Khái Niệm IPsec, IPSec VPN, IPsec Tunnel
IPsec là gì?
IPsec là gì? IPsec là một nhóm giao thức và thuật toán giúp bảo vệ dữ liệu trao đổi trên mạng lưới Internet và mạng lưới công cộng. Nó thường sử dụng với VPN để mã hoá gói tin IP song song với việc xác thực nguồn của gói tin IP đó.
Trong IPsec, nó được chia thành 2 phần là “IP” và “Sec”. Nếu IP đại diện cho Internet Protocol hay giao thức Internet, thì Sec đại diện cho Secure (bảo mật). Nhờ có phần bảo mật này mà IPsec sẽ trở nên an toàn hơn so với những loại IP khác.
IPsec VPN là gì?
Như đã đề cập ở trên, VPN là một trong những kết nối sử dụng IPsec phổ biến nên nó được gọi là IPsec VPN. Đây là loại kết nối VPN dùng IPsec để tạo lập và khởi chạy các Tunnel được mã hoá.
Các IPsec VPN Tunnel này sẽ hỗ trợ mã hoá từ đầu đến cuối các dữ liệu được truyền dẫn giữa 2 kết nối Private trong mạng lưới Public. Chúng bao gồm những kết nối giữa Host với Host, Host với cổng bảo mật mạng lưới hoặc giữa các cổng bảo mật mạng lưới với nhau. Quá trình đó sẽ được vận hành ở lớp IP có trong nền tảng hệ thống.
Vậy Làm cách nào để người dùng kết nối với IPsec VPN? Người dùng có thể truy cập VPN IPsec bằng cách đăng nhập vào ứng dụng VPN hoặc “client.”. Cài đặt ứng dụng trên thiết bị để kết nối. Bạn tiến hành đăng nhập theo tên và mật khẩu để sử dụng. Lưu ý nên sử dụng xác thực hai yếu tố (2FA) để tăng cường bảo mật IPsec VPN, phòng tránh có kẻ tấn công quyền truy cập tài khoản của bạn.
IPsec Tunnel là gì?
IPsec Tunnel hay đường hầm IPsec là một phần trong giao thức, bao gồm một bộ tiêu chuẩn được phát triển bởi Internet Engineering Task Force (IETF) để bảo mật giao tiếp dưới dạng Packet. Thông thường IPsec Tunneling sẽ được áp dụng để triển khai VPN, tạo thành giao thức IPsec VPNs phục vụ người dùng.
So với các Tunnel truyền thống khác, IPsec Tunnel có khả năng bảo mật mật mã cao hơn. Bởi nó tạo ra một lớp bảo mật đa chiều để bảo vệ dữ liệu được truyền dẫn trong Internet hoặc trong mạng lưới doanh nghiệp.
So sánh IPsec VPN và SSL VPN
Ngoài IPsec, VPN còn sử dụng SSL để bảo mật kết nối mạng lưới công cộng. Tuy nhiên, mỗi loại giao thức như thế sẽ có những điểm khác biệt như sau:
| Yếu Tố So Sánh | IPsec VPN | SSL VPN |
| Lớp OSI | Nằm ở Application Layer | Nằm ở Network Layer |
| Cấu hình | Có cấu hình đơn giản | Có cấu hình phức tạp |
| Đối tượng ứng dụng | Áp dụng cho ứng dụng Web | Áp dụng cho tất cả loại giao thức mạng lưới |
| Thiết bị cuối | Thiết bị bất kỳ trong trình duyệt Web | Chỉ chấp thuận và cấu hình những thiết bị được cài đặt trên phần mềm Client |
| Điều khiển quyền truy cập | Dựa vào người dùng | Dựa vào thiết bị |
| Hệ thống tương thích | Sáp nhập tốt hơn với ứng dụng có hệ thống Cloud-based | Hoạt động tốt hơn với hệ thống On-premise chạy trong hạ tầng nội bộ của doanh nghiệp |
Cách thức hoạt động của IPsec
Hiện tại, IPsec hoạt động với nhiều bước khác nhau nhằm bảo mật tối đa mạng lưới kết nối. Chi tiết như sau:
- Key Exchange: Đầu tiên, IPswc sẽ thiết lập một Key trao đổi giữa các thiết bị được kết nối. Dựa vào Key Exchange đó, các thiết bị có thể giải mã những tin nhắn mã hoá mà mình nhận được.
