IPsec چگونه کار می کند فن آوری های مورد استفاده در پروتکل IPSEC dwdm ipsec conf

(The Internet Key Exchange (IKE)) - تبادل کلید.

RFC 2410 (الگوریتم رمزگذاری NULL و استفاده از آن با IPsec) - الگوریتم رمزگذاری NULL و استفاده از آن.

RFC 2411 (نقشه راه سند امنیت IP) - توسعه بیشتر استاندارد.

RFC 2412 (پروتکل تعیین کلید OAKLEY) - بررسی انطباق کلید.

معماری IPsec

پروتکل های IPsec، بر خلاف سایر پروتکل های معروف SSL و TLS، در لایه شبکه (لایه 3 مدل OSI) عمل می کنند. این باعث می شود IPsec انعطاف پذیرتر شود به طوری که می توان از آن برای ایمن سازی هر پروتکل مبتنی بر TCP و UDP استفاده کرد. IPsec می تواند برای تامین امنیت بین دو میزبان IP، بین دو دروازه امنیتی یا بین یک میزبان IP و یک دروازه امنیتی استفاده شود. این پروتکل یک "افزونه" بر روی پروتکل IP است و بسته های IP تولید شده را به روشی که در زیر توضیح داده شده پردازش می کند. IPsec می تواند یکپارچگی و/یا محرمانه بودن داده های منتقل شده از طریق شبکه را اعمال کند.

IPsec از پروتکل های زیر برای انجام عملکردهای مختلف استفاده می کند:

Authentication Header (AH) یکپارچگی اتصال مجازی (داده های ارسالی)، احراز هویت منبع اطلاعات و یک عملکرد اضافی را برای جلوگیری از ارسال مجدد بسته ها فراهم می کند.
محفظه بار امنیتی (ESP) می تواند محرمانه بودن (رمزگذاری) اطلاعات ارسال شده را فراهم کند و جریان ترافیک محرمانه را محدود کند. علاوه بر این، می تواند یکپارچگی اتصال مجازی (داده های ارسال شده)، احراز هویت منبع اطلاعات و عملکرد اضافی جلوگیری از ارسال مجدد بسته ها را فراهم کند (هر زمان که از ESP استفاده می شود، یک یا یک مجموعه دیگر از خدمات امنیتی باید بدون نقص استفاده شود. )
انجمن امنیت (SA) مجموعه ای از الگوریتم ها و داده ها را ارائه می دهد که پارامترهای لازم برای عملکرد AH و/یا ESP را فراهم می کند. امنیت اینترنتپروتکل انجمن و مدیریت کلید (ISAKMP) چارچوبی را برای احراز هویت و تبادل کلید، احراز هویت کلید فراهم می کند.

انجمن امنیت

مفهوم "Security Association" (SA) برای معماری IPsec اساسی است. SA یک اتصال سیمپلکس است که برای انتقال ترافیک مربوطه بر روی آن تشکیل شده است. هنگام اجرای سرویس های امنیتی، یک SA بر اساس استفاده از پروتکل های AH یا ESP (یا هر دو به طور همزمان) تشکیل می شود. SA مطابق با مفهوم اتصال نقطه به نقطه تعریف شده است و می تواند در دو حالت کار کند: حالت حمل و نقل (PTP) و حالت تونل زدن (RTU). حالت انتقال با SA بین دو گره IP پیاده سازی می شود. در حالت تونل، SA یک تونل IP را تشکیل می دهد.

همه SA ها در پایگاه داده های امنیتی (SADB) ماژول IPsec ذخیره می شوند. هر SA دارای یک نشانه منحصر به فرد است که از سه عنصر تشکیل شده است:

شاخص پارامتر امنیتی (SPI)
آدرس های IP مقصد
شناسه پروتکل امنیتی (ESP یا AH)

ماژول IPsec، با توجه به این سه پارامتر، می تواند ورودی SADB را برای یک SA خاص جستجو کند. لیست اجزای SA شامل:

شماره سریالمقدار 32 بیتی که برای تشکیل فیلد استفاده می شود شماره ترتیبدر سرفصل های AH و ESP. سرریز شمارنده توالیپرچمی که سرریز شدن شمارنده شماره دنباله را نشان می دهد. بازپخش پنجره سرکوب حملهبرای تعیین ارسال مجدد بسته ها استفاده می شود. اگر مقدار در فیلد شماره ترتیبدر محدوده مشخص شده قرار نمی گیرد، سپس بسته از بین می رود. اطلاعات قالگوریتم احراز هویت مورد استفاده، کلیدهای مورد نیاز، طول عمر کلیدها و سایر پارامترها. اطلاعات ESPالگوریتم های رمزگذاری و احراز هویت، کلیدهای مورد نیاز، پارامترهای اولیه (به عنوان مثال، IV)، طول عمر کلید و سایر پارامترها حالت عملکرد IPsecتونل یا حمل و نقل MTUحداکثر اندازه بسته ای که می تواند روی یک مدار مجازی بدون تکه تکه شدن ارسال شود.

از آنجایی که اتصالات مجازی امن (SA) ساده هستند، حداقل دو SA برای سازماندهی یک کانال دوبلکس مورد نیاز است. علاوه بر این، هر پروتکل (ESP/AH) باید SA مخصوص به خود را برای هر جهت داشته باشد، یعنی AH+ESP به چهار SA نیاز دارد. همه این داده ها در SADB قرار دارند.

AH: الگوریتم احراز هویت.
AH: کلید مخفی برای احراز هویت
ESP: الگوریتم رمزگذاری
ESP: کلید رمزگذاری مخفی.
ESP: از احراز هویت (بله/خیر) استفاده کنید.
گزینه های تعویض کلید
محدودیت های مسیریابی
سیاست فیلتر IP

علاوه بر پایگاه داده SADB، پیاده سازی IPsec از پایگاه داده سیاست امنیتی (SPD) پشتیبانی می کند. یک ورودی در یک SPD شامل مجموعه ای از مقادیر فیلد هدر IP و فیلدهای هدر پروتکل لایه بالایی است. این فیلدها انتخابگر نامیده می شوند. انتخابگرها برای فیلتر کردن بسته های خروجی به منظور تطبیق هر بسته با یک SA خاص استفاده می شوند. هنگامی که یک بسته تشکیل می شود، مقادیر فیلدهای مربوطه در بسته (فیلدهای انتخابگر) با موارد موجود در SPD مقایسه می شود. SAهای مربوطه یافت می شوند. SA (در صورت وجود) برای بسته و شاخص پارامتر امنیتی مرتبط با آن (SPI) سپس تعیین می شود. پس از آن، عملیات IPsec (عملیات پروتکل AH یا ESP) انجام می شود.

نمونه هایی از انتخابگرهایی که در SPD موجود هستند:

نشانی آی پی مقصد
آدرس IP فرستنده
پروتکل IPsec (AH، ESP یا AH+ESP)
پورت های مبدا و مقصد

سربرگ احراز هویت

سربرگ احراز هویتقالب

جبران می کند	16 اکتبر	0								1								2								3
16 اکتبر	بیت 10	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
0	0	هدر بعدی								بار لن								رزرو شده است
4	32
8	64	شماره ترتیب
سی	96	ارزش بررسی یکپارچگی (ICV) …
…	…	ارزش بررسی یکپارچگی (ICV) …

هدر بعدی(8 بیت) نوع هدر پروتکل به دنبال هدر AH. این فیلد توسط ماژول IP-sec دریافت کننده برای آشنایی با پروتکل لایه بالایی محافظت شده استفاده می شود. برای اطلاع از معنای این فیلد برای پروتکل های مختلف، به RFC 1700 مراجعه کنید. بار لن(8 بیت) این فیلد اندازه کل هدر AH را در کلمات 32 بیتی منهای 2 مشخص می کند. اما هنگام استفاده از IPv6، طول هدر باید مضربی از 8 بایت باشد. رزرو شده است(16 بیت) رزرو شده است. پر از صفر شاخص پارامتر امنیتی(32 بیت) فهرست پارامترهای امنیتی. مقدار این فیلد به همراه آدرس IP مقصد و پروتکل امنیتی (پروتکل AH)، اتصال مجازی امن (SA) را برای این بسته مشخص می کند. محدوده مقدار SPI 1...255 توسط IANA محفوظ است. شماره ترتیب(32 بیت) شماره سریال. برای محافظت در برابر ارسال مجدد خدمت می کند. فیلد حاوی یک مقدار پارامتر یکنواخت در حال افزایش است. اگرچه گیرنده ممکن است از سرویس حفاظتی ارسال مجدد بسته انصراف دهد، اما اجباری است و همیشه در هدر AH وجود دارد. ماژول IPsec فرستنده همیشه از این فیلد استفاده می کند، اما گیرنده ممکن است آن را پردازش نکند. ارزش بررسی یکپارچگی

پروتکل AH برای احراز هویت استفاده می‌شود، یعنی تأیید می‌کند که ما دقیقاً با کسی که فکر می‌کنیم در ارتباط هستیم و داده‌هایی که دریافت می‌کنیم در حین انتقال دستکاری نشده‌اند.

