

VPNを実現するトンネリングについて  
「トンネリングとはネットワークの中に別の通信路を設ける技術であり、その両端は直接接続しているかのように通信が行えます」(『ネットワークがよくわかる教科書』から抜粋)  
という説明をされることが多いと思います。  
この「直接接続しているかのように通信が行え」るというのは具体的にどういうことなのでしょうか？

wikipediaには

[https://ja.wikipedia.org/wiki/トンネリング](https://ja.wikipedia.org/wiki/%E3%83%88%E3%83%B3%E3%83%8D%E3%83%AA%E3%83%B3%E3%82%B0)

>
> トンネリングにより、複数の離れた場所にある[LAN](https://ja.wikipedia.org/wiki/Local_Area_Network)などの[私的なネットワーク](https://ja.wikipedia.org/wiki/%E3%83%97%E3%83%A9%E3%82%A4%E3%83%99%E3%83%BC%E3%83%88%E3%83%8D%E3%83%83%E3%83%88%E3%83%AF%E3%83%BC%E3%82%AF)  
>  を仮想的に直結し、あたかも同一のネットワークであるかのように通信を行うことができる

と書いてあります。

トンネリングによって、「同一のネットワークであるかのように通信を行うことができる」ということはルーターを使ったルーティングがいらないという意味なのでしょうか？まず公衆ネットワークを使用するのにルーティングがいらないなんてそんなこと可能なのでしょうか？ルーティングが不要ならなぜIPヘッダーでカプセル化する必要があるのかもわからないです。

また、こちらのサイトには  
<https://atmarkit.itmedia.co.jp/ait/articles/0303/21/news004_2.html>

>
> PPPのフレームをIPでカプセル化することで、IPネットワークであるインターネットを介したPPP接続が可能になる。これにより、PPPの持つ、ユーザー認証機能や、使用するプロトコル／アドレス／圧縮やエラー訂正の方法などをネゴシエートする機能を利用する2点間接続が実現される。

と書いてあります。  
直接つながっているかのような通信とはこのようにユーザー認証やエラー訂正のネゴシエーションができるということを言いたいのでしょうか？

それともデータの転送経路を暗号化することで、データを盗聴されることが(ほぼ？)なくなるので、あたかも公衆ネットワークを介さない同一ネットワーク内での通信かのようにセキュアな通信ができるみたいなニュアンスでしょうか？

chatGPTに聞いたのですが、ピンとくる説明がありませんでした、、  
繰り返しになりますが、「直接つながっているかのような通信」とは具体的にどういうことなのか教えていただきたいです。


CC BY-SA 4.0
2023-02-27T06:35:35.813
94022
2023-03-04T02:56:08.817
46744
question
network vpn
VPNを実現するトンネリング「直接接続しているかのように通信が行えます」とは？


質問者さんが仰ったような認証機能や暗号化などによるセキュリティによって、プライベートネットワーク間での通信と同等のセキュリティがVPNによって実現できるという意味だと思います。

[WikipediaのVPNのページ](https://ja.m.wikipedia.org/wiki/Virtual_Private_Network)を見ると、

>
> まるで各プライベートネットワーク間が専用線で接続されているかのような、機能的、セキュリティ的、管理上のポリシーの恩恵などが、管理者や利用者に対し実現される。

と書かれており、さらに読み進めると

>
> VPNは、インターネットや多人数が利用する閉域網を介して、暗号化やトラフィック制御技術により、プライベートネットワーク間が、あたかも専用線接続されているかのような[注
> 1]状況を実現するものである

と書かれており、注1には

> 通信するにあたって、セキュリティ上の懸念がない（あるいは少ない）

と書かれていることから、直接接続しているかのように、というのは、直接接続した状態での通信のようにセキュアである、ということだと解釈できます。


CC BY-SA 4.0
2023-02-27T07:36:25.643
94024
2023-02-27T07:36:25.643
57292
94022
answer


ハブを一つ用意します。そこにPCを繋ぎます。別のポートにはサーバーを繋ぎます。適切にIPアドレスが設定されていれば、このPCはサーバーに通信できるようになります。

[code]

    PC ---- HUB ---- Server
    
[/code]

このような場合、「PCはハブに直接接続している」と言えます。これを、物理的にも論理的にもとても離れていても「PCはハブに直接接続している」かのようにみせるのがVPNのトンネリングです。

