Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

IPsec en línea

Descripción general de IPsec en línea

La arquitectura IPsec proporciona un conjunto de seguridad para las capas de red IP versión 4 (IPv4) e IP versión 6 (IPv6). El conjunto ofrece autenticación de origen, integridad de datos, confidencialidad, protección de reproducción y no rechazo de origen.

La arquitectura IPsec en línea consta de un bloque de motor IPsec especial que admite las operaciones de IPsec. El PFE (motor de reenvío de paquetes) es capaz de realizar cifrado IPsec o descifrado en línea dentro del PFE sin la necesidad de descargar a una tarjeta de servicios. Por lo tanto, IPsec en línea puede lograr una mayor transferencia de datos.

Características destacadas del plano de datos IPsec en línea

A continuación, se muestran las características más destacadas del plano de datos IPsec

  • Admite los protocolos IPsec IPv4 e IPv6

  • Admite AES-GCM de clave de 128 bits y clave de 256 bits

  • Admite hasta 2000 túneles por chasis

  • Cada ASIC de reenvío admite dos motores de reenvío de paquetes. A partir de Junos OS versión 24.4R1, se pueden configurar ambos motores de reenvío de paquetes, lo que admite hasta 600 Gbps semidúplex (300 Gbps medio dúplex por PFE).

Para obtener más información sobre la plataforma y la compatibilidad con la versión de Junos, consulte el Explorador de características.

La figura 1 ilustra la arquitectura del plano de datos IPsec en línea, el plano de control, el plano de administración y la interfaz de API.

Figura 1: Arquitectura Architecture

Las interfaces de servicios en línea son interfaces virtuales que residen en el motor de reenvío de paquetes. Para obtener más información, consulte Habilitación de interfaces de servicio en línea

Los enrutadores serie MX que admiten servicios IPsec en línea no usan una tarjeta de servicios como MS-MPC o SPC3, En su lugar, puede configurar servicios IPsec en línea en las MPC mediante la convención de nomenclatura si-FPC/pic/port. Sin embargo, para configurar los servicios IPsec en línea, debe habilitar los servicios de próxima generación en el enrutador de la serie MX. Consulte Unified-Services Framework para obtener más información.

Puede configurar servicios en línea con cuatro si IFD por PIC en el formato, si/fpc/pic/port-number. Si el fpc es 0 y pic 0, puede tener cuatro si ifds: , si-0/0/2 si-0/0/0 si-0/0/1 y .si-0/0/3

Se admiten las siguientes características:

  • Modo de túnel ESP con AES-128-GCM y AES-256-GCM para SA IPsec para encapsulaciones IPv4 e IPv6.

  • 32 bits y número de secuencia extendido (64 bits).

  • IKEV2 con identidades locales y remotas, reautenticación, autenticación con certificados x509, fragmentación de IKE.

  • detección de pares muertos

  • Se admite la UMT de túnel por VPN. Si el paquete IPsec supera la UMT configurada, el paquete se fragmenta previamente y, a continuación, se encapsula ESP. Esto evita la fragmentación después de la encapsulación ESP.

  • Duración de SA en segundos (IKE y regeneración de IPsec).

  • Encapsulación UDP de paquetes ESP.

No se admiten las siguientes características:

  • Encabezado de autenticación (AH)

  • Modo de transporte

  • Reensamblaje de paquetes IPv4 antes del descifrado

  • Cifrado nulo según RFC4543

  • IKE-V1

Las funciones IPsec e IKE compatibles con IPsec en línea enumeran las funciones IPsec e IKE compatibles con IPsec en línea:

Tabla 1: Funciones de IPsec e IKE compatibles con IPsec en línea

Reportaje

Aplicable a IKE

Aplicable a IPsec

MD5

No

SHA-256

No

SHA-384

No

SHA-512

No

AES-128-GCM

AES-256-GCM

3DES-CBC

Sí (no recomendado)

No

AES-128-CBC

No

AES-192-CBC

No

AES-256-CBC

No

DES-CBC

Sí (no recomendado)

No

Una asociación de seguridad (SA) es una conexión símplex que permite que dos hosts se comuniquen entre sí de forma segura por medio de IPsec. Una SA encapsula los algoritmos de cifrado e integridad, las claves criptográficas, la política de seguridad y la vida útil de la SA. Una SA de IKE contiene atributos para establecer una SA de IPsec, mientras que una SA de IPsec define los atributos para cifrar el tráfico de datos real.

ike-key-management-daemon (IKED), un demonio de RE de Junos, mantiene la duración de las SA de IKE e IPsec. Una configuración de IKE define los algoritmos y las claves que se usan para establecer una conexión segura con una puerta de enlace de seguridad par.