پردازش بسته های IP خروجی

اگر ماژول IPsec ارسال کننده تشخیص دهد که بسته با یک SA مرتبط است که به پردازش AH نیاز دارد، پردازش را آغاز می کند. بسته به حالت (حالت حمل و نقل یا تونل)، هدر AH را به صورت متفاوتی در بسته IP وارد می کند. در حالت انتقال، هدر AH بعد از هدر پروتکل IP و قبل از هدر پروتکل لایه بالایی (معمولا TCP یا UDP) ظاهر می شود. در حالت تونل، کل بسته IP منبع ابتدا با هدر AH و سپس با هدر پروتکل IP قاب می شود. چنین هدر بیرونی و هدر بسته IP اصلی درونی نامیده می شود. پس از آن، ماژول IPsec فرستنده باید یک شماره سریال تولید کند و آن را در فیلد بنویسد شماره ترتیب. هنگامی که یک SA ایجاد می شود، شماره دنباله روی 0 تنظیم می شود و قبل از ارسال هر بسته IPsec یک عدد افزایش می یابد. علاوه بر این، بررسی می شود که آیا شمارنده در چرخه قرار گرفته است یا خیر. اگر به حداکثر مقدار خود رسیده باشد، آنگاه به 0 بازنشانی می شود. اگر از سرویس جلوگیری از ارسال مجدد استفاده شود، هنگامی که شمارنده به حداکثر مقدار خود رسید، ماژول IPsec فرستنده SA را بازنشانی می کند. این محافظت در برابر ارسال مجدد بسته را فراهم می کند - ماژول IPsec دریافت کننده فیلد را بررسی می کند شماره ترتیبو بسته ها را دوباره امتحان کنید. بعد محاسبه می آید چک جمع ICV. لازم به ذکر است که در اینجا چک‌سام با استفاده از یک کلید مخفی محاسبه می‌شود که بدون آن مهاجم می‌تواند هش را مجدداً محاسبه کند، اما بدون دانستن کلید، نمی‌تواند چک‌سام صحیح را تشکیل دهد. الگوریتم های خاص مورد استفاده برای محاسبه ICV را می توان در RFC 4305 یافت. در حال حاضر به عنوان مثال می توان از الگوریتم های HMAC-SHA1-96 یا AES-XCBC-MAC-96 استفاده کرد. پروتکل AH جمع چک (ICV) را از فیلدهای زیر بسته IPsec محاسبه می کند:

فیلدهایی در هدر IP که در طول فرآیند ترجمه تغییر نکرده اند یا مهمترین آنها مشخص شده است
هدر AH (فیلدهای: "Next Header"، "Payload Len، "Reserved"، "SPI"، "Sequence Number"، "Integrity Check Value". فیلد "Integrity Check Value" هنگام محاسبه ICV روی 0 تنظیم می شود.
داده های پروتکل لایه بالایی

اگر فیلد در حین حمل و نقل تغییر کند، مقدار آن قبل از محاسبه ICV روی 0 تنظیم می شود. استثناها فیلدهایی هستند که می توانند تغییر کنند، اما مقدار آنها را می توان پس از دریافت پیش بینی کرد. هنگام محاسبه ICV، آنها با صفر پر نمی شوند. یک مثال از یک فیلد قابل تغییر، یک فیلد جمع کنترلی است، یک نمونه از یک فیلد قابل تغییر اما از پیش تعریف شده، آدرس IP گیرنده خواهد بود. شرح مفصل تری از اینکه کدام فیلدها هنگام محاسبه ICV در نظر گرفته می شوند را می توان در RFC 2402 یافت.

پردازش بسته های IP ورودی

به محض دریافت بسته ای حاوی پیام پروتکل AH، ماژول IPsec دریافت کننده اتصال مجازی امن مربوط به SADB (Security Associations Database) (SA) را با استفاده از آدرس IP مقصد، پروتکل امنیتی (AH) و شاخص SPI جستجو می کند. اگر SA منطبقی یافت نشد، بسته دور انداخته می شود. اتصال مجازی امن یافت شده (SA) نشان می دهد که آیا از سرویس پیشگیری از ارسال مجدد بسته استفاده می شود یا خیر. در مورد نیاز به بررسی میدان شماره ترتیب. اگر سرویس در حال استفاده است، فیلد بررسی می شود. برای این کار از روش پنجره کشویی استفاده می شود. ماژول IPsec دریافت کننده پنجره ای با عرض W تشکیل می دهد. لبه سمت چپ پنجره با حداقل تعداد دنباله مطابقت دارد ( شماره ترتیب) N بسته به درستی دریافت شده است. بسته با جعبه شماره ترتیبکه حاوی مقداری از N+1 تا N+W است، به درستی پذیرفته شده است. اگر بسته دریافتی در حاشیه سمت چپ پنجره باشد، از بین می رود. سپس ماژول IPsec دریافت کننده ICV را از فیلدهای مناسب بسته دریافتی با استفاده از الگوریتم احراز هویت که از رکورد SA یاد می گیرد محاسبه می کند و نتیجه را با مقدار ICV واقع در فیلد "Integrity Check Value" مقایسه می کند. اگر مقدار ICV محاسبه شده با مقدار دریافتی مطابقت داشته باشد، بسته دریافتی معتبر تلقی می شود و برای پردازش IP بیشتر پذیرفته می شود. اگر چک ناموفق باشد، بسته دریافتی دور ریخته می شود.

محصور کردن محموله امنیتیقالب

جبران می کند	16 اکتبر	0								1								2								3
16 اکتبر	بیت 10	0	1	2	3	4	5	6	7	8	9	10	11	12	13	14	15	16	17	18	19	20	21	22	23	24	25	26	27	28	29	30	31
0	0	شاخص پارامترهای امنیتی (SPI)
4	32	شماره ترتیب
8	64	داده های بار
…	…	داده های بار
…	…
…	…									بالشتک (0-255 اکتت)
…	…																	طول پد								هدر بعدی
…	…	ارزش بررسی یکپارچگی (ICV) …
…	…	ارزش بررسی یکپارچگی (ICV) …

شاخص پارامتر امنیتی(32 بیت) فهرست پارامترهای امنیتی. مقدار این فیلد به همراه آدرس IP مقصد و پروتکل امنیتی (پروتکل AH)، اتصال مجازی امن (SA) را برای این بسته مشخص می کند. محدوده مقدار SPI 1...255 توسط IANA برای استفاده در آینده رزرو شده است. شماره ترتیب(32 بیت) شماره سریال. برای محافظت در برابر ارسال مجدد خدمت می کند. فیلد حاوی یک مقدار پارامتر یکنواخت در حال افزایش است. اگرچه ممکن است گیرنده از خدمات حفاظتی بازپخش انصراف دهد، اما همیشه در هدر AH وجود دارد. فرستنده (ماژول IPsec ارسال کننده) باید همیشه از این فیلد استفاده کند، اما گیرنده ممکن است نیازی به پردازش آن نداشته باشد. داده های بار(متغیر) این فیلد حاوی داده هایی مطابق با فیلد Next Header است. این فیلد ضروری است و از تعداد صحیح بایت تشکیل شده است. اگر الگوریتمی که برای رمزگذاری این فیلد استفاده می‌شود به داده‌هایی برای همگام‌سازی فرآیندهای رمزنگاری نیاز دارد (به عنوان مثال، بردار اولیه - "بردار اولیه")، ممکن است این فیلد به طور صریح حاوی این داده باشد. لایه گذاری(0-255 هشتت) اضافه. برای مثال، برای الگوریتم‌هایی که نیاز دارند متن ساده مضربی از تعدادی بایت باشد، مانند اندازه بلوک برای رمزگذاری بلوک، ضروری است. طول پد(8 بیت) اندازه پد (به بایت). هدر بعدی(8 بیت) این فیلد نوع داده های موجود در قسمت "Payload data" را مشخص می کند. ارزش بررسی یکپارچگیجمع را بررسی کنید. برای IPv6 باید مضرب 8 بایت و برای IPv4 4 بایت باشد.

