【伝送交換主任技術者】過去問準拠 予想演習 問081 解説｜思考ルート
IPsecを用いたVPNの構築およびセキュリティプロトコルに関する記述のうち、原則と例外・適用除外の観点から最も不適切なものはどれか。
※本問は、過去の出題傾向・頻出論点をAI分析して作成した「過去問準拠の予想演習問題」です。
予想演習 No.081
IPsecを用いたVPNの構築およびセキュリティプロトコルに関する記述のうち、原則と例外・適用除外の観点から最も不適切なものはどれか。
選択肢
IPsecのトンネルモードは、元のIPパケット全体を暗号化および認証し、新しいIPヘッダを付加してルータ間でカプセル化する方式であり、拠点間のサイト間VPNで広く採用されている。
IPsecのトランスポートモードは、IPヘッダはそのまま維持しペイロード部のみを保護する方式であり、主にエンド・ツー・エンドのホスト間通信に適用されるのが原則である。
セキュリティプロトコルのうちAHはデータの機密性（暗号化）を提供せず、認証と改ざん検知機能のみを提供する仕様となっており、通信内容の秘匿が必須である環境では適用除外となる。
AHは暗号化機能を持たず認証のみを提供するプロトコルであるが、NAT装置やファイアウォールを通過するトランスポートモードの要件下においては、例外的にデータ自体の暗号化を代行して実行する機能を持つ。
正解と解説（思考ルート）
【正解】 選択肢 4
■【設問の意図と背景】
ネットワーク層におけるセキュア通信の要であるIPsecの基本原則と、AH（Authentication Header）やESP（Encapsulating Security Payload）の機能的限界および例外条件に関する正確な理解を問う。
■【正解の根拠とメカニズム】
選択肢4の記述は誤りである。AHは一貫してデータの認証と完全性（改ざん検知）のみを提供するプロトコルであり、NAT装置の有無や通信モードにかかわらず、暗号化（機密性の保持）を行う機能は一切持たない。暗号化が必要な場合はESPを使用する必要がある。
■【各選択肢の徹底検証】
・選択肢1：トンネルモードはパケット全体をカプセル化しルータ間で安全な経路を形成するため正しい。
・選択肢2：トランスポートモードはペイロードのみを保護するためホスト間通信の原則に合致する。
・選択肢3：AHは暗号化を持たないため秘匿が必須の環境では選択肢から除外されるのが正しい。
・選択肢4：AHが暗号化を代行する機能を持つという記述は完全な誤りである。
■【本番での即断ポイント】
AHは認証のみ、ESPは暗号化＋認証という基本原則を思い出せば、AHが暗号化を代行するという記述を即座に見抜くことができる。
スマホで全100問をランダム演習・弱点管理しませんか？
「思考ルート」のWeb演習アプリなら、伝送交換主任技術者をはじめとする難関資格の過去問準拠・予想演習を、スマホやPCで100問まで完全無料でお試し演習できます。