IPsec VPN: что это такое, как работает и как настроить

Что такое IPsec и зачем он нужен

IPsec (Internet Protocol Security) — это набор протоколов для защиты данных, передаваемых по IP-сетям. Он обеспечивает шифрование, аутентификацию и контроль целостности каждого пакета. В отличие от SSL/TLS, которые работают на прикладном уровне, IPsec действует на сетевом уровне модели OSI, что позволяет защищать весь трафик между устройствами без изменения приложений.

Основная задача IPsec — создать безопасный канал связи через незащищённые сети, такие как интернет. Это особенно важно для VPN-подключений, когда удалённые офисы или мобильные сотрудники соединяются с корпоративной сетью. IPsec VPN используется для site-to-site подключений (между двумя сетями) и remote-access (клиент-сервер).

Технология включает три ключевых компонента: Authentication Header (AH) для проверки подлинности, Encapsulating Security Payload (ESP) для шифрования и Security Association (SA) для согласования параметров защиты. Благодаря этому IPsec считается одним из самых надёжных протоколов для VPN.

Компоненты IPsec: AH, ESP и SA

Authentication Header (AH) — протокол, который гарантирует, что данные не были изменены в пути и что они отправлены именно тем устройством, которое заявлено. AH добавляет к пакету цифровую подпись, но не шифрует содержимое. Это похоже на пломбу на конверте: целостность подтверждена, но текст письма остаётся открытым.

Encapsulating Security Payload (ESP) — основной протокол шифрования. Он зашифровывает полезную нагрузку пакета, делая её нечитаемой для перехватчика. ESP также может выполнять функции аутентификации, аналогичные AH. В современных VPN-решениях ESP используется чаще, так как обеспечивает и конфиденциальность, и целостность.

Security Association (SA) — это соглашение между двумя устройствами о том, как защищать соединение. SA включает алгоритмы шифрования (например, AES-256), методы аутентификации (SHA-256), время жизни ключей и другие параметры. Для установки SA используется протокол IKE (Internet Key Exchange), который безопасно обменивается криптографическими ключами. IKEv2, выпущенный в 2005 году, исправил недостатки IKEv1 и стал стандартом для IPsec VPN.

Режимы работы IPsec: транспортный и туннельный

IPsec может работать в двух режимах: транспортном и туннельном. Выбор режима зависит от сценария использования.

Транспортный режим шифрует только полезную нагрузку пакета (данные), оставляя исходный IP-заголовок нетронутым. Это означает, что злоумышленник может видеть, между какими устройствами идёт обмен, но не содержимое. Транспортный режим обычно применяется для защиты трафика внутри одной сети, например, между двумя серверами в дата-центре.

Туннельный режим зашифровывает весь пакет целиком, включая исходный IP-заголовок, и помещает его в новый пакет с новым заголовком. Это скрывает не только данные, но и информацию об отправителе и получателе. Именно туннельный режим используется в IPsec VPN для создания защищённых каналов между удалёнными сетями. При этом создаётся виртуальный туннель, через который передаётся весь трафик.

На практике для VPN-подключений почти всегда выбирают туннельный режим, так как он обеспечивает максимальную конфиденциальность и совместимость с маршрутизацией через публичные сети.

Как работает IPsec VPN: пошаговый процесс

Когда пользователь или устройство инициирует IPsec VPN-соединение, происходит несколько последовательных этапов:

1. Обмен ключами. С помощью IKE (обычно IKEv2) устройства генерируют и обмениваются криптографическими ключами. Используется алгоритм Диффи-Хеллмана, который позволяет безопасно создать общий секрет даже через незащищённый канал.

1. Согласование SA. Стороны договариваются о параметрах защиты: какой протокол (AH или ESP), какие алгоритмы шифрования и аутентификации, время жизни ключей. Создаются два набора SA — для входящего и исходящего трафика.

1. Добавление заголовков и трейлеров. Каждый IP-пакет дополняется служебной информацией: заголовком AH или ESP и трейлером. Это увеличивает размер пакета, что может повлиять на максимальный размер сегмента (MSS).