پردازش بسته های IPsec خروجی

اگر ماژول IPsec ارسال کننده تشخیص دهد که بسته با یک SA مرتبط است که به پردازش ESP نیاز دارد، سپس پردازش را آغاز می کند. بسته به حالت (حالت حمل و نقل یا تونل)، بسته IP اصلی متفاوت پردازش می شود. در حالت انتقال، ماژول IPsec فرستنده، پروتکل لایه بالایی (به عنوان مثال، TCP یا UDP) را با استفاده از هدر ESP و تریلر ESP بدون تأثیر بر هدر بسته IP اصلی کپسوله می کند. در حالت تونل، بسته IP با یک هدر ESP و یک تریلر ESP قاب می شود و پس از آن با یک هدر IP خارجی قاب می شود. در مرحله بعد، رمزگذاری انجام می شود - در حالت انتقال، فقط پیام پروتکل بالای لایه زیرین رمزگذاری می شود (یعنی هر چیزی که بعد از هدر IP در بسته منبع بود)، در حالت تونل، کل بسته IP منبع. ماژول IPsec ارسال کننده از ورودی SA، الگوریتم رمزگذاری و کلید مخفی را تعیین می کند. استانداردهای IPsec امکان استفاده از الگوریتم‌های رمزگذاری سه‌گانه، AES و Blowfish را می‌دهد. از آنجایی که اندازه متن ساده باید مضربی از تعداد معینی از بایت ها باشد، به عنوان مثال، اندازه بلوک برای الگوریتم های بلوک، padding لازم برای پیام رمزگذاری شده نیز قبل از رمزگذاری انجام می شود. پیام رمزگذاری شده در فیلد قرار می گیرد داده های بار. در زمینه طول پدطول پد قرار داده شده است. سپس، مانند ق، فرد محاسبه می کند شماره ترتیب. پس از آن، چک جمع (ICV) محاسبه می شود. چک‌سوم، برخلاف پروتکل AH، که در آن برخی از فیلدهای هدر IP نیز در هنگام محاسبه آن در نظر گرفته می‌شود، در ESP فقط با فیلدهای بسته ESP منهای فیلد ICV محاسبه می‌شود. قبل از محاسبه چک‌سوم، با صفر پر می‌شود. الگوریتم محاسبه ICV، مانند پروتکل AH، ماژول IPsec فرستنده از رکورد SA که بسته پردازش شده با آن مرتبط است، یاد می گیرد.

مدیریت بسته های IPsec ورودی

پس از دریافت بسته ای حاوی پیام پروتکل ESP، ماژول IPsec دریافت کننده اتصال مجازی امن (SA) مربوطه را در پایگاه داده انجمن های امنیتی (SADB) با استفاده از آدرس IP مقصد، پروتکل امنیتی (ESP) و SPI جستجو می کند. اگر SA منطبقی یافت نشد، بسته دور انداخته می شود. اتصال مجازی امن یافت شده (SA) نشان می دهد که آیا از سرویس پیشگیری از ارسال مجدد بسته استفاده می شود یا خیر. نیاز به بررسی قسمت Sequence Number. اگر سرویس در حال استفاده است، فیلد بررسی می شود. برای این کار همانند هجری قمری از روش پنجره کشویی استفاده می شود. ماژول IPsec دریافت کننده پنجره ای با عرض W تشکیل می دهد. لبه سمت چپ پنجره با حداقل شماره دنباله N یک بسته به درستی دریافت شده مطابقت دارد. بسته ای با فیلد Sequence Number حاوی مقدار N+1 تا N+W به درستی دریافت می شود. اگر بسته دریافتی در حاشیه سمت چپ پنجره باشد، از بین می رود. سپس، اگر از سرویس احراز هویت استفاده شود، ماژول IPsec دریافت کننده، ICV را از فیلدهای مربوط به بسته دریافتی با استفاده از الگوریتم احراز هویت که از رکورد SA یاد می گیرد، محاسبه می کند و نتیجه را با مقدار ICV واقع در "مقدار بررسی یکپارچگی" مقایسه می کند. رشته. اگر مقدار ICV محاسبه شده با مقدار دریافتی مطابقت داشته باشد، بسته دریافتی معتبر در نظر گرفته می شود. اگر چک ناموفق باشد، بسته دریافتی دور ریخته می شود. بعد، بسته رمزگشایی می شود. ماژول IPsec دریافت کننده از ورودی SA یاد می گیرد که کدام الگوریتم رمزگذاری و کلید مخفی استفاده شده است. لازم به ذکر است که بررسی چک جمع و روش رمزگشایی می تواند نه تنها به صورت متوالی، بلکه به صورت موازی نیز انجام شود. در حالت دوم، روال تأیید جمع‌بندی چک باید قبل از روال رمزگشایی خاتمه یابد و اگر تأیید ICV با شکست مواجه شود، روال رمزگشایی نیز باید خاتمه یابد. این امکان شناسایی سریعتر بسته های خراب را فراهم می کند که به نوبه خود سطح محافظت در برابر حملات انکار سرویس (حملات DOS) را افزایش می دهد. بعد، پیام رمزگشایی شده مطابق با فیلد هدر بعدیبرای پردازش بیشتر ارائه شده است.

استفاده

پروتکل IPsec عمدتا برای سازماندهی تونل های VPN استفاده می شود. در این حالت پروتکل های ESP و AH در حالت تونل عمل می کنند. علاوه بر این، با پیکربندی سیاست های امنیتی به روشی خاص، می توان از پروتکل برای ایجاد یک فایروال استفاده کرد. منظور از فایروال این است که بسته های عبوری از آن را مطابق با قوانین داده شده کنترل و فیلتر می کند. مجموعه ای از قوانین تنظیم می شود و صفحه به تمام بسته هایی که از آن عبور می کنند نگاه می کند. اگر بسته های ارسال شده تحت این قوانین قرار گیرند، فایروال آنها را بر این اساس پردازش می کند. به عنوان مثال، می تواند بسته های خاصی را رد کند و در نتیجه اتصالات ناامن را خاتمه دهد. با پیکربندی سیاست امنیتی بر این اساس، می توانید برای مثال، ترافیک اینترنت را مسدود کنید. برای این کار کافی است ارسال بسته هایی که حاوی پیام های پروتکل HTTP و HTTPS هستند را ممنوع کنید. IPsec همچنین می تواند برای محافظت از سرورها استفاده شود - برای این کار، همه بسته ها دور ریخته می شوند، به جز بسته های لازم برای عملکرد صحیح عملکرد سرور. به عنوان مثال، برای یک وب سرور، می توانید تمام ترافیک را به جز اتصالات در پورت TCP 80 یا در درگاه TCP 443 در مواردی که از HTTPS استفاده می شود، مسدود کنید.

