IPSec VPN: Ce este și cum funcționează

Ce este IPSec?

Suita IPSec de protocoale VPN include Antetul de Autentificare (AH), Încapsularea Payload-ului de Securitate (ESP), Asociația de Securitate a Internetului și Protocolul de Management al Cheilor (ISAKMP) și Compresia Payload-ului IP (IPComp).

• Antetul de Autentificare (AH): AH oferă autentificarea originii datelor în pachetele IP (datagrame), garantează integritatea fără conexiune și oferă protecție împotriva atacurilor de replay (datorită tehnicii de fereastră alunecoasă). AH oferă, de asemenea, autentificări semnificative atât pentru antetele IP, cât și pentru protocoalele de nivel superior.
• Încapsularea Payload-ului de Securitate (ESP): ESP este responsabilă pentru oferirea autentificării, integrității și confidențialității datelor. ESP oferă, de asemenea, confidențialitatea payload-ului și autentificarea mesajelor în cadrul suitei de protocoale IPSec.
  În modul tunel, acesta încapsulează întregul pachet IP, în timp ce doar payload-ul este protejat în modul de transport.
• Asociația de Securitate a Internetului și Protocolul de Management al Cheilor (ISAKMP): ISAKMP se ocupă cu Asociațiile de Securitate (SAs) – un set de chei și algoritmi pre-agreati utilizați de părți atunci când se stabilește un tunel VPN. Acestea includ Negocierea Kerberizată a Cheilor pe Internet (KINK) și Schimbul de Chei pe Internet (IKE și IKEv2).
• Compresia Payload-ului IP (IPComp): IPComp este un protocol de compresie de nivel scăzut care reduce dimensiunea pachetelor IP, îmbunătățind astfel nivelurile de comunicare între două părți. Acest lucru este util atunci când comunicarea este excesiv de lentă, de exemplu, link-uri aglomerate.
  IPComp nu oferă securitate și trebuie să fie utilizat cu AH sau ESP peste tunelurile VPN.

Modurile de Funcționare ale VPN-ului IPSec

Să analizăm cum se compară cele două moduri de funcționare ale VPN-ului IPSec:

Modul Tunel IPSec

Criptarea VPN în modul tunel încapsulează fiecare pachet trimis cu noi pachete IPSec folosind ESP. Modul tunel utilizează și AH pentru a autentifica partea de server.

Prin urmare, IPSec folosește modul tunel pe gateway-uri securizate, cum ar fi un firewall care leagă cele două părți care comunică.

Modul de Transport

Modul de transport criptează și autentifică pachetele IP trimise între două părți care comunică.

Astfel, modul de transport este adesea rezervat pentru comunicările de la capăt la capăt între părți, având în vedere că nu modifică antetul IP al pachetelor trimise.

Algoritmi Criptografici pentru IPSec

IPSec se bazează pe algoritmi siguri care se conformează cu confidențialitatea, integritatea și autenticitatea.

Aceștia includ:

• Algoritmi de autentificare cum ar fi RSA, PSK și criptografia cu Curba Eliptică.
• Algoritmi de criptare simetrică, cum ar fi AES-CBC și GCM, HMAC-SHA, TripleDES și ChaCha20-Poly1305.
• Algoritmi de schimb de chei, cum ar fi Curba Eliptică Diffie-Hellman și schimbul de chei Diffie-Hellman.

Cum Funcționează IPSec?

Mai jos este o descriere generală pas cu pas a modului în care funcționează IPSec.

De obicei, procesul începe cu gazdele (părțile care comunică) stabilind că pachetele primite sau trimise trebuie să utilizeze IPSec.

Dacă pachetele declanșează politicile IPSec, atunci procesul continuă după cum urmează:

• Negociere și Schimb de chei: Acest pas include autentificarea gazdei și politicile care vor fi utilizate. În prima fază, gazdele creează un canal securizat. Negocierile se fac fie folosind modul principal (pentru o securitate mai mare) sau modul agresiv (pentru stabilirea mai rapidă a circuitului IP).
  Toate gazdele sunt de acord cu un IKE pentru configurarea circuitului IP în modul principal. În modul agresiv, gazda inițiatoare prezintă IKE pentru configurarea circuitului IP, iar cealaltă gazdă este de acord.
  În a doua fază, gazdele negociază și se pun de acord asupra tipului de algoritmi criptografici care vor fi utilizați în timpul sesiunii.
• Transmisie: Aceasta implică schimbul de date între gazde. De obicei, IPSec descompune datele în pachete înainte de a fi trimise peste rețea. Pachetele includ mai multe segmente, cum ar fi încărcătura și antetele. IPSec adaugă și remorci și alte segmente care conțin detalii de autentificare și criptare.
• Sfârșitul transmisiei: Acesta este ultimul pas și implică încheierea canalului securizat IPSec. Încheierea are loc când schimbul de date este complet sau sesiunea a expirat. Cheile criptografice sunt de asemenea eliminate.

IPsec VPN vs. SSL VPN

Pe lângă IPSec VPN, mulți dintre cei mai buni furnizori de VPN pot folosi, de asemenea, SSL VPN pentru a-ți securiza conexiunea pe internet. În funcție de nivelul de securitate necesar, furnizorii de VPN pot implementa ambele sau pot alege unul în detrimentul celuilalt.

VPN-urile SSL se bazează pe protocolul Transport Layer Security (TLS). Spre deosebire de IPSec, care funcționează la nivelul IP, TLS funcționează la nivelul stratului de transport. Astfel, securitatea și aplicațiile VPN IPSec și SSL VPN variază.

Cu IPSec VPN, traficul tău este securizat pe măsură ce se deplasează către și de la rețele și gazde private; în esență, poți proteja întreaga ta rețea. Astfel, IPSec VPN este fiabil pentru utilizări și aplicații bazate pe IP.

SSL VPN protejează traficul între utilizatori la distanță. În majoritatea cazurilor, VPN-urile SSL funcționează cu gazde care suportă aplicații bazate pe browser.