1. Аутентификация. IPsec проверяет подлинность каждого пакета, присваивая ему уникальный идентификатор. Это предотвращает атаки типа "человек посередине" (MitM).

1. Шифрование. Содержимое пакета (в туннельном режиме — весь пакет) зашифровывается с использованием согласованного алгоритма, например AES-256.

1. Передача. Зашифрованные пакеты отправляются через интернет с использованием протокола UDP (порты 500 и 4500 для IKE и ESP). UDP игнорирует брандмауэры, что упрощает прохождение трафика.

1. Расшифровка. На принимающей стороне пакет расшифровывается с помощью общего ключа, проверяется целостность и подлинность, после чего данные передаются приложению или маршрутизируются в локальную сеть.

Этот процесс происходит незаметно для пользователя и обеспечивает высокий уровень безопасности.

Влияние IPsec на MSS и MTU

При использовании IPsec размер пакета увеличивается за счёт дополнительных заголовков (AH или ESP). Это может привести к фрагментации пакетов, если их размер превышает Maximum Transmission Unit (MTU) сети — обычно 1500 байт.

MTU — максимальный размер пакета, который может быть передан по сети без фрагментации. MSS (Maximum Segment Size) — максимальный размер полезных данных в TCP-сегменте. Обычно MSS = MTU - 20 (IP-заголовок) - 20 (TCP-заголовок) = 1460 байт.

IPsec добавляет к пакету дополнительные байты: для ESP это может быть 22–50 байт в зависимости от алгоритма. В результате MSS уменьшается: MSS = 1460 - байты IPsec. Если не скорректировать MSS, пакеты могут фрагментироваться, что снижает производительность и может вызвать проблемы с подключением.

Для решения этой проблемы на VPN-шлюзах или клиентах часто настраивают уменьшение MSS (например, через iptables или параметры интерфейса). Также можно использовать механизм Path MTU Discovery, но он не всегда работает корректно из-за брандмауэров. Рекомендуется явно задавать MSS на 40–60 байт меньше стандартного значения.

Настройка IPsec VPN на Windows

Windows поддерживает IPsec VPN через встроенные средства, в том числе L2TP/IPsec и IKEv2. Для настройки необходимо выполнить несколько шагов.

1. Включение службы IPsec Policy Agent.

• Нажмите Win+R, введите services.msc.
• Найдите службу "IPsec Policy Agent", установите тип запуска "Автоматически" и запустите её.

2. Создание VPN-подключения (L2TP/IPsec).

• Откройте Параметры → Сеть и Интернет → VPN.
• Нажмите "Добавить VPN-подключение".
• Укажите: поставщик VPN — "Встроенный в Windows", имя подключения, адрес сервера (IP или домен), тип VPN — "L2TP/IPsec с предварительно заданным ключом".
• Введите предварительный ключ (PSK), имя пользователя и пароль.
• Сохраните подключение.

3. Настройка параметров безопасности.

• В списке VPN выберите созданное подключение → Дополнительные параметры → Изменить параметры адаптера.
• В свойствах подключения на вкладке "Безопасность" выберите тип VPN — L2TP/IPsec, введите PSK, установите шифрование "Требуется" и аутентификацию MS-CHAP v2.
• На вкладке "Сеть" отключите "Использовать основной шлюз в удалённой сети", если не хотите маршрутизировать весь трафик через VPN.

4. Подключение и проверка.

• Вернитесь в параметры VPN и нажмите "Подключиться".
• После подключения выполните в командной строке ipconfig /all — должен появиться новый VPN-адаптер.
• Для диагностики используйте netsh ipsec dynamic show all.

Если используется IKEv2, в поле "Тип VPN" выберите IKEv2. Убедитесь, что на сервере открыты порты UDP 500 и 4500.

Настройка IPsec VPN на Linux с strongSwan

Для Linux одним из самых популярных решений IPsec VPN является strongSwan. Рассмотрим базовую настройку site-to-site VPN на Ubuntu 20.04.