Nota:

Es posible que encuentre caídas de paquetes después de una regeneración de claves de IPsec. Para mitigar este problema, se recomienda establecer segundos de vida útil diferentes en cada par IPsec para evitar eventos de regeneración de claves simultáneos. El inicio de la regeneración de claves IPsec se produce en la expiración de duración suave, que es un poco antes de los segundos de vida configurados. Por ejemplo, si un lado se establece en 86 400 segundos, el otro lado debe tener una configuración de duración que oscile entre 83 000 y 84 000 segundos para minimizar las posibilidades de regeneración de claves simultánea.

Además, para IPsec en línea, puede ser necesario configurarlo sa-install-interval según las características de la red para lograr un proceso de regeneración de claves sin pérdidas. Se recomienda establecer el valor en el que mejor se adapte a la red para evitar la sa-install-interval pérdida de paquetes durante la regeneración, especialmente en situaciones en las que la latencia de red es una preocupación.

Asociaciones de Seguridad

Para utilizar los servicios de seguridad de IPsec, cree SA entre dos puntos de conexión. Una SA es una conexión símplex que permite que dos hosts se comuniquen entre sí de forma segura por medio de IPsec. Hay dos tipos de SA:

  • Las SA manuales no requieren negociación; Todos los valores, incluidas las claves, son estáticos y se especifican en la configuración. Las SA manuales definen estáticamente los valores, algoritmos y claves del índice de parámetros de seguridad (SPI) que se utilizarán, y requieren configuraciones coincidentes en ambos extremos del túnel. Cada par debe tener las mismas opciones configuradas para que se lleve a cabo la comunicación.

  • Las SA dinámicas requieren una configuración adicional. . IKE crea asociaciones de seguridad dinámicas; negocia SA para IPsec. La configuración de IKE define los algoritmos y las claves que se usan para establecer la conexión IKE segura con la puerta de enlace de seguridad par. Luego, esta conexión se usa para acordar dinámicamente las claves y otros datos utilizados por la SA de IPsec dinámica. La SA de IKE se negocia primero y, luego, se utiliza para proteger las negociaciones que determinan las SA de IPsec dinámicas.

ICR

ICR es un protocolo de administración de claves que crea SA dinámicas; negocia SA para IPsec. Una configuración de IKE define los algoritmos y las claves que se usan para establecer una conexión segura con una puerta de enlace de seguridad par.

IKE realiza las siguientes tareas:

  • Negocia y administra los parámetros IKE e IPsec.

  • Autentica el intercambio seguro de claves.

  • Proporciona autenticación mutua entre pares por medio de secretos compartidos (no contraseñas) y claves públicas.

  • Proporciona protección de identidad (en modo principal).

IPsec en línea solo es compatible con IKE versión 2 (IKE v2). IKE negocia atributos de seguridad y establece secretos compartidos para formar la SA de IKE bidireccional. Después de negociar las SA de IKE, se establecen las SA de IPsec de entrada y salida, y la SA de IKE protege el intercambio de SA de IPsec. IKE también genera material de claves, proporciona confidencialidad directa perfecta e intercambia identidades.

En el modo de solo respondedor, el enrutador de la serie MX no inicia negociaciones de IKE, solo responde a las negociaciones de IKE iniciadas por la puerta de enlace del par. Esto puede ser necesario al interoperar con equipos de otros proveedores, como dispositivos de Cisco. Dado que la serie MX no admite los valores de protocolo y puerto del selector de tráfico, no puede iniciar un túnel IPsec a la puerta de enlace par de otro proveedor que espere estos valores. Mediante la configuración del modo de solo respuesta en la serie MX, el MX puede aceptar el selector de tráfico en la negociación de IKE iniciada desde la puerta de enlace del par.

