ネットワークスペシャリスト試験 令和5年度 春期 午前II 問9

【正解】ウ

図では、新IPヘッダー、ESPヘッダー、オリジナルIPヘッダー、TCPヘッダー、データ、ESPトレーラ、ESP認証データの順に配置されています。ESPトンネルモードでは、元のIPパケット全体、すなわちオリジナルIPヘッダーからデータまでをESPのペイロードとしてカプセル化し、ESPトレーラとともに暗号化します。したがって、暗号化範囲はオリジナルIPヘッダーからESPトレーラまでであり、ウが正解です。

アの説明は誤りです。ESPヘッダー自体は暗号化されません。ESPヘッダーからESPトレーラまでという範囲は、認証を使用する場合に改ざん検出の計算対象となる範囲に対応します。

イの説明は誤りです。トンネルモードではTCPヘッダーより前にあるオリジナルIPヘッダーも暗号化されます。また、末尾のESP認証データは暗号化後に付加される認証値なので、暗号化範囲には含まれません。

エの説明は誤りです。新IPヘッダーは中継ルータが宛先を判断するために平文で残す必要があります。ESP認証データも暗号化されません。

【ポイント】 トンネルモードは元のIPパケット全体を保護し、新しいIPヘッダーを外側に付加する方式です。 トランスポートモードでは元のIPヘッダーを残し、その後ろの上位層データを主に保護します。ESP認証データは暗号化範囲にも認証値の計算範囲にも含めません。