IPSec nedir?

İnternet Protokolü Güvenliği'nin kısaltması olan IPSec, İnternet Protokolü (IP) ağları üzerinden veri trafiğini koruyan bir dizi şifreleme protokolüdür.

World Wide Web de dahil olmak üzere IP ağları şifreleme ve gizlilik korumasından yoksundur. IPSec VPN'leri, web üzerinde şifreli ve özel iletişim için bir çerçeve sağlayarak bu zayıflığı giderir.

Burada IPSec'e ve güvenli olmayan ağlar üzerindeki verileri korumak için VPN tünelleriyle nasıl çalıştığına daha yakından bakalım .

IPSec'in kısa tarihi

İnternet Protokolü 80'lerin başında geliştirildiğinde güvenlik yüksek bir öncelik değildi. Ancak internet kullanıcılarının sayısı arttıkça yüksek güvenliğe olan ihtiyaç da artıyor.

Bu ihtiyacı karşılamak için Ulusal Güvenlik Ajansı, 80'li yılların ortalarında Güvenli Veri Ağı Sistemleri programı kapsamında güvenlik protokollerinin geliştirilmesine sponsor oldu. Bu, Katman 3 Güvenlik Protokolünün ve sonunda Ağ Katmanı Güvenlik Protokolünün geliştirilmesine yol açtı. 90'lı yıllar boyunca pek çok mühendis bu proje üzerinde çalıştı ve IPSec bu çabaların sonucunda ortaya çıktı. IPSec artık açık kaynaklı bir standarttır ve IPv4'ün bir parçasıdır.

IPSec nasıl çalışır?

IPSec, cihazlar arasında özel iki yönlü bağlantılar kurmak için VPN tünelleriyle çalışır

İki bilgisayar bir VPN bağlantısı kurduğunda , bir dizi güvenlik protokolü ve şifreleme algoritması üzerinde anlaşmaları ve şifrelenmiş verilerin kilidini açmak ve görüntülemek için şifreleme anahtarlarını değiş tokuş etmeleri gerekir.

IPSec'in devreye girdiği yer burasıdır. IPSec, cihazlar arasında özel iki yönlü bağlantılar kurmak için VPN tünelleriyle çalışır. IPSec tek bir protokol değildir; bunun yerine, bir VPN tünelinden geçen İnternet veri paketlerinin gizliliğini, bütünlüğünü ve orijinalliğini sağlamaya yardımcı olmak için birlikte çalışan eksiksiz bir protokol ve standartlar kümesidir.

IPSec güvenli bir VPN tünelini şu şekilde oluşturur:

• IPSec, iletim sırasında paket bütünlüğünü sağlamak için verilerin kimliğini doğrular.
• IPSec, verilerin görüntülenememesi için VPN tünelleri aracılığıyla İnternet trafiğini şifreler.
• IPSec, verileri yetkisiz oturum açmalara yol açabilecek Tekrar Saldırılarına karşı korur.
• IPSec, bilgisayarlar arasında güvenli kriptografik anahtar alışverişine olanak tanır.
• IPSec iki güvenlik modu sağlar: Tünel ve Aktarım.

IPSec VPN, ana bilgisayardan ana bilgisayara, ağdan ağa, ana bilgisayardan ağa ve ağ geçidinden ağ geçidine iletilen verileri korur (IP paketinin tamamı şifrelendiğinde ve kimliği doğrulandığında Tünel modu olarak adlandırılır).

IPSec protokolleri ve destekleyici bileşenler

IPSec standardı çeşitli temel protokollere ve destekleyici bileşenlere bölünmüştür.

Çekirdek IPSec protokolü

- IPSec Kimlik Doğrulama Başlığı (AH) : Bu protokol, veri alışverişi sürecine katılan bilgisayarların IP adreslerini koruyarak , işlem sırasında veri bitlerinin kaybolmamasını, değiştirilmemesini veya bozulmamasını sağlar. AH ayrıca verileri gönderen kişinin verileri gerçekten gönderdiğini doğrulayarak tüneli yetkisiz kullanıcıların girişine karşı korur.

- Kapsüllenen Güvenlik Yükü (ESP) : ESP protokolü, IPSec'in şifreleme bölümünü sağlayarak cihazlar arasındaki veri trafiğinin güvenliğini sağlar. ESP, veri paketlerini/yükünü şifreler, yükün kimliğini ve IPSec protokol paketi içindeki kaynağını doğrular. Bu protokol İnternet trafiğini etkili bir şekilde karıştırır, böylece tünele bakan hiç kimse tünelde hiçbir şey göremez.

ESP verileri hem şifreler hem de kimlik doğrulamasını gerçekleştirirken AH yalnızca verilerin kimliğini doğrular.

IPSec'i destekleyen bileşenler

- Güvenlik Birlikleri (SA) : Güvenlik Birlikleri ve politikaları, borsalarda kullanılan çeşitli güvenlik anlaşmaları oluşturur. Bu anlaşmalar kullanılacak şifreleme türünü ve karma algoritmayı belirleyebilir. Bu politikalar genellikle esnektir ve cihazların işleri nasıl ele almak istediklerine karar vermelerine olanak tanır.

