termina o transporte ipsec no firewall?

Question

Estou explorando o uso do modo de transporte ipsec para fornecer acesso ipv6 seguro entre 2 LANs e vários usuários remotos. Eu amo a combinação de um espaço de endereço unicast global ipv6 combinado com o ipv6 porque você pode acabar com todas as sub-redes de roteamento que são necessárias para túneis e vpns. O que eu não amo é que o modo de transporte ipsec é de ponta a ponta, o que me forçaria a colocar a política ipsec em servidores na minha lan interna. Existe alguma maneira de encerrar o transporte ipsec no firewall e, em seguida, os pacotes de texto não criptografado continuam na minha LAN interna?

Para referência, atualmente uso o OpenVPN para interconexão ipv4 e estou cansado de lidar com todo o roteamento extra. Eu não usei ipsec antes.

    

Answer 1

Modo de transporte O IPsec é end-to-end por design; essa é a única maneira que pode ser segura. Por que você não deseja distribuir a sobrecarga de criptografia (mínima) em todos os seus servidores em vez de em um gateway?

Você pode definir as políticas de modo que apenas as comunicações internas para externas sejam criptografadas, mas as comunicações internas para internas não sejam.

Se você precisar inspecionar o tráfego entre sites, por algum motivo, com um IDS / IPS, está com problemas com túneis IPsec.