VPN / IPsec / L2TP
IPsecとL2TPとは？VPNとトンネリングの基礎を、在宅勤務の例で理解する
自宅やカフェから会社のファイルサーバに接続したい。そんなときに出てくるのが VPN、IPsec、L2TP という言葉です。ここでは「どの技術が何を担当しているのか」を、ホテルのWi‑Fiから会社へ入る場面で、できるだけ具体的に整理します。
最初に結論
L2TP は「通り道（トンネル）を作る」技術、IPsec は「その通り道を暗号化し、改ざんを検知し、相手を確認する」技術です。
実務ではこの2つを組み合わせた L2TP/IPsec が、リモートアクセスVPNの代表例として長く使われてきました。
1. まず VPN とは何か
VPN は Virtual Private Network の略で、インターネットのような共有のネットワークの上に、まるで専用線のような安全な通信路を作る考え方です。
たとえばホテルの無料Wi‑Fiから会社の勤怠システムへ接続する場面を考えてみます。Wi‑Fi自体やインターネット回線は他人と共有していますが、会社との間に VPN を張ることで、通信を保護しながら社内ネットワークに入れます。
その1：盗み見を防ぐ
社員番号やパスワード、業務データが途中で読まれにくくなる。
その2：改ざんを防ぐ
通信の途中で内容を書き換えられていないかを検知できる。
その3：相手を確かめる
本当に会社のVPN装置につないでいるかを確認できる。
2. トンネリングとは何か
VPN を理解するときに大切なのが トンネリング です。これは、ある通信の中に別の通信を入れて運ぶことです。封筒の中に、さらに別の封筒を入れて送るイメージに近いです。
つまり、社内向けの通信をそのままインターネットに流すのではなく、いったんトンネルに入れて運ぶわけです。この「入れ物」を作る役割が L2TP のイメージです。
3. L2TP は何をする技術か
L2TP は Layer 2 Tunneling Protocol の略で、PPP などの通信をトンネルに入れて運ぶためのプロトコルです。要するに、「離れた場所にいる利用者を、会社のネットワークにつないだように見せる」ための通り道を作ります。
L2TP が向いている場面
在宅勤務の社員が社内LANへ入りたい、支店から本社側のネットワークへつなぎたい、といった場面です。OS標準機能で扱いやすいこともあり、Windows やスマートフォンの VPN 設定で L2TP/IPsec を見かけることがあります。
ただし、L2TP だけでは不十分
大事なのは、L2TP 自体は暗号化の主役ではないという点です。通り道は作れても、そのままでは「中身を強く守る」役割が弱いため、通常は IPsec と組み合わせて使います。
4. IPsec は何をする技術か
IPsec は IP Security の略で、IP パケットそのものを保護する仕組みです。主に次の3つを担当します。
| 役割 | 内容 | 身近な意味 |
|---|---|---|
| 暗号化 | 通信内容を読まれにくくする | ホテルWi‑Fi上で業務データを盗み見されにくくする |
| 完全性保護 | 改ざんされていないことを確認する | 途中でデータが書き換えられていないか確かめる |
| 認証 | 相手が本物か確認する | 本当に会社のVPN装置か、自分が正当な利用者かを確認する |
IPsec の実際の通信では、ESP（Encapsulating Security Payload）がよく使われます。ESP は、暗号化や改ざん検知を担当する中心的な仕組みです。
もう1つ AH（Authentication Header）という仕組みもありますが、現在の実務では ESP が中心です。NAT 環境との相性や、暗号化も一緒に行いたい事情から、まずは「IPsec といえば ESP が主役」と覚えると理解しやすいです。
5. L2TP/IPsec はどう組み合わさるのか
L2TP/IPsec では、ざっくり言えば L2TP がトンネルを作り、その外側を IPsec が守る 形になります。
このため、L2TP/IPsec を使うと「社内へ入るためのトンネル」と「そのトンネルを守る暗号化」を一緒に実現できます。