1. Установка и включение strongSwan.

sudo apt update
sudo apt install -y strongswan
sudo systemctl enable strongswan-starter

2. Включение маршрутизации. Создайте файл /etc/sysctl.d/99-vpn-ipsec.conf:

net.ipv4.ip_forward = 1
net.ipv6.conf.all.forwarding = 1
net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.all.send_redirects = 0

Примените: sudo sysctl -p /etc/sysctl.d/99-vpn-ipsec.conf

3. Конфигурация IPsec. Файл /etc/ipsec.conf:

config setup
    charondebug="all"
    uniqueids=yes
    strictcrlpolicy=no

conn site-to-site-vpn
    type=tunnel
    authby=secret
    left=%defaultroute
    leftid=188.68.206.154
    leftsubnet=192.168.10.0/24
    right=51.250.46.166
    rightsubnet=192.168.20.0/24
    ike=aes256-sha2_256-modp1024!
    esp=aes256-sha2_256!
    keyingtries=0
    ikelifetime=1h
    lifetime=8h
    dpddelay=30
    dpdtimeout=120
    dpdaction=restart
    auto=start

Замените IP-адреса и подсети на свои.

4. Секретный ключ. Файл /etc/ipsec.secrets:

188.68.206.154 51.250.46.166 : PSK ""

5. Запуск.

sudo systemctl restart strongswan-starter
ipsec status

Для отказоустойчивой схемы с двумя VPN-серверами используется VRRP (keepalived) и VIP-адреса. В этом случае конфигурация IPsec на обоих серверах идентична, а keepalived управляет активацией IPsec на активном узле.

Безопасность IPsec и сравнение с SSL VPN

IPsec считается безопасным протоколом, особенно в сочетании с IKEv2 и современными алгоритмами шифрования (AES-256, SHA-256). Однако в 2015 году появились сообщения о возможном взломе IPsec АНБ США. Эксперты спорят, были ли использованы бэкдоры или уязвимости в реализации. Тем не менее, IPsec остаётся стандартом для корпоративных VPN и рекомендуется многими регуляторами.

Сравнение IPsec и SSL VPN:

• Уровень защиты: IPsec работает на сетевом уровне и защищает весь трафик устройства. SSL VPN — на прикладном уровне, часто защищает только трафик браузера.
• Доступ к сети: IPsec VPN предоставляет полный доступ к сети, как будто устройство находится внутри неё. SSL VPN обычно ограничивается доступом к конкретным приложениям.
• Сложность настройки: IPsec требует более сложной конфигурации (сертификаты, ключи, политики). SSL VPN проще в развёртывании, особенно для удалённых пользователей.
• Производительность: IPsec может быть быстрее, так как работает на уровне ядра, но добавление заголовков увеличивает нагрузку. SSL VPN может быть медленнее из-за обработки на прикладном уровне.

Выбор между IPsec и SSL VPN зависит от задач: для site-to-site подключений и полного доступа к сети лучше IPsec, для удалённого доступа к отдельным приложениям — SSL VPN.

Практические рекомендации и ограничения

При использовании IPsec VPN важно учитывать несколько моментов:

• Совместимость: IPsec может блокироваться некоторыми брандмауэрами или NAT. Для обхода используйте UDP-инкапсуляцию (порт 4500) и настройте NAT-Traversal.
• Производительность: Шифрование нагружает процессор. Для высокоскоростных каналов рекомендуется использовать аппаратное ускорение или мощные серверы.
• Управление ключами: Используйте сильные пароли (PSK) или сертификаты PKI. Регулярно обновляйте ключи и ограничивайте время жизни SA.
• Мониторинг: Настройте логирование и оповещения о сбоях туннеля. strongSwan поддерживает DPD (Dead Peer Detection) для автоматического перезапуска.
• Отказоустойчивость: Для критичных подключений используйте два VPN-сервера с VRRP и VIP-адресами. При отказе основного сервера трафик автоматически переключается на резервный.

Ограничения: IPsec не защищает от атак на уровне приложений (например, SQL-инъекций) и не обеспечивает анонимность (IP-адрес может быть виден). Для полной защиты комбинируйте VPN с антивирусом, файрволом и шифрованием данных на диске.

Вопросы и ответы