La figura 2 ilustra el intercambio de SA e IKE de IPsec entre puertas de enlace pares.

Figura 2: Intercambio de SA e IKE de Sequence diagram illustrating IPsec communication between Gateway A and Gateway B, showing steps for establishing, maintaining, and verifying secure connections. IPsec

detección de pares muertos (DPD)

DPD es un método utilizado para comprobar la vivacidad del par IKE a fin de evitar agujeros negros en el tráfico de IPsec. Un dispositivo realiza esta comprobación enviando periódicamente sondeos DPD (mensaje R-U-THERE) y esperando la respuesta de DPD (mensaje R-U-THERE-ACK).

Puede configurar DPD en los siguientes modos:

  • always-send: indica al dispositivo que envíe un sondeo de DPD a intervalos regulares, independientemente de si hay tráfico IPsec saliente al par.

  • optimized: envíe un sondeo DPD si no hay tráfico IKE o IPsec entrante dentro del intervalo configurado después de enviar los paquetes salientes al par. Este es el modo DPD predeterminado.

  • probe-idle-túnel: envía la sonda DPD durante el tiempo de inactividad del tráfico entre pares.

TDR-T

La traducción de direcciones de red-recorrido (TDR-T) es un método utilizado para administrar los problemas relacionados con la traducción de direcciones IP que se producen cuando los datos protegidos por IPsec pasan a través de un dispositivo configurado con TDR para la traducción de direcciones

Conectividad IPsec WAN

Los enrutadores serie MX que admiten IPsec en línea tienen dos segmentos de motores de reenvío de paquetes (PFE) por ASIC de YT. Cada segmento de PFE tiene capacidad para hasta 800 Gbps de ancho de banda. Cada segmento de PFE tiene dos grupos de puertos (PG), para un total de cuatro PG por YT

Figura 3: Grupos de Block diagram of YT ASIC architecture with Packet Forwarding Engines, IPsec Engines, and Port Groups. puertos

Cada PG admite hasta 400 Gbps de ancho de banda para conectividad WAN para tráfico regular (no IPsec). El grupo de puertos 0 de cada segmento de PFE puede admitir IPsec.

Cada grupo de puertos que admite IPsec puede admitir una conectividad WAN de hasta 300 Gbps para tráfico IPsec, mientras que los 100 Gbps restantes se pueden usar para tráfico que no es IPsec.

Puede usar el show chassis fpc slot-number pic slot-number para mostrar la información del grupo de puertos y el estado de conectividad WAN de un puerto.

Tabla 2: Comportamiento de IPsec en línea específico de la plataforma

Plataforma

Diferencia

MX304

Admite la inserción y eliminación en línea de LMIC

Ejemplo: Configuración de túnel IPSec en línea punto a punto

En este ejemplo, se muestra cómo configurar el túnel IPsec en línea punto a punto para permitir que los datos se transfieran de forma segura entre dos sitios.

Requisitos

En este ejemplo, se utilizan los siguientes componentes de hardware y software:

  • Dispositivo MX304 con los servicios unificados habilitados y la licencia requerida compatible. Para habilitar los servicios unificados en el dispositivo, ejecútelo request system enable unified-services desde la CLI y reinicie el dispositivo. Para obtener más información, consulte (Marco de servicios unificados).

  • Versión 24.2R1 o posterior de Junos OS para enrutadores de la serie MX

Descripción general

La figura 1 ilustra una topología con túnel IPSec en línea establecido entre dos pares MX304 (Peer1 y Peer2). En este ejemplo, se configura una VPN basada en rutas en Peer1 (MX304) y Peer2 (MX304). El Host1 y el Host2 usan la VPN para enviar tráfico de forma segura a través de Internet entre ambos hosts.

Figura 4: Túnel IPSec en línea entre dispositivos Network diagram showing an IPsec tunnel between two routers. Host1 connects to Peer1, which links to Peer2 via IPsec. Host2 connects to Peer2. MX304

En este ejemplo, se configuran los servicios en línea (para habilitar los servicios en línea en la PIC), el conjunto de servicios, la política de seguridad, las interfaces y una ruta predeterminada IPv4. Consulte de la Tabla 3 a la Tabla 7 para ver los parámetros de configuración específicos utilizados en este ejemplo.

