IPsec: протоколы IKEv2, ESP и AH

IPsec — это не один протокол, а набор стандартов для аутентификации и шифрования IP-трафика. Основные компоненты — IKE (обмен интернет-ключами) для установления и управления ассоциациями безопасности, ESP (инкапсулированная полезная нагрузка безопасности) для шифрования и обеспечения целостности и AH (заголовок аутентификации) для обеспечения целостности без шифрования. IPsec работает на сетевом уровне и защищает весь трафик без изменений в приложениях.

IKEv2 (RFC 7296) заменил IKEv1 благодаря более простой и эффективной архитектуре. IKEv1 требовал нескольких режимов и обменов сообщениями, тогда как IKEv2 использует единую модель обмена. IKEv2 также включает встроенный обход NAT, поддержку EAP для аутентификации пользователей, MOBIKE для смены мобильного IP-адреса и более надёжные настройки по умолчанию. В большинстве современных реализаций VPN используется IKEv2.

Обмен IKE_SA_INIT устанавливает ассоциацию безопасности IKE. Инициатор отправляет поддерживаемые алгоритмы, общие ключевые данные DH и одноразовое значение. Ответчик выбирает алгоритмы и отправляет свои ключевые данные DH и одноразовое значение. Обе стороны вычисляют один и тот же общий секрет и выводят ключи для ассоциации безопасности IKE. Этот обмен защищает последующий этап IKE_AUTH.

Обмен IKE_AUTH аутентифицирует участников и создаёт первую дочернюю SA для фактического трафика. Для аутентификации можно использовать сертификаты X.509 (наиболее безопасный вариант), предварительно установленные ключи (PSK) или методы EAP для аутентификации на уровне пользователя. В ходе обмена также согласуются параметры дочерней SA: селекторы трафика (диапазоны IP, которые нужно защищать), алгоритм шифрования и алгоритм обеспечения целостности.

ESP (инкапсулированная полезная нагрузка безопасности) — основной механизм защиты трафика IPsec. В туннельном режиме ESP инкапсулирует весь исходный IP-пакет в новый IP-пакет с заголовком ESP, обеспечивая и шифрование, и целостность. В транспортном режиме ESP защищает только полезную нагрузку исходного IP-пакета, сохраняя исходный заголовок IP. В современных развёртываниях для ESP рекомендуется алгоритм AES-256-GCM.

AH (заголовок аутентификации) обеспечивает целостность и аутентификацию без шифрования. Он охватывает исходный заголовок IP (в отличие от ESP), но из-за этого несовместим с NAT, который изменяет поля заголовка IP. Поскольку AH не обеспечивает конфиденциальность и нарушает прохождение через NAT, на практике он используется редко. ESP с надёжными алгоритмами AEAD обеспечивает лучшую защиту, чем отдельное применение AH и шифрования.

В транспортном режиме IPsec защищает полезную нагрузку между двумя конечными точками, но оставляет заголовки IP видимыми. Этот режим используется для связи между узлами, когда сведения о маршрутизации не требуется скрывать. В туннельном режиме весь исходный IP-пакет инкапсулируется в новый пакет, скрывая источник и назначение от наблюдателей. Шлюзы VPN всегда используют туннельный режим для соединения сетей или подключения пользователей к сетям.

Стандартный ESP не может проходить через NAT, поскольку NAT изменяет заголовки IP и номера портов, целостность которых защищает ESP. IPsec решает эту проблему с помощью NAT-T (обход NAT): он обнаруживает NAT во время обмена IKE и инкапсулирует пакеты ESP в UDP через порт 4500. Эта оболочка UDP позволяет NAT преобразовывать адреса, не нарушая проверку целостности ESP.

IPsec поддерживает базу данных ассоциаций безопасности (SAD), в которой хранятся все активные SA с их ключами, алгоритмами и сроками действия. База данных политик безопасности (SPD) определяет, какой трафик следует защищать, пропускать без защиты или отбрасывать. Когда исходящий трафик соответствует записи SPD, ядро находит или создаёт соответствующую SA в SAD и применяет указанную защиту.

EAP (расширяемый протокол аутентификации) в IKEv2 обеспечивает методы аутентификации на уровне пользователя, дополняющие сертификаты и PSK. EAP-TLS использует сертификаты клиентов, EAP-MSCHAPv2 использует имя пользователя и пароль (что распространено в клиентах Windows), а EAP-TTLS передаёт внутренние методы через туннель внутри сеанса TLS. Во многих корпоративных VPN на базе IPsec для шлюза используется аутентификация по сертификату, а для отдельных пользователей — EAP.

Для ассоциаций безопасности устанавливаются ограничения срока действия по объёму данных и времени. Когда срок действия дочерней SA подходит к концу, IKEv2 автоматически создаёт новую SA со свежими ключами в ходе обмена CREATE_CHILD_SA. Повторное создание ключей обеспечивает прямую секретность: раскрытие текущего ключа не позволяет получить доступ к прошлому трафику, зашифрованному предыдущими ключами. Срок действия ассоциации безопасности IKE обычно больше срока действия дочерней SA.

Повторим материал об IPsec: IKEv2 устанавливает ассоциации безопасности через IKE_SA_INIT (обмен ключами DH) и IKE_AUTH (аутентификация участников), ESP обеспечивает зашифрованный и аутентифицированный туннельный режим для трафика, AH используется редко из-за несовместимости с NAT, NAT-T оборачивает ESP в UDP для прохождения через NAT, а автоматическое повторное создание ключей обеспечивает прямую секретность на всём протяжении срока действия сеанса VPN.