IPsec 개요

Junos VPN Site Secure는 멀티서비스 라인 카드(MS-DPC, MS-MPC 및 MS-MIC)에서 지원되는 IPsec 기능 모음으로, 13.2 이전 Junos 릴리스에서는 IPsec 서비스라고 불렸습니다. Junos OS 릴리스 13.2 및 이후 버전에서는 IPsec 기능이라는 용어가 적응형 서비스 및 암호화 서비스 PIC에서 IPsec 구현을 지칭하는 데만 사용됩니다. 이 주제는 Junos VPN Site Secure의 개요를 제공하며 다음 섹션으로 구성되어 있습니다.

• IPsec
• 보안 연결
• IKE(Internet Key Exchange)
• NAT-T에 대한 비지원
• ES PIC의 IPsec과 멀티서비스 라인 카드의 Junos VPN Site Secure 비교

[edit security ipsec]
proposal {...}

[edit services ipsec-vpn ipsec]
proposal {...}

[edit security ipsec]
policy {...}

[edit services ipsec-vpn ipsec]
policy {...}

[edit security ipsec]
security-association sa-dynamic {...}

[edit services ipsec-vpn rule rule-name]
term term-name match-conditions {...}
then dynamic {...}]

[edit security ipsec]
security-association sa-manual {...}

[edit services ipsec-vpn rule rule-name]
term term-name match-conditions {...}
then manual {...}]

[edit security ike]
proposal {...}

[edit services ipsec-vpn ike]
proposal {...}

[edit security ike]
policy {...}

[edit services ipsec-vpn ike]
policy {...}

[edit services ipsec-vpn]
rule-set {...}

[edit services ipsec-vpn]
service-set {...}

[edit interfaces es-fpc/pic/port]
tunnel source address

[edit services ipsec-vpn service-set set-name ipsec-vpn local-gateway address]

[edit interfaces es-fpc/pic/port]
tunnel destination address

[edit services ipsec-vpn rule rule-name]
remote-gateway address

인증은 발신자의 신원을 확인하는 프로세스입니다. 인증 알고리즘은 공유 키를 사용하여 IPsec 디바이스의 신뢰성을 확인합니다. Junos OS는 다음과 같은 인증 알고리즘을 사용합니다.

• MD5(메시지 다이제스트 5)는 단방향 해시 함수를 사용하여 임의의 길이의 메시지를 128비트의 고정 길이 메시지 다이제스트로 변환합니다. 변환 프로세스 때문에 결과 메시지 다이제스트에서 원래 메시지를 거꾸로 계산하여 계산하는 것은 수학적으로 불가능합니다. 마찬가지로, 메시지의 단일 문자를 변경하면 매우 다른 메시지 다이제스트 번호가 생성됩니다.

  메시지가 변조되지 않았는지 확인하기 위해 Junos OS는 계산된 메시지 다이제스트를 공유 키로 복호화된 메시지 다이제스트와 비교합니다. Junos OS는 추가 해싱 수준을 제공하는 MD5 HMAC(Hashed Message 인증 코드) 변형을 사용합니다. MD5는 AH(인증 헤더), ESP(Encapsulating 보안 페이로드) 및 IKE(Internet Key Exchange)와 함께 사용할 수 있습니다.

• 보안 해시 알고리즘 1(SHA-1)은 MD5보다 더 강력한 알고리즘을 사용합니다. SHA-1은 길이가 264비트 미만인 메시지를 수신하고 160비트 메시지 다이제스트를 생성합니다. 큰 메시지 다이제스트는 데이터가 변경되지 않았으며 올바른 소스에서 시작되었는지 확인합니다. Junos OS는 추가 수준의 해싱을 제공하는 SHA-1 HMAC 변형을 사용합니다. SHA-1은 AH, ESP, IKE와 함께 사용할 수 있습니다.

• SHA-256, SHA-384 및 SHA-512(때로는 SHA-2라는 이름으로 그룹화됨)는 SHA-1의 변형이며 더 긴 메시지 다이제스트를 사용합니다. Junos OS는 모든 버전의 AES(Advanced Encryption Standard), DES(Data Encryption Standard) 및 3DES(Triple DES) 암호화의 모든 버전을 처리할 수 있는 SHA-256 버전을 지원합니다.

