ike – RSNET.PL https://kubsoo.github.io/rsnet-website/ wszystko o sieciach komputerowych Sat, 22 Feb 2020 11:40:47 +0000 pl-PL hourly 1 https://wordpress.org/?v=4.9.8 IPSEC VPN – teoria https://kubsoo.github.io/rsnet-website/ipsec-vpn-teoria/ https://kubsoo.github.io/rsnet-website/ipsec-vpn-teoria/#respond Sun, 17 Dec 2017 20:41:10 +0000 https://kubsoo.github.io/rsnet-website/?p=925

Czym jest IPSEC ?

IPSEC jest zestawem protokołów, który pozwala na zestawianie bezpiecznego szyfrowanego tunelu pomiędzy dwoma urządzeniami sieciowymi za pośrednictwem internetu. IPSEC zapewnia uwierzytelnianie stron biorących udział w zestawieniu tunelu oraz integralność,  poufność przesyłanych danych i ochronę przed atakimi powtórzeniowymi (replay protection). IPSEC służy do budowania sieci VPN w Internecie.

Funkcje bezpieczeństwa IPSEC:

1. Uwierzytelnianie

Obie strony biorące udział w zestawianiu tunelu muszą zostać uwierzytelnione, które potwierdzania tożsamości obu stron podczas komunikacji. W IPSEC istnieją 3 metody uwierzytelniania:

  • wstępnie uzgodnione klucze (preshared keys)
  • klucze RSA (klucze prywatne i publiczne)
  • certyfikaty

2. Integralność danych

Ta funkcja zapewnia, że dane nie zostały zmienione podczas stransmisji. Służą do tego algorytmy haszujące (SHA, MD5)

3. Poufność przesyłanych danych 

Poufność przesyłanych danych w IPSEC otrzymuje się poprzez szyfrowanie danych. Rodzaje stosowanego szyfrowania (DES, 3DES, AES)

4. Ochrona odtwarzania

Zapewnia otrzymanie danego pakietu tylko raz. Jest to realizowane przez numer sekwencyjny. Każdemu pakietowi nadawany jest numer sekwencyjny. Numer sekwencyjny jest losowany i zwiększany o 1 z każdym wysłanym przez dany kanał pakietem i służy do rozpoznawania pakietów o kolejności przestawionej podczas wędrówki po sieci oraz chroni przed atakami powtórzeniowymi

Tryby IPSEC

IPSEC VPN może być skonfigurowane w dwóch trybach:

  • tryb tunelowy

domyślny tryb, cały pakiet IP jest szyfrowany przez IPSEC, włącznie z nagłówkiem IP, dodawany jest nowy nagłówek IP. Mówiąc to w prostych słowach, w tym trybie nie widzimy kto ze sobą rozmawia ani o czym.

  • tryb transportowy

obejmuje szyfrowanie samych danych, pozostawiając oryginalny nagłówek IP, nowy nagłówek jest dodawany pomiędzy nagłówkiem IP a nagłówkiem transportowym (L4)

Tryb tunelowy stosuje się między routerami/gatewayami, natomiast tryb transportowy stosuje się do tworzenia sieci VPN pomiędzy komputerami.

Nagłówki IPSEC

Protokoły wykorzystywane przez IPSEC

IPSEC korzysta z trzech podstawowych protokołów:

  • IKE (Internet Key Exchange)
  • ESP (Encapsulating Security Payload
  • AH (Authentication Header)

IKE (Internet Key Exchange)

Przed zestawieniem tunelu IPSec konieczne jest ustalenie związków bezpieczeństwa (Security Association). Może być to realizowane ręcznie albo przy użyciu protokołu IKE. IKE posiada dwie wersje (IKEv1 oraz IKEv2). W tym wpisie będę odwoływał się do wersji IKEv1. Wszystkie informacje o IKE można znaleźć w poniższych RFC:

https://www.ietf.org/rfc/rfc5996.txt

https://www.ietf.org/rfc/rfc2409.txt

Protokół IKE bazuje na algorytmie Diffiego-Hellmana, który pozwala w bezpieczny sposób wyznaczyć bezpieczny klucz sesji.

Nawiązanie bezpiecznej sesji IKE składa się z z dwóch faz.

  • faza 1 – ISAKMP phase 1 w trakcie której tworzy się IKE SA
  • faza 2 – w trakcie której tworzy się IPSEC SA

W fazie 1 następuje uwierzytelnienie stron komunikujących się między sobą, wybór algorytmów uwierzytelniania, ochrony poufności, integralności, sposób wyboru klucza sesji, ustalenie klucza sesji itp. Wynikiem tej fazy jest ISAKMP SA – security association, które służy dalszej ochronie komunikacji odbywającej się w fazie 2. Utworzone w fazie pierwszej SA jest dwukierunkowe. Standardowo kanał wymiany kluczy działa na porcie UDP/500. Faza 1 może być przeprowadzana w jednym z dwóch trybów: 

  • main mode
  • aggressive mode

W trybie main  mode przy preshared keys wymienianych jest 6 wiadomości pomiędzy stronami do utworzenia IKE SA. W trybie aggressive mode IKE SA jest tworzone po 3 wiadomościach.

LEGENDA:

SA (Security Association) – propozycje algorytmów szyfrowania, funkcji skrótu, metod uwierzytelniania, grupy DH…

klucz – służy do wygenerowania algorytmem Diffie Hellman współdzielonego klucza do szyfrowania transmisji

Ni, Nr – losowy numer, który jest użyty tylko raz i zapobiega atakom powtórzeniowym 

IDii, IDir – tożsamość stron  biorących udział w negocjacji IKE SA, mogą to być adresy IP lub FQDN

Hash_I, Hash_R – hash który powstaje na podstawie klucza, IDii/IDir i danych.

Nagłówek ISAKMP* – oznacza że jest to nagłówek zaszyfrowany  

 

W fazie 2 zostanie utworzone IPSEC SA, które będzie służyć do ochrony ruchu między komunikującymi się stronami, wykorzystując protokoły ESP i AH. SA w fazie drugiej jest jednokierunkowe, więc tworzone są 2 SA dla komunikacji w obie strony.

ESP i AH

ESP (Encapsulating Security Payload):
  • ESP zapewnia szyfrowanie, uwierzytelnianie i integralność danych
  • protokół IP numer 50
  • większy narzut niż w AH
 
AH (Authentication Header):
  • AH zapewnia uwierzytelnianie, integralność danych, ale nie zapewnia poufności jak ESP.
  • protokół IP numer 51
  • mniejszy narzut niż w ESP

 

Nagłówki ESP i AH w trybie transportowym:

 

Konfiguracja tunelu IPSEC VPN

W moich poprzednich wpisach pokazałem jak skonfigurować tunel IPSEC pomiędzy dwoma routerami CISCO link, oraz pomiędzy routerem CISCO a firewallem Palo Alto link

]]> https://kubsoo.github.io/rsnet-website/ipsec-vpn-teoria/feed/ 0