トンネルモードとトランスポートモード

質問

IPsecのトランスポートモードでは、NAPT越しの通信が行なわれている様ですが、どういう手段で別のネットワークの中の相手を認識しているのでしょうか？

回答No.5

root139 · ベストアンサー

> ESPの中のIPアドレスらしき値は何なのでしょうか？

具体的には何のことを言われているのでしょうか？
#3に書いたURLの図でしたら、トランスポートモードのESPトレーラにはIPヘッダは無いことが分かります。もちろんトンネルモードには有りますが。
別の資料やデータのことでしたら、提示していただかなくては何のことか分かりません。

NATトラバーサルの有無に関わらず、トランスポートモードではIPヘッダを変更せずにデータ部のみを暗号化します。
http://www.infraexpert.com/study/ipsec6.html

なお、トンネルモードではESPのデータ部に宛先のIPアドレスを持っていますが、これは通信相手のプライベートアドレスなどの最終的な宛先のアドレスなので変換する必要は無いです。

お礼

別のページ( http://okwave.jp/qa/q7607337.html )へと、
質問を発展させました。

補足

即座の回答に感謝します。

久しぶりの返事で畏れ入りますが、確認をさせて下さいませ。

ESPの中のIPアドレスはプライベートIPアドレスだけでなく、たとえグローバルIPアドレスが其処へ格納されていても、支障が無いのでしょうか？

auのフェムトセルを経由させる際には、
IPsecが適用されているそうですので、
気になったものですから、教えて下さい。

回答No.6

codotjtp

LAN内の或る端末機だけをWAN側のVPNのクライアントにさせ得るのか、
という点が、此処では疑問になっているのでしょうか？

お礼

http://okwave.jp/qa/q7609450.html
上記のページに続きます。

補足

VPNサーバーからWAN側の機器へプライベートIPアドレスが割り当てられた際にも、其のアドレスがカプセル内へ格納されるので、…。

回答No.4

BuffaloAndJtp

若しかして、IPヘッダの二重化の可能性が「#1様の紹介内容」から伺われ得る様な印象が、質問者の理解には残っているのでしょうか？

補足

遠回しの表現ですね。

回答No.3

root139

> カプセル化されたパケットの中へグローバルIPアドレスを加える

#1 で書いた下記のサイトにも有る通り、トランスポートモードではカプセル化される範囲にIPアドレスは有りませんし、加えるべきでも有りません。
http://www.infraexpert.com/study/ipsec15.html

> NAPTが何かの機器によって提供されているのでしょうか？

むしろ、NAPTが何かの機器によって既に提供されている環境において、IPSecのトランスポートモードでの通信を行なう場合についてのご質問だと思っていましたが、違うのでしょうか？
NAPT処理を行なう装置ではパケットがIPSecのものか否かを意識せずに単なるUDPのパケットとしてNAPTの処理を行なうだけでIPSecが使えることが、NATトラバーサルを使うメリットだと思います。

お礼

別のページ( http://okwave.jp/qa/q7639734.html )へと類似の話題を引き継がせましたから、其処でも御指導を賜れませんでしょうか？

補足

ESPの中のIPアドレスらしき値は何なのでしょうか？

回答No.2

codotjtp

カプセル化の処置が施されているのでしょう。

補足

詳しく説明して下さいませ。

回答No.1

root139

ご質問の趣旨としては、ポート番号の無い ESP やポート番号の固定されている IKE を使っている IPSec では、ポート番号の書換えでローカルアドレスを特定するはずの NAPT 環境ではどういう動作をしているのか、ということでよろしいでしょうか？

NATトラバーサルを使いESPパケットなどをUDPでカプセル化する方法を使うのが一般的なようです。
http://www.infraexpert.com/study/ipsec15.html
http://www.atmarkit.co.jp/fsecurity/special/41vpn/vpn02.html

ただし、安価なブロードバンドルータなどでは、いわゆるVPNパススルー機能としてIPSec関係のパケットを素通しする機能を提供しているだけだったりしますが。
http://e-words.jp/w/VPNE38391E382B9E382B9E383ABE383BC.html
http://itpro.nikkeibp.co.jp/article/COLUMN/20070706/276960/

補足

カプセル化されたパケットの中へグローバルIPアドレスを加える、という過程の途上でも、NAPTが何かの機器によって提供されているのでしょうか？