암호화는 권한이 없는 사용자가 해독할 수 없도록 데이터를 안전한 형식으로 인코딩합니다. 인증 알고리즘과 마찬가지로 공유 키는 IPsec 디바이스의 신뢰성을 검증하기 위해 암호화 알고리즘과 함께 사용됩니다. Junos OS는 다음과 같은 암호화 알고리즘을 사용합니다.

• 데이터 암호화 DES-CBC(Standard cipher-block chaining)는 대칭 비밀 키 블록 알고리즘입니다. DES는 64비트의 키 크기를 사용하며, 여기서 8비트는 오류 감지에 사용되고 나머지 56비트는 암호화를 제공합니다. DES는 순열 및 대체를 포함하여 공유 키에 대한 일련의 간단한 논리 연산을 수행합니다. CBC는 DES에서 64비트 출력의 첫 번째 블록을 가져와 이 블록을 두 번째 블록과 결합하고 이를 DES 알고리즘에 다시 공급하고 모든 후속 블록에 대해 이 프로세스를 반복합니다.

• 트리플 DES-CBC(3DES-CBC)는 DES-CBC와 유사한 암호화 알고리즘이지만 168비트(3 x 56비트) 암호화에 3개의 키를 사용하기 때문에 훨씬 더 강력한 암호화 결과를 제공합니다. 3DES는 첫 번째 키를 사용하여 블록을 암호화하고, 두 번째 키를 사용하여 블록을 복호화하고, 세 번째 키를 사용하여 블록을 다시 암호화하는 방식으로 작동합니다.

• AES(Advanced Encryption Standard)는 벨기에 암호학자 Joan Daemen 박사와 Vincent Rijmen 박사가 개발한 Rijndael 알고리즘을 기반으로 하는 차세대 암호화 방법입니다. 128비트 블록과 세 가지 키 크기(128, 192, 256비트)를 사용합니다. 키 크기에 따라 알고리즘은 바이트 대체, 열 혼합, 행 이동 및 키 추가를 포함하는 일련의 계산(10, 12 또는 14라운드)을 수행합니다. IPsec과 함께 AES를 사용하는 것은 RFC 3602, AES-CBC 암호 알고리즘 및 IPsec에서의 사용에 정의되어 있습니다.

• Junos OS 릴리스 17.3R1부터, MS-MPC 및 MS-MIC에 대해 AES-GCM(Advanced Encryption Standard in Galois/Counter Mode)이 지원됩니다. 그러나 Junos FIPS 모드의 경우 AES-GCM은 Junos OS 릴리스 17.3R1에서 지원되지 않습니다. Junos OS 릴리스 17.4R1부터 AES-GCM은 Junos FIPS 모드에서 지원됩니다. AES-GCM은 인증과 개인 정보 보호를 모두 제공하도록 설계된 인증된 암호화 알고리즘입니다. AES-GCM은 이진 Galois 필드에 대한 범용 해싱을 사용하여 인증된 암호화를 제공하고 수십 Gbps의 데이터 속도로 인증된 암호화를 허용합니다.

IPsec 프로토콜은 라우터에 의해 보호되는 패킷에 적용되는 인증 및 암호화 유형을 결정합니다. Junos OS는 다음과 같은 IPsec 프로토콜을 지원합니다.

• AH—RFC 2402에 정의된 AH는 IPv4 및 IPv6 패킷에 대한 무연결 무결성 및 데이터 원본 인증 기능을 제공합니다. 또한 재생에 대한 보호 기능도 제공합니다. AH는 가능한 한 많은 IP 헤더와 상위 프로토콜 데이터를 인증합니다. 그러나 일부 IP 헤더 필드는 전송 중에 변경될 수 있습니다. 이러한 필드의 값은 보낸 사람이 예측할 수 없기 때문에 AH로 보호할 수 없습니다. IP 헤더에서 AH는 IPv4 패킷 Next Header 필드와 IPv6 패킷 필드의 Protocol 값 51 으로 식별할 수 있습니다. AH가 제공하는 IPsec 보호의 예가 그림 1에 나와 있습니다.

  참고:

  AH는 T 시리즈, M120, M320 라우터에서는 지원되지 않습니다.

그림 1: AH 프로토콜

• ESP - RFC 2406에 정의된 ESP는 암호화 및 제한된 트래픽 흐름 기밀성 또는 무연결 무결성, 데이터 원본 인증 및 안티리플레이 서비스를 제공할 수 있습니다. IP 헤더에서 ESP는 IPv4 패킷 필드와 Next Header IPv6 패킷 필드에서 의 50 Protocol 값을 식별할 수 있습니다. ESP가 제공하는 IPsec 보호의 예는 그림 2에 나와 있습니다.

