Projekt zespołowy

Zasady działania sieci VPN na

bazie protokołów IPSec/IKE

mgr inż. Wiesław PYZIK

[e-mail]

Techniczne zasady funkcjonowania sieci IPSec

Zestaw protokołów IPSec (IP Security) jest powszechnie stosowany do zabezpieczenia
danych przesyłanych w sieciach. Ochrona danych w IPSec realizowana jest na
poziomie warstwy 3 modelu OSI, czyli na poziomie datagramów IP.

IPSec zawiera dwa stosowane w zależności od potrzeb protokoły ochrony danych:

–

ESP (Encapsulating Security Payload) - stosowany do szyfrowania oraz

częściowego uwierzytelniania danych,

–

AH (Authentication Header) - służy do uwierzytelniania danych bez ich

szyfrowania.

Technicznie, funkcjonowanie IPSec polega na zabezpieczeniu datagramu IP

dodaniu do niego nagłówków ESP lub AH tak, aby odbiorca datagramu mógł go
odczytać i zweryfikować jego integralność i autentyczność.

Zasady działania sieci VPN na bazie protokołów
IPSec/IKE

Występują dwa tryby IPSec:

Transport Mode - tryb IPSec bez tunelowania pakietów (tzn. pozostają oryginalne

nagłówki datagramów IP),

Tunnel Mode - tryb IPSec z tunelowaniem pakietów.

Zasady działania sieci VPN na bazie protokołów
IPSec/IKE

Security Association (SA) - zestaw informacji, które należy ustalić tprzed

rozpoczęciem transmisji m.in. protokół ESP czy AH, algorytmy i klucze
kryptograficzne.

Każdy tunel VPN powinien posiadać unikalne SA do ochrony wysyłanych i odbieranych

informacji (tzn. dla jednego tunelu VPN wymagane są dwa SA).

Urządzenie VPN posiada do tego celu bazę SA ponumerowaną za pomocą unikalnych

identyfikatorów o nazwie Security Parameters Index (SPI). Numery SPI
przekazywane są w nagłówkach ESP i AH tak, aby urządzenie odbierające pakiety
IPSec widziało, w jaki sposób zostały zabezpieczone.

Elementy konfiguracji IPSec ESP

Elementy konfiguracji IPSec ESP

Proces ustalania SA pomiędzy urządzeniami VPN za pomocą protokołu IKE przebiega w

następujący sposób:

faza 1 (negocjacja IKE SA) . zestawienie bezpiecznego kanału komunikacji do

prowadzenia dalszych negocjacji (tzn. dla fazy 2),

faza 2 (negocjacja IPSec SA) . uzgodnienie SA do zabezpieczania transmisji

danych.

Faza 1 może przebiegać w normalnym trybie Main Mode lub trybie przyspieszonym

Aggressive Mode. W trybie Aggressive Mode w czasie negocjowania IKE SA
przesyłana jest mniejsza liczba pakietów.

Faza 2 nosi nazwę Quick Mode.
Tryb Main Mode stosowany jest zwykle w konfiguracjach VPN Site-Site ze stałymi

adresami IP urządzeń VPN, zaś tryb Aggressive Mode w konfiguracjach VPN
Client-Site z adresami IP przydzielanymi dynamicznie (np. Dial-up).

Baza 1 protokołu IKE wykonywana w trybie Main Mode polega na
wymianie sześciu wiadomości.

Faza 1 IKE (Main Mode)

Faza 1 IKE (Aggressive Mode)

Faza 1 wykonywana w trybie Aggressive Mode umożliwia zestawienie bezpiecznego

kanału komunikacji IKE jednak odbywa się to tylko za pomocą trzech wiadomości.
Negocjacja IKE w trybie Aggressive Mode przebiega w następującej kolejności:

Wiadomość 1 - urządzenie inicjujące tunel VPN wysyła propozycję SA, swój klucz

publiczny Diffiego-Hellmana, Nonce (liczbę losową) oraz identyfikator IKE. Jako
identyfikator IKE może zostać użyty np. adres e-mail, nazwa urządzenia Fully
Qualified Domain Name (FQDN), a także adres IP, ale tylko wtedy gdy nie jest
dynamiczny (tzn. urządzenie VPN posiada na stałe przypisany adres IP).

Wiadomość 2 - urządzenie odpowiadające na próbę zestawienia tunelu VPN

akceptuje otrzymaną propozycję SA, uwierzytelnia wymianę informacji (tzn.
przesyła kod Hash obliczony za pomocą Pre-Shared Secret), wysyła swój klucz
publiczny Diffiego- Hellmana, Nonce (liczbę losową) oraz swój identyfikator IKE.

Wiadomość 3 - urządzenie inicjujące tunel VPN uwierzytelnia wymianę informacji

(tzn. przesyła kod Hash obliczony za pomocą Pre-Shared Secret) i potwierdza
otrzymane dane.

Faza 2 IKE (Quick Mode)

Faza 2 IKE ma za zadanie wyznaczyć SA do szyfrowania i uwierzytelniania danych

przesyłanych w tunelu IPSec. Odbywa się to poprzez wymianę trzech wiadomości.
Komunikacja jest zabezpieczona za pomocą SA wyznaczonego w fazie 1 IKE.

W wiadomościach 1 i 2 urządzenia VPN ustalają odpowiednie dla siebie SA. Podobnie

jak w fazie 1 urządzenie inicjujące IKE może podać wiele propozycji SA. W fazie 2
IKE może zostać wykonana druga wymiana kluczy Diffiego-Hellmana (pierwsza
odbywa się w fazie 1) i obliczenie za ich pomocą nowego klucza sesji. Wiadomość
3 służy do potwierdzenia informacji otrzymanych w wiadomości 2.

Dziękuję za uwagę.

mgr inż. Wiesław PYZIK

[e-mail]