OSI参照モデル深掘り解説：第5層セッション層

Index

セッション層とは何をする層か
第4層と第5層の違い
セッションとは何か
セッションの開始、維持、終了
認証とログイン状態との関係
会話の向きと同期ポイント
切断、再接続、タイムアウト
実際のシステムではどこに現れるか
セッション層の障害切り分け
まとめ

はじめに

OSI参照モデルの第5層は「セッション層」です。

第4層のトランスポート層が、TCPやUDPを使ってアプリケーション間の通信路を作る層だとすると、第5層は、その通信を「意味のある会話」として管理する層です。

たとえば、Webサイトにログインして管理画面を開く、オンライン会議に参加する、リモートデスクトップへ接続する、ファイル転送を途中から再開する。こうした場面では、単にデータが届くだけでは足りません。

通信相手とのやり取りがどの状態にあるのか、ログイン済みなのか、途中で切れたらどう扱うのか、どこまで処理が終わったのか。こうした「会話の状態」を整理する考え方が、セッション層の中心です。

この記事では、初心者の方にもイメージしやすいように、第5層を「セッション」「状態管理」「認証」「切断復旧」「トラブルシュート」の視点から深掘りします。

1. セッション層とは何をする層か

セッション層の役割を一言で表すなら、アプリケーション同士の会話を始め、維持し、終わらせるための管理役です。

第4層では、TCPのコネクションやUDPの通信を扱います。しかし、アプリケーションから見ると「TCPでつながったか」だけでは不十分です。

たとえば、ログインが必要なサービスでは、次のような状態を区別する必要があります。

まだログインしていない
ログイン処理の途中
ログイン済み
操作中
一定時間操作がなく、タイムアウトした
ログアウト済み

このような通信の文脈や状態をまとめて扱う考え方が、セッションです。

セッション層は、通信そのものを運ぶというより、「この通信はどの会話に属しているのか」「その会話は今どの段階なのか」を管理する役割を持ちます。

2. 第4層と第5層の違い

第4層と第5層は混同されやすい層です。理由は、どちらも「接続」や「通信の継続」に関わるからです。

ただし、見ている対象は違います。

観点	第4層トランスポート層	第5層セッション層
主な目的	データをアプリケーション間に届ける	アプリケーション同士の会話状態を管理する
主な関心	TCP、UDP、ポート番号、再送、順序制御	セッション開始、維持、終了、再開、同期
見る単位	コネクション、セグメント、データグラム	ログイン状態、会話、処理単位
障害例	ポートに接続できない、再送が多い	ログインが切れる、状態が失われる、再接続できない
たとえ	電話回線をつなぐ	会話の内容と進行を管理する

第4層は「通信路が使えるか」を見ます。第5層は「その通信路の上で、どの会話が続いているか」を見ます。

電話で例えると、第4層は相手に電話がつながるところまでです。第5層は「誰との会話か」「どこまで話したか」「保留や再開をどう扱うか」に近い考え方です。

3. セッションとは何か

セッションとは、アプリケーション同士の一連のやり取りをひとまとまりとして扱う考え方です。

Webサイトのログインを例にすると、ユーザーがIDとパスワードを入力し、認証に成功すると、サーバーは「この利用者はログイン済みである」という状態を一定時間保持します。

その後、ユーザーが別のページを開いても、毎回IDとパスワードを入力し直す必要はありません。これは、前のやり取りから続く同じセッションとして扱われているためです。

例	セッションで管理したいこと
Webログイン	誰がログインしているか、いつ失効するか
オンライン会議	参加者が同じ会議に参加し続けているか
リモートデスクトップ	操作画面と認証状態が維持されているか
ファイル転送	どこまで転送できたか、再開できるか
データベース接続	接続中のトランザクションや状態が有効か

セッションは、必ずしもOSI第5層だけで実装されるものではありません。現代の多くのシステムでは、アプリケーション層やフレームワーク、ミドルウェアの機能として実装されます。