Tabla 3: Habilitar el servicio en línea en PIC 0

Reportaje

Parámetros de configuración

servicios en línea

servicios en línea

Tabla 4: Configuración del conjunto de servicios para peer1 y peer2

Reportaje

Nombre

Parámetros de configuración

conjunto de servicios

SS1

interfaz de servicio interno (si-0/0/0.)

interfaz de servicio externo (si-0/0/0.1)

IPsec-VPN es ipsec_vpn
Tabla 5: Parámetros de configuración de ICR

Reportaje

Nombre

Parámetros de configuración

Propuesta

ike_prop

Método de autenticación: claves precompartidas

Política

ike_policy

  • Modo principal

  • Propuesta-ike_prop

  • Método de autenticación de política de ICR: claves precompartidas

Puerta de enlace

ike_gw

  • Referencia de política ICR: ike_policy
  • Interfaz externa: et-0/2/10
  • Dirección de puerta de enlace: 16.1.1.2
Tabla 6: Parámetros de configuración de IPSec

Reportaje

Nombre

Parámetros de configuración

Propuesta

ike_prop

  • Propuesta-esp

  • Algoritmo de cifrado AES-256-gcm

Política

ike_policy

  • Propuesta de referencia-ipsec_prop

VPN

ipsec_vpn

  • Referencia de puerta de enlace ICR: ike_gw
  • Referencia de política IPsec: ipsec_policy
  • Enlazar a interfaz: st0.1
  • Establezca túneles de inmediato

Tabla 7: Configuración de interfaz y ruta estática

Reportaje

Nombre

Parámetros de configuración

Interfaces

  • et-0/0/0

  • et-0/2/10

  • SI-0/0/0,0

  • SI-0/0/0,1

  • st0.1

  • 1.1.1.1/24

  • 16.1.1.2/24

  • service-domain interior

  • service-domain outside

  • interfaz de túnel

Rutas estáticas

2.2.2.0/24

El siguiente salto es st0.1

Configuración

En este ejemplo, habilite los servicios insertados, configure los parámetros service-set, los parámetros de configuración IKE e IPsec, y la configuración de interfaz y ruta estática para Peer1. Puede utilizar la misma configuración con el cambio en la dirección de puerta de enlace IPSec, las direcciones de interfaz, etc. en Peer2.

Configuración rápida de CLI

Para configurar rápidamente este ejemplo, copie los siguientes comandos, péguelos en un archivo de texto, elimine los saltos de línea, cambie los detalles necesarios para que coincidan con su configuración de red y, luego, copie y pegue los comandos en la CLI en el nivel de jerarquía [edit]:

Procedimiento paso a paso

En el ejemplo siguiente, debe explorar por varios niveles en la jerarquía de configuración. Para obtener información acerca de cómo navegar por la CLI, consulte Uso del editor de CLI en el modo de configuración de la Guía del usuario de la CLI de Junos OS

Para configurar IPsec en línea en el enrutador MX304:

  1. Habilite los servicios en línea.

  2. Configurar un conjunto de servicios

  3. Configurar propuesta de IKE de seguridad

  4. Configurar la política de IKE de seguridad

  5. Configurar la puerta de enlace IKE de seguridad

  6. Configurar propuesta de IPsec de seguridad

  7. Configurar la política IPsec de seguridad

  8. Configurar VPN IPsec de seguridad

  9. Configure interfaces.

  10. Configurar ruta estática

Resultados

En el modo de configuración, ingrese los comandos y show security ipsec para confirmar la show security ike configuración. Si el resultado no muestra la configuración deseada, repita las instrucciones de configuración de este ejemplo para corregirla.

Verificación

Realice estas tareas para confirmar que la configuración de IPsec en línea funciona correctamente

Verificar el estado de ICR

Propósito

Verifique el estado de IKE.

Acción

En el modo operativo, ingrese el show security ike security-associations comando. Después de obtener un número de índice desde el comando, utilice el show security ike security-associations index index_number detail comando.

