Protocolos de Tunelamento e Criptografia

Um túnel de VPN é criado por protocolos específicos que definem como o tráfego é encapsulado, criptografado e autenticado. Protocolos diferentes atendem a necessidades diferentes, equilibrando segurança, velocidade e compatibilidade.

Os dois gigantes da tecnologia de VPN são IPsec e SSL/TLS. Entender suas funções ajuda você a reconhecer como praticamente toda VPN que encontrar é realmente construída.

O IPsec (Segurança do Protocolo de Internet) é um conjunto de protocolos que protege o tráfego na camada de rede (Camada 3). Ele pode criptografar e autenticar cada pacote entre dois endpoints e é a base da maioria das VPNs site-to-site.

Como funciona na Camada 3, o IPsec protege todo o tráfego de forma transparente, independentemente do aplicativo que o envia, o que o torna ideal para conectar redes inteiras.

O IPsec usa vários componentes:

• AH (Cabeçalho de Autenticação): fornece integridade e autenticação, mas não criptografia.
• ESP (Carga de Segurança de Encapsulamento): fornece criptografia e integridade; é o componente mais usado.
• IKE (Troca de Chaves da Internet): negocia chaves e configura a associação segura.

ESP com IKE é a combinação comum que oferece confidencialidade e integridade completas.

O IPsec funciona em dois modos. O modo de transporte criptografa somente a carga útil do pacote, deixando o cabeçalho IP original, e é usado em links entre hosts. O modo túnel criptografa o pacote original inteiro e o envolve em um novo pacote.

O modo túnel é usado pelas VPNs site-to-site, pois oculta o endereçamento interno e protege o pacote original completo entre os dois gateways.

As VPNs SSL/TLS (Secure Sockets Layer / Segurança da Camada de Transporte) protegem o tráfego em uma camada superior e geralmente funcionam diretamente em um navegador ou em um cliente leve. TLS é o mesmo protocolo que protege sites HTTPS.

As VPNs SSL são populares para acesso remoto de clientes porque são fáceis de implantar, funcionam facilmente através de firewalls e NAT e podem não exigir software especial além de um navegador.

Os dois se destacam em tarefas diferentes:

• IPsec: excelente para acesso site-to-site e a redes inteiras, mas pode ter dificuldades com NAT e firewalls e requer mais configuração.
• SSL/TLS: excelente para acesso de clientes a aplicativos específicos e compatível com navegadores e firewalls.

Muitas organizações usam IPsec entre escritórios e SSL/TLS para usuários remotos.

Protocolos mais recentes aprimoram os clássicos. O WireGuard é um protocolo moderno, rápido e leve, com uma base de código pequena, mais fácil de auditar e muito eficiente.

O OpenVPN é uma opção flexível, de código aberto e amplamente usada, baseada em TLS. O IKEv2/IPsec é preferido em dispositivos móveis porque se reconecta rapidamente quando a rede muda, por exemplo, ao alternar do Wi-Fi para a rede celular.

Alguns protocolos de VPN antigos são agora inseguros e não devem ser usados. O PPTP (Protocolo de Tunelamento Ponto a Ponto) tem vulnerabilidades conhecidas e criptografia comprometida. O L2TP puro (Protocolo de Tunelamento de Camada 2) não tem criptografia própria e precisa ser combinado com IPsec.

Reconhecer protocolos obsoletos é importante: usá-los proporciona uma falsa sensação de segurança enquanto deixa o tráfego exposto.

Todos esses protocolos dependem de criptografia. Eles usam criptografia simétrica (uma chave compartilhada) para grandes volumes de dados, pois ela é rápida, e criptografia assimétrica (pares de chaves), além de algoritmos de troca de chaves, para concordar com segurança sobre essa chave compartilhada.

Cifras modernas e fortes, juntamente com uma troca de chaves adequada, são o que torna um túnel realmente seguro; uma criptografia fraca ou obsoleta compromete até mesmo uma VPN bem projetada.

A configuração de uma VPN se concentra nos endpoints, nas chaves e no tráfego permitido. Este trecho simplificado mostra o tipo de configuração usado por um par do WireGuard.

O IPsec protege o tráfego na Camada 3 usando ESP e IKE, com o modo túnel para links site-to-site. As VPNs SSL/TLS protegem o acesso de clientes e são compatíveis com navegadores e firewalls. Opções modernas como WireGuard, OpenVPN e IKEv2 melhoram a velocidade e a mobilidade, enquanto o antigo PPTP deve ser evitado.

O IPsec protege o tráfego na camada de rede com AH, ESP e IKE, usando o modo túnel para VPNs site-to-site. As VPNs SSL/TLS são adequadas para acesso de clientes pelo navegador. Entre os protocolos modernos estão WireGuard, OpenVPN e IKEv2, enquanto opções antigas inseguras, como o PPTP, devem ser abandonadas.