それでも、セッション層の考え方を知っておくと、「通信はできているのに、状態だけがおかしい」という問題を理解しやすくなります。

4. セッションの開始、維持、終了

セッションには、基本的に開始、維持、終了という流れがあります。

段階	内容	代表例
開始	相手との会話を始める	ログイン、接続開始、会議参加
維持	同じ会話として状態を保つ	Cookie、セッショントークン、Keep-Alive
終了	会話を閉じる	ログアウト、切断、タイムアウト

Webアプリケーションでは、ログイン成功後にセッションIDやトークンが発行されることがあります。ブラウザはそれをCookieなどで保持し、次のリクエストでも同じ利用者として扱ってもらいます。

このとき重要なのは、TCPコネクションとアプリケーション上のセッションが必ずしも同じ寿命ではないことです。

TCPコネクションが一度切れても、Cookieやトークンが有効なら、Webアプリケーション上のログインセッションは続いていることがあります。逆に、TCP通信は正常でも、セッション期限が切れていればログイン画面に戻されます。

つまり、第4層の接続状態と、第5層的なセッション状態は分けて考える必要があります。

5. 認証とログイン状態との関係

セッション層を理解するときに、認証との関係はとても重要です。

認証は「あなたは誰か」を確認する処理です。一方、セッション管理は「認証済みの状態を、その後のやり取りでどう維持するか」を扱います。

用語	役割
認証	利用者やシステムの身元を確認する
認可	何をしてよいかを判断する
セッション	一連のやり取りの状態を維持する
セッションID	セッションを識別するための値
トークン	認証済み状態や権限情報を表すために使われる値

ログイン画面でIDとパスワードを入力するのは認証です。ログイン後に画面を移動してもログイン状態が続くのは、セッションやトークンによって状態が維持されているためです。

ここで注意したいのは、セッションIDやトークンは秘密情報に近いという点です。第三者に盗まれると、本人になりすまして操作される危険があります。

そのため、実際のシステムでは、HTTPSの利用、CookieのSecure属性やHttpOnly属性、適切な有効期限、ログアウト時の無効化などが重要になります。

6. 会話の向きと同期ポイント

セッション層では、通信の会話をどのように進めるかも重要です。

古典的なOSIの説明では、セッション層の機能として、ダイアログ制御や同期が挙げられます。

ダイアログ制御とは、どちらがいつ話すのか、双方向で同時に話すのか、片方向ずつ話すのかといった会話の進め方を管理する考え方です。

同期とは、長い処理の途中に目印を置き、途中で失敗しても最初からやり直さずに再開しやすくする考え方です。

機能	イメージ	実際の例
ダイアログ制御	会話の順番を整える	要求と応答、片方向送信、双方向通信
同期ポイント	途中再開の目印を置く	ファイル転送の再開、処理チェックポイント
セッション再開	前の状態を引き継ぐ	ログイン状態の維持、再接続

現代のWebやクラウドシステムでは、こうした機能はアプリケーション層のプロトコルやライブラリに吸収されていることが多いです。

それでも、「長い処理をどこから再開できるか」「通信が途切れたときに同じ会話として復旧できるか」という視点は、セッション層の考え方そのものです。

7. 切断、再接続、タイムアウト

セッション管理でよく問題になるのが、切断、再接続、タイムアウトです。

たとえば、ユーザーが管理画面を開いたまま長時間放置すると、再操作時にログイン画面へ戻されることがあります。これはセキュリティのために、一定時間操作がないセッションを失効させているためです。

一方、オンライン会議やチャットでは、短いネットワーク断が起きても、すぐに同じ部屋や同じ会話へ戻れることがあります。これは、再接続時に以前のセッション情報を使って復旧しているためです。

状況	起きること	見るポイント
アイドルタイムアウト	操作がない状態が続き、セッションが失効する	有効期限、最終操作時刻
ネットワーク瞬断	一時的に通信が途切れる	再接続処理、再試行、状態復元
ログアウト	利用者が明示的にセッションを終了する	サーバー側の無効化
多重ログイン制限	別端末のログインで古いセッションが無効になる	セッション数制限、端末管理

