Como usar o IPsec?

4

IPsec is a protocol suite built on top of IP. Originally designed with IPv6, it also exists in IPv4.

IPsec enables encrypted communications between hosts at the IP level (that is, upper layers such as TCP, or HTTP, or HTTPS, SSL do not have to be aware of its existence).

Bem, isso soa bem. Eu quero o meu tráfego http para superuser.com (ou o meu tráfego torrente UDP) para ser criptografado. Como faço isso acontecer?

Por mais de uma década, o Windows suportou o IPsec, mas eu não acho que todo o meu tráfego da Internet (ou seja, qualquer coisa que use o Internet Protocol) está criptografado. Como eu faço isso ir?

Você pode ler quantidades infinitas de detalhes técnicos sobre o IPsec:

  • Cabeçalhos de autenticação
  • Encapsulando cargas de segurança
  • Associações de segurança
  • Modo de transporte / modo de túnel

mas ainda não encontrou informações sobre como usá-lo.

Pelo menos, VPN faz sentido. Você tem que encontrar um VPN Client , e usá-lo para se conectar a um servidor VPN :

Masissorequerumservidorvpnnaoutraextremidade.Nesteexemplo,nãofuncionariaporquesuperuser.comnãoestáexecutandoumservidordevpnescutandonaporta1723.MasoIPsecnãorequerum"servidor" ; O IPsec é incorporado ao IP e é completamente transparente.

Então, como faço todas as minhas conexões IP criptografadas? Como faço para usar IPsec?

Quanto mais leio sobre "IPsec", mais parece que você não pode usá-lo na "Internet" - somente em redes locais.

    
por Ian Boyd 09.05.2012 / 13:58

1 resposta

3

O IPSec é construído sobre o IPv4 e integrado ao IPv6. No entanto, isso não significa que, se todos os sites com os quais você estava falando estivessem acima do IPv6, você seria capaz de "ativar" o IPSec.

Para criptografar o tráfego entre dois pontos, os dois pontos de extremidade devem participar da criptografia. Então, sim, superuser.com não está executando um endpoint VPN IPSec e, portanto, você não pode conectar um cliente VPN IPSec a ele. Se estivesse executando o IPv6, você ainda precisaria realizar uma troca de chaves para verificar a autenticidade das duas partes e estabelecer a chave e os métodos de criptografia.

Até que isso aconteça, você não tem como criptografar seus dados de ponta a ponta em uma VPN IPSec ao se comunicar com o superusuário.com ou qualquer outro site. Sites que fornecem sessões criptografadas geralmente fazem isso com SSL.

O melhor que você pode fazer se o IPSec for seu método preferido é identificar um provedor de serviços de VPN que esteja "próximo" do site com o qual deseja se comunicar com segurança. Perto em termos de uma pequena quantidade de saltos do gateway de VPN que você se conecta e do site que deseja acessar. Isso significa que o tráfego não criptografado percorrerá uma distância menor na Internet.

O IPSec em IPv4 tem dificuldades com o NAT em sua forma original, no entanto, existem muitas adições padrão ao protocolo que permitem que ele atravesse o NAT. O mais comum, e quase universalmente implementado, é o NAT-D, usando UDP / 4500 como seu transporte em vez de ESP diretamente.

    
por 09.05.2012 / 15:55