Significado

El resultado del comando enumera todas las SA de show security ike security-associations ICR activas. Si no se enumera ninguna SA, implica que hay un problema con el establecimiento de ICR. Compruebe los parámetros de política de ICR y la configuración de interfaz externa en su configuración.

Si las SA aparecen en la lista, revise la siguiente información:

  • Índice: el valor de Índice es único para cada SA de IKE, que puede utilizar en el show security ike security-associations index detail comando para obtener más información sobre la SA.

  • Dirección remota: verifique que la dirección IP remota sea correcta

  • Estado

    • UP: indica que se ha establecido la SA de IKE.

    • DOWN: indica un problema al establecer la SA de IKE.

  • Modo: verifique que se esté utilizando el modo correcto

Compruebe que los siguientes elementos son correctos en su configuración:

  • Interfaces externas (la interfaz debe ser la que recibe los paquetes de ICR)

  • Parámetros de política de ICR

  • Información de claves precompartidas

  • Parámetros de propuesta (deben coincidir en ambos pares)

El show security ike security-associations index 1 detail comando enumera información adicional acerca de la asociación de seguridad con el número de índice 1

  • Algoritmos de autenticación y cifrado utilizados

  • Duración de la vida

  • Información de funciones

Verificación del estado de IPsec

Propósito

Verifique el estado de IPsec

Acción

En el modo operativo, ingrese el show security ipsec security-associations comando. Después de obtener un número de índice desde el comando, utilice el show security ipsec security-associations index index_number detail comando.

Significado

El resultado del show security ipsec security-associations comando muestra la siguiente información:

  • El número de identificación es 500001. Utilice este valor con el show security ipsec security-associations index comando para obtener más información acerca de esta SA en particular.

  • Existe un par SA IPsec que usa el puerto 500, lo que indica que no se implementó ningún recorrido TDR. (El recorrido TDR utiliza el puerto 4500 u otro puerto aleatorio de número alto.)

  • El SPI, la vida útil (en segundos) y los límites de uso (o tamaño de vida útil en KB) se muestran para ambas direcciones. El valor 3405/ unlimited indica que la duración caduca en 3405 segundos y que no se especificó un tamaño de vida útil, lo que indica que es ilimitada. Los valores de vida útil pueden diferir, ya que IPsec no depende de ICR después de que la VPN esté activa.

  • La supervisión de VPN no está habilitada para esta SA, como lo indica un guión en la columna Mon . Si está habilitada la supervisión de VPN, U indica que la supervisión está activa y D indica que la supervisión está inactiva.

El resultado del show security ipsec security-associations index 500001 detail comando muestra la siguiente información:

  • La identidad local y la identidad remota constituyen el ID de proxy para la SA.

    Una de las causas más comunes de una falla de IPsec es una no coincidencia del ID de proxy. Si no aparece ninguna SA de IPsec, confirme que las propuestas de IPsec, incluida la configuración del ID de proxy, son correctas para ambos pares. Para VPN basadas en rutas, el ID de proxy predeterminado es local=0.0.0.0/0, remote=0.0.0.0/0.

Tráfico de prueba a través del túnel IPSec

Propósito

Compruebe el flujo de tráfico a través del túnel IPSec.

Acción
  • Envíe tráfico IPv4 de texto sin formato desde el Host1 al Host2 y viceversa.

  • Flujo de tráfico de Host1 a Host2: IP src: 1.1.1.1 e IP dst: 2.2.2.2

  • Flujo de tráfico de Host1 a Host2: IP Src: 2.2.2.2 e IP Dst: 1.1.1.1

Significado

En Peer1:

  • El tráfico IPv4 de texto sin formato recibido del host1 se cifraría antes de enviarse al par 2

  • El tráfico cifrado recibido de Peer2 se descifraría antes de enviarse hacia Host1

Revise las estadísticas y los errores de tráfico de IPsec globalmente

Propósito

Revise errores y contadores de encabezados de autenticación y ESP para una asociación de seguridad IPsec.

Acción

En el modo operativo, escriba show security ipsec statistics para ver las estadísticas a nivel global y show security ipsec statistics index index_number comando utilizando el número de índice IPsec para ver las estadísticas a nivel de índice de túnel.