그림 2: ESP 프로토콜

• 번들 - AH와 ESP를 비교할 때, 두 프로토콜 모두에서 몇 가지 장점과 단점이 있습니다. ESP는 적절한 수준의 인증 및 암호화를 제공하지만 IP 패킷의 일부에 대해서만 수행합니다. 반대로 AH는 암호화를 제공하지는 않지만 전체 IP 패킷에 대한 인증은 제공합니다. 이 때문에 Junos OS는 프로토콜 번들이라는 세 번째 형태의 IPsec 프로토콜을 제공합니다. 번들 옵션은 AH 인증과 ESP 암호화의 하이브리드 조합을 제공합니다.

IPsec은 두 피어 간에 보안 터널을 제공하며, IPsec 캡슐화 패킷에는 변경되지 않는 터널 엔드포인트 IP가 포함된 IP 헤더가 있습니다. 그 결과 그림 3과 같이 피어 간에 단일 전달 경로가 선택됩니다. IPsec 트래픽이 수천 개의 호스트가 있는 데이터센터 간에 흐르는 경우 이 단일 경로 선택으로 처리량이 제한됩니다.

그림 3: 하나의 전달 경로 가 있는 IPsec

그림 4와 같이 ESP 헤더 뒤에 UDP 헤더를 추가하는 IPsec 패킷의 UDP 캡슐화를 활성화하면 이 문제를 극복할 수 있습니다. 이는 중간 라우터에 레이어 3 및 4 정보를 제공하고 IPsec 패킷은 그림 5와 같이 여러 경로를 통해 전달됩니다. 서비스 집합에 대해 UDP 캡슐화를 활성화합니다.

그림 4: 추가된 UDP 헤더

그림 5: 여러 포워딩 경로 가 있는 IPsec

UDP 대상 포트를 구성하거나 기본값 4565를 사용할 수 있습니다. 4500은 네트워크 주소 변환(NAT) 순회에 대해 잘 알려진 포트이기 때문에 대상 포트로 구성할 수 없습니다.

Junos OS는 다음 데이터에 대해 작동하는 해시 함수를 통해 소스 UDP 포트를 생성합니다.

• 소스 IP 주소

• 대상 IP 주소

• 전송 프로토콜

• 전송 소스 포트

• 전송 대상 포트

• 난수

결과 해시의 마지막 2바이트만 사용되므로 내부 IP 헤더 세부 정보가 숨겨집니다.

NAT-T가 탐지되면 IPsec 패킷에 대한 UDP 캡슐화가 아닌 NAT-T UDP 캡슐화만 발생합니다.

하나 이상의 MS-MPC, MS-MIC 또는 DPC가 장착된 라우터에서 캐나다 및 미국 버전의 Junos OS는 IP 보안(IPsec) 및 Internet Key Exchange(IKE)에 대한 표준을 정의하는 다음 RFC를 주로 지원합니다.

• RFC 2085, HMAC-MD5 IP 인증 및 재생 방지

• RFC 2401, 인터넷 프로토콜을 위한 보안 아키텍처 (RFC 4301에 의해 더 이상 사용되지 않음)

• RFC 2402, IP 인증 헤더 (RFC 4302에 의해 더 이상 사용되지 않음)

• RFC 2403, ESP 및 AH 내에서 HMAC-MD5-96 사용

• RFC 2404, ESP 및 AH 내에서 HMAC-SHA-1-96 사용 (RFC 4305에 의해 더 이상 사용되지 않음)

• RFC 2405, 명시적 IV를 사용하는 ESP DES-CBC 암호 알고리즘

• RFC 2406, IP ESP(Encapsulating 보안 페이로드)( RFC 4303 및 RFC 4305에 의해 더 이상 사용되지 않음)

• RFC 2407, ISAKMP에 대한 인터넷 IP 보안 해석 도메인 (RFC 4306에 의해 더 이상 사용되지 않음)

• RFC 2408, ISAKMP(Internet 보안 연결 및 키 관리 프로토콜)( RFC 4306에 의해 더 이상 사용되지 않음)

