IPsec
IPsec - это стандарт, включающий в себя набор протоколов, позволяющих организовать шифрование и туннелирование данных между сетевыми устройствами. Включает в себя следующие протоколы:
- AH (Authentication header)
-
протокол, позволяющий обеспечить целостность пакетов и аутентификацию источника
- ESP (Encapsulation Security Payload)
-
занимается непосредственно шифрование данных, может обеспечивать аутентификацию источника и целостность данных. Может работать в двух режимах - транспортном и туннельном.
- IKE (Internet Key Exchange protocol)
-
используется для аутентификации узлов-участников VPN и защищенного согласование SA (Security Association)
IPsec оперирует следующими понятиями:
- SA (Security Association)
-
набор параметров защищенного соединения (например протокол, ключ шифрования), у каждого соединения есть свой SA. SA определяется для соединения в одном направлении. Каждый SA идентифицируется SPI (Security Parameter Index), указанным в каждом пакете в заголовке IPsec.
- SPD (Security Policy Database)
-
набор политик, определяющих какие данные будут шифроваться и какие SA при этом должны быть выбраны.
IPsec может функционировать в двух режимах: транспортном и туннельном
- Транспортный режим
-
оставляет IP заголовок неизменным, шифрует содержимое пакета. Используется, как правило, для защиты данных между хостами. Может использоваться между шлюзами для защиты данных в тоннеле, организованным другими средствами, например GRE или L2TP.
- Туннельный режим
-
в этом режиме исходный пакет шифруется полностью и инкапсулируется в новый пакет. Используется для организации Site-to-site VPN.