Hva er en IPsec VPN og hvordan fungerer IPsec?

Hvis du åpner innstillingene i en VPN-app, vil du ofte finne en liste over protokoller. IPsec er ett av alternativene du kan se, noen ganger skrevet som IKEv2/IPsec. Det er også innebygd i Windows, macOS og iOS, så du kan bruke IPsec uten å ha valgt det selv.

IETF-standardiserte det på 1990-tallet som en generell måte å beskytte IP-trafikk over upålitelige nettverk, fra en permanent forbindelse mellom to kontornettverk til en enkelt bruker som kobler seg til fra et annet sted. En forbruker‑IPsec VPN bruker samme beskyttelse for din forbindelse: den kobler enheten din til en server som drives av din VPN leverandør, slik at trafikken går ut gjennom den serveren i stedet for direkte fra enheten din.

Hva er IPsec?

IPsec (Internet Protocol Security) er en samling protokoller som beskytter data mens de reiser over IP-nettverk. Den krypterer hvert enkelt datapakke, bekrefter hvor pakken kommer fra, og sjekker at ingenting er endret underveis.

Dataene dine krysser ikke internett som én helhet. De deles opp i pakker, hver pakke pakket inn med adresseinformasjon slik at rutere vet hvor de skal sende dem. IPsec fungerer på disse pakkene individuelt.

Rammeverket tilbyr:

• Kryptering: innholdet i hver pakke blir til chiffertekst, som en nettverksoperatør eller en som avlytter ikke kan lese.
• Integritetskontroller: mottakeren bekrefter at dataene ankom uten endringer.
• Autentisering: hvert endepunkt beviser at det er den maskinen det utgir seg for å være, ved bruk av enten en forhåndsdelt nøkkel (et hemmelig passord begge parter kjenner) eller et digitalt sertifikat (en legitimasjon utstedt og signert av en pålitelig myndighet).
• Beskyttelse mot gjenspilling: pakker en angriper fanget opp tidligere og sender på nytt blir avvist.

Programvare eller maskinvare bygget på disse protokollene er en IPsec VPN. VPN-programvare og nettverksmaskinvare bruker IPsec for å opprette beskyttede forbindelser over offentlige nettverk. Fordi IPsec opererer på nettetivå, kan den beskytte IP-trafikk for hele enheten i stedet for å være begrenset til én enkelt applikasjon.

Nyttige IPsec‑begreper og definisjoner

IPsec‑terminologi blir fort komplisert. Her er en rask referanse for begrepene du oftest støter på og hva de betyr:

Hvordan fungerer en IPsec VPN?

En IPsec VPN oppretter en beskyttet tunnel i fire raske trinn: de to endepunktene autentiserer hverandre, blir enige om krypteringsparametere, deretter krypteres og innpakkes hver utgående pakke. Mottakeren sjekker for manipulering og dekrypterer den.

1. Autentisering og forhandling: endepunktene beviser sin identitet for hverandre, deretter blir de enige om krypterings- og integritetsalgoritmer og nøklene som følger med.
2. Tunnelopprettelse: med vilkårene på plass åpner begge sider den beskyttede forbindelsen og lagrer de avtalte innstillingene som en sikkerhetsforening, regelverket for den tunnelen.
3. Kryptering og overføring: utgående pakker krypteres og innpakkes før de forlater enheten din, og krysser deretter internett som annen trafikk.
4. Dekryptering ved destinasjon: mottakende endepunkt sjekker pakken for manipulering, dekrypterer den og videresender de originale dataene.

Internet Key Exchange (IKE) håndterer de to første trinnene, og IKEv2 er versjonen som er i vanlig bruk i dag. Den forhandlingen kjører normalt over UDP port 500. Hvis enheten din står bak en ruter som utfører nettverksadresseoversettelse, bytter begge sider til NAT‑T (NAT‑traversering), som pakker inn nøkkelutvekslingen og den krypterte trafikken som følger i UDP port 4500 slik at de krysser ruteren uendret.

Hva brukes IPsec til?

IPsec sikrer trafikk som må reise over det offentlige internettet. De vanligste bruksområdene er fjernarbeidere som kobler seg til et kontornettverk via en bedrifts‑VPN, permanente lenker mellom selskapets lokasjoner, og VPN‑apper som tilbyr IKEv2/IPsec for å beskytte nettlesing på offentlig Wi‑Fi.

Sted‑til‑sted versus fjernaksess IPsec VPNs

En sted‑til‑sted IPsec VPN kobler hele nettverk sammen. Et firma med hovedkontor og et lager på andre siden av byen plasserer en gateway i hver ende, og tunnelen går mellom disse to punktene. En skriver på lageret kan nå en server på hovedkontoret uten IPsec‑programvare på skriveren selv fordi gatewayen håndterer krypteringen for alt bak den.

En fjernaksess‑IPsec VPN kobler en enkelt enhet til et helt nettverk. Klientprogramvaren på laptopen din danner den ene enden av tunnelen, og gatewayen på kontorets nettverk danner den andre, slik at den samme serveren er tilgjengelig fra et hotellrom så lenge tunnelen er oppe.

