VPNの件でご質問したいことがございます。

VPNの件でご質問したいことがございます。

サイト間VPN(IPsec)で対向側へSA（トンネル）をはった状態で対向側のPCに対してTRACEOUTEと行うと、途中の経路は表示されず、対向側のPCがいきなり表示されます。
インターネットのサーバに対してTRACEOUTEを行うと途中の経路情報が表示されるのに、なぜ、VPNで対向側へSA（トンネル）をはった状態で対向側のPCに対してTRACEOUTEを行うと途中の経路は表示されないのでしょうか？
理由について詳細な仕組みをご存知の方がいらっしゃいましたらご教授くださいますようお願い致します。

No.1 ベストアンサー 回答者： ymmasayan 回答日時： 2010/08/18 22:49

どうしても知りたいというのなら別ですが。

トンネリングというのは途中の経路が見えたら変ですよね。
例えば、ＬＡＮとＬＡＮをＶＰＮで直結した時、途中(のルータ)が見えると
同一ＬＡＮではありませんよね。

キーワードは「カプセル化」だと思いますが。

この回答へのお礼

ご回答頂きありがとうございます。

確かに、VPNで対向先のネットワークに接続するということは、途中のルータが見えるとおかしいですね。
実際は、いろいろ途中の経路を通ってVPNで対向側に接続していますが、振る舞いとしては、対向先のLANに所属している他のPCと同じようになるので、途中の経路を見せないようにしているということでしょうか？

カプセル化についてですが、拠点AのパソコンAから拠点BのパソコンBにVPNで接続するとき、パソコンAからパソコンB宛ては、カプセル化されますが拠点Aのルータから拠点Bのルータのアドレスは暗号化されないという認識でよろしいでしょうか？
パソコンAからパソコンB宛ては、カプセル化されて拠点Bのルータに届いたときに、カプセルを解除するという認識でよろしいでしょうか？

万が一、拠点Aから拠点BへのVPNの途中経路で障害が発生した場合、どの迂回経路を使用しているか確認する方法はないでしょうか？

お礼日時：2010/08/20 00:11

No.3 回答者： jjon-com 回答日時： 2010/08/21 03:18

>拠点Aのルータから拠点Bのルータのアドレスは

>暗号化されないという認識でよろしいでしょうか？

はい，大丈夫です。VPNルータA → VPNルータB間を流れるIPパケットは「送信元IPアドレス＝VPNルータA，受信先IPアドレス＝VPNルータB」です。このIPパケットのペイロード(※)は暗号化されていますが，IPパケットのヘッダは暗号化されていません。

※ペイロードという英語の意味は次のURLの 名詞4 を参照。
http://eow.alc.co.jp/payload/


>パソコンAからパソコンB宛ては、カプセル化されますが

はい，大丈夫です。PC-Aから発信されたIPパケットは「送信元IPアドレス＝PC-A，受信先IPアドレス＝PC-B」です。VPNルータAはこのIPパケットを暗号化して「単なるデータとしてペイロードに組み込んで」IPパケットという封筒に入れます。


>パソコンAからパソコンB宛ては、カプセル化されて拠点Bのルータに
>届いたときに、カプセルを解除するという認識でよろしいでしょうか？

はい，大丈夫です。VPNルータBは，受信したIPパケットのペイロードを復号します。すると中から「送信元IPアドレス＝PC-A，受信先IPアドレス＝PC-B」のIPパケットが出現します。


>拠点Aから拠点BへのVPNの途中経路で障害が発生した場合、
>どの迂回経路を使用しているか確認する方法はないでしょうか？

VPNの内側（PC-A，PC-Bと同様のIPアドレスを持つ機器）にとってはそれを知る由も無いです。VPNの外側（VPNルータA，VPNルータBと同様のIPアドレスを持つ機器）から見れば通常のIPネットワークですから，tracerouteなりpathpingなりでルーティングの異常を見つけることができるでしょう。


>途中の経路を見せないようにしているということでしょうか？

上記のとおり，途中の経路を見せないというより，VPNの内側からは見えないのです。

No.2 回答者： ymmasayan 回答日時： 2010/08/20 01:00

私の知る限り

ＰＣ－Ａ　→　ＶＰＮルータＡ　→　(ＶＰＮ対応ルータＡ)　→→→→　
　　　　　　　　　　　(ＶＰＮ対応ルータＢ)　→　ＶＰＮルータＢ　→　ＰＣ－Ｂ

でＶＰＮルータがカプセル化とその逆をやっています。
従ってＶＰＮルータはカプセルの経路(迂回路も)を知っていますが、
ＰＣからそれを知ることは出来ないでしょう。　

この回答へのお礼

ご回答いただきありがとうございます。

ということは、VPNルータ側の機能として経路を表示させる機能を搭載していれば、確認できることはできるということになりますでしょうか？

迂回経路しているかの確認方法として、本来の経路で途中の機器を停止させておき、VPNがはれていれば、
どういう経路を通ったかわからないが本来の経以外路が使用されたと判断できますでしょうか？

VPNルータ側の機能としてVPN接続時の経路を表示させる機能を搭載した製品というのは聞いたことがないのですが、そのような製品はございますでしょうか？

お礼日時：2010/08/23 10:24