IPsec چیست؟ و چگونه کار می کند

IPsec چیست؟ IPsec مجموعه ای از پروتکل هایی است که برای برقراری اتصالات رمزگذاری شده بین دستگاه های شبکه با یکدیگر استفاده می شوند. این پروتکل کمک می کند تا ارسال و دریافت داده ها از طریق شبکه های عمومی مانند اینترنت ایمن باشد. IPsec اغلب همچنین برای استفاده در شبکه خصوصی مجازی نیز بکار می رود این پروتکل همچنین با رمزگذاری پکت های IP به همراه تأیید اعتبار منبعی که بسته ها از آنجا ارسال می شوند نیز کار می کند. این پروتکل یکی از قسمتهای مهم امنیت شبکه است.

“IP” مخفف “پروتکل اینترنت” و “sec” نیز مخفف  “secure” است. IP اصلی ترین پروتکلی است که در اینترنت استفاده می شود. مشخص می کند که داده ها با استفاده از آدرس های IP به کجا می روند. IPsec امن است زیرا رمزگذاری * و تأیید اعتبار را به این فرآیند اضافه می کند.

* رمزگذاری فرآیند پنهان کردن اطلاعات با تغییر داده ها به گونه ای است که تصادفی به نظر می رسد. به زبان ساده تر ، رمزگذاری استفاده از “کد مخفی” است که فقط طرف های مجاز قادر به تفسیر آن هستند.

 IPsec V-P*N چیست؟

یک شبکه خصوصی مجازی (V-P*N) یک اتصال رمزگذاری شده بین دو یا چند سیستم است. اتصالات V-P-N از طریق شبکه های عمومی صورت می گیرد، اما داده های مبادله شده از طریق V*P-N هنوز خصوصی است زیرا رمزگذاری شده است.

V-P*N ها امکان دسترسی ایمن و تبادل اطلاعات محرمانه را از طریق زیرساخت های شبکه اشتراکی مانند اینترنت عمومی امکان پذیر می سازند. به عنوان مثال ، وقتی کارمندان به جای اینکه در دفتر کار کنند از راه دور و یا در منزل کار می کنند ، آنها اغلب برای دسترسی به پرونده ها و برنامه های شرکتی از V*P-N استفاده می کنند.

بسیاری از V-P*N ها از مجموعه پروتکل IPsec برای ایجاد و اجرای این اتصالات رمزگذاری شده استفاده می کنند. اما همه V-P*N ها از IPsec استفاده نمی کنند. پروتکل دیگر برای V*P-N ها SSL/TLS است که در یک لایه متفاوت در مدل OSI نسبت به IPsec عمل می کند.

چگونه کاربران به IPsec V-P-N وصل می شوند؟

کاربران می توانند از طریق برنامه V-P-N  به IPSec V-P-N دسترسی پیدا کنند. البته برای اینکار نیاز است تا کاربر برنامه های مورد نیاز را نصب کند.

ورود به سیستم VPN معمولاً مبتنی بر رمز عبور است. در حالی که داده های ارسال شده از طریق V-P-N رمزگذاری شده اند  اگر رمزهای عبور کاربر به خطر بیفتد مهاجمان می توانند وارد V-P-N شوند و این داده های رمزگذاری شده را سرقت کنند. استفاده از احراز هویت دو عاملی (۲FA) می تواند امنیت IPsec V-P-N را تقویت کند  زیرا سرقت رمز عبور به تنهایی دیگر امکان دسترسی مهاجمان را نخواهد داد.

IPsec چگونه کار می کند؟

اتصالات IPsec شامل مراحل زیر است:

تبادل کلیدKey exchange: کلیدها برای رمزگذاری ضروری هستند. کلید رشته ای از کاراکترهای تصادفی است که می تواند برای “قفل” (رمزگذاری) و “باز کردن” (رمزگشایی) پیام ها استفاده شود. IPsec کلیدهای دارای تبادل کلید بین دستگاههای متصل را تنظیم می کند ، به طوری که هر دستگاه می تواند پیام های دستگاه دیگر را رمزگشایی کند.

هدر و تریلر بسته ها: تمام داده هایی که از طریق شبکه ارسال می شوند به قطعات کوچکتر به نام بسته ها تقسیم می شوند. بسته ها حاوی یک مقدار بار ، یا داده های واقعی ارسال شده ، و هدر ها یا اطلاعاتی در مورد آن داده ها هستند تا سیستم هایی که بسته ها را دریافت می کنند بدانند که با آنها چه کاری انجام دهند.  IPsec چندین هدر به بسته های داده حاوی اطلاعات تأیید اعتبار و رمزگذاری اضافه می کند.

احراز هویت: IPsec تأیید اعتبار برای هر بسته ، مانند برچسب اصالت روی یک کالای کلکسیونی. این تضمین می کند که بسته ها از یک منبع قابل اعتماد بوده و نه یک مهاجم.

رمزگذاری: IPsec داده های درون هر بسته و هدر IP هر بسته را رمزگذاری می کند. این داده های ارسال شده از طریق IPsec را ایمن و خصوصی نگه می دارد.