همچنین ببینید

پیوندها

شرح پیکربندی IPSec (cisco.com)

شبکه های خصوصی مجازی (VPN)
نرم افزار	Chaply Check Point VPN-1 Cisco Systems VPN Client CloudVPN CryptoLink Gbridge Hamachi Jabpunch Microsoft Forefront Unified Access Gateway n2n مدیر شبکه OpenVPN Openswan نسخه پلان OpenVPN (مشتری بازی ZeroGC) rp-pppoe Social VPN strongSwan Tinc tcpcryptویاتا ویپین
مکانیسم ها
فروشنده مدیریت می شود

مکانیسم های امنیتی در

IPsec یک پروتکل واحد نیست، بلکه سیستمی از پروتکل هایی است که برای محافظت از داده ها در لایه شبکه شبکه های IP طراحی شده است. این مقاله تئوری استفاده از IPsec برای ایجاد یک تونل VPN را شرح می دهد.

مقدمه

VPN مبتنی بر فناوری IPsec را می توان به دو بخش تقسیم کرد:

پروتکل تبادل کلید اینترنت (IKE)
پروتکل های IPsec (AH/ESP/هر دو)

بخش اول (IKE) مرحله مذاکره است که در طی آن دو نقطه VPN تصمیم می گیرند که از کدام روش ها برای ایمن سازی ترافیک IP ارسال شده بین آنها استفاده شود. علاوه بر این، IKE نیز برای مدیریت اتصالات استفاده می شود، برای این منظور مفهوم Security Associations (SA) برای هر اتصال معرفی شده است. SA ها فقط به یک جهت اشاره می کنند، بنابراین یک اتصال IPsec معمولی از دو SA استفاده می کند.

بخش دوم داده های IP است که باید قبل از انتقال با استفاده از روش های توافق شده در قسمت اول (IKE) رمزگذاری و احراز هویت شوند. پروتکل های IPsec مختلفی وجود دارد که می توان از آنها استفاده کرد: AH، ESP یا هر دو.

توالی ایجاد VPN از طریق IPsec را می توان به طور خلاصه به شرح زیر توصیف کرد:

IKE در مورد امنیت لایه IKE مذاکره می کند
IKE با امنیت لایه IPsec مذاکره می کند
داده های محافظت شده از طریق VPN IPsec منتقل می شود

IKE، تبادل کلید اینترنت

برای رمزگذاری و احراز هویت داده ها، باید روش رمزگذاری / احراز هویت (الگوریتم) و کلیدهای استفاده شده در آنها را انتخاب کنید. وظیفه پروتکل تبادل کلید اینترنت، IKE، در این مورد توزیع این "کلیدهای جلسه" و توافق بر سر الگوریتم هایی است که از داده ها بین نقاط VPN محافظت می کند.

وظایف اصلی IKE:

امتیاز VPN یکدیگر را احراز هویت کنید
سازماندهی اتصالات IPsec جدید (از طریق ایجاد جفت SA)
مدیریت اتصالات فعلی

IKE با اختصاص دادن به هر یک از آنها یک انجمن امنیتی خاص، SA، اتصالات را ردیابی می کند. SA پارامترهای یک اتصال خاص، از جمله پروتکل IPsec (AH/ESP یا هر دو)، کلیدهای جلسه مورد استفاده برای رمزگذاری/رمزگشایی و/یا احراز هویت داده ها را توصیف می کند. SA یک جهته است، بنابراین چندین SA در هر اتصال وجود دارد. در اکثر موارد که فقط از ESP یا AH استفاده می شود، برای هر اتصال فقط دو SA ایجاد می شود، یکی برای ترافیک ورودی و دیگری برای ترافیک خروجی. هنگامی که ESP و AH با هم استفاده می شوند، SA به چهار مورد نیاز دارد.

فرآیند مذاکره IKE چندین مرحله (مرحله) را طی می کند. این مراحل عبارتند از:

فاز اول IKE (IKE Phase-1):
- حفاظت از خود IKE (تونل ISAKMP) مورد مذاکره است
فاز دوم IKE (IKE Phase-2):
- امنیت IPsec مذاکره کنید
- دریافت داده ها از مرحله اول برای تولید کلیدهای جلسه

اتصالات IKE و IPsec از نظر مدت زمان (بر حسب ثانیه) و میزان انتقال داده (بر حسب کیلوبایت) محدود هستند. این کار برای بهبود امنیت انجام می شود.
مدت زمان اتصال IPsec معمولاً کوتاهتر از IKE است. بنابراین، هنگامی که یک اتصال IPsec منقضی می شود، یک اتصال IPsec جدید در مرحله دوم مذاکره ایجاد می شود. مرحله اول مذاکره فقط هنگام ایجاد مجدد اتصال IKE استفاده می شود.

برای مذاکره با IKE، مفهوم پیشنهاد IKE (IKE Proposal) معرفی شده است - این یک پیشنهاد در مورد نحوه محافظت از داده ها است. نقطه VPN که اتصال IPsec را آغاز می کند، لیستی (پیشنهاد) را ارسال می کند که روش های مختلف امنیتی اتصال را مشخص می کند.
هم در مورد ایجاد یک اتصال IPsec جدید و هم در مورد ایجاد یک اتصال IKE جدید می توان مذاکره کرد. در مورد IPsec، داده های محافظت شده ترافیک ارسال شده از طریق تونل VPN است، در حالی که در مورد IKE، داده های محافظت شده داده های خود مذاکرات IKE است.
نقطه VPN که لیست (پیشنهاد) را دریافت کرده است، مناسب ترین مورد را از بین خود انتخاب کرده و در پاسخ نشان می دهد. اگر هیچ یک از پیشنهادات انتخاب نشود، دروازه VPN رد می کند.
پیشنهاد شامل همه است اطلاعات لازمبرای انتخاب یک الگوریتم رمزگذاری و احراز هویت و غیره

فاز 1 IKE - مذاکرات امنیتی IKE (تونل ISAKMP)
در مرحله اول مذاکره، نقاط VPN بر اساس یک کلید مشترک (Pre-Shared Key) یکدیگر را احراز هویت می کنند. الگوریتم هش برای احراز هویت استفاده می شود: MD5، SHA-1، SHA-2.
با این حال، قبل از احراز هویت یکدیگر، به منظور عدم انتقال اطلاعات به صورت متن واضح، نقاط VPN لیستی از پیشنهادات (پیشنهادها) را مبادله می کنند که قبلاً توضیح داده شد. تنها پس از انتخاب پیشنهادی که مناسب هر دو نقطه VPN است، نقطه VPN یکدیگر احراز هویت می شود.
احراز هویت می تواند انجام شود روش های مختلف: از طریق کلیدهای از پیش مشترک، گواهی ها یا . کلیدهای مشترک رایج ترین روش احراز هویت هستند.
مذاکره IKE مرحله اول می تواند در یکی از دو حالت اصلی (اصلی) و تهاجمی (تهاجمی) رخ دهد. حالت اصلی طولانی تر، اما همچنین امن تر است. در فرآیند آن، شش پیام رد و بدل می شود. حالت تهاجمی سریعتر است و به سه پیام محدود می شود.
کار اصلی فاز اول IKE در تبادل کلید Diffie-Hellman نهفته است. این بر اساس رمزگذاری کلید عمومی است، هر طرف پارامتر احراز هویت (کلید پیش مشترک) را با کلید عمومی همسایه رمزگذاری می کند، که پس از دریافت پیام، آن را با کلید خصوصی خود رمزگشایی می کند. یکی دیگر از راه های احراز هویت طرفین با یکدیگر استفاده از گواهی است.

فاز 2 IKE - مذاکره امنیتی IPsec
در مرحله دوم نحوه محافظت از اتصال IPsec انتخاب می شود.
فاز دوم از مواد کلیدی استخراج شده از تبادل کلید دیفی-هلمن استفاده می کند که در فاز اول اتفاق افتاد. بر اساس این مواد، کلیدهای جلسه ایجاد می شود که برای محافظت از داده ها در تونل VPN استفاده می شود.

اگر از مکانیزم استفاده شود رازداری کامل حمل و نقل (PFS)، سپس برای هر تطبیق فاز دوم استفاده خواهد شد صرافی جدیدکلیدهای دیفی هلمن سرعت را کمی کاهش می دهد این رویهتضمین می کند که کلیدهای جلسه مستقل از یکدیگر هستند، که حفاظت را افزایش می دهد، زیرا حتی اگر یکی از کلیدها به خطر بیفتد، نمی توان از آن برای انتخاب کلیدهای دیگر استفاده کرد.