VPNといっても色んな構成があります。ですので、一つの絵で全てのパターンを示すことはできません。下は、一つの構成例です。

[code]

     [ I N T E R N E T ]
       |            |
    Broadband     Router
     router         |
       |         Firewall
       |            |
       PC ≈≈≈≈≈ VPN Machine ---- HUB ---- Server
    
[/code]

自宅PCから会社のVPN装置にVPNで接続して社内のサーバーに接続するというパターンを考えてみましょう。上の図の`---`は物理的な接続です。PCとVPN装置は物理的には直接繋がっておらず、インターネットを経由して多くの機器を経て接続されています。ここにVPNの機能を用いると、あたかも、PCとVPN装置が直接繋がっているようになります。`≈≈≈`のことです。これが、トンネリングです。

VPNの種類や設定によって異なりますが、VPN装置自体が内部にHUBやルーターのような物を持っていて、それらにPCが接続していると言う場合もあれば、あたかもHUBに直接PCが繋がっているようになっている場合もあります。重要なのはPCから見て、直接HUBに繋がっているように見えると言うことです。よくあるVPNであれば、VPNに接続したときは、そのネットワーク用のNICが認識され、そこにその先に繋ぐためのIPアドレスが設定されます。そして、OSからは、HUBに直接繋いだときと同じ通信ができると言うことです。

また、上の図はPCがVPN装置へ接続するというものですが、他にもVPN装置同士がトンネリングを行って、ネットワークを橋渡しをすると言うのもあります。例えば、通信事業者が提供するVPNサービスによっては、通信事業者が用意する終端装置自体が既にVPNで繋がっているというのもあります。

[code]

     [ I N T E R N E T ]
       |            |
    ONU/VPN ≈≈≈≈ ONU/VPN
       |            |
      L3SW     　  L3SW
       |            |
    PCs,SVs      PCs,SVs
    
[/code]

ONU/VPNは通信事業者が用意する終端装置で、複数の機器から構成されている場合もあります。インターネットを経由している通信であるにも関わらず、内部からはダークファイバーなどの専用線を用いて接続した場合と同じとみなすことができます。

* * *

上の各図は例であり、例外はたくさんありますので、ご注意ください。なお、トンネリングは必ずしも暗号化されているとも限りませんし、安全性も接続によって様々です。トンネルはあるが、そのトンネルが安全か、どのような仕組みかというのは、個々のVPNによって異なるため、具体的な構成が無いと、詳しく語れないかと思います。


CC BY-SA 4.0
2023-02-27T14:41:07.407
94028
2023-02-28T00:30:59.713
2023-02-28T00:30:59.713
19110
7347
94022
answer


> この「直接接続しているかのように通信が行え」るというのは具体的にどういうことなのでしょうか？

例えば以下のようなネットワークを構築した場合

  * 左側がローカルホスト 及びローカルネットワーク
  * 右側が別のローカルネットワーク

192.168.0.3 のノードが 192.168.3 のネットワークだとして(つまりルーター),  
それが VPNならば, リモートにも同じノード (192.168.3.1 とそのネットワーク) が存在し,  
(192.168.3 のネットワークから見ても, gateway 192.168.3.1 を介して 192.168.0.100 にアクセス可能)  
普通の 192.168.0.2 (192.168.2.1) のネットワークと同じ様にアクセスできる

という意味かと思います

[code]

    192.168.0.100 ---+--- 192.168.0.1 default gateway
                     |
                     +--- 192.168.0.2 (192.168.2.1) network
                     |
                     +--- 192.168.0.3 (192.168.3.1) (VPN) network
    
[/code]

* * *

>
> トンネリングによって、「同一のネットワークであるかのように通信を行うことができる」ということはルーターを使ったルーティングがいらないという意味なのでしょうか？まず公衆ネットワークを使用するのにルーティングがいらないなんてそんなこと可能なのでしょうか？ルーティングが不要ならなぜIPヘッダーでカプセル化する必要があるのかもわからないです。

ルーター介さずに VPN構築も (そういった製品は知らないが)可能なはず  
以下の場合, 192.168.0 のネットワークに対し, VPN機器側からいくつかブロードキャストすればよいだけ(もしくは要求に対して応答するだけ

