トンネルモード

読み：とんねるもーど　／　英語表記：tunnel mode

IPsecの動作モードの1つ。元のIPパケットをヘッダーも含めて丸ごと保護し、新しいIPヘッダーを付けて送る。拠点間VPNで使われる。これに対し、元のIPヘッダーを残してデータ部だけを保護するのがトランスポートモードである。

イマシルちゃんの解説

トンネルモードは、元の手紙を封筒ごと、もっと大きな封筒に入れて送るやり方なんだ。

外側の大きな封筒には、「本社のVPN装置から、支社のVPN装置へ」って書く。
中の封筒に書いてあった、本当の差出人と宛先は、外からは見えなくなるんだよ。
本社と支社をつなぐ、秘密のトンネルの完成だね！

より深い解説

定義

トンネルモードは、IPsecで保護する対象を、元のIPパケット全体（元のIPヘッダーとデータ）とし、その外側に新しいIPヘッダーを付けて送るモードである。新しいIPヘッダーの送信元と宛先は、トンネルの両端（VPN装置など）のアドレスになる。

2つのモードの比較

	トランスポートモード	トンネルモード
保護する範囲	元のIPパケットのデータ部	元のIPパケット全体
元のIPヘッダー	そのまま使う（保護されない）	新しいIPヘッダーの内側に入れる
外から見える宛先	通信する端末のIPアドレス	トンネルの端（VPN装置）のIPアドレス
主な用途	端末同士の通信（エンドツーエンド）	VPN装置同士（拠点間VPN）、リモートアクセスVPN
ヘッダーの増加	小さい	大きい（IPヘッダーがもう1つ付く）

パケットの形（ESPの場合）

トランスポートモード

| 元のIPヘッダー | ESPヘッダー | TCP/UDP＋データ（暗号化） | ESPトレーラ | 認証データ |

トンネルモード

| 新しいIPヘッダー | ESPヘッダー | 元のIPヘッダー＋TCP/UDP＋データ（暗号化） | ESPトレーラ | 認証データ |

ESPのトンネルモードでは、元のIPヘッダーを含めて暗号化されるため、拠点の内部で使っているIPアドレス（プライベートIPアドレスなど）や、どの端末同士が通信しているかを、インターネット上の第三者から隠せる。

拠点間VPNの例

本社のPC（10.1.0.5） → 本社のVPN装置 ═══ インターネット ═══ 支社のVPN装置 → 支社のサーバ（10.2.0.8）

本社のPCは、支社のサーバ宛てに、ふつうのIPパケットを送る（宛先 10.2.0.8）
本社のVPN装置は、そのパケット全体を暗号化し、新しいIPヘッダー（送信元：本社のVPN装置、宛先：支社のVPN装置）を付けて送る
支社のVPN装置は、外側のヘッダーを外して復号し、元のパケットを支社のサーバに届ける

PCやサーバは、IPsecを意識する必要がない。

MTUへの影響

トンネルモードでは、新しいIPヘッダーやESPのヘッダー、トレーラが加わるため、パケットが大きくなる。元のパケットが回線のMTUぎりぎりの大きさだと、分割（フラグメント）が必要になったり、通信できなくなったりする。そのため、VPN装置では、TCPの最大セグメント長（MSS）を小さく調整する設定がよく使われる。