تنها یک حالت عملیات فاز دوم مذاکره IKE وجود دارد که به آن حالت سریع می گویند - حالت سریع. در فرآیند مذاکره فاز دوم، سه پیام رد و بدل می شود.

در پایان فاز دوم، اتصال VPN برقرار می شود.

تنظیمات IKE
در طول برقراری اتصال، پارامترهای مختلفی استفاده می شود که بدون مذاکره در مورد آنها، ایجاد اتصال VPN غیرممکن است.

شناسایی گره پایانی
چگونه گره ها یکدیگر را احراز هویت می کنند. رایج ترین مورد استفاده، کلید مشترک است. احراز هویت کلید مشترک از الگوریتم Diffie-Hellman استفاده می کند.
شبکه/میزبان محلی و راه دور
ترافیک مجاز از طریق تونل VPN را مشخص می کند.
حالت تونل یا حمل و نقل
IPsec می تواند در دو حالت کار کند: تونل و حمل و نقل. انتخاب حالت بستگی به اشیاء محافظت شده دارد.
حالت تونلبرای محافظت بین اشیاء راه دور استفاده می شود، به عنوان مثال. بسته IP به طور کامل در یک بسته جدید محصور شده است و فقط اتصال بین دو نقطه VPN برای ناظر از خارج قابل مشاهده است. آدرس‌های IP واقعی مبدا و مقصد تنها پس از کپسول‌زدایی بسته زمانی که در نقطه دریافت VPN دریافت می‌شود، قابل مشاهده خواهند بود. بنابراین، حالت تونل بیشتر برای اتصالات VPN استفاده می شود.
حالت حمل و نقلاز داده های بسته IP (TCP، UDP و پروتکل ها) محافظت می کند سطوح بالا) و هدر بسته IP اصلی حفظ خواهد شد. بنابراین، منبع و مقصد اصلی برای ناظر قابل مشاهده خواهد بود، اما نه داده های ارسال شده. این حالت اغلب هنگام ایمن کردن اتصال در داخل استفاده می شود شبکه محلیبین میزبان ها
دروازه راه دور
یک نقطه VPN مقصد اتصال امن که داده ها را از طرف دیگر رمزگشایی/تأیید هویت می کند و به مقصد نهایی ارسال می کند.
حالت کار IKE
مذاکره IKE می تواند در دو حالت عمل کند: پایه ایو خشونت آمیز.
تفاوت بین این دو این است که حالت تهاجمی از بسته های کمتری برای برقراری اتصال سریعتر استفاده می کند. از سوی دیگر، حالت تهاجمی برخی از پارامترهای مذاکره مانند گروه‌های Diffie-Hellman و PFS را پاس نمی‌کند، که نیاز به پیکربندی یکسان اولیه آنها در نقاط اتصال دارد.
پروتکل های IPsec
دو پروتکل IPsec وجود دارد، Authentication Header (AH) و Encapsulating Security Payload (ESP) که عملکردهای رمزگذاری و احراز هویت را انجام می دهند.
ESP به شما امکان رمزگذاری، احراز هویت به صورت جداگانه یا همزمان را می دهد.
AH فقط اجازه احراز هویت را می دهد. تفاوت با احراز هویت ESP این است که AH هدر IP خارجی را نیز تأیید می کند و به شما امکان می دهد تأیید کنید که بسته واقعاً از منبع مشخص شده در آن آمده است.
رمزگذاری IKE
الگوریتم رمزگذاری IKE مورد استفاده و کلیدهای آن را مشخص می کند. الگوریتم های مختلف رمزگذاری متقارن پشتیبانی می شوند، به عنوان مثال: DES، 3DES، AES.
احراز هویت IKE
الگوریتم احراز هویت مورد استفاده در دست دادن IKE. می تواند: SHA، MD5.
گروه های IKE Diffie-Hellman (DH).
گروهی که توسط DF برای تبادل کلید در IKE استفاده می شود. هر چه گروه موضوعی بزرگتر باشد اندازه بزرگترتعویض کلید
طول عمر اتصال IKE
هم با زمان (ثانیه) و هم با اندازه داده های منتقل شده (کیلو بایت) مشخص می شود. به محض اینکه یکی از پیشخوان ها رسید مقدار آستانهمرحله اول جدید شروع می شود اگر از زمان ایجاد اتصال IKE هیچ داده ای ارسال نشده باشد، تا زمانی که یکی از طرفین بخواهد یک اتصال VPN ایجاد کند، هیچ اتصال جدیدی ایجاد نخواهد شد.
PFS
با غیرفعال بودن PFS، مواد تولید کلید در مرحله اول مذاکره IKE در زمان مبادله کلید بازیابی خواهد شد. در مرحله دوم مذاکره IKE، کلیدهای جلسه بر اساس مطالب دریافتی ایجاد خواهند شد. با فعال بودن PFS، هنگام ایجاد کلیدهای جلسه جدید، مطالب مربوط به آنها هر بار که یک کلید جدید استفاده می شود، استفاده می شود. بنابراین، اگر کلید در معرض خطر باشد، امکان ایجاد کلیدهای جدید بر اساس آن وجود ندارد.
PFS را می توان در دو حالت استفاده کرد: اول PFS روی کلیدها، هر بار که مذاکره شروع می شود، یک مبادله کلید جدید را در مرحله اول IKE شروع می کند.
فاز دوم حالت دوم، PFS روی هویت‌ها، هر بار که مذاکره فاز دوم می‌گذرد، SA فاز اول را حذف می‌کند، در نتیجه اطمینان حاصل می‌کند که هیچ مذاکره فاز دومی با کلید قبلی یکسان رمزگذاری نشده است.
گروه های IPsec DH
این گروه‌های DF مشابه گروه‌های مورد استفاده در IKE هستند و فقط برای PFS استفاده می‌شوند.
رمزگذاری IPsec
الگوریتم مورد استفاده برای رمزگذاری داده ها هنگام استفاده از ESP در حالت رمزگذاری استفاده می شود. الگوریتم های مثال: DES، 3DES، AES.
احراز هویت IPsec
الگوریتم مورد استفاده برای احراز هویت داده های ارسالی. در حالت AH یا ESP در حالت احراز هویت استفاده می شود. الگوریتم های مثال: SHA، MD5.
طول عمر IPsec
طول عمر اتصال VPN هم با زمان (ثانیه) و هم با اندازه داده های منتقل شده (کیلو بایت) نشان داده می شود. اولین شمارنده ای که به حد مجاز می رسد شروع به ایجاد مجدد کلیدهای جلسه می کند. اگر از زمان ایجاد اتصال IKE هیچ داده ای ارسال نشده باشد، تا زمانی که یکی از طرفین بخواهد یک اتصال VPN ایجاد کند، هیچ اتصال جدیدی ایجاد نخواهد شد.

روش های احراز هویت IKE

حالت دستی
ساده‌ترین روش‌ها، که در آن از IKE استفاده نمی‌شود، و کلیدهای احراز هویت و رمزگذاری، و همچنین برخی پارامترهای دیگر، به صورت دستی در هر دو نقطه اتصال VPN تنظیم می‌شوند.
از طریق کلیدهای از پیش مشترک (PSK)
یک کلید از پیش مشترک در هر دو نقطه اتصال VPN. تفاوت با روش قبلی این است که از IKE استفاده می شود، که به شما امکان می دهد به جای کلیدهای رمزگذاری ثابت، نقاط پایانی را احراز هویت کنید و از تغییر کلیدهای جلسه استفاده کنید.
گواهینامه ها
هر نقطه VPN استفاده می کند: کلید خصوصی خودش، خودش کلید عمومی، گواهی آن شامل کلید عمومی آن و امضا شده توسط یک مرجع گواهی معتبر. برخلاف روش قبلی، به شما امکان می دهد از وارد کردن یک کلید مشترک در تمام نقاط اتصال VPN خودداری کنید و آن را با گواهی های شخصی امضا شده توسط یک مرجع قابل اعتماد جایگزین کنید.

