IKEv2/IPsec

IKEv2/IPsecは、端末が回線を切り替え続ける場面で選ぶべきプロトコルです。モビリティ拡張により、確立済みのトンネルはWi-Fiからモバイル回線への移動を、一から再ネゴシエーションせずに乗り切れます。

どう組み立てられているか

IKEv2はRFC 7296で定義された鍵交換です。両端を認証し、セキュリティアソシエーションを確立します。そのうえでIPsecが実際のデータを運び、通常はAES-GCMのようなAEAD暗号を用いたESPを使います。片方だけでは役に立たないため、この二つはほぼ常にセットで説明されます。

スマートフォンに向く理由

MOBIKE拡張（RFC 4555）により、どちらの端も同じセキュリティアソシエーションを保ったままIPアドレスを変更できます。スマートフォンが自宅を離れてモバイル回線に切り替わるとき、トンネルは破棄して作り直すのではなく、終端の情報を更新します。実際にはこれが、短い引っかかりで済むか目に見える切断になるかの違いになります — キルスイッチが通信を遮断する場合はとくに重要です。

対応プラットフォーム

IKEv2/IPsecはWindows、macOS、iOS、Androidでネイティブに実装されているため、クライアントはドライバーを同梱せずにOS自身のVPNスタックを使えます。その結果、オーバーヘッドが小さくなり、システム側の常時接続VPN設定との統合も良くなる傾向があります。

制約