IPsec

IPsec — IP paketlarini autentifikatsiya qilish, yaxlitligini tekshirish va shifrlash uchun ishlatiladigan protokollar to‘plami. Uning to‘liq nomi Internet Protocol Security hisoblanadi.

IPsec site-to-site VPN, masofaviy foydalanuvchi ulanishi, hostlararo himoyalangan aloqa va operator tarmoqlarida qo‘llanadi.

IPsec bitta protokol emas. U ESP, AH, Security Association, IKE, kalit almashish va trafik siyosatini birgalikda ishlatadi.

Security Association

Security Association — IPsec himoyasi uchun kelishilgan bir yo‘nalishli holat.

SA quyidagilarni saqlaydi:

• SPI;
• peer manzil;
• shifrlash algoritmi;
• yaxlitlik algoritmi;
• sessiya kalitlari;
• sequence number;
• anti-replay oynasi;
• amal qilish muddati;
• tunnel yoki transport rejimi;
• trafik selektori.

IPsec trafik ikki yo‘nalishda harakat qilgani uchun odatda kamida ikkita SA mavjud: biri yuborish, biri qabul qilish uchun.

SPI

Security Parameters Index kiruvchi IPsec paketni qaysi SA bilan qayta ishlashni aniqlaydi.

SPI destination IP va protokol bilan birga SAni topishga yordam beradi. SPI maxfiy kalit emas. U paket sarlavhasida ko‘rinishi mumkin.

ESP

Encapsulating Security Payload IPsecning eng ko‘p ishlatiladigan qismi.

ESP quyidagilarni bera oladi:

• shifrlash;
• yaxlitlik;
• source autentifikatsiyasi;
• anti-replay;
• trafikni kapsulalash.

Zamonaviy VPNlarda AEAD algoritmlar, masalan AES-GCM, shifrlash va yaxlitlikni birga ta’minlaydi.

ESP IPv4 headerdagi protocol number 50 bilan belgilanadi.

AH

Authentication Header paket yaxlitligi va source autentifikatsiyasini beradi, lekin payloadni shifrlamaydi.

AH IP headerning o‘zgarmaydigan ayrim qismlarini ham himoya qiladi. NAT IP manzilni o‘zgartirgani uchun AH NAT bilan yomon moslashadi.

AH protocol number 51dan foydalanadi. Amaliy VPNlarda ESP ko‘proq qo‘llanadi.

Transport rejimi

Transport mode holatida asl IP header saqlanadi. Yuqori qatlam payloadi himoyalanadi.

Original IP header
ESP header
TCP/UDP va payload
ESP trailer

Transport mode ko‘pincha hostdan hostga aloqa uchun ishlatiladi.

Afzalligi:

• overhead kamroq;
• asl endpointlar ko‘rinadi.

Cheklovi:

• butun asl IP paket yashirilmaydi;
• gatewaylar orasidagi subnet tunneli uchun kamroq mos.

Tunnel rejimi

Tunnel mode butun asl IP paketni yangi tashqi IP paket ichiga joylaydi.

New outer IP header
ESP header
Original IP packet
ESP trailer

Bu site-to-site VPN uchun keng tarqalgan. Tashqi header internet routing uchun, ichki packet esa xususiy subnetlar orasidagi trafik uchun ishlaydi.

IKE

Internet Key Exchange IPsec peerlarni autentifikatsiya qiladi, algoritmlarni kelishadi va kalitlar yaratadi.

IKEning asosiy vazifalari:

• peer identification;
• Diffie–Hellman key exchange;
• autentifikatsiya;
• IKE SA yaratish;
• Child SA yaratish;
• rekey;
• dead peer detection;
• NAT aniqlash;
• trafik selektorlarini kelishish.

IKE UDP 500-portda boshlanadi. NAT aniqlansa, NAT Traversal uchun UDP 4500 ishlatiladi.

IKEv1 va IKEv2

IKEv2 IKEv1ga qaraganda soddaroq va zamonaviyroq almashinuvga ega.

IKEv2 afzalliklari:

• kamroq xabar;
• aniqroq state machine;
• MOBIKE;
• yaxshiroq error handling;
• EAP bilan remote access;
• built-in liveness;
• fragmentation kengaytmalari;
• Child SA boshqaruvi.

IKEv1 eski qurilmalarda hali uchrashi mumkin.

Autentifikatsiya

IPsec peerlar bir-birini turli usulda tasdiqlaydi.

Pre-shared key

Ikki tomonda bir xil maxfiy kalit sozlanadi. Kichik tarmoqda sodda, lekin ko‘p filialda kalitni tarqatish va almashtirish qiyin.

Sertifikat

Har peer private key va sertifikatga ega. CA sertifikatni tasdiqlaydi. Katta infratuzilmada boshqarish qulayroq.