- Gói tin Header và Trailer: Các thông tin gửi đi trên mạng lưới sẽ được chia nhỏ thành nhiều phần gồm Payload (dữ liệu thật sự được gửi đi) và Header (thông tin về dữ liệu đó). Theo đó, IPsec sẽ thêm vài Header và Trailer vào gói tin dữ liệu chứa thông tin xác thực và mã hoá.
- Xác thực: Bước tiếp theo IPsec sẽ hỗ trợ xác thực cho từng Packet để đảm bảo rằng chúng đều đến từ nguồn đáng tin cậy.
- Mã hóa: IPsec sẽ mã hóa những Payload trong từng Packet và từng IP Header của Packet đó để giúp dữ liệu gửi trên IPsec được bảo mật và giữ kín.
- Truyền dẫn: Sau khi đã mã hóa Packet, IPsec sẽ truyền dẫn nó đến điểm đích qua một hoặc nhiều mạng lưới bằng giao thức truyền dẫn UDP. Loại giao thức này sẽ giúp các Packet có thể vượt qua được tường lửa nhanh chóng nhất.
- Giải mã: Bước cuối cùng trong quá trình xử lý của IPsec là giải mã. Sau khi giải mã, các ứng dụng có thể sử dụng những dữ liệu được gửi tới mà không gặp phải trở ngại gì.
Các giao thức IPsec được sử dụng hiện nay
Do IPsec bao gồm một nhóm các giao thức nên người dùng có thể lựa chọn giao thức IPsec phù hợp để sử dụng theo nhu cầu. Sau đây là một số IP-sec điển hình nhất:
Xác thực Header (Authentication Header)
Authentication Header hay AH là giao thức giúp xác thực gói tin dữ liệu đến từ một nguồn tin cậy và chúng không bị giả mạo. Những Header trong giao thức này sẽ không cung cấp bất kỳ thông tin mã hóa nào nên chúng không có tác dụng bảo vệ dữ liệu khỏi những kẻ tấn công mạng.
Giao thức đóng gói bảo mật (Encapsulating Security Protocol)
Giao thức tiếp theo được sử dụng phổ biến trong IPsec là Encapsulating Security Protocol hay ESP. Đảm nhiệm vai trò mã hoá các IP Header và Payload của từng gói tin. Ngoài ra, ESP còn thêm cả Header và Trailer vào từng Packet dữ liệu.
Kết hợp bảo mật (Security Association)
SA hay Security Association bao gồm các giao thức được sử dụng để cân nhắc quá trình mã hoá và ứng dụng thuật toán. SA phổ biến nhất chính là Internet Key Exchange (IKE).
Giao thức thuộc nhóm Application Layer này có cơ chế hoạt động dựa vào UDP. Nó thường bao gồm 2 phiên bản khác nhau là IKEv1 và IKEv2. Trong đó, IKEv2 được cải thiện toàn diện hơn so với phiên bản còn lại.
Tính năng nổi bật của IPsec
Hiện nay, IPsec được sử dụng khá phổ biến bởi nó sở hữu nhiều tính năng nổi bật giúp bảo mật mạng lưới an toàn. Chẳng hạn như:
- Xác thực: IP-sec giúp xác thực gói tin IP sử dụng chữ ký điện tử hoặc chia sẻ các thông tin mật của chính IP đó. Tính năng này giúp đảm bảo các gói tin không bị giả mạo bởi kẻ tấn công mạng.
- Bảo mật: Đây là tính năng chính của IPsec. Nó cung cấp một khả năng bảo mật cao bằng cách mã hoá gói tin IP để tránh việc dữ liệu bị nghe lén trên mạng lưới Traffic.
- Quản lý Key: IPsec cung cấp tính năng quản lý Key bao gồm cả Key Exchange và Key Revocation. Nó giúp các Key mật mã được quản lý theo cách an toàn nhất.
- Tunneling: Tính năng Tunneling cho phép gói tin IP có thể được đóng gói ở một giao thức khác như GRE hoặc L2TP được ứng dụng phổ biến.
Đánh giá ưu nhược điểm của IPsec
Dưới đây là các điểm cộng và điểm trừ nổi bật nhất mà IPsec đang sở hữu:
Ưu điểm
- Bảo mật mạnh: IPsec cung cấp dịch vụ bảo mật có khả năng mã hoá cao cấp để bảo vệ thông tin nhạy cảm và đảm bảo quyền riêng tư của mạng lưới người dùng.