• RFC 2409, IKE(Internet Key Exchange)( RFC 4306에 의해 더 이상 사용되지 않음)

• RFC 2410, NULL 암호화 알고리즘 및 IPsec에서의 사용

• RFC 2451, ESP CBC 모드 암호 알고리즘

• RFC 2560, X.509 인터넷 공개 키 인프라 온라인 인증서 상태 프로토콜 - OCSP

• RFC 3193, IPsec을 사용하여 L2TP 보안

• RFC 3280, 인터넷 X.509 공개 키 인프라 인증서 및 인증서 해지 목록(CRL) 프로파일

• RFC 3602, AES-CBC 암호 알고리즘 및 IPsec에서의 사용

• RFC 3948, IPsec ESP 패킷의 UDP 캡슐화

• RFC 4106, IPsec ESP(Encapsulating 보안 페이로드)에서 갈루아/카운터 모드(GCM) 사용

• RFC 4210, 인터넷 X.509 공개 키 인프라 인증서 관리 프로토콜(CMP)

• RFC 4211, 인터넷 X.509 CRMF(Public Key Infrastructure Certificate Request Message Format)

• RFC 4301, 인터넷 프로토콜을 위한 보안 아키텍처

• RFC 4302, IP 인증 헤더

• RFC 4303, IP 캡슐화 보안 페이로드(ESP)

• RFC 4305, 보안 페이로드(ESP) 및 인증 헤더(AH) 캡슐화를 위한 암호화 알고리즘 구현 요구 사항

• RFC 4306, Internet Key Exchange(IKEv2) 프로토콜

• RFC 4307, IKEv2(Internet Key Exchange Version 2)에서 사용하기 위한 암호화 알고리즘

• RFC 4308, IPsec용 암호화 제품군

  Junos OS에서는 Suite VPN-A만 지원됩니다.

• RFC 4754, ECDSA(Elliptic Curve Digital Signature Algorithm)를 사용한 IKE 및 IKEv2 인증

• RFC 4835, 보안 페이로드(ESP) 및 인증 헤더(AH) 캡슐화를 위한 암호화 알고리즘 구현 요구 사항

• RFC 5996, IKEv2(Internet Key Exchange Protocol Version 2)( RFC 7296에 의해 더 이상 사용되지 않음)

• RFC 7296, Internet Key Exchange 프로토콜 버전 2(IKEv2)

• RFC 7427, IKEv2(Internet Key Exchange Version 2)의 서명 인증

• RFC 7634, ChaCha20, Poly1305 및 IKE(Internet Key Exchange Protocol) 및 IPsec에서의 사용

• RFC 8200, 인터넷 프로토콜, 버전 6(IPv6) 사양

Junos OS는 IPsec 및 IKE(Internet Key Exchange)에 대해 다음 RFC를 부분적으로 지원합니다.

• RFC 3526, IKE(Internet Key Exchange)를 위한 MODP(More Modular Exponential) Diffie-Hellman 그룹

• RFC 5114, IETF 표준과 함께 사용하기 위한 추가 Diffie-Hellman 그룹

• RFC 5903, IKE 및 IKEv2에 대한 소수 모듈로 A(ECP 그룹) 타원 곡선 그룹

다음 RFC 및 인터넷 초안은 표준을 정의하지 않지만 IPsec, IKE 및 관련 기술에 대한 정보를 제공합니다. IETF는 이를 "정보성"으로 분류합니다.

• RFC 2104, HMAC: 메시지 인증을 위한 키 해싱

• RFC 2412, OAKLEY 키 결정 프로토콜

• RFC 3706, 트래픽 기반 방법으로 Dead Internet Key Exchange(IKE) 피어를 감지

• 인터넷 초안 draft-eastlake-sha2-02.txt, 미국 보안 해시 알고리즘(SHA 및 HMAC-SHA)( 2006년 7월 만료)

주니퍼 네트웍스 Junos 운영체제(Junos OS)는 IPsec을 지원합니다. 이 주제에는 ACX 시리즈 유니버설 메트로 라우터에서 IPsec을 구성하는 방법에 대한 배경 정보를 제공하는 다음 섹션이 포함되어 있습니다.

Junos OS에서 지원하는 IPsec 및 IKE(Internet Key Exchange) 표준 목록은 Junos OS 계층 및 RFC 참조를 참조하십시오.

• IPsec
• 보안 연결
• IKE(Internet Key Exchange)