Транс­порт­ный и тун­нель­ный режимы

Про­то­ко­лы AH и ESP могут за­щи­щать дан­ные в двух ре­жи­мах: транс­порт­ном и тун­нель­ном. В транс­порт­ном ре­жи­ме пе­ре­да­ча IP-па­ке­та через сеть вы­пол­ня­ет­ся с по­мо­щью ори­ги­наль­но­го за­го­лов­ка этого па­ке­та, а в тун­нель­ном ре­жи­ме ис­ход­ный пакет по­ме­ща­ет­ся в новый IP-па­кет и пе­ре­да­ча дан­ных по сети вы­пол­ня­ет­ся на ос­но­ва­нии за­го­лов­ка но­во­го IP-па­ке­та. При­ме­не­ние того или иного ре­жи­ма за­ви­сит от тре­бо­ва­ний, предъ­яв­ля­е­мых к за­щи­те дан­ных, а также от роли, ко­то­рую иг­ра­ет в сети узел, за­вер­ша­ю­щий за­щи­щен­ный канал. Так, узел может быть хо­стом (ко­неч­ным узлом) или шлю­зом (про­ме­жу­точ­ным узлом). Со­от­вет­ствен­но, име­ют­ся три схемы при­ме­не­ния IPSec: «хост-хост», «шлюз-шлюз» и «хост-шлюз».

Ри­су­нок 2. Схема «хост-хост».

В пер­вой схеме за­щи­щен­ный канал, или, что в дан­ном кон­тек­сте одно и то же, без­опас­ная ас­со­ци­а­ция, уста­нав­ли­ва­ет­ся между двумя ко­неч­ны­ми уз­ла­ми сети (см. Ри­су­нок 2). Про­то­кол IPSec в этом слу­чае ра­бо­та­ет на ко­неч­ном узле и за­щи­ща­ет дан­ные, по­сту­па­ю­щие на него. Для схемы «хост-хост» чаще всего ис­поль­зу­ет­ся транс­порт­ный режим за­щи­ты, хотя раз­ре­ша­ет­ся и туннельный.

В со­от­вет­ствии со вто­рой схе­мой, за­щи­щен­ный канал уста­нав­ли­ва­ет­ся между двумя про­ме­жу­точ­ны­ми уз­ла­ми, так на­зы­ва­е­мы­ми шлю­за­ми без­опас­но­сти (Security Gateway, SG), на каж­дом из ко­то­рых ра­бо­та­ет про­то­кол IPSec (см. Ри­су­нок 3). За­щи­щен­ный обмен дан­ны­ми может про­ис­хо­дить между лю­бы­ми двумя ко­неч­ны­ми уз­ла­ми, под­клю­чен­ны­ми к сетям, ко­то­рые рас­по­ло­же­ны по­за­ди шлю­зов без­опас­но­сти. От ко­неч­ных узлов под­держ­ка про­то­ко­ла IPSec не тре­бу­ет­ся, они пе­ре­да­ют свой тра­фик в неза­щи­щен­ном виде через за­слу­жи­ва­ю­щих до­ве­рие сети Intranet пред­при­я­тий. Тра­фик, на­прав­ля­е­мый в об­ще­до­ступ­ную сеть, про­хо­дит через шлюз без­опас­но­сти, ко­то­рый и обес­пе­чи­ва­ет его за­щи­ту с по­мо­щью IPSec, дей­ствуя от сво­е­го имени. Шлюзы могут ис­поль­зо­вать толь­ко тун­нель­ный режим работы.

Схема «хост-шлюз» (см. Ри­су­нок 4) часто при­ме­ня­ет­ся при уда­лен­ном до­сту­пе. Здесь за­щи­щен­ный канал ор­га­ни­зу­ет­ся между уда­лен­ным хо­стом, на ко­то­ром ра­бо­та­ет IPSec, и шлю­зом, за­щи­ща­ю­щим тра­фик для всех хо­стов, вхо­дя­щих в сеть Intranet пред­при­я­тия. Уда­лен­ный хост может ис­поль­зо­вать при от­прав­ке па­ке­тов шлюзу как транс­порт­ный, так и тун­нель­ный режим, шлюз же от­прав­ля­ет пакет хосту толь­ко в тун­нель­ном ре­жи­ме. Эту схему можно услож­нить, со­здав па­рал­лель­но еще один за­щи­щен­ный канал — между уда­лен­ным хо­стом и ка­ким-ли­бо хо­стом, при­над­ле­жа­щим внут­рен­ней сети, за­щи­ща­е­мой шлю­зом. Такое ком­би­ни­ро­ван­ное ис­поль­зо­ва­ние двух SA поз­во­ля­ет на­деж­но за­щи­тить тра­фик и во внут­рен­ней сети.

IPsec (сокращение от IP Security) — набор протоколов для обеспечения защиты данных, передаваемых по межсетевому протоколу IP. Позволяет осуществлять подтверждение подлинности (аутентификацию), проверку целостности и/илишифрование IP-пакетов. IPsec также включает в себя протоколы для защищённого обмена ключами в сети Интернет. В основном, применяется для организации vpn-соединений.

Первоначально сеть Интернет была создана как безопасная среда передачи данных между военными. Так как с ней работал только определённый круг лиц, людей образованных и имеющих представления о политике безопасности, то явной нужды построения защищённых протоколов не было. Безопасность организовывалась на уровне физической изоляции объектов от посторонних лиц, и это было оправдано, когда к сети имело доступ ограниченное число машин. Однако, когда Интернет стал публичным и начал активно развиваться и разрастаться, такая потребность появилась.^[1]

И в 1994 году Совет по архитектуре Интернет (IAB) выпустил отчет «Безопасность архитектуры Интернет». Он посвящался в основном способам защиты от несанкционированного мониторинга, подмены пакетов и управлению потоками данных. Требовалась разработка некоторого стандарта или концепции, способной решить эту проблему. В результате, появились стандарты защищенных протоколов, в числе которых и IPsec. Первоначально он включал в себя три базовые спецификации, описанные в документах (RFC1825, 1826 и 1827), однако впоследствии рабочая группа IP Security Protocol IETFпересмотрела их и предложила новые стандарты (RFC2401 — RFC2412), используемые и в настоящее время.