IPsec: differenze tra le versioni

Versione delle 17:05, 30 mar 2022

Versione delle 09:47, 4 apr 2022

Riga 238:

|} <small>ESP in Tunnel mode</small>

Le linee verdi sottendono la parte di pacchetto che viene sottoposta a crittografia, mentre le linee azzurre sottendono la parte di pacchetto che viene sottoposta a controllo di autenticità e integrità. Nella modalità trasporto l'header IP originale rimane in chiaro (quindi non protetto) per l'instradamento del pacchetto fino all'endpoint destinatario che sarà anche responsabile di processare l'autenticazione e la decrittazione del payload ESP. Diversamente, nella modalità tunnel l'header IP originale viene crittografato (quindi protetto) assieme all'header TCP e ai dati, ed è quindi necessario introdurre un nuovo IP header (in giallo) con le informazioni necessarie per l'instradamento fino al dispositivo delegato ( [[Gateway (informatica)|Gatewaygateway]] / [[firewall]] ) alla chiusura del tunnel IPsec con decrittazione del payload ESP, dipsositivo che provvederà a sua volta ad inoltrare il pacchetto autenticato e decifrato verso l'endpoint dichiarato nell'header IP originale (in grigio). Per quanto riguarda gli algoritmi di cifratura possono essere utilizzati [[Data Encryption Standard]] (DES), [[3DES]], [[Advanced Encryption Standard|AES]] e [[Blowfish]].

Il controllo di integrità e autenticità viene eseguito tramite [[HMAC]] (funzioni di hash);

l'hash viene calcolato tramite una funzione di hash ([[MD5]] o [[SHA1]]), utilizzando una chiave condivisa; l'hash ottenuto viene allegato al messaggio e inviato. In ricezione viene controllata l'integrità del messaggio. Come illustrato negli schemi, l'indirizzo IP più esterno non viene coperto dal controllo di integrità. Tale opzioni rende il protocollo ESP adatto ad essere utilizzato in alcuni tipi di [[Network address translation|NAT]], in particolare in quelli statici. Tuttavia esistono soluzioni ''ad-hoc'' per il funzionamento congiunto di IPsec e NAT, come il NAT traversal.