- İnternet Anahtar Değişimi (IKE) : Şifrelemenin çalışması için, özel iletişim alışverişinde bulunan bilgisayarların bir şifreleme anahtarını paylaşması gerekir. IKE, bir VPN bağlantısı kurarken iki bilgisayarın şifreleme anahtarlarını güvenli bir şekilde değiş tokuş etmesine ve paylaşmasına olanak tanır.

- Şifreleme ve Karma Algoritmalar : Kriptografik anahtarlar, karma algoritması kullanılarak oluşturulan karma değerleri kullanarak çalışır. AH ve ESP çok geneldir, belirli bir kodlama türü belirtmezler. Ancak IPsec, şifreleme için sıklıkla Mesaj Özeti 5 veya Güvenli Karma Algoritma 1'i kullanır.

- Tekrar Saldırılarına Karşı Koruma : IPSec ayrıca başarılı bir oturum açma sürecinin parçası olan veri paketlerinin tekrar oynatılmasını önlemek için standartlar içerir. Bu standart, bilgisayar korsanlarının oturum açma bilgilerini kendileri kopyalamak için tekrarlanan bilgileri kullanmasını engeller.

IPSec eksiksiz bir VPN protokolü çözümüdür ve aynı zamanda L2TP ve IKEv2'de şifreleme protokolü olarak da hizmet verebilir.

Tünel açma modları: Tünel ve Taşıma

IPSec, Tünel veya Aktarım modunu kullanarak veri gönderir

IPSec, Tünel veya Aktarım modunu kullanarak veri gönderir. Bu modlar, kullanılan protokolün türüyle (AH veya ESP) yakından ilgilidir.

- Tünel modu : Tünel modunda paketin tamamı korunur. IPSec, veri paketini yeni bir pakete sarar, şifreler ve yeni bir IP başlığı ekler. Siteden siteye VPN kurulumlarında yaygın olarak kullanılır.

- Aktarım modu : Aktarım modunda orijinal IP başlığı kalır ve şifrelenmez. Yalnızca yük ve ESP fragmanı şifrelenmiştir. Aktarım modu genellikle istemciden siteye VPN kurulumlarında kullanılır.

VPN'ler için göreceğiniz en yaygın IPSec yapılandırması, Tünel modunda kimlik doğrulamalı ESP'dir. Bu yapı, İnternet trafiğinin güvenli olmayan ağlar üzerinden VPN tüneli içinde güvenli ve anonim olarak hareket etmesine yardımcı olur.

Peki IPsec'teki Tünel ve Taşıma modu arasındaki fark nedir?

IPsec'teki tünel modu, iki özel yönlendirici arasında kullanılır; her yönlendirici, genel ağ üzerinden sanal bir "tünel"in bir ucu gibi davranır. Tünel modunda, ilk IP başlığı, paket yüküyle birlikte şifrelenmiş paketin son hedefini içerir. Ara yönlendiricilerin paketleri nereye ileteceklerini bilmelerini sağlamak için IPsec yeni bir IP başlığı ekler. Tünelin her iki ucunda yönlendiriciler, paketleri hedeflerine ulaştırmak için IP başlıklarının kodunu çözer.

Taşıma modunda, her paketin yükü şifrelenir ancak ilk IP başlığı şifrelenmez. Bu nedenle, ayrı bir tünel protokolü (GRE gibi) kullanılmadığı sürece, ara yönlendiriciler her paketin son hedefini görebilir.

IPsec hangi bağlantı noktasını kullanıyor?

Ağ bağlantı noktası, verilerin bilgisayar içinde gittiği sanal konumdur. Bağlantı noktaları, bilgisayarın farklı işlemleri ve bağlantıları nasıl takip ettiğidir. Veri belirli bir porta gittiğinde bilgisayarın işletim sistemi onun hangi prosese ait olduğunu bilir. IPsec genellikle 500 numaralı bağlantı noktasını kullanır.

IPsec MSS ve MTU'yu nasıl etkiler?

MSS ve MTU paket boyutunun iki ölçümüdür. Paketler, bilgisayarlar, yönlendiriciler ve anahtarlar bunları işleyinceye kadar yalnızca belirli bir boyuta (bayt cinsinden) ulaşabilir. MSS, her paketin yük boyutunu ölçerken, MTU, başlıklar da dahil olmak üzere paketin tamamını ölçer. Ağ MTU'sunu aşan paketler parçalanabilir, yani daha küçük paketlere bölünebilir ve daha sonra yeniden birleştirilebilir. MSS'yi aşan paketler basitçe bırakılır.

IPsec protokolü, paketlere tamamı birkaç bayt yer kaplayan bir dizi başlık ve fragman ekler. IPsec kullanan ağlar için MSS ve MTU'nun buna göre ayarlanması gerekir, aksi takdirde paketler parçalanacak ve biraz gecikecektir. Tipik olarak bir ağın MTU'su 1.500 bayttır. Normal IP başlığı 20 bayt uzunluğundadır ve TCP başlığı da 20 bayt uzunluğundadır; bu, her paketin 1.460 bayt yük içerebileceği anlamına gelir. Ancak IPsec, bir Kimlik Doğrulama Başlığı, ESP başlığı ve ilgili fragmanları ekler. Bir pakete veya daha fazlasına 50 - 60 bayt eklerler.