Hvilke protokoller bruker IPsec?

IPsec er et sett med protokoller:

• ESP (Encapsulating Security Payload): krypterer og autentiserer lasten.
• AH (Authentication Header): sjekker integriteten i lasten og det meste av IP‑headeren, uten å kryptere noe.
• IKE (Internet Key Exchange): forhandler innstillinger og etablerer nøkler.

Du vil kanskje se «IKEv2/IPsec» i VPN‑innstillinger, og det ser ut som et valg mellom to protokoller. Det er det ikke: IKEv2 setter opp forbindelsen og IPsec beskytter det som går gjennom den.

Hvorfor du stort sett bare vil se ESP

ESP er det som beskytter trafikken i en moderne IPsec‑forbindelse. AH etterlater dataene dine lesbare for hvem som helst som fanger dem opp, og gir kun bevis for at en pakke kom fra forventet kilde og ankom uendret.

AH fungerer dessuten dårlig når nettverksadresseoversettelse står i veien, fordi den beskytter deler av IP‑headeren som NAT omskriver. Hjemmerutere og mobilnett bruker NAT, så AH er sjelden brukt.

Hva er forskjellen mellom IPsec tunnelmodus og transportmodus?

Tunnelmodus pakker hele den originale pakken, inkludert headere, inn i en ny pakke. Transportmodus krypterer bare lasten og lar den originale IP‑headeren være synlig, noe som passer for direkte server‑til‑server‑trafikk inne i et datasenter.

Ordet tunnel gjør dobbelt tjeneste her, og det forvirrer mange. En IPsec‑tunnel er den beskyttede forbindelsen mellom to endepunkter, mens tunnelmodus er et eget valg om hvor mye av hver pakke som blir innpakket.

Den som overvåker en tunnelmodus‑forbindelse ser trafikk som beveger seg mellom de to endepunktene, ikke de skjulte adressene innvendig. I transportmodus forblir kilde og destinasjon i klartekst, siden bare lasten er kryptert.

Hva er fordelene og ulempene med IPsec?

IPsec har vært i bruk siden 1990‑tallet, så fordelene og ulempene er godt dokumentert.

Fordeler med IPsec

• Sterk kryptering og autentisering. Moderne konfigurasjoner kombinerer chiffer som AES med sertifikat‑ eller forhåndsdelt‑nøkkel‑autentisering, slik at hver ende beviser sin identitet før trafikk flyter.
• Dekning på nettetivå. E‑postklienter, filoverføringer og sikkerhetskopier går samme beskyttede vei som nettlesertrafikk.
• Uavhengig av applikasjon. Programvare trenger ikke å vite at en VPN finnes, derfor kjører gamle forretningsapplikasjoner over IPsec uten endringer.
• En publisert standard. IETF‑spesifikasjonene definerer IPsec, så en brannmur fra én leverandør kan vanligvis bygge en tunnel til en gateway fra en annen.

Ulemper med IPsec

• Konfigurasjonskompleksitet. Dusinvis av innstillinger må samsvare i begge ender, inkludert krypteringsalgoritmer, nøkkellivslengder og identifikatorer. Ett enkelt avvik kan hindre at en tunnel opprettes.
• Krypterings‑ og innpakningsoverhead. Hver pakke får ekstra byte, noe som kan føre til fragmentering på lenker med lavere MTU.
• Brannmur‑ og NAT‑kompatibilitet. Noen nettverk blokkerer portene IPsec er avhengig av, eller håndterer adresseoversettelse dårlig, noe som kan forhindre at forbindelsen dannes i det hele tatt.

Uten en nettverksingeniør for hånden er innstillingene, portene og NAT‑atferden vanligvis det vanskeligste ved å få en IPsec VPN oppe og gå.

Er IPsec sikkert?

IPsec er sikkert når det er konfigurert med moderne innstillinger, men ikke alle oppsett er det. Eldre utstyr kan fortsatt kjøre utdaterte chiffer og en gammel nøkkelutvekslingsversjon, så beskyttelsen varierer fra forbindelse til forbindelse.

De fleste moderne oppsett kombinerer AES for kryptering med HMAC-SHA-2 for integritet. HMAC-SHA-2 lager et kort fingeravtrykk av dataene ved bruk av en hemmelig nøkkel, slik at enhver manipulasjon vises umiddelbart.

Eldre oppsett kjører noen ganger fortsatt DES eller MD5, som ikke regnes som sikre i dag. Noe legacy‑maskinvare tilbyr også 768‑ eller 1024‑bits Diffie–Hellman‑grupper. Diffie–Hellman er hvordan to ender blir enige om en delt nøkkel uten å sende den, og gruppen er størrelsen på tallene de bruker. Mindre grupper gir svakere beskyttelse mot angrep, derfor bruker moderne konfigurasjoner sterkere Diffie–Hellman‑grupper i stedet for de små gruppene som finnes i eldre oppsett.

