NetScreen conceptos y ejemplos: Volumen 5 ... - Juniper Networks

Capítulo 1 IPSec Paquetes IKE e IPSec
PAQUETES IKE E IPSEC
Un túnel VPN IPSec consta de dos elementos importantes:
Configuración del túnel: En primer lugar, los interlocutores establecen las asociaciones de seguridad
(SAs), que definen los parámetros para asegurar el tráfico entre ellos. Los administradores de cada
extremo pueden definir los SAs manualmente, o bien dinámicamente durante las negociaciones IKE de
fase 1 y fase 2. La fase 1 se puede desarrollar en modo principal o en modo dinámico. La fase 2 ocurre
siempre en modo rápido.
Seguridad aplicada: IPSec protege el tráfico enviado entre los dos puntos terminales del túnel usando los
parámetros de seguridad definidos en los SAs que los interlocutores acordaron durante la configuración del
túnel. IPSec se puede aplicar en uno de ambos modos: modo de transporte (“Transport”) y modo de túnel
(“Tunnel”). Ambos modos admiten los dos protocolos IPSec: Encapsulating Security Payload (ESP) y
Authentication Header (AH).
Para ayudar a desmitificar el procesamiento de paquetes que se produce durante las etapas IKE e IPSec de un túnel
VPN, consulte las secciones siguientes, que muestran los encabezados de paquetes tanto para IKE como para IPSec.
Paquetes IKE
Cuando un paquete de texto puro que requiere encapsulamiento llega al dispositivo NetScreen y no existe ninguna
SA activa de fase 2 para ese túnel, el dispositivo NetScreen inicia las negociaciones IKE (y descarta el paquete 6 ).
Las direcciones de origen y de destino en el encabezado del paquete IP son las de las puertas de enlace IKE local
y remota, respectivamente. En la carga de datos del paquete IP hay un segmento UDP que encapsula un paquete
ISAKMP (IKE). El formato de los paquetes IKE es igual para la fase 1 y la fase 2.
Paquete IKE
(Para las fases 1 y 2)
Encabezado
IP
Encabezado
UDP
Encabezado
ISAKMP
Carga de datos
Nota: ISAKMP es el formato de paquetes utilizado por IKE.
6. Cuando se descarta el paquete IP inicial, el host de origen lo reenvía. Típicamente, para cuando el segundo paquete alcanza el dispositivo NetScreen, las
negociaciones IKE se han completado y el dispositivo NetScreen lo protege (como también protege todos los paquetes subsiguientes de esa sesión) con
IPSec antes de reenviarlo.
Juniper Networks NetScreen conceptos y ejemplos – Volumen 5: VPNs 16