Tunnelerings- og krypteringsprotokoller

IPsec bruker flere komponenter:

• AH (Authentication Header): gir integritet og autentisering, men ingen kryptering.
• ESP (Encapsulating Security Payload): gir kryptering samt integritet, og er den delen som brukes mest.
• IKE (Internet Key Exchange): forhandler nøkler og oppretter den sikre forbindelsen.

ESP sammen med IKE er den vanlige kombinasjonen som gir full konfidensialitet og integritet.

IPsec har to moduser. Transportmodus krypterer bare nyttelasten i pakken og lar den opprinnelige IP-headeren være urørt. Den brukes for vert-til-vert-forbindelser. Tunnelmodus krypterer hele den opprinnelige pakken og pakker den inn i en ny pakke.

Tunnelmodus brukes av site-to-site-VPN-er, siden den skjuler intern adressering og beskytter hele den opprinnelige pakken mellom de to gatewayene.

SSL/TLS (Secure Sockets Layer / Transport Layer Security)-VPN-er sikrer trafikk på et høyere lag og fungerer ofte direkte i en nettleser eller i en lettvektsklient. TLS er den samme protokollen som sikrer HTTPS-nettsteder.

SSL-VPN-er er populære for client-VPN-tilgang fordi de er enkle å distribuere, fungerer godt gjennom brannmurer og NAT, og kanskje ikke krever annen spesialprogramvare enn en nettleser.

De to protokollene utmerker seg på ulike områder:

• IPsec: godt egnet for site-to-site og tilgang til hele nettverk, men kan ha problemer med NAT og brannmurer og krever mer konfigurasjon.
• SSL/TLS: godt egnet for klienttilgang til bestemte apper, og fungerer godt i nettlesere og gjennom brannmurer.

Mange organisasjoner bruker IPsec mellom kontorer og SSL/TLS for eksterne brukere.

Nyere protokoller forbedrer de klassiske alternativene. WireGuard er en moderne, rask og lettvektsprotokoll med en liten kodebase som er enklere å revidere, og som er svært effektiv.

OpenVPN er et fleksibelt og mye brukt alternativ med åpen kildekode, bygget på TLS. IKEv2/IPsec foretrekkes på mobile enheter fordi den kobler til igjen raskt når nettverket endres, for eksempel ved bytte fra Wi-Fi til mobilnett.

Noen eldre VPN-protokoller er nå usikre og bør ikke brukes. PPTP (Point-to-Point Tunneling Protocol) har kjente svakheter og ødelagt kryptering. Vanlig L2TP (Layer 2 Tunneling Protocol) har ingen egen kryptering og må kombineres med IPsec.

Det er viktig å kjenne igjen utdaterte protokoller: Bruk av dem gir en falsk trygghetsfølelse samtidig som trafikken forblir eksponert.

Alle disse protokollene er avhengige av kryptografi. De bruker symmetrisk kryptering (én delt nøkkel) for store datamengder fordi det går raskt, og asymmetrisk kryptering (nøkkelpar) samt nøkkelutvekslingsalgoritmer for å bli enige om den delte nøkkelen på en sikker måte.

Det er sterke, moderne krypteringsalgoritmer og riktig nøkkelutveksling som gjør en tunnel virkelig sikker. Svak eller utdatert kryptografi undergraver selv en gjennomtenkt VPN.

VPN-konfigurasjon handler først og fremst om endepunkter, nøkler og tillatt trafikk. Dette forenklede utdraget viser hva slags innstillinger en WireGuard-peer bruker.

IPsec sikrer trafikk på lag 3 ved hjelp av ESP og IKE, med tunnelmodus for site-to-site-forbindelser. SSL/TLS-VPN-er sikrer klienttilgang og fungerer godt i nettlesere og gjennom brannmurer. Moderne alternativer som WireGuard, OpenVPN og IKEv2 gir bedre hastighet og mobilitet, mens eldre PPTP bør unngås.

IPsec sikrer trafikk på nettverkslaget med AH, ESP og IKE, og bruker tunnelmodus for site-to-site-VPN-er. SSL/TLS-VPN-er egner seg for nettleserbasert klienttilgang. Moderne protokoller omfatter WireGuard, OpenVPN og IKEv2, mens usikre, eldre alternativer som PPTP bør fases ut.