IPsec en línea

Características destacadas del plano de datos IPsec en línea

A continuación, se muestran las características más destacadas del plano de datos IPsec

• Admite los protocolos IPsec IPv4 e IPv6

• Admite AES-GCM de clave de 128 bits y clave de 256 bits

• Admite hasta 2000 túneles por chasis

• Cada ASIC de reenvío admite dos motores de reenvío de paquetes. A partir de Junos OS versión 24.4R1, se pueden configurar ambos motores de reenvío de paquetes, admitiendo hasta 600 Gbps half-duplex (300Gbps half-duplex por PFE).

Para obtener más información sobre la plataforma y la compatibilidad con la versión de Junos, consulte Explorador de características.

La figura 1 ilustra la arquitectura del plano de datos IPsec en línea, el plano de control y el plano de administración y la interfaz de API.

Las interfaces de servicios en línea son interfaces virtuales que residen en el motor de reenvío de paquetes. Para obtener más información, consulte Habilitar interfaces de servicio en línea

Puede configurar servicios en línea con cuatro si ifds por PIC en el formato si/fpc/pic/port-number. Si el fpc es 0 y pic 0, puede tener cuatro si ifds – si-0/0/0, si-0/0/1 si-0/0/2 , y si-0/0/3.

Se admiten las siguientes características:

• Modo de túnel ESP con AES-128-GCM y AES-256-GCM para SA IPsec para encapsulaciones IPv4 e IPv6.

• 32 bits y número de secuencia extendida (64 bits).

• IKEV2 con identidades locales y remotas, reautenticación, autenticación mediante certificados x509, fragmentación IKE.

• Detección de pares muertos

• Se admite el túnel MTU por VPN. Si el paquete IPsec supera la MTU configurada, el paquete se fragmenta previamente y, a continuación, se encapsula ESP. Esto evita la fragmentación después de la encapsulación ESP.

• Duración de SA en segundos (reclave de IKE e IPsec).

• Encapsulación UDP de paquetes ESP.

No se admiten las siguientes características:

• Encabezado de autenticación (AH)

• Modo de transporte

• Reensamblaje de paquetes IPv4 antes del descifrado

• Cifrado nulo según RFC4543

• IKE-V1

Las características IPsec e IKE compatibles con IPsec en línea enumeran las características IPSec e IKE compatibles para IPsec en línea:

Tabla 1: Características IPsec e IKE compatibles con IPsec en línea

Característica	Aplicable a IKE	Aplicable a IPsec
MD5	Sí	No
SHA-256	Sí	No
SHA-384	Sí	No
SHA-512	Sí	No
AES-128-GCM	Sí	Sí
AES-256-GCM	Sí	Sí
3DES-CBC	Sí (no recomendado)	No
AES-128-CBC	Sí	No
AES-192-CBC	Sí	No
AES-256-CBC	Sí	No
DES-CBC	Sí (no recomendado)	No

Una asociación de seguridad (SA) es una conexión simplex que permite que dos hosts se comuniquen entre sí de forma segura mediante IPsec. Una SA encapsula los algoritmos de cifrado e integridad, las claves criptográficas, la política de seguridad y la duración de la SA. Una SA de IKE contiene atributos para establecer una SA de IPsec, mientras que una SA de IPsec define los atributos para cifrar el tráfico de datos real.

ike-key-management-daemon (IKED), un demonio de Junos RE, mantiene la vida útil de las SA de IKE e IPsec. Una configuración de IKE define los algoritmos y las claves utilizados para establecer una conexión segura con una puerta de enlace de seguridad del mismo nivel.

Asociaciones de seguridad

Para usar los servicios de seguridad IPsec, cree SA entre dos puntos de conexión. Una SA es una conexión simplex que permite que dos hosts se comuniquen entre sí de forma segura mediante IPsec. Hay dos tipos de SA:

• Las SA manuales no requieren negociación; Todos los valores, incluidas las claves, son estáticos y se especifican en la configuración. Las SA manuales definen estáticamente los valores, algoritmos y claves del índice de parámetros de seguridad (SPI) que se van a utilizar, y requieren configuraciones coincidentes en ambos extremos del túnel. Cada par debe tener las mismas opciones configuradas para que la comunicación tenga lugar.

• Las SA dinámicas requieren una configuración adicional. . IKE crea asociaciones de seguridad dinámicas; negocia SA para IPsec. La configuración de IKE define los algoritmos y las claves utilizados para establecer la conexión IKE segura con la puerta de enlace de seguridad del mismo nivel. A continuación, esta conexión se utiliza para acordar dinámicamente claves y otros datos utilizados por la SA IPsec dinámica. La SA de IKE se negocia primero y, a continuación, se utiliza para proteger las negociaciones que determinan las SA IPsec dinámicas.

IKE

IKE es un protocolo de administración de claves que crea SA dinámicas; negocia SA para IPsec. Una configuración de IKE define los algoritmos y las claves utilizados para establecer una conexión segura con una puerta de enlace de seguridad del mismo nivel.

IKE realiza las siguientes tareas:

• Negocia y administra los parámetros IKE e IPsec.

• Autentica el intercambio seguro de claves.

• Proporciona autenticación mutua entre pares mediante secretos compartidos (no contraseñas) y claves públicas.

• Proporciona protección de identidad (en modo principal).

IPsec en línea solo admite IKE versión 2 (IKE v2). IKE negocia atributos de seguridad y establece secretos compartidos para formar la SA de IKE bidireccional. Después de negociar las SA de IKE, se establecen las SA IPsec de entrada y salida, y la SA de IKE protege el intercambio de SA de IPsec. IKE también genera material de claves, proporciona Perfect Forward Secrecy e intercambia identidades.