  * 私は node1 である
  * 私は node2 である
  * 私は node3 である

ただしそのためには, リモート側のノードの一覧を VPN機器が知らないと対処できないので  
互いのネットワークに存在するノードを(上記のブロードキャストなどを)検知したら, もう片方の VPN側に通知する仕組みが必要になるでしょう  
(そういう意味では, 普通に 別のネットワークとして構築するほうが楽な気がします (トラブル対処とか))

[code]

    192.168.0.100 --+-- VPN ======= VPN --+-- node1
    192.168.0.200 --+                     +-- node2
                                          +-- node3
    
[/code]

ほかの構成として, ローカルホストに VPNソフトが組み込まれている場合も ルーター無しで通信可能になるでしょう

* * *

> 直接つながっているかのような通信とはこのようにユーザー認証やエラー訂正のネゴシエーションができるということを言いたいのでしょうか？

違うと思います

>
> それともデータの転送経路を暗号化することで、データを盗聴されることが(ほぼ？)なくなるので、あたかも公衆ネットワークを介さない同一ネットワーク内での通信かのようにセキュアな通信ができるみたいなニュアンスでしょうか？

VPNはたいてい暗号化を行うでしょう (専用回線の置き換えとして使用するならば)  
なのでトンネリングの手前までは http や ftp でも大丈夫かもしれません  
ただ「データを盗聴されることが(ほぼ？)なくなる」というのは少し違うかも  
暗号化すると, **すぐには** 復号できないだけです


CC BY-SA 4.0
2023-02-28T08:58:31.873
94037
2023-02-28T09:17:36.807
2023-02-28T09:17:36.807
43025
43025
94022
answer


> > 「トンネリングとはネットワークの中に別の通信路を設ける技術であり、その両端は直接接続している **かのように** 通信が行えます」  
>  **あたかも** 同一のネットワークで **あるかのように** 通信を行うことができる
>
> ルーティングがいらないという意味なのでしょうか  
>  ユーザー認証やエラー訂正のネゴシエーションができるということを言いたいのでしょうか  
>  あたかも公衆ネットワークを介さない同一ネットワーク内での通信かのようにセキュアな通信ができるみたいなニュアンスでしょうか

ここで何を間違えたかというと、こういう比喩が含まれた表現について字面だけから具体的な解釈を読み取ろうとしてしまったことです。

そもそも、トンネリングやVPNというのは概念というかいろんな技術や手法の総称というかなので、厳密な定義があるものではありません。状況と文脈によってそれぞれの用語が何を指しているのかはぶれてきます。

例えば遠隔地をL2で接続したい(HUBで接続しているのと同じように通信したい)というニーズにたいしてルーティングが伴うVPN実装では「直接」とは言いがたいです。

一方、SSHトンネルとか、リバースプロキシを介した内部のWebアプリケーションへの接続など高いレイヤで実装されているもの(一般的には直接とは言いがたい)についても、ニーズによっては「直接接続しているかのように」と解釈されるかもしれません。

セキュアかどうかも実装次第です。トンネリングといっても、単純な転送しかしないもの、認証が伴うもの、暗号化もするもの、様々です。セキュアでないものは通常VPNとは言われませんが、もともとがセキュアなネットワークで中間経路の隠蔽や他の通信との分離が目的なのであればVPNという場合もあります。

通信事業者が提供してる通信サービスが実際にはIPsec
VPNという場合もあります。閉域網と同じように通信ができればいい、という加入者であれば加入者の立場では「VPNは使ってない」ことになりますし、一方でセキュリティ管理上とかでどういう実装になってるかを把握しないといけないなら「VPNが使われている」になります。

いくつか回答がついていますが、いずれふわっとした概念のうちの一部を取り出してそれに対して独自の(よく言っても微妙、率直に言えば誤った)解説をしているだけで、「トンネリングとは何か」「VPNとはなにか」に直接的な回答をしているわけではありません。

じゃあその概念でしかないものをネットワーク屋がどうやって扱っているかと言えば、概念は概念だと理解して終わりです。実際にはまず実現したい目的や要求事項があって、それを実現できる製品と設計を考えます。「直接接続しているかのように」通信したい、といわれたとして、実際の目的がL2での接続ならそれを実現しなければなりません。ニーズがL3接続で満たせるのに勝手に「直接とはL2接続のことだ」と解釈して実装してしまうのは暴走です。


CC BY-SA 4.0
2023-03-04T02:56:08.817
94065
2023-03-04T02:56:08.817
5793
94022
answer