Nøkkelutveksling er også viktig å kontrollere. IKEv1, utgitt i 1998, har kjente svakheter i visse moduser. Den verste er aggressive mode, en forkortet håndtrykk‑rutine som bytter bort en meldingsrunde for hastighet. Den gir nok informasjon til at en angriper kan fange opp utvekslingen og deretter gjette den delte nøkkelen lokalt, uten grense for forsøk. Det finnes også risiko for et downgrade‑angrep, der noen tukler med åpningsforhandlingen slik at begge ender blir enige om eldre kryptering de fortsatt støtter. IETF flyttet IKEv1 til historisk status i 2023.

IKEv2 forhandler tryggere og er bedre til rekeying, den planlagte utskiftningen til nye nøkler midt i en sesjon. Den legger også til MOBIKE, som holder en etablert tunnel gående når enhetens IP‑adresse endres, slik at en telefon som skifter fra Wi‑Fi til mobilnett forblir koblet i stedet for å miste forbindelsen og måtte bygge den opp igjen.

Som hjemmebruker velger du vanligvis ikke disse innstillingene selv. Din VPN‑app eller arbeidsgiverens IT‑team gjør det. Det som er viktig, er at programvaren er oppdatert og fortsatt mottar oppdateringer, siden det holder chiffer og nøkkelutveksling moderne.

Sterk kryptering på alle forbindelser.

Kaspersky VPN krypterer internettrafikken din og skjuler din IP‑adresse, og holder forbindelsen privat på alle nettverk, inkludert offentlig Wi‑Fi.

Få Kaspersky VPN

✓

Uavhengig testet og tildelt av bransjens ledende laboratorier.

Hva er forskjellen mellom IPsec og SSL‑baserte VPNs?

IPsec kan gi en enhet nettverksnivåtillatelse til et fjernt nettverk, med trafikk rutet gjennom den beskyttede tunnelen i henhold til VPN‑konfigurasjonen. En nettleserbasert SSL‑VPN gir vanligvis tilgang til utvalgte ressurser, som et internt nettsted.

IPsec opererer lavt, på nettetivå, så det kan beskytte alt en enhet sender. SSL‑baserte VPNs jobber høyere opp, ved bruk av TLS, teknologien som krypterer forbindelsen til en nettbank. Så når en IPsec‑tunnel er oppe, oppfører enheten seg som om den var fysisk koblet til det fjerne nettverket. En nettleserbasert SSL‑VPN fungerer motsatt: den åpner en portal til et avgrenset sett ressurser som en intranett‑side eller en enkelt intern applikasjon, og enheten blir aldri medlem av nettverket. Noen SSL‑leverandører kjører en klient og fører all trafikk som IPsec, så portalløsningen er ikke den eneste varianten.

IPsec krever samsvarende konfigurasjon i begge ender, selv når klienten allerede er innebygd i operativsystemet, mens en nettleserbasert SSL‑VPN ofte kan kjøre uten installasjon. Dens trafikk går over TCP port 443, samme port som ofte brukes av HTTPS‑trafikk, og som vanligvis er tillatt over nettverk og brannmurer. Dette gjør nettleserbaserte løsninger enklere å bruke på restriktive nettverk, som hotell‑ eller flyplass‑Wi‑Fi, hvor IPsec‑trafikk kan bli blokkert.

Relaterte artikler:

• Hva er en VPN og hvordan fungerer den?
• Hvordan holder en VPN meg trygg på nettet?
• Hva er datakryptering?
• Hvordan unngå sikkerhetsrisikoer på offentlig Wi‑Fi

Anbefalte produkter:

• Kaspersky Premium
• Last ned en gratis 30‑dagers prøve av vår premium‑plan
• Kaspersky Mobile Security

FAQs

Hvilke porter bruker IPsec?

IKE kjører på UDP port 500, og NAT‑traversering flytter nøkkelutvekslingen og den krypterte trafikken som følger til UDP port 4500. ESP og AH er ikke porter, men IP‑protokoller 50 og 51. En brannmur må tillate disse, ellers vil ikke tunnelen opprettes.

Sakter en IPsec VPN ned forbindelsen min?

Ja, litt. Kryptering av hver pakke krever noe CPU, og trafikken går via en VPN‑server. De fleste merker ikke mye forskjell ved vanlig nettlesing eller strømming. Avstand til serveren legger til ventetid (latency), som påvirker hastigheten langt mer enn selve protokollen.

Hvordan påvirker IPsec MTU og MSS?

IPsec legger omtrent 50–70 byte per pakke, noe som kan tvinge fram fragmentering. Administratorer justerer TCP‑MTUen for å kompensere, men det finnes ingen standardverdi: det avhenger av krypteringen, om NAT‑traversering er aktiv, og den underliggende lenkens MTU.

Bruker IPsec symmetrisk eller asymmetrisk kryptering?

Begge deler. IKE bruker asymmetrisk kryptografi, en Diffie–Hellman‑utveksling, som lar de to endene finne en delt hemmelighet uten å sende den. Den hemmelige nøkkelen driver deretter et raskere symmetrisk chiffer, vanligvis AES, som beskytter trafikken din.