ここで大切なのは、「切断」と「ログアウト」は同じではないということです。

ネットワークが切れても、サーバー側のセッションがすぐ消えるとは限りません。逆に、通信はつながっていても、セッションが失効していれば操作は続けられません。

8. 実際のシステムではどこに現れるか

OSI参照モデルの第5層は、現代のTCP/IPモデルでは独立した層として見えにくいことがあります。

実際には、セッション層の考え方はさまざまな場所に分散して現れます。

場所	セッション層的な役割
Webアプリケーション	ログイン状態、Cookie、セッションID
API	アクセストークン、リフレッシュトークン
TLS	暗号化された接続の再開、ハンドシェイク状態
リモートデスクトップ	操作セッション、再接続
データベース	接続セッション、トランザクション状態
ロードバランサ	セッション維持、スティッキーセッション

たとえば、ロードバランサ配下に複数のWebサーバーがある場合、ユーザーのリクエストが毎回別のサーバーへ振り分けられると、ログイン状態が共有されていない環境ではセッションが切れたように見えることがあります。

このような場合、スティッキーセッションを使って同じユーザーを同じサーバーへ振り分けたり、セッション情報を共有ストレージに置いたりします。

また、APIではCookieではなくアクセストークンを使うことがあります。形式は違っても、「認証済みの状態を次の通信へ引き継ぐ」という意味では、セッション管理に近い考え方です。

9. セッション層の障害切り分け

セッション層の問題は、第3層や第4層の問題と見分けることが大切です。

おすすめの切り分けは次の通りです。

まずIP到達性を確認する
対象ポートへ接続できるか確認する
ログインや認証処理が成功しているか確認する
Cookieやトークンが発行されているか確認する
次のリクエストで同じCookieやトークンが送られているか確認する
セッションの有効期限やタイムアウト設定を確認する
ロードバランサや複数サーバー構成で状態が共有されているか確認する
サーバーログでセッション作成、更新、失効の記録を見る

よくある症状には、次のようなものがあります。

症状	考えられる原因
ログインしてもすぐログイン画面に戻る	Cookieが保存されていない、ドメイン設定が違う、セッション保存先に問題がある
しばらく操作すると勝手にログアウトする	アイドルタイムアウト、有効期限切れ
画面更新のたびに状態が変わる	ロードバランサ配下でセッション共有ができていない
再接続後に作業内容が消える	同期ポイントや状態保存が不足している
一部ユーザーだけ失敗する	ブラウザ設定、Cookie拒否、端末時刻ずれ、権限差分

この層のトラブルでは、ネットワーク疎通だけを見ると「問題なし」に見えることがあります。

ping が通り、443/tcp に接続でき、Webページも開ける。それでも、ログイン状態が維持できないなら、問題は第5層的なセッション管理やアプリケーション側の状態管理にある可能性があります。

10. まとめ

セッション層は、アプリケーション同士の一連のやり取りを、意味のある会話として管理するための層です。

第5層を理解すると、「通信できるか」だけではなく、「その通信が同じ会話として続いているか」「ログイン状態や処理状態が正しく維持されているか」を分けて考えられるようになります。

最後に、今回のポイントを整理します。

第5層は、アプリケーション同士の会話の開始、維持、終了を扱う
第4層は通信路、第5層は通信上の状態や文脈を見る
セッションは、一連のやり取りをひとまとまりとして扱う考え方
認証は本人確認、セッション管理は認証済み状態の維持に関わる
TCPコネクションとWebアプリケーションのセッションは同じものではない
タイムアウト、再接続、ログアウトはセッション管理の重要な論点
現代のシステムでは、セッション層の機能はアプリケーション、API、TLS、ロードバランサなどに分散して現れる

第5層がわかると、ネットワークとアプリケーションの間にある「状態」の問題が見えやすくなります。

第4層が「通信路を作る技術」だとすれば、第5層は「その通信路の上で会話を続けるための技術」です。ログインが維持できない、再接続できない、途中から処理を再開できないといった問題を考えるときに、セッション層の視点はとても役に立ちます。