IPSec トンネリングモードとトランスポートモードとトランスポート + L2TP

Question 1

ほとんどの場合、IPSec トランスポートはトンネリングに変更でき、その逆も可能であるにもかかわらず、なぜ IPSec トランスポートがまだ存在するのでしょうか?

現在、ネットワークデバイスユーザーの一般層でトランスポートモード IPSec が使用されているのを目にすることはありません。普遍的に導入されるほどの勢いがなかったと思います。ソフトウェアベンダーやネットワークベンダーは、リモートアクセスを必要とする企業顧客にトンネルモードの実装 (および拡張バックエンド) を販売する意欲がありましたが、トランスポートモードを誰にも売り込まなかったのです。機能は存在していたかもしれませんが、使いやすさはまだまだ改善の余地があります。

では、トランスポートモードは存在しますが、まだ意味があるのでしょうか? トランスポートモードは歴史的に、多数のユーザーがアクセスできませんでした。唯一の例外は、フリーソフトウェアの人たちです。

IPsec の日和見暗号化の歴史と実装状況

上記のリンクでは、IPSec をあらゆる場所で使用するための歴史的な取り組みと、その取り組みがどのようにして妨げられたかが説明されています。その理由は、インターネットインフラストラクチャ (DNS など) の安全性の欠如と、それを変更することに携わった人々の相対的な無関心に要約できます。

なぜこれらすべてのアプローチが存在し、互いに重複しているのでしょうか?

これらすべてのアプローチは、主に、ほぼ同時期に、安全なリモートアクセスのニーズの変化を個別に特定し、それに対する解決策を講じたために存在しています。質問の少し改善されたバージョンは、「なぜこれらすべてのアプローチがまだ使用されているのですか?」となるでしょう。

L2TPがなぜまだ使われているのか、つまりアカウンティングと設定について、あなたは自分自身の疑問に答えました。（PPTPなどの他のプロトコルがなぜ使われなくなったのかを調べる方が興味深いかもしれません。）多くの場合、アカウンティングと設定を気にしなくても、

他のケースでは、答えはそれほど明確ではありません。ゲートウェイ間の場合を考えてみましょう。純粋なトンネルモード IPSec を使用することも、IPSec 経由の GRE トンネルを使用することもできます (実際、トランスポートモード IPSec 経由だと思います)。どちらにしても、慣れていること以外に利点があるかどうかはわかりません。個人的には、Cisco ルーターでトンネルモード IPSec を設定したことはありません。常に暗号化された GRE を使っています。なぜでしょうか。プレーン GRE について私が知っていることはすべて、暗号化された GRE にも当てはまるからです。そのため、私にとっては馴染み深いのです。

OpenVPN や Secure Shell などのアプリケーションレベルの VPN/トンネルも忘れないでください。これらは一般に、カーネルレベルまたはアプライアンスレベルの実装よりもパフォーマンスが劣ります。しかし、これらは一般に使いやすく、プロキシやファイアウォールを簡単に通過できるという利点がありました (少なくとも、ディープコンテンツインスペクションが登場するまでは)。また、依存関係が少ない場合が多く、古い Linux サーバーで OpenVPN をコンパイルする方が、IPSec をサポートするためにカーネルを再コンパイルするよりもはるかに簡単です。

これらの方法のうちの 1 つが「唯一正しい方法」である場合の例を挙げていただけますか?

ネットワークでは (コンピューティングの多くの部分と同様に)、「使用すべき唯一の正しい方法」というものは存在しません。ほとんどの場合、実行可能な方法でしか実行できません。たとえば、すべての Android デバイスは L2TP ベースの VPN で動作します。したがって、構成やアカウンティングが不要であっても、これは実行可能です。Cisco デバイスの GRE トンネルに精通しているため、純粋なトンネルモード IPSec よりも実装が簡単です。また、アップグレードできない古い Linux サーバー (何らかの理由で) で OpenVPN または SSH ベースのトンネルを作成することもできます。

Answer