6. IPsec を張る前の準備：IKE とは
IPsec は、いきなり暗号化を始めるわけではありません。まず「どの暗号方式を使うか」「お互いをどう認証するか」「共通鍵をどう作るか」を取り決める必要があります。この交渉役が IKE（Internet Key Exchange）です。
身近に言えば、金庫の中身をやり取りする前に、「どの金庫を使うか」「合鍵をどう用意するか」「本当に相手本人か」を確認している段階です。現在は IKEv2 を目にすることが多く、証明書や事前共有鍵（PSK）で認証する構成がよく使われます。
7. リモートアクセス VPN と拠点間 VPN
IPsec や L2TP は、利用場面で2つに分けて考えると整理しやすいです。
リモートアクセス VPN
社員1人ひとりのPCやスマートフォンから、会社へ入る方式。在宅勤務、出張先、ホテルWi‑Fiなどで使う。
拠点間 VPN
本社ルータと支店ルータの間を常時つなぐ方式。各拠点の利用者は VPN を意識しなくても相互接続できる。
同じ IPsec でも、個人の端末がつなぐのか、ルータ同士がつなぐのかで設計や運用が変わります。
8. 他の VPN 関連技術との違い
| 方式 | 主な特徴 | イメージ |
|---|---|---|
| L2TP/IPsec | L2TPでトンネル、IPsecで保護 | OS標準機能で使えることが多い |
| IPsec VPN | IPレベルで通信を保護 | 拠点間VPNでもよく使う |
| SSL VPN / TLS系VPN | ブラウザや専用クライアントで利用しやすい | Webアプリへのリモートアクセスと相性がよい |
| PPTP | 古いVPN方式 | 現在は安全性の観点から避ける |
つまり、「安全な遠隔接続」と聞いてすぐに SSH を思い浮かべることはあっても、ネットワーク全体をつなぐ話では VPN が主役になります。SSH はサーバへログインする技術、IPsec や L2TP はネットワークをまたいで安全な通り道を作る技術、と分けて考えると整理しやすいです。
9. 操作ラボ：フリーWi‑Fiから会社へつなぐ流れを見てみる
どの場面で L2TP が働き、どこで IPsec が暗号化しているのかを、簡易シミュレーションで確認してみましょう。L2TP だけ、IPsec だけ、L2TP/IPsec の違いも比較できます。
VPNの通り道と保護の役割を比べる
場面を選び、どの方式で会社へ接続するかを切り替えてみてください。L2TP がどこで働き、IPsec が何を守るのかを視覚的に確認できます。
1. 場面を選ぶ
ホテルの無料Wi‑Fiから会社へ接続
- ネットワーク：不特定多数が使う共有Wi‑Fi
- 目的：勤怠・ファイルサーバ利用
- 注意点：盗み見や偽アクセスポイントへの注意が必要
2. 方式を選ぶ
3. 判定
L2TPがトンネルを作り、その外側をIPsecが保護します。リモートアクセスVPNの代表的な構成です。
→ 共有Wi‑Fiから社内へ入る用途と相性がよい構成です。
4. パケットがどう包まれるか
注：このラボは学習用の概念モデルです。実際のL2TP/IPsecパケット構造、NAT-T、証明書設定、OSごとの実装差などを完全には再現していません。
10. 実務で押さえたいポイント
L2TP だけでは不十分
トンネルを作ることと、中身を安全に守ることは別です。L2TP と IPsec の役割を混同しないことが大切です。
認証方式も重要
事前共有鍵だけでなく、証明書や多要素認証を組み合わせると、より安全な運用にしやすくなります。
社外Wi‑Fiを前提に考える
カフェやホテルのネットワークは信用しすぎず、暗号化と接続先確認を前提に設計する必要があります。
VPN を過信しない
端末がマルウェア感染していれば、VPN のトンネルの内側に危険を持ち込むことがあります。端末管理やEDRも大切です。
参考：RFC 4301（IPsecアーキテクチャ）、RFC 2661（L2TP）、RFC 7296（IKEv2）。この記事内の図とラボは理解を助けるための学習用モデルであり、実際のパケット構造や装置設定を完全に再現するものではありません。