انتقال: بسته های رمزگذاری شده IPsec با استفاده از یک پروتکل حمل و نقل از طریق یک یا چند شبکه به مقصد خود می رسند. در این مرحله ، ترافیک IPsec با ترافیک IP معمولی متفاوت است زیرا اغلب از UDP به عنوان پروتکل حمل و نقل خود استفاده می کند تا TCP. TCP ، پروتکل کنترل انتقال ، اتصالات اختصاصی را بین دستگاه ها برقرار می کند و از رسیدن همه بسته ها اطمینان می دهد. UDP ، پروتکل داده کاربر ، این اتصالات اختصاصی را تنظیم نمی کند. IPsec از UDP استفاده می کند زیرا این اجازه را می دهد تا بسته های IPsec از طریق فایروال ها عبور کنند.

رمزگشاییDecryption: در سمت دیگر ارتباطات ، بسته ها رمزگشایی می شوند و برنامه ها (به عنوان مثال مرورگر) می توانند از داده های تحویل شده استفاده کنند.

چه پروتکل هایی در IPsec استفاده می شوند؟

در شبکه  پروتکل روشی مشخص برای قالب بندی داده ها است به گونه ای که هر سیستم شبکه ای می تواند داده ها را تفسیر کند. IPsec یک پروتکل نیست بلکه مجموعه ای از پروتکل ها است. پروتکل های زیر مجموعه IPsec را تشکیل می دهند:

هدر احراز هویت (AH): پروتکل AH اطمینان حاصل می کند که بسته های داده از یک منبع قابل اعتماد هستند و داده ها مانند مهر و موم روی یک محصول مصرفی دستکاری نشده است. این هدرها هیچ رمزگذاری ارائه نمی دهند. آنها به پنهان کردن داده ها از مهاجمان کمک نمی کنند.

پروتکل امنیتی کپسوله کننده (ESP): ESP هدر IP و داده های آن را برای هر پکت رمزگذاری می کنند و هدر و یک تریلر مخصوص به خود را به هر بسته داده اضافه می کند.

Security Association: به تعدادی از پروتکل هایی که برای مذاکره کلیدهای رمزنگاری و الگوریتم ها استفاده می شود ، اشاره دارد. یکی از رایج ترین پروتکل های SA ، تبادل کلید اینترنتی (IKE) است.

سرانجام ، در حالی که پروتکل (IP) جزئی از مجموعه IPsec نیست، IPsec مستقیماً بر روی IP قرار می گیرد.

تفاوت بین IPsec tunnel mode و IPsec transport mode چیست؟

حالت IPsec tunnel mode  بین دو روتر اختصاصی استفاده می شود که هر روتر به عنوان یک “تانل” مجازی از طریق یک شبکه عمومی عمل می کند. در حالت IPsec tunnel mode  هدر اصلی IP که حاوی مقصد نهایی بسته است ، علاوه بر بارگذاری بسته ، رمزگذاری می شود. برای گفتن روترهای واسطه از کجا می توان بسته ها را ارسال کرد ، IPsec یک هدر IP جدید اضافه می کند. در هر انتهای تونل ، روترها هدر IP را رمزگشایی می کنند تا بسته ها را به مقصد خود تحویل دهند.

در حالت IPsec transport mode دیتای هر بسته رمزگذاری می شود ، اما هدر اصلی IP خیر. از این رو روترهای واسطه قادر به دیدن مقصد نهایی هر بسته هستند – مگر اینکه از پروتکل تونلینگ جداگانه (مانند GRE) استفاده شود.

IPsec از چه پورت ای استفاده می کند؟

یک درگاه شبکه مکان مجازی است که داده ها در یک کامپیوتر قرار می گیرد. پورت ها نحوه ی پیگیری رایانه ها از فرآیندها و اتصالات مختلف هستند. اگر داده ها به پورت خاصی بروند ، سیستم عامل رایانه می داند به کدام فرآیند تعلق دارد. IPsec معمولاً از پورت ۵۰۰ استفاده می کند.

IPsec  چگونه MSS و MTU را تحت تأثیر قرار می دهد؟

MSS و MTU دو واحد اندازه گیری از اندازه بسته ها هستند. بسته ها فقط می توانند به اندازه معینی (با اندازه گیری در بایت) برسند قبل از اینکه رایانه ها ، روترها و سوئیچ ها قادر به کنترل آنها باشند. MSS اندازه دیتای هر بسته را اندازه گیری می کند ، در حالی که MTU کل بسته از جمله هدر ها را اندازه گیری می کند. بسته هایی که از MTU شبکه بیشتر است ، تکه تکه fragmented می شوند ، به این معنی که در بسته های کوچکتر تقسیم می شوند. بسته هایی که از MSS بیشتر باشند به راحتی حذف می شوند.

پروتکل IPsec چند هدر و تریلر را به بسته ها اضافه می کنند ، که همه آنها چندین بایت را می گیرند. برای شبکه هایی که از IPsec استفاده می کنند باید MSS و MTU را مطابق با آن تنظیم کرد  یا بسته ها تکه تکه شوند و کمی تأخیر اضافه کنند. معمولاً MTU برای یک شبکه ۱۵۰۰ بایت است. یک هدر IP معمولی ۲۰ بایت طول دارد و یک هدر TCP نیز ۲۰ بایت طول دارد ، بدین معنی که هر بسته می تواند حاوی ۱۴۶۰ بایت بار باشد. با این حال ، IPsec یک هدر تأیید اعتبار ، یک هدر ESP و تریلرهای مرتبط با آن اضافه می کند. اینها ۵۰-۶۰ بایت را به یک بسته اضافه می کنند.