IPSec VPN: wat is het en hoe werkt het?

Wat is IPSec?

De IPSec suite omvat de protocollen Authentication Header (AH), Encapsulated Security Payload (ESP), Internet Security Association en Key Management Protocol (ISAKMP) en IP Payload Compression (IPComp).

• Authentication Header (AH): AH biedt authenticatie van de herkomst van gegevens van IP-pakketten (datagrammen), garandeert verbindingsloze integriteit en biedt bescherming tegen replay-aanvallen (dankzij de sliding window-techniek). Dit protocol biedt ook belangrijke authenticaties voor zowel IP-headers als bovenlaagprotocollen.
• Encapsulation Security Payload (ESP): ESP is verantwoordelijk voor het aanbieden van authenticatie, integriteit en vertrouwelijkheid van gegevens. ESP biedt ook vertrouwelijkheid van de payload en authenticatie van berichten binnen de IPSec-protocolsuite. In tunnelmodus wordt het volledige IP-pakket ingekapseld, terwijl in transportmodus alleen de payload beschermd is.
• Internet Security Association en Key Management Protocol (ISAKMP): ISAKMP is belast met beveiligingsassociaties (Security Associations, oftewel SA’s) – een set van vooraf overeengekomen sleutels en algoritmen die door partijen worden gebruikt bij het opzetten van een VPN-tunnel. Hieronder vallen Kerberized Internet Negotiation of Keys (KINK) en Internet Key Exchange (IKE en IKEv2).
• IP Payload Compression (IPComp): IPComp is een compressieprotocol op laag niveau dat de grootte van IP-pakketten verkleint, waardoor de communicatieniveaus tussen twee partijen worden verbeterd. Dit is handig wanneer de communicatie te traag is, bijvoorbeeld bij overbelaste links. IPComp biedt geen beveiliging en moet worden gebruikt met AH of ESP via VPN-tunnels.

De bedieningsmodi van IPSec VPN

Laten we de twee modi van IPSec VPN eens vergelijken:

IPSec-tunnelmodus

VPN-versleuteling in tunnelmodus kapselt elk uitgaand pakket in met nieuwe IPSec-pakketten met behulp van ESP. Tunnelmodus gebruikt ook AH om de serverkant te authenticeren.

Daarom gebruikt IPSec de tunnelmodus op beveiligde gateways, zoals een firewall, die de twee communicerende partijen met elkaar verbindt.

Transportmodus

Transportmodus versleutelt en authenticeert de IP-pakketten die tussen twee communicerende partijen worden verzonden.

Als zodanig is de transportmodus vaak gereserveerd voor eindpunt-communicatie tussen partijen, aangezien het de IP-header van de uitgaande pakketten niet verandert.

Cryptografische algoritmen voor IPsec

IPSec berust op veilige algoritmen die voldoen aan vertrouwelijkheid, integriteit en authenticiteit.
Dit zijn onder andere de volgende:

• Authenticatiealgoritmen zoals RSA, PSK en Elliptic Curve-cryptografie
• Symmetrische versleutelingsalgoritmen zoals AES-CBC en GCM, HMAC-SHA, TripleDES en ChaCha20-Poly1305
• Sleuteluitwisselingsalgoritmen zoals Elliptic Curve Diffie-Hellman en het Diffie-Hellman sleuteluitwisselingsprotocol

Hoe werkt IPSec?

Hieronder vind je een algemene stap-voor-stap beschrijving van hoe IPSec werkt.

Meestal begint het proces met hosts (communicerende partijen) die vaststellen dat inkomende of uitgaande pakketten IPSec moeten gebruiken.

Als de pakketten het IPSec-beleid activeren, gaat het proces als volgt verder:

• Onderhandeling en sleuteloverdracht: deze stap omvat de authenticatie van hosts en het te gebruiken beleid. In de eerste fase creëren de hosts een beveiligd kanaal. De onderhandelingen worden gevoerd in de hoofdmodus (voor meer veiligheid) of de agressieve modus (voor snellere instelling van het IP-circuit).
  Alle hosts stemmen in met een IKE voor het opzetten van het IP-circuit in de hoofdmodus. In de agressieve modus stelt de initiërende host de IKE voor om het IP-circuit op te zetten, en de andere host gaat hiermee akkoord.
  In de tweede fase onderhandelen de hosts en bereiken zij overeenstemming over het type cryptografische algoritmen dat tijdens de sessie zal worden gebruikt.
• Transmissie: hierbij gaat het om de uitwisseling van gegevens tussen de hosts. Gewoonlijk splitst IPSec gegevens in pakketten voordat ze over het netwerk worden verzonden. De pakketten bevatten verschillende segmenten, zoals de payload en headers. IPSec voegt ook trailers en andere segmenten toe die verificatie- en versleutelingsgegevens bevatten.
• Einde van de transmissie: dit is de laatste stap, en het gaat om de beëindiging van het door IPSec beveiligde kanaal. Beëindiging vindt plaats wanneer de gegevensuitwisseling is voltooid of de sessie is verlopen. Cryptografische sleutels worden ook gewist.

IPsec VPN vs SSL VPN

Naast IPSec VPN kunnen de bester VPN-providers ook SSL VPN gebruiken om je verbinding online te beveiligen. Afhankelijk van het vereiste beveiligingsniveau, kunnen VPN-providers beide opties implementeren of voor een van beide kiezen.

SSL VPN’s berusten op het Transport Layer Security (TLS) protocol. In tegenstelling tot IPSec, dat op de IP-laag werkt, werkt TLS op de transportlaag. De beveiliging en toepassingen van IPSec VPN en SSL VPN variëren dus.

Met IPSec VPN is je verkeer beveiligd als het zich verplaatst van en naar privé netwerken en verschillende hosts; zo kun je dus je hele netwerk beschermen. IPSec VPN is daarom betrouwbaar voor IP-gebaseerde toepassingen.

SSL VPN beschermt het verkeer tussen externe gebruikers. In de meeste gevallen werken SSL-VPN’s met hosts die browsergebaseerde toepassingen ondersteunen.