IPsec VPNs – теория

Fri, 20 Jul 2012 14:36:18 +0000

[][1]IPsec – это на самом деле целый фреймворк, который предоставляет следующие сервисы:

Конфиденциальность данных посредством их шифрования алгоритмами DES, 3DES и AES;
Целостность данных и их аутентификация посредством HMAC функций MD5 и SHA-1;
Защита от атак типа MitM с помощью зашифрованных порядковых номеров;
Аутентификация устройств и пользователей. Фреймворк IPsec описан в нескольких RFC. У него есть две группы стандартов:
ISAKMP/IKE/Oakley/SKEME используются для создания безопасных соединений, по которым проводится изначальное согласование параметров шифрования, сигнатур, ключей;
AH и ESP используются непосредственно в таких механизмах защиты данных, как обеспечение конфиденциальности (только ESP), целостность данных, подтверждение того, что данные пришли из валидного источника и защиту от mitm атак. IPsec VPN: Конечные устройства или пользователи проходят пять начальных шагов для установки соединения:

Должно быть что-то, что инициирует процесс установки соединения. К примеру трафик до назначения, которое описано в ACL. Естественно, соединение может быть установлено чуткими нежными руками сетевых инженеров.
IPsec в процессе ISAKMP/IKE Phase 1 установит безопасное управляющее соединение, которое будет использоваться для последующего обмена информацией, необходимой для установки защищенного канала передачи данных. Соединения первой фазы – служебные соединения. По этим каналам не передаются какие-либо пользовательские данные или данные приложений.
Через служебный канал конечные устройства согласуют параметры, необходимые для созданиях защищенных каналов передачи данных и устанавливают их.
Как только защищенный канал передачи данных создан, устройства могут начинать передачу информации. Если используются HMAC функции, источник создает fingerprint, а получатель его проверяет. Если нужно шифрование – источник, соответственно, зашифровывает информацию, получатель ее расшифровывает.
И каналы передачи данных, и управляющие каналы имеют время жизни, по истечении которого соединение будет разорвано. Если вам все еще необходимо передавать информацию, то они перестроятся автоматически. Security Assotiation (SA) – группировка компонентов безопасности (алгоритмы шифрования, HMAC функции, время жизни соединения, DH группы, AH/ESP протоколы, различные идентификаторы, такие как SPI), которые необходимы для установки надежного канала передачи данных. Процесс установки соединений для l2l:
Происходит инициация соединения;
Начало ISAKMP/IKE Phase 1 – соседи договариваются о том, как управляющее соединение будет защищено;
С использованием DH алгоритма соседи обмениваться ключами, которые необходимы для алгоритмов шифрования и работы HMAC функций;
Происходит аутентификация устройств;
Phase 1 на этом заканчивается, начинается ISAKMP/IKE Phase 2. Соседи согласовывают параметры и ключи необходимые для защиты канала передачи данных (либо через управляющее соединение, либо с использованием алгоритма DH снова);
Phase 2 заканчивается и устанавливается защищенный канал передачи данных;
По истечению времени жизни, канал передачи данных должен быть перестроен. С Remote Access VPN все несколько сложнее, так как дополнительно вам может понадобится аутентификация пользователей или необходимость применить какие-либо политики. Для Remote Access VPN это будет выглядеть так:
Происходит инициация соединения;
Начало ISAKMP/IKE Phase 1 – соседи договариваются о том как управляющее соединение будет защищено;
С использованием DH алгоритма соседи обмениваться ключами, которые необходимы для алгоритмов шифрования и работы HMAC функций;
Происходит аутентификация устройств;
Опционально: происходит аутентификация пользователя (стандарт XAUTH).
На это шаге проходит применение политик. У Cisco это называется IKE Mode Config или IKE Client Config. Процесс изменяется от производителя к производителю, но смысл остается примерно один: клиент получает внутренний IP, имя домена, DNS, WINS, политики split tunnel, политики МСЭ и другие.
Опционально: в Cisco Remote Access VPNs происходит Reverse Route Injection (смысл в том, что клиент рассказывает о своих маршрутах VPN терминатору).
Phase 1 на этом заканчивается, начинается ISAKMP/IKE Phase 2. Соседи согласовывают параметры и ключи необходимые для защиты канала передачи данных (либо через управляющее соединение, либо с использованием алгоритма DH снова);
Phase 2 заканчивается и устанавливается защищенный канал передачи данных;
По истечении времени жизни канал передачи данных должен быть перестроен. Теперь поговорим подробнее про фазы 1 и 2.

ISAKMP/IKE Phase 1 Link to heading

Как уже было сказано выше, в процессе первой фазы устанавливается управляющее соединение. Используется 500 udp порт (4500 в случае NAT-T). Вне зависимости от того, является ли VPN l2l или remote access во время первой фазы происходит следующее:

Esp on Twistedminds

IPsec VPNs – теория

ISAKMP/IKE Phase 1 Link to heading