IPsec-Übersicht

IPsec (IP Security) ist eine Suite von Protokollen zur Absicherung von Daten, die über IP-Netzwerke übertragen werden. Sie bietet Authentifizierung, Integritätsprüfung und Verschlüsselung von IP-Paketen. IPsec wird hauptsächlich für VPN-Tunneling und den Schutz des Netzwerkperimeters eingesetzt.

Betriebsmodi

Transportmodus — nur die Nutzdaten des Pakets werden verschlüsselt; der ursprüngliche IP-Header bleibt erhalten. Wird für direkte Host-zu-Host-Verbindungen sowie zum Schutz von Tunneln eingesetzt, die mit anderen Mitteln aufgebaut wurden.

Tunnelmodus — das gesamte ursprüngliche IP-Paket wird verschlüsselt — Nutzdaten, Header und Routing-Informationen — und anschließend in ein neues Paket eingekapselt. Wird verwendet, um entfernte Hosts mit einem VPN zu verbinden und separate Netzwerksegmente über öffentliche Kanäle wie das Internet zu verbinden.

Die beiden Modi schließen sich nicht gegenseitig aus: Ein einzelner Knoten kann für bestimmte Verbindungen den Transportmodus und für andere den Tunnelmodus verwenden.

Anwendungsfälle

VPN-Tunnel — der primäre Anwendungsfall für IPsec. Die Protokolle ESP und AH arbeiten im Tunnelmodus und verschlüsseln den gesamten Datenverkehr zwischen den Endpunkten.

Firewall — durch die Konfiguration von Sicherheitsrichtlinien kann IPsec Pakete nach festgelegten Regeln filtern. Zum Beispiel:

• HTTP- und HTTPS-Datenverkehr blockieren, indem die entsprechenden Pakete verworfen werden;
• für einen Webserver nur Verbindungen auf Port 80 (TCP) oder 443 (TCP für HTTPS) erlauben und alles andere verwerfen.

Server-Schutz — beim Einsatz des ESP-Protokolls werden alle Anfragen an den Server und seine Antworten verschlüsselt. Der Datenverkehr hinter dem VPN-Gateway innerhalb der Verschlüsselungsdomäne wird im Klartext übertragen.

LAN-Datenverkehrsverschlüsselung — IPsec im Transportmodus sichert Verbindungen zwischen einem Dateiserver und Arbeitsstationen innerhalb eines lokalen Netzwerks.

Büros verbinden — IPsec im Tunnelmodus stellt eine sichere Verbindung zwischen den Netzwerken von zwei oder mehr Büros über das Internet bereit.