پروتکل های IPsec

پروتکل های IPsec برای محافظت از داده های ارسالی استفاده می شود. انتخاب پروتکل و کلیدهای آن در طول مذاکره IKE انجام می شود.

AH (سربرگ احراز هویت)

AH توانایی احراز هویت داده های ارسال شده را فراهم می کند. برای انجام این کار، یک تابع هش رمزنگاری با توجه به داده های موجود در بسته IP استفاده می شود. خروجی این تابع (هش) همراه با بسته ارسال می شود و به نقطه VPN راه دور اجازه می دهد تا یکپارچگی بسته IP اصلی را تأیید کند و تأیید کند که در طول مسیر اصلاح نشده است. علاوه بر داده‌های بسته IP، AH بخشی از هدر خود را نیز احراز هویت می‌کند.

در حالت انتقال، AH هدر خود را بعد از بسته IP اصلی جاسازی می کند.
در حالت تونل، AH هدر خود را بعد از هدر IP خارجی (جدید) و قبل از هدر IP داخلی (اصلی) قرار می دهد.

ESP (محصور محموله امنیتی)

پروتکل ESP برای رمزگذاری، برای احراز هویت یا هر دو در برابر یک بسته IP استفاده می شود.

در حالت انتقال، پروتکل ESP هدر خود را بعد از هدر IP اصلی وارد می کند.
در حالت تونل ESP، هدر بعد از هدر IP خارجی (جدید) و قبل از داخلی (اصلی) قرار دارد.

دو تفاوت اصلی بین ESP و AH:

ESP علاوه بر احراز هویت، امکان رمزگذاری را نیز فراهم می کند (AH این را ارائه نمی دهد)
ESP در حالت تونل فقط هدر IP اصلی را تأیید می کند (AH هدر بیرونی را نیز تأیید می کند).

کار پشت NAT (NAT Traversal)
یک مشخصات جداگانه برای پشتیبانی از عملیات پشت NAT پیاده سازی شده است. اگر نقطه VPN از این مشخصات پشتیبانی کند، IPsec از عملیات NAT پشتیبانی می کند، اما الزامات خاصی وجود دارد.
پشتیبانی NAT از دو بخش تشکیل شده است:

در سطح IKE، دستگاه‌های نهایی درباره پشتیبانی، NAT Traversal و نسخه مشخصات پشتیبانی شده با یکدیگر ارتباط برقرار می‌کنند.
در سطح ESP، بسته تولید شده در UDP کپسوله می شود.

NAT Traversal فقط در صورتی استفاده می شود که هر دو نقطه آن را پشتیبانی کنند.
تعریف NAT: هر دو VPN هش آدرس های IP خود را به همراه پورت منبع UDP مذاکره IKE ارسال می کنند. این اطلاعاتتوسط گیرنده برای تعیین اینکه آیا آدرس IP منبع و/یا پورت تغییر کرده است یا خیر استفاده می شود. اگر این پارامترها تغییر نکرده باشند، ترافیک از NAT عبور نمی کند و به مکانیسم NAT Traversal نیازی نیست. اگر آدرس یا پورت تغییر کرده باشد، NAT بین دستگاه ها وجود دارد.

هنگامی که نقاط پایانی تعیین کردند که پیمایش NAT مورد نیاز است، مذاکره IKE از درگاه UDP 500 به پورت 4500 منتقل می‌شود. این به این دلیل است که برخی از دستگاه‌ها هنگام استفاده از NAT، یک جلسه IKE در پورت 500 را به درستی مدیریت نمی‌کنند.
مشکل دیگر از این واقعیت ناشی می شود که پروتکل ESP یک پروتکل لایه انتقال است و مستقیماً در بالای IP قرار می گیرد. به همین دلیل، مفاهیم پورت TCP / UDP برای آن قابل اجرا نیست، که اتصال بیش از یک کلاینت را از طریق NAT به یک دروازه غیرممکن می کند. برای حل این مشکل، ESP در یک دیتاگرام UDP بسته بندی می شود و به پورت 4500 ارسال می شود، همان پورتی که توسط IKE در هنگام فعال بودن NAT Traversal استفاده می شود.
NAT Traversal در پروتکل هایی که از آن پشتیبانی می کنند تعبیه شده است و بدون پیکربندی قبلی کار می کند.

معماری خانواده پروتکل IPSec را در نظر بگیرید. هدف این خانواده از پروتکل ها ارائه خدمات امنیتی لایه IP مختلف برای IPv4 و IPv6 است. خدمات امنیتی ارائه شده توسط پروتکل های IPSec و استفاده از این پروتکل ها در شبکه های TCP / IP را در نظر بگیرید.

هنگامی که این سرویس ها به درستی نصب می شوند، با کاربران، میزبان ها و سایر اجزای اینترنت که از این سرویس های امنیتی برای محافظت از ترافیک خود استفاده نمی کنند، تداخلی ایجاد نمی کنند. این خدمات مستقل از الگوریتم هستند. این بدان معنی است که الگوریتم های رمزنگاری جدید را می توان بدون تغییر خود پروتکل ها اضافه کرد. به عنوان مثال، گروه های مختلفی از کاربران ممکن است استفاده کنند مجموعه های مختلفالگوریتم ها

مجموعه استانداردی از الگوریتم های پیش فرض برای اطمینان از قابلیت همکاری در سراسر اینترنت تعریف شده است. استفاده از این الگوریتم ها در ارتباط با حفاظت از ترافیک ارائه شده توسط IPSec و پروتکل های مدیریت کلید به طراح سیستم و برنامه اجازه می دهد تا به درجه بالایی از امنیت رمزنگاری دست یابد.

IPSec را می توان هم در سیستم عامل و هم در روتر یا فایروال پیاده سازی کرد.

IPSec فراهم می کند محرمانه بودن, یکپارچگی داده, کنترل دسترسیو احراز هویت مبدا داده برای دیتاگرام های IP. این خدمات از طریق وضعیت بین مبدا و مقصد دیتاگرام های IP ارائه می شود. این حالتخدمات امنیتی خاص را در سطح دیتاگرام، الگوریتم های رمزنگاری مورد استفاده برای خدمات ارائه شده و کلیدهای آن الگوریتم ها را تعریف می کند.

ما وظایف اصلی پروتکل های IPSec را فهرست می کنیم:

تضمین حفاظت رمزنگاری در سطح IP برای پروتکل‌های IPv4 و IPv6، یعنی اطمینان از محرمانه بودن و یکپارچگی داده‌ها و یکپارچگی توالی خاصی از دیتاگرام‌ها.
ارائه شفافیت برای ترافیک IP که نیازی به استفاده از پروتکل های IPSec ندارد.
اطمینان از توسعه پذیری، به عنوان مثال توانایی اضافه کردن مجموعه های جدید از الگوریتم ها بدون تغییر خود پروتکل.

IPSec برای ارتباطات ایمن با استفاده از رمزنگاری برای پروتکل های IPv4 و IPv6 طراحی شده است. خدمات امنیتی شامل کنترل دسترسی، صداقت و محرمانه بودنداده ها و محافظت در برابر حملات تکراری، که با تضمین یکپارچگی دنباله خاصی از دیتاگرام ها ارائه می شود. این خدمات در لایه IP ارائه می شوند و از پروتکل IP و پروتکل های لایه بالاتر محافظت می کنند.

IPSec از دو شکل یکپارچگی پشتیبانی می کند: یکپارچگی دادهو یکپارچگی دنباله خاصی از دیتاگرام ها. یکپارچگی دادهبدون توجه به ترتیب دیتاگرام ها در جریان ترافیک، تغییر یک دیتاگرام IP خاص را تشخیص می دهد. Datagram Sequence Integrity یک سرویس ضد پاسخ است که تعیین می کند آیا دیتاگرام های IP تکراری دریافت می شوند یا خیر. این با یکپارچگی پیوند متفاوت است، که الزامات یکپارچگی ترافیک سخت گیرانه تری دارد، یعنی توانایی تشخیص پیام های گم شده یا سفارش مجدد.

پیاده سازی پروتکل های IPSec، اجزای اصلی سیستم و تعامل آنها برای ارائه خدمات امنیتی را در نظر بگیرید.