- Khả năng tương thích rộng rãi: Do là một giao thức mở thế nên IPsec được hỗ trợ rất nhiều bởi các nhà cung cấp dịch vụ. Theo đó, nó có thể sử dụng được trong những môi trường không đồng nhất.
- Khả năng linh hoạt cao: IPsec có thể được cấu hình để bảo mật linh hoạt các cấu trúc liên kết. Chẳng hạn như Point-to-point, Site-to-site và kết nối truy cập từ xa thông qua máy chủ ảo.
- Độ ổn định: Với độ ổn định cao, IPsec có thể điều chỉnh quy mô tùy theo nhu cầu. Nhờ vậy mà nó có thể phục vụ tốt mọi công việc lớn nhỏ của người dùng mạng lưới.
- Cải thiện hiệu năng hệ thống: IPsec có thể nâng cấp hiệu suất hệ thống bằng cách giảm tắc nghẽn các kết nối truy cập. Từ đó nó sẽ nâng cao hiệu quả hoạt động cho chính mạng lưới đó.
Nhược điểm
- Cấu hình phức tạp: IPsec có tính phức tạp cao về cấu hình. Vậy nên nó yêu cầu những kỹ năng và kiến thức chuyên sâu của đội ngũ triển khai giao thức.
- Giới hạn bảo vệ: Do IPsec chỉ có thể bảo vệ cho IP Traffic, thế nên những giao thức khác như ICMP, DNS và ngoại tuyến vẫn có thể bị tấn công như thường.
- Yêu cầu khả năng quản lý Key: IPsec thường yêu cầu người dùng có khả năng quản lý Key hiệu quả. Bởi chỉ có như thế nó mới đảm bảo được độ bảo mật cao cho mật mã sử dụng.
So sánh sự khác nhau giữa IPsec Tunneling và IPsec Transport
IPsec Tunnel và IPsec Transport là 2 chế độ làm việc riêng biệt của IPsec. Vì vậy, chúng sẽ có cơ chế vận hành và mục đích hướng đến khác nhau. Dưới đây, LANIT sẽ so sánh chi tiết 2 chế độ này cho bạn cùng nắm rõ:
| Yếu Tố So Sánh | IPsec Transport | IPsec Tunnel |
| Mục đích | Tại chế độ Transport, các Host sẽ đóng gói IPsec cho dữ liệu của chính nó | Cung cấp dịch vụ cho những Host khác trong Tunnel ngang hàng |
| Overhead | Ít Overhead | Cần nhiều Overhead hơn |
| Đối tượng sử dụng | Sử dụng cho quá trình bảo mật giao tiếp từ thiết bị này đến thiết bị khác | Tạo đường hầm Traffic từ trang Web này đến trang Web khác |
| Tương thích | Tương thích với Host-to-host Traffic của ESP | Tương thích với VPN và bảo mật Gateways-to-gateways |
| Vai trò của AH | AH giúp xác thực IP Payload và phần IP Header được chọn | Giúp xác thực cho tất cả gói tin IP bên trong và phần được chọn của IP Header bên ngoài |
| Vai trò của ESP | Mã hoá và xác thực tùy chọn các IP Payload nhưng không áp dụng với IP Header | Mã hoá và xác thực tùy chọn tất cả gói tin IP bên trong, bao gồm cả những IP Header của mạng lưới |
IPsec sử dụng port nào?
Port hay còn gọi là cổng mạng – Đây là vị trí ảo nơi dữ liệu đi vào máy tính. Nếu dữ liệu đi đến một cổng nhất định, hệ điều hành sẽ biết nó thuộc quy trình nào. Trong đó, IPsec thường sử dụng port 500.
Kết luận
Như vậy, các bạn đã biết IPsec là gì,những điểm khác nhau giữa IPsec VPN và SSL VPN cùng những kiến thức liên quan khác. Đây được xem là bộ giao thức có độ bảo mật cao giúp mạng lưới được bảo vệ an toàn trong điều kiện tốt nhất. Do đó bạn hãy cân nhắc sử dụng IPsec ngay cho mình hoặc liên hệ với LANIT để được giải đáp thêm thắc mắc.