En el modo de solo respuesta, el enrutador de la serie MX no inicia negociaciones de IKE, solo responde a las negociaciones de IKE iniciadas por la puerta de enlace del mismo nivel. Esto puede ser necesario mientras se interopera con equipos de otros proveedores, como dispositivos Cisco. Dado que la serie MX no admite los valores de protocolo y puerto en el selector de tráfico, no puede iniciar un túnel IPsec a la puerta de enlace del mismo nivel de otro proveedor que espera estos valores. Al configurar el modo de solo respuesta en la serie MX, MX puede aceptar el selector de tráfico en la negociación IKE iniciada desde la puerta de enlace del mismo nivel.

La figura 2 ilustra el intercambio de IPsec SA e IKE entre puertas de enlace pares.

Detección de pares muertos (DPD)

DPD es un método que se usa para comprobar la vivacidad del par IKE para evitar el bloqueo del tráfico IPsec. Un dispositivo realiza esta verificación enviando periódicamente sondas DPD (mensaje R-U-THERE) y esperando la respuesta DPD (mensaje R-U-THERE-ACK).

Puede configurar DPD en los siguientes modos:

• always-send: indica al dispositivo que envíe el sondeo DPD a intervalos regulares, independientemente de si hay tráfico IPsec saliente al par.

• optimizado: envía un sondeo DPD si no hay tráfico IKE o IPsec entrante dentro del intervalo configurado después de enviar los paquetes salientes al par. Este es el modo DPD predeterminado.

• sonde-idle-tunnel: envía la sonda DPD durante el tiempo de inactividad del tráfico entre pares.

NAT-T

La traducción transversal de direcciones de red (NAT-T) es un método utilizado para administrar los problemas relacionados con la traducción de direcciones IP que se producen cuando los datos protegidos por IPsec pasan a través de un dispositivo configurado con NAT para la traducción de direcciones

Conectividad WAN IPsec

Los enrutadores de la serie MX que admiten IPsec en línea tienen dos segmentos de motores de reenvío de paquetes (PFE) por ASIC YT. Cada segmento PFE es capaz de alcanzar hasta 800 Gbps de ancho de banda. Cada segmento de PFE tiene dos grupos de puertos (PG), para un total de cuatro PG por año

Cada PG admite hasta 400 Gbps de ancho de banda para conectividad WAN para tráfico regular (no IPsec). El grupo de puertos 0 de cada segmento de PFE puede admitir IPsec.

Cada grupo de puertos compatible con IPsec puede admitir una conectividad WAN de hasta 300 Gbps para el tráfico IPsec, mientras que los 100 Gbps restantes se pueden usar para el tráfico que no es IPsec.

Puede utilizarlo show chassis fpc slot-number pic slot-number para mostrar la información del grupo de puertos y el estado de conectividad WAN de un puerto.

Tabla 2: Comportamiento de IPsec en línea específico de la plataforma

Plataforma	Diferencia
MX304	Admite la inserción y eliminación en línea de LMIC

Encapsulación UDP del tráfico ESP

IPsec proporciona túneles seguros entre dos pares y los paquetes encapsulados IPsec tienen encabezados IP que contienen IP de extremo de túnel que no cambian. Esto da como resultado la selección de una única ruta de reenvío entre los pares, como se muestra en la figura 7. Cuando el tráfico IPsec fluye entre centros de datos con miles de hosts, esta selección de ruta única limita el rendimiento.

Puede solucionar este problema habilitando la encapsulación UDP de los paquetes IPsec, que anexa un encabezado UDP después del encabezado ESP, como se muestra en la figura 8 . Esto proporciona información de las capas 3 y 4 a los enrutadores intermedios, y los paquetes IPsec se reenvían a través de varias rutas, como se muestra en la figura 9 . Habilitar la encapsulación UDP para el conjunto de servicios.

Puede configurar el puerto de destino UDP con el valor comprendido entre 1025 y 65536. El número de puerto de destino predeterminado es 500. No puede configurar el 4500 como puerto de destino porque es un puerto conocido para los recorridos NAT.

El valor del puerto de origen generado es del 49152 al 65535.

La encapsulación UDP admite la traslación de direcciones de red (NAT-T)

La detección de un dispositivo NAT entre pares IPsec tiene prioridad sobre la configuración de encapsulación UDP. Si la encapsulación UDP está configurada entre dos pares, pero NAT se detecta entre los mismos pares, se implementan mecanismos NAT-Traversal.

Un paquete IP entrante se descarta si:

• udp-encapsulation está habilitado y si el paquete IP recibido no tiene encabezado UDP.

• udp-encapsulation está habilitado y si el puerto de destino UDP no es el mismo que el configurado.

• udp-encapsulation está habilitado y si el puerto de destino UDP no es 500 o no está configurado.

Para habilitar o deshabilitar la encapsulación UDP y configurar el puerto de destino UDP:

1. Configure el puerto de destino global no estándar. Esto es necesario para registrar o abrir el puerto para IPsec. No puede asignar el puerto 500 y el puerto 4500 ya que están enlazados a IPsec, de forma predeterminada.

2. Habilite la encapsulación de paquetes en la puerta de enlace IKE.

3. Configure el puerto de destino UDP en puerto no estándar.

Encapsulación de tráfico VXLAN de capa 3 mediante interfaces de túnel flexibles (FTI)

Junos OS admite el tráfico VXLAN a través de un túnel IPsec mediante FTI y VTEP VXLAN. Para obtener más información, consulte Configuración de interfaces de túnel flexibles y Descripción de las VXLAN.