IPSec روی یک میزبان (Host - H) یا یک دروازه امنیتی (Security Gateway - SG) اجرا می شود و از ترافیک IP محافظت می کند. عبارت Security Gateway برای اشاره به روتری استفاده می شود که پروتکل های IPsec را پیاده سازی می کند.

امنیت بر اساس الزامات تعریف شده در پایگاه داده سیاست امنیتی (SPD) است که توسط مدیر نصب و نگهداری می شود. به طور کلی، بسته‌ها به یکی از سه روش پردازش می‌شوند، بر اساس اطلاعات هدر IP و لایه انتقال، با توجه به ورودی‌های SPD. هر بسته یا حذف می‌شود، بدون پردازش از طریق آن ارسال می‌شود، یا طبق ورودی SPD برای آن بسته پردازش می‌شود.

راه های ممکن برای پیاده سازی IPSec

راه های مختلفی برای پیاده سازی IPSec بر روی هاست یا در ارتباط با روتر یا دیواره آتش(برای ایجاد یک دروازه امنیتی).

ادغام IPSec در یک پیاده سازی خاص از پروتکل IP. این نیاز به دسترسی دارد کد منبع IP و هم روی هاست و هم روی دروازه های امنیتی انجام می شود.
پیاده‌سازی‌های «Bump-in-the-stack» (BITS)، که در آن IPSec «در پایین» یک پیاده‌سازی پشته پروتکل IP موجود پیاده‌سازی می‌شود و اجرای آن را بین اجرای پروتکل IP استاندارد و محلی قرار می‌دهد. درایورهای شبکه. دسترسی به کد منبع پشته IP در این مورد مورد نیاز نیست. این رویکرد معمولاً زمانی که IPSec به عنوان یک کتابخانه پیوند پیاده سازی می شود، روی هاست ها اجرا می شود.
استفاده از یک پردازنده رمزنگاری خارجی این معمولاً به عنوان پیاده سازی "Bump-in-the-wire" (BITW) شناخته می شود. چنین پیاده سازی هایی را می توان هم در هاست و هم در دروازه ها استفاده کرد. به طور معمول، دستگاه های BITW آدرس IP هستند.

پروتکل های حفاظت از ترافیک و مفهوم ارتباط امن

خدمات حفاظت از ترافیک ارائه شده توسط IPSec با استفاده از دو پروتکل ترافیک ایمن پیاده سازی می شود: Authentication Header (AH) و Encapsulating Security Payload (ESP).

پروتکل های زیر برای ایمن سازی ترافیک در IPSec تعریف شده اند:

پروتکل Encapsulating Security Payload (ESP) محرمانه بودن و یکپارچگی پروتکل‌هایی را که در قسمت بالاتر پشته پروتکل قرار دارند تضمین می‌کند و همچنین می‌توان یک سرویس ضد بازپخش نیز ارائه کرد. یکپارچگی برخی از توالی دیتاگرام ها
پروتکل Authentication Header (AH) یکپارچگی پروتکل های واقع در پشته پروتکل و یکپارچگی فیلدهای جداگانه هدر IP را تضمین می کند که هنگام ارسال از فرستنده به گیرنده تغییر نمی کند؛ یک سرویس ضد پخش می تواند باشد. به علاوه ارائه شده است، یعنی یکپارچگی برخی از توالی دیتاگرام ها در IPSec v2، پیاده سازی این پروتکل اختیاری است.
پارامترهای این پروتکل ها در پروتکل توزیع کلید تبادل کلید اینترنت (IKE) تعریف شده است.

ترافیکی که توسط IPSec ایمن می شود با مفهوم یک انجمن امنیتی (SA) مرتبط است. SA شامل تمام اطلاعات لازم برای انجام کارهای مختلف است خدمات شبکهامنیت.

SA سیمپلکس (یک جهته) است ارتباط منطقی، بین دو نقطه پایانی ایجاد می شود که از یکی از پروتکل های IPSec برای امنیت استفاده می کنند. ESP و AH ترافیک را روی SA حمل می کنند. تمام ترافیک منتقل شده از طریق SA مطابق با خط مشی امنیتی تنظیم شده در انتهای اتصال پردازش می شود.

اجازه دهید جنبه های مختلف کنترل SA را شرح دهیم، تعریف کنیم راه های ممکنمدیریت سیاست های امنیتی، روش های مدیریت ترافیک و مدیریت SA.

SA پارامترهای خدمات امنیتی را که در ترافیک اعمال می شود، تعریف می کند. به طور معمول، یک اتصال دو طرفه بین دو میزبان یا بین دو دروازه امنیتی به دو SA (یکی برای هر جهت) نیاز دارد.

ما SA را فقط برای اتصالات unicast در نظر خواهیم گرفت.

دو حالت SA تعریف شده است: حالت حمل و نقل و حالت تونل. حالت حمل و نقلبرای ایجاد VPN بین دو هاست استفاده می شود. در IPv4، سرصفحه پروتکل امنیتی حالت حمل و نقل بلافاصله بعد از هدر IP ظاهر می شود. در پروتکل ESP، حالت حمل و نقل SA فقط خدمات امنیتی را برای پروتکل های لایه بالاتر ارائه می دهد، نه برای هدر IP. در مورد AH، حفاظت به بخش هایی از هدر IP نیز گسترش می یابد.

حالت SA دیگر حالت تونل زنی است. اگر یکی از انتهای اتصال یک دروازه امنیتی باشد، طبق استانداردهای IPSec SA، باید در حالت تونل انجام شود، اما بسیاری از سازندگان در این مورد هم حالت تونل و هم حالت حمل و نقل را مجاز می‌دانند. توجه داشته باشید که زمانی که مقصد ترافیک برای یک دروازه امنیتی است، مانند دستورات پینگ یا SNMP، دروازه امنیتی به عنوان یک میزبان در نظر گرفته می شود و معمولاً استفاده می شود. حالت حمل و نقل. دو میزبان می توانند به صورت اختیاری تنظیم کنند حالت تونل.

در حالت تونل، یک هدر IP خارجی اضافه می شود که در آن آدرس ها دروازه های امنیتی هستند. هدر IP داخلی میزبان هاست مقصد را نشان می دهد. هدر پروتکل امنیتی بعد از هدر IP خارجی و قبل از هدر IP داخلی قرار دارد. اگر AH در حالت تونل استفاده شود، بخش‌هایی از هدر IP خارجی محافظت می‌شوند، مانند کل بسته IP تونل‌شده، یعنی. تمام هدرهای داخلی و همچنین پروتکل های لایه بالاتر محافظت می شوند. اگر از ESP استفاده شود، حفاظت فقط برای بسته تونل شده ارائه می شود، نه برای هدر بیرونی.

بیایید به طور خلاصه خلاصه کنیم:

میزبانمی تواند از هر دو حالت حمل و نقل و تونل پشتیبانی کند.
دروازه امنیتیمعمولا فقط از حالت تونل استفاده می کند. اگر از حالت حمل و نقل پشتیبانی می کند، این حالت معمولاً تنها زمانی استفاده می شود که دروازه امن گیرنده ترافیک باشد، به عنوان مثال، برای مدیریت شبکه.

مجموعه قابل تحقق

شبکه، یک تونل امن (شکل 5.9) که از طریق آن داده های محرمانه یا حساس به دستکاری منتقل می شود. چنین تونلی با استفاده از روش های رمزنگاری حفاظت از اطلاعات ایجاد می شود.

پروتکل در لایه شبکه مدل OSI عمل می کند و بر این اساس، برای برنامه ها "شفاف" است. به عبارت دیگر، برنامه های کاربردی (مانند وب سرور، مرورگر، DBMS، و غیره) بر اینکه داده های ارسال شده توسط IPSec محافظت می شود یا خیر، تأثیری ندارد.

سیستم عامل های خانواده ویندوز 2000 و بالاتر دارای پشتیبانی داخلی از پروتکل IPSec هستند. از دیدگاه مدل امنیتی لایه ای، این پروتکل وسیله ای برای ایمن سازی لایه شبکه است.

برنج. 5.9.

