsec には、トランスポートモードとトンネルモードがある。

モード	保護する範囲	主な用途
トランスポートモード	元の IP ヘッダを残し、主に IP ペイロードを保護する	ホスト間通信、GRE と組み合わせた VPN
トンネルモード	元の IP パケット全体を包み、外側に新しい IP ヘッダを付ける	拠点間 VPN、リモートアクセス VPN

トランスポートモード

トランスポートモードでは、元の IP ヘッダは基本的に外側に残る。

パケット内での ESP Header、Payload Data、ESP Trailer、ICV の位置は、IPsecのパケット構造で図示している。

トランスポートモード単体では、元の IP ヘッダを包み込まない。そのため、ネットワーク同士を接続する拠点間 VPN より、ホスト間通信や別のトンネル技術と組み合わせる構成で使われる。

トンネルモードでは、元の IP パケット全体を内側に入れ、外側に新しい IP ヘッダを付ける。

外側 IP ヘッダは、IPsec ゲートウェイ同士がインターネット上で通信するために使われる。内側 IP ヘッダは、保護される元の通信を表す。

外側 IP パケットから見れば、元の IP パケット全体が内側に入れられたデータになる。ただし、通常の IP パケットにおいては、IP パケット全体がペイロードというわけではない。