IPsec: Hvad er det? Definition, sikkerhed og anvendelser

Lær IPsec: hvad det er, hvordan kryptering og autentificering beskytter IP-trafik, og praktiske anvendelser for værter, gateways og sikre VPN-forbindelser.

Internet Protocol Security (IPsec) er en måde at gøre internetkommunikation mere sikker og privat på.

IPsec er en samling af protokoller til sikring af Internet Protocol (IP)-kommunikation ved at autentificere (og eventuelt kryptere) hver enkelt IP-pakke i en datastrøm. IPsec omfatter også protokoller til etablering af gensidig autentificering mellem agenterne i begyndelsen af sessionen og forhandling af kryptografiske nøgler, der skal anvendes i løbet af sessionen. IPsec kan anvendes til at beskytte datastrømme mellem et par værter (f.eks. computerbrugere eller servere), mellem et par sikkerhedsgateways (f.eks. routere eller firewalls) eller mellem en sikkerhedsgateway og en vært. RFC 2406

IPsec er en end-to-end-sikkerhedsløsning og fungerer i internetlaget i Internet Protocol Suite, svarende til lag 3 i OSI-modellen. Andre internetsikkerhedsprotokoller, der er meget udbredte, såsom SSL, TLS og SSH, opererer i de øverste lag af disse modeller. Dette gør IPsec mere fleksibel, da den kan bruges til at beskytte alle protokoller på højere niveauer, fordi applikationerne ikke behøver at blive designet til at bruge IPsec, hvorimod brugen af TLS/SSL eller andre protokoller i højere lag skal indbygges i applikationen.

Udtrykket "IPsec" er officielt defineret af Internet Engineering Task Force (IETF). Denne definition omfatter også den form for versaler, der anvendes for udtrykket; det staves ofte fejlagtigt IPSec.

Hvad består IPsec af?

• Hovedkomponenter:
  • Authentication Header (AH): Giver autentificering og integritet for IP-pakker, men tilbyder ikke kryptering (dvs. ingen fortrolighed). AH dækker dele af IP-headeren, hvorfor det kan være problematisk sammen med NAT.
  • Encapsulating Security Payload (ESP): Leverer fortrolighed (kryptering), integritet og autentificering for IP-payload. ESP er den mest udbredte komponent til VPN-trafik.
  • Security Associations (SA): En SA er en ensrettet logisk forbindelse, der beskriver hvilke algoritmer, nøgler og parametre der bruges til at beskytte trafikken. To parrettede SAs (én i hver retning) er normalt nødvendige for kommunikation.
  • IKE (Internet Key Exchange): Protokollen til at etablere SAs og udveksle krypteringsnøgler. IKEv2 er den moderne og rekommenderede version, som forbedrer ydeevne og stabilitet sammenlignet med IKEv1.
• Sikkerhedstjenester: Autentificering af parterne, dataintegritet (forhindrer manipulation), fortrolighed (kryptering), og anti-replay-beskyttelse (sekvensnumre for at modvirke gentagne pakker).

Transport- vs. tunnel-mode

• Transportmode: Kun IP-payload (transportlaget og frem) er beskyttet; IP-headeren bevares. Anvendes ofte for vært-til-vært kommunikation.
• Tunnelmode: Hele IP-pakken indkapsles i en ny IP-pakke med en ny ydre IP-header. Bruges typisk mellem sikkerhedsgateways (site-to-site VPNs) eller til remote access, hvor interne adresser skjules.

Nøgleudveksling og IKE

• IKE (v1 & v2): Håndterer autentificering af enheder og forhandling af kryptografiske parametre. IKEv2 forenkler processerne, håndterer NAT-T, genforhandling og fejlbedømmelse bedre, og anbefales i nye implementeringer.
• NAT-træning (NAT-T): IPsec-trafik kan være påvirket af Network Address Translation. NAT-T indkapsler ESP i UDP for at gøre trafikken NAT-venlig.