معماری IPSec باز است، که به ویژه امکان استفاده از الگوریتم‌ها و پروتکل‌های رمزنگاری جدید را برای محافظت از داده‌های ارسال‌شده، به عنوان مثال، آن‌هایی که مطابق با استانداردهای ملی هستند، می‌دهد. این مستلزم آن است که طرف های ارتباطی از این الگوریتم ها پشتیبانی کنند و آنها به طور استاندارد در توضیحات پارامترهای اتصال ثبت شوند.

فرآیند انتقال امن داده ها توسط قوانین امنیتی اتخاذ شده در سیستم کنترل می شود. پارامترهای تونل ایجاد شده شرح داده شده است ساختار اطلاعات، زمینه امنیتی یا تداعی امنیتی (از انگلیسی Security Association، مخفف SA) نامیده می شود. همانطور که در بالا ذکر شد، IPSec مجموعه ای از پروتکل ها است و ترکیب SA ممکن است بسته به پروتکل خاص متفاوت باشد. SA شامل:

آدرس IP گیرنده؛
نشانه ای از پروتکل های امنیتی مورد استفاده در انتقال داده ها؛
کلیدهای مورد نیاز برای رمزگذاری و تولید یک درج تقلیدی (در صورت لزوم)؛
نشانه ای از روش قالب بندی که نحوه ایجاد هدرها را تعیین می کند.
شاخص پارامترهای امنیتی (از انگلیسی Security Parameter Index، خلاصه SPI) - یک شناسه که به شما امکان می دهد SA مورد نظر را پیدا کنید.

معمولاً زمینه امنیتی یک جهته است و از دو SA برای انتقال داده ها از طریق تونل در هر دو جهت استفاده می شود. هر میزبان پایگاه SA مخصوص به خود را دارد که از آن عنصر مورد نظر بر اساس SPI یا آدرس IP گیرنده انتخاب می شود.

دو پروتکلی که IPSec را تشکیل می دهند عبارتند از:

پروتکل هدر احراز هویت- AH (از انگلیسی. Authentication Header)، که بررسی یکپارچگی و احراز هویت داده های ارسال شده را فراهم می کند. آخرین نسخهپروتکل در RFC 4302 توضیح داده شده است (قبلی - RFC 1826، 2402).
پروتکل حفاظت از داده ها (ESP) محصور کردن محموله امنیتی) - محرمانه بودن را فراهم می کند و به صورت اختیاری، می تواند بررسی یکپارچگی و احراز هویت را ارائه دهد، که در RFC 4303 (قبلی - RFC 1827، 2406) توضیح داده شده است.

هر دوی این پروتکل ها دو حالت کار دارند - حمل و نقل و تونل، دومی به عنوان اصلی تعریف شده است. حالت تونلاگر حداقل یکی از گره های اتصال یک دروازه امنیتی باشد استفاده می شود. در این حالت یک هدر IP جدید ایجاد می شود و بسته IP اصلی به طور کامل در یک بسته جدید کپسوله می شود.

حالت حمل و نقلاتصال میزبان به میزبان گرا. هنگام استفاده از ESP در حالت انتقال، فقط داده های بسته IP محافظت می شود، هدر تحت تأثیر قرار نمی گیرد. هنگام استفاده از AH، حفاظت به داده ها و بخشی از فیلدهای هدر گسترش می یابد. حالت های عملکرد با جزئیات بیشتر در زیر توضیح داده شده است.

پروتکل AH

در IP نسخه 4، هدر احراز هویت بعد از هدر IP قرار می گیرد. بسته IP اصلی را به عنوان ترکیبی از هدر IP، هدر پروتکل سطح بعدی (معمولاً TCP یا UDP، در شکل 5.10 به عنوان ULP تعیین شده است - از پروتکل سطح بالای انگلیسی) و داده ها تصور کنید.

برنج. 5.10.

فرمت هدر ESP را در نظر بگیرید (شکل 5.13). با دو مقدار 32 بیتی شروع می شود - SPIو SN. نقش آنها مانند پروتکل AH است - SPI SA مورد استفاده برای ایجاد این تونل را شناسایی می کند. SN- به شما امکان می دهد از خود در برابر تکرار بسته ها محافظت کنید. SNو SPIرمزگذاری نشده اند

فیلد بعدی حاوی داده های رمزگذاری شده است. پس از آنها - یک فیلد نگهدارنده، که به منظور تراز کردن طول فیلدهای رمزگذاری شده با مقداری که مضربی از اندازه بلوک الگوریتم رمزگذاری است، مورد نیاز است.

برنج. 5.12.

برنج. 5.13.

پس از مکان نگهدار، فیلدهایی حاوی طول مکان نگهدار و نشان دهنده پروتکل سطح بالاتر است. چهار فیلد فهرست شده (داده، مکان نگهدار، طول، پروتکل بعدی) رمزگذاری شده است.

اگر از ESP برای احراز هویت داده ها نیز استفاده شود، بسته با یک فیلد با طول متغیر حاوی ICV به پایان می رسد. برخلاف AH، در ESP، هنگام محاسبه مقدار درج، فیلدهای هدر IP (جدید - برای حالت تونل، اصلاح شده قدیمی - برای حمل و نقل) در نظر گرفته نمی شود.

وقتی پروتکل‌های AH و ESP با هم استفاده می‌شوند، بعد از هدر IP، AH و بعد از آن - ESP می‌آید. در این مورد، ESP مشکلات اطمینان از محرمانه بودن، AH - اطمینان از یکپارچگی و تأیید اعتبار منبع اتصال را حل می کند.

بیایید تعدادی از مسائل اضافی مربوط به استفاده از IPSec را در نظر بگیریم. بیایید با جایی شروع کنیم که اطلاعات مربوط به پارامترهای اتصال از کجا آمده است - SA. ایجاد پایگاه SA می تواند به روش های مختلفی انجام شود. به طور خاص، می توان آن را ایجاد کرد مدیر امنیتیبه صورت دستی، یا با استفاده از پروتکل های ویژه - SKIP، ISAKMP (انجمن امنیت اینترنت و پروتکل مدیریت کلید) و IKE (مبادله کلید اینترنت) تشکیل شده است.

IPSec و NAT

هنگام اتصال شبکه های سازمان ها به اینترنت، اغلب از مکانیسم ترجمه استفاده می شود آدرس های شبکه- NAT (ترجمه آدرس شبکه). این به شما این امکان را می دهد که تعداد آدرس های IP ثبت شده مورد استفاده در یک شبکه معین را کاهش دهید. در داخل شبکه، از آدرس‌های ثبت‌نشده استفاده می‌شود (به عنوان یک قاعده، از محدوده‌هایی که برای این منظور اختصاص داده شده‌اند، به عنوان مثال، آدرس‌هایی مانند 192.168.x.x برای شبکه‌های کلاس C). اگر بسته ای از چنین شبکه ای به اینترنت ارسال شود، روتر که رابط خارجی آن حداقل یک آدرس IP ثبت شده به آن اختصاص داده شده است، هدرهای IP را تغییر می دهد. بسته های شبکه، آدرس ثبت شده را جایگزین آدرس های خصوصی کنید. نحوه تعویض در جدول مخصوص ثبت می شود. پس از دریافت پاسخ، مطابق با جدول، جایگزینی معکوس انجام می شود و بسته به شبکه داخلی ارسال می شود.

مثالی از استفاده از NAT را در شکل در نظر بگیرید. 5.14. در این حالت از آدرس های خصوصی 192.168.0.x در شبکه داخلی استفاده می شود. از رایانه ای با آدرس 192.168.0.2 به شبکه خارجی به رایانه با آدرس 195.242.2.2 دسترسی پیدا می کنند. اجازه دهید این یک اتصال به یک وب سرور باشد (پروتکل HTTP که از پورت TCP 80 استفاده می کند).

هنگامی که بسته ای از مسیریاب عبور می کند که ترجمه آدرس را انجام می دهد، آدرس IP منبع (192.168.0.2) با آدرس رابط خارجی روتر (195.201.82.146) جایگزین می شود، و ورودی مشابه آنچه در نشان داده شده است.