Tunnlings- och krypteringsprotokoll

En VPN-tunnel skapas av specifika protokoll som definierar hur trafik kapslas in, krypteras och autentiseras. Olika protokoll passar olika behov och balanserar säkerhet, hastighet och kompatibilitet.

De två viktigaste VPN-teknikerna är IPsec och SSL/TLS. Genom att förstå deras roller blir det lättare att se hur nästan alla VPN-lösningar du möter faktiskt är uppbyggda.

IPsec (Internet Protocol Security) är en protokollsvit som skyddar trafik på nätverkslagret (lager 3). Den kan kryptera och autentisera varje paket mellan två slutpunkter och utgör stommen i de flesta site-to-site-VPN.

Eftersom IPsec fungerar på lager 3 skyddar det all trafik transparent, oavsett vilken applikation som skickar den, vilket gör det idealiskt för att ansluta hela nätverk.

IPsec använder flera delar:

• AH (Authentication Header): ger integritet och autentisering men ingen kryptering.
• ESP (Encapsulating Security Payload): ger kryptering samt integritet och är den del som används mest.
• IKE (Internet Key Exchange): förhandlar fram nycklar och upprättar den säkra associationen.

ESP med IKE är den vanliga kombinationen som ger fullständig sekretess och integritet.

IPsec körs i två lägen. Transportläge krypterar endast paketets nyttolast och lämnar den ursprungliga IP-headern orörd; det används för anslutningar mellan värdar. Tunnelläge krypterar hela det ursprungliga paketet och kapslar in det i ett nytt paket.

Tunnelläge är det som site-to-site-VPN använder, eftersom det döljer den interna adresseringen och skyddar hela det ursprungliga paketet mellan de båda gatewayservrarna.

SSL/TLS (Secure Sockets Layer / Transport Layer Security) VPN skyddar trafik på ett högre lager och fungerar ofta direkt i en webbläsare eller med en lätt klient. TLS är samma protokoll som skyddar HTTPS-webbplatser.

SSL-VPN är populära för fjärråtkomst med klienter eftersom de är enkla att distribuera, fungerar smidigt genom brandväggar och NAT och kanske inte kräver någon särskild programvara utöver en webbläsare.

De två passar bäst för olika uppgifter:

• IPsec: utmärkt för site-to-site och åtkomst till hela nätverk, men kan ha problem med NAT och brandväggar och kräver mer konfiguration.
• SSL/TLS: utmärkt för klientåtkomst till specifika appar samt webbläsar- och brandväggsvänligt.

Många organisationer använder IPsec mellan kontor och SSL/TLS för fjärranvändare.

Nyare protokoll förbättrar de klassiska alternativen. WireGuard är ett modernt, snabbt och lättviktigt protokoll med en liten kodbas som är enklare att granska och mycket effektivt.

OpenVPN är ett flexibelt och vanligt open source-alternativ som bygger på TLS. IKEv2/IPsec är populärt på mobila enheter eftersom det återansluter snabbt när nätverket ändras, till exempel vid byte från Wi-Fi till mobilnät.

Vissa äldre VPN-protokoll är numera osäkra och bör inte användas. PPTP (Point-to-Point Tunneling Protocol) har kända svagheter och bristfällig kryptering. Vanlig L2TP (Layer 2 Tunneling Protocol) har ingen egen kryptering och måste kombineras med IPsec.

Det är viktigt att känna igen föråldrade protokoll: om du använder dem får du en falsk känsla av säkerhet samtidigt som trafiken lämnas oskyddad.

Alla dessa protokoll bygger på kryptografi. De använder symmetrisk kryptering (en gemensam nyckel) för stora datamängder eftersom den är snabb, samt asymmetrisk kryptering (nyckelpar) och algoritmer för nyckelutbyte för att säkert komma överens om den gemensamma nyckeln.

Starka, moderna chiffer och korrekt nyckelutbyte är det som gör en tunnel verkligt säker. Svag eller föråldrad kryptografi undergräver även ett väl utformat VPN.

VPN-konfigurationen kretsar kring slutpunkter, nycklar och tillåten trafik. Det här förenklade kodexemplet visar vilken typ av inställningar en WireGuard-peer använder.

IPsec skyddar trafik på lager 3 med hjälp av ESP och IKE, med tunnelläge för site-to-site-länkar. SSL/TLS-VPN skyddar klientåtkomst och fungerar bra med webbläsare och brandväggar. Moderna alternativ som WireGuard, OpenVPN och IKEv2 förbättrar hastighet och mobilitet, medan det föråldrade PPTP bör undvikas.

IPsec skyddar trafik på nätverkslagret med AH, ESP och IKE och använder tunnelläge för site-to-site-VPN. SSL/TLS-VPN passar för webbläsarbaserad klientåtkomst. Moderna protokoll omfattar WireGuard, OpenVPN och IKEv2, medan osäkra äldre alternativ som PPTP bör tas ur bruk.