EAP

Masofaviy foydalanuvchilar uchun username, password, token yoki boshqa EAP usullari ishlatilishi mumkin.

Diffie–Hellman

Diffie–Hellman ikki tomonning umumiy sirni ochiq tarmoqda hosil qilishiga yordam beradi.

DH group kuchi va hisoblash xarajati turlicha. Eski va zaif guruhlar o‘chiriladi. Elliptic-curve guruhlar yuqori xavfsizlikni kichikroq kalit va tezroq hisoblash bilan berishi mumkin.

Perfect Forward Secrecy

PFS har Child SA rekeyda yangi Diffie–Hellman almashinuvini ishlatadi.

Agar uzoq muddatli PSK yoki private key keyinchalik o‘g‘irlansa, oldingi sessiya trafikini ochish qiyinlashadi. PFS qo‘shimcha hisoblash talab qiladi.

Anti-replay

ESP sequence number yordamida eski paketning qayta yuborilishini aniqlaydi.

Receiver sliding window saqlaydi. Juda eski yoki takror sequence numberli packet rad etiladi.

Paketlar tartibi biroz o‘zgarishi mumkin. Window shuni hisobga oladi.

NAT Traversal

NAT IP manzil va ba’zan portni o‘zgartiradi. ESP TCP yoki UDP portiga ega emas.

NAT-T ESP paketni UDP 4500 ichiga joylaydi.

1. IKE UDP 500da boshlanadi.
2. Peerlar NAT mavjudligini aniqlaydi.
3. Sessiya UDP 4500ga o‘tadi.
4. ESP UDP payload ichida tashiladi.

Bu NAT va stateful firewall orqali o‘tishni osonlashtiradi.

Trafik selektori

Qaysi trafik IPsec bilan himoyalanishini selector belgilaydi.

Misol:

Local subnet: 10.10.0.0/16
Remote subnet: 10.20.0.0/16
Protocol: any

Ikki tomondagi selectorlar mos kelmasa, SA yaratilishi yoki data trafik ishlashi mumkin emas.

Policy-based VPN selector siyosatiga, route-based VPN esa virtual tunnel interfeys va routingga ko‘proq tayanadi.

Route-based VPN

Route-based VPNda VTI yoki tunnel interfeysi yaratiladi.

Afzalliklari:

• static va dynamic routing;
• ko‘p subnet;
• ECMP yoki redundancy;
• routing jadvali bilan tushunarli boshqaruv;
• policy sonini kamaytirish.

Trafik tunnel interfeysga route bo‘yicha tushadi.

Policy-based VPN

Policy-based VPNda crypto policy qaysi source va destination trafik shifrlanishini belgilaydi.

Kichik tunnelda sodda, lekin ko‘p subnet va dynamic routingda murakkablashishi mumkin.

Rekey

SA va kalitlar cheksiz ishlatilmaydi.

Rekey vaqt, uzatilgan bayt yoki packet soni asosida bajarilishi mumkin.

Yangi SA yaratiladi, eski SA qisqa muddat parallel saqlanadi. Rekey parametrlari keskin mos kelmasa, davriy uzilish kuzatilishi mumkin.

MTU va MSS

ESP, tashqi IP va NAT-T qo‘shimcha overhead yaratadi. Natijada ichki packet hajmi kamayadi.

Muammolar:

• fragmentatsiya;
• DF sabab drop;
• PMTUD black hole;
• TCP sessiya qotishi.

Tunnel MTU va TCP MSS moslashtiriladi.

Xavfsiz algoritmlar

Algoritm tanlash tashkilot siyosati va qurilma imkoniyatiga bog‘liq.

Zamonaviy variantlar:

• AES-GCM;
• ChaCha20-Poly1305 ayrim implementatsiyalarda;
• AES-CBC va kuchli HMAC;
• SHA-2;
• kuchli DH group.

DES, 3DES, MD5 va zaif DH guruhlar ishlatilmaydi.

Diagnostika

IPsec tunnel ishlamasa:

• IKE UDP 500;
• NAT-T UDP 4500;
• peer manzil;
• PSK yoki sertifikat;
• IKE proposal;
• ESP proposal;
• DH group;
• identity;
• traffic selector;
• route;
• NAT exemption;
• firewall;
• SA;
• SPI;
• packet counter;
• anti-replay;
• rekey;
• MTU

tekshiriladi.

IKE SA mavjud bo‘lib, data packet counter oshmasa, routing yoki selector tekshiriladi. Encapsulation oshib, decapsulation oshmasa, qaytish yo‘li yoki remote policy muammosi bo‘lishi mumkin.

Bog‘liq tushunchalar

VPN, ESP, AH, IKE, Security Association, SPI, Tunnel mode, Transport mode, NAT-T, Diffie–Hellman, PFS, Anti-replay