Présentation du Protocole IPSEC

Présentation du protocole IPSEC

Le protocole IPsec permet de transporter des informations de manière sécurisée à partir de la couche 3 du modèle OSI.

Pour ce faire, il a à sa disposition plusieurs standards de chiffrement : AES, DES, SHA, MD5, DH.

IPsec = Internet Protocol Security

• Protocole normalisé RFC 4301.
• Protocole de niveau 3.
• Créé pour IPv6, adapté à l’IPv4.
• Utilise le protocole IKE (Internet Key Echange) – UDP 500.

Les objectifs du Protocole IPSec

• Confidentialité
  Information compréhensible uniquement par le destinataire final.
• Intégrité
  Une personne tierce ne peut modifier la donnée.
• Authentification
  Le destinataire de l’information doit tout d’abord être authentifié auprès de l’émetteur.
• Antireplay
  Nos paquets ne peuvent être dupliqués par un tiers.

Les standards supportés par le Protocole IPSec

• AES — Advanced Encryption Standard
• DES — Data Encryption Standard
• SHA — Secure Hash Algorithm
• MD5 — Message digest algorithm 5
• DH — Diffie-Hellman

Recommandations CISCO :

• Évitez DES, 3DES, MD5 et les groupes DH 1, 2 et 5.
• Utilisez AES, SHA et les groupes DH 14 ou plus.

Fonctionnement du protocole IPSEC

IKE Phase 1

Cette première phase va nous permettre de générer une clé de chiffrement de manière sécurisée qui va nous servir pour AH et ESP et ce grâce au Diffie-Hellman.

But :

• Authentification
  Le destinataire de l’information doit tout d’abord être authentifié auprès de l’émetteur

Cette authentification se doit d’être robuste, pour cela nous allons rajouter les couches Confidentialité et Intégrité.

Création de la pre-share-key :

IKE Phase 2

Le but de cette phase est de transporter les données de nos clients de manière sécurisée.

But :

• Confidentialité
  Information compréhensible uniquement par le destinataire final.
• Intégrité
  Une personne tierce ne peut modifier la donnée.

Pour assurer la partie Confidentialité de la donnée, nous avons deux protocoles disponibles :

• AH
• ESP

Pour assurer la partie Intégrité de la donnée, nous allons utiliser le HASH ( soit par MD5 , soit par SHA )

Protocole AH (Authentication Header)

AH Transform :

• ah-md5-hmac
• ah-sha-hmac

Protocole ESP (Encapsulating Security Payload)

ESP Encryption :

• esp-gcm
• esp-gmac
• esp-aes (Algorithme d’encryption de 128-bit)
  • esp-aes192 (Algorithme d’encryption de 192-bit)
  • esp-aes256 (Algorithme d’encryption de 256-bit)
• esp-des
• esp-3des
• esp-null

ESP Authentication :

• esp-md5-hmac
• esp-sha-hmac

Il existe deux modes IPsec :

• Transport
• Tunnel

Le mode Transport va chiffrer les couches supérieures à la couche 3 et va conserver les en-têtes IP de notre paquet.
Le mode Tunnel va modifier les adresses IP Source et Destination de notre paquet comme le ferait un tunnel GRE.

Et là, une question vous vient à l’esprit :

soit

À cette étape, nous venons de finir de dire à nos équipements comment chiffrer nos paquets. Il nous reste plus qu’à leur dire où chiffrer !

Configuration du protocole IPSEC

Pour mettre en application notre chiffrement, deux façons de faire :

Crypto-map

• Vieille méthode.
• Non flexible.

Profile

• Nouvelle méthode.
• Beaucoup plus flexible.
• Fortement recommandé pour le GRE over IPsec et le DMVPN.

Crypto-map

Notre Crypto-map va nous permettre de savoir :

• Avec qui monter notre tunnel IPsec ?
• Qui a le droit de circuler dans notre tunnel ?
• Comment chiffrer notre tunnel ?

Ce qui nous donne :

Profile

Facile à mettre en place, les commandes parlent d’elles-mêmes 🙂

Exemple de configuration du protocole IPSEC

Pour cet exemple, j’ai choisi de mettre en place mon IPsec via Crypto Map.

Vous pouvez voir un autre exemple pour la configuration d’IPSec via Profile dans mon article sur le DMVPN !

Architecture de base

Configuration de R1

Configuration de R2

Conclusion

Recommandations CISCO :

• Évitez DES, 3DES, MD5 et les groupes DH 1, 2 et 5.
• Utilisez AES, SHA et les groupes DH 14 ou plus.
• Privilégiez un Tunnel GRE + IPsec en mode transport qu’un Tunnel IPsec.
• Mettez en application votre IPSec via un Profile et non via une Crypto Map.