Anvendelser og typiske scenarier

• Site-to-site VPN: Forbindelse mellem to netværk (kontor til kontor) over internettet.
• Remote access VPN: En enkelt brugers computer opretter en sikker forbindelse ind i virksomhedens netværk.
• Host-to-host sikker kommunikation mellem servere uden behov for applikationsændringer.
• Beskyttelse af routingprotokoller eller forbindelser mellem datacentre og cloudleverandører.
• Integration i SD-WAN, IoT-gateways og andre infrastrukturkomponenter, hvor netværkslaget-sikkerhed er ønsket.

Fordele og begrænsninger

• Fordele:
  • End-to-end beskyttelse i netværkslaget — virker for alle overliggende protokoller uden ændringer i applikationerne.
  • Stærkt standardiseret og bredt understøttet af operativsystemer og netværksudstyr.
  • Fleksibilitet i valg af kryptografiske algoritmer og politikker.
• Begrænsninger og udfordringer:
  • Kompleks konfiguration og interoperabilitet mellem forskellige leverandører kan kræve omhyggelig politik-synkronisering.
  • AH er ikke kompatibel med NAT; ESP kræver ofte NAT-T i NAT-miljøer.
  • Ydeevne: Kryptering kan være CPU-intensivt uden hardwareacceleration (f.eks. AES-NI eller dedikerede VPN-acceleratorer).
  • MTU- og fragmenteringsproblemer på grund af ekstra overhead ved indkapsling (særligt i tunnelmode).

Kryptografi og moderne praksis

• Moderne implementeringer foretrækker AEAD-algoritmer som AES-GCM eller ChaCha20-Poly1305 for både kryptering og integritet i én operation.
• HMAC-baserede løsninger (f.eks. HMAC-SHA256) og traditionelle AES-CBC med HMAC blev tidligere udbredt, men skiftes ofte ud til fordel for AEAD.
• Regelmæssig nøglerotation, brug af stærke nøgler og korrekt validering af certifikater eller foruddelte nøgler (pre-shared keys) er vigtigt for sikker drift.

Implementerings- og driftsråd

• Brug IKEv2, hvor det er muligt, for bedre stabilitet og enklere fejlhåndtering.
• Test interoperabilitet mellem forskellige enheder og software-versioner før produktion.
• Overvåg ydeevne og overvej hardwareacceleration for høje trafikmængder.
• Planlæg for MTU-justeringer eller path-MTU discovery for at undgå fragmenteringsproblemer.
• Husk at dokumentere sikkerhedspolitikker, nøglestyringsprocedurer og genforhandlingsintervaller.

Standarder og videre læsning

• IPsec er specificeret af IETF — tidlige RFC'er inkluderer RFC 2401 (arkitektur) og RFC 2406 (ESP). Nyere samlinger og opdateringer findes i RFC 4301 og relaterede RFC'er for IKEv2 og moderne algoritmer.
• Eftersom feltet udvikler sig, er det en god idé at følge IETF-arbejdet og leverandørernes sikkerhedsvejledninger for anbefalede algoritmer og konfigurationer.

Kort sagt: IPsec er en fleksibel og kraftfuld ramme til at sikre IP-baseret kommunikation på netværkslaget. Ved korrekt konfiguration og vedligeholdelse kan IPsec give stærk autentificering, integritet og fortrolighed for en lang række brugsscenarier — fra enkeltbrugere til store netværk og datacenterforbindelser.

Spørgsmål og svar

Spørgsmål: Hvad er internetprotokolsikkerhed (IPsec)?

Q: Hvordan virker IPsec?

Spørgsmål: Hvad er nogle andre populære internetsikkerhedsprotokoller?

Spørgsmål: Hvordan gør dette IPsec mere fleksibel?

Spørgsmål: Hvem definerer, hvad "IPsec" betyder?

Søg efter bogstav