Significado

Si ve problemas de pérdida de paquetes en una VPN, ejecute el show security ipsec statistics comando or show security ipsec statistics index index_number varias veces para confirmar si los contadores de paquetes cifrados y descifrados se incrementan. Compruebe si hay contadores de errores incrementales en la salida del comando.

Para borrar todas las estadísticas de IPsec, utilice el clear security ipsec statistics comando.

Reenvío de paquetes IPsec en línea

La Figura 5 ilustra una vista de alto nivel de un recorrido de paquetes IP. El paquete IP entra en el enrutador a través de una interfaz entrante y se somete a encapsulación ESP.

Figura 5: Reenvío de paquetes IP-Encapsulación IP packet flow through network device showing IPsec encapsulation and encryption process in three sections: Ingress Forwarding Engine, Anchor PFE, and Egress Forwarding Engine. ESP

La figura 6 ilustra una vista de alto nivel del paquete encapsulado ESP que entra en el enrutador a través de una interfaz entrante y se somete a desencapsulación.

Figura 6: Reenvío de paquetes IPsec-Desencapsulación Flowchart showing ESP encapsulated packet processing: enters through Ingress Forwarding Engine, decrypted by IPsec Engine, routed by inner IP header, exits via Egress Forwarding Engine. ESP

Reenvío de múltiples rutas IPsec en línea con encapsulación UDP

Encapsulación UDP del tráfico ESP

IPsec proporciona túneles seguros entre dos pares y los paquetes encapsulados IPsec tienen encabezados IP que contienen direcciones IP de punto de conexión de túnel que no cambian. Esto da como resultado la selección de una única ruta de reenvío entre los pares, como se muestra en la Figura 7. Cuando el tráfico IPsec fluye entre centros de datos con miles de hosts, esta selección de ruta única limita la transferencia de datos.

Figura 7: IPsec con una ruta IPsec with One Forwarding Path de reenvío

Puede superar este problema habilitando la encapsulación UDP de los paquetes IPsec, que anexa un encabezado UDP después del encabezado ESP, como se muestra en la Figura 8 . Esto proporciona información de las capas 3 y 4 a los enrutadores intermedios, y los paquetes IPsec se reenvían a través de múltiples rutas, como se muestra en la Figura 9 . La encapsulación UDP se habilita para el conjunto de servicios.

Figura 8: Encabezado Appended UDP Header UDP adjunto
Figura 9: IPsec con varias rutas IPsec with Multiple Forwarding Paths de reenvío

Puede configurar el puerto de destino UDP con un valor comprendido entre 1025 y 65536. El número de puerto de destino predeterminado es 500. No puede configurar el 4500 como puerto de destino porque es un puerto bien conocido para recorridos TDR.

El valor del puerto de origen generado es del 49152 al 65535.

La encapsulación UDP admite la traducción de direcciones de red-transversal (TDR-T)

La detección de un dispositivo TDR entre pares IPsec tiene prioridad sobre la configuración de encapsulación UDP. Si la encapsulación UDP está configurada entre dos pares, pero se detecta TDR entre los mismos pares, se implementan mecanismos TDR-Traversal.

Un paquete IP entrante se descarta si:

  • udp-encapsulation está habilitado y si el paquete IP recibido no tiene encabezado UDP.

  • udp-encapsulation está habilitado y si el puerto de destino UDP no es el mismo que el configurado.

  • udp-encapsulation está habilitado y si el puerto de destino UDP no es 500 o no está configurado.

Para habilitar o deshabilitar la encapsulación UDP y configurar el puerto de destino UDP:

  1. Configure el puerto de destino global no estándar. Esto es necesario para registrar o abrir el puerto para IPsec. De forma predeterminada, no puede asignar los puertos 500 y 4500 como están enlazados a IPsec.

  2. Habilite la encapsulación de paquetes en la puerta de enlace IKE.

  3. Configure el puerto de destino UDP en un puerto no estándar.

Encapsulación de tráfico VXLAN de capa 3 mediante interfaces de túnel flexible (FTI)

Junos OS admite el tráfico VXLAN a través de un túnel IPsec mediante FTI y VXLAN VTEP. Para obtener más información, consulte Configuración de interfaces de túnel flexibles y Descripción de VXLAN.

Estándares IPsec e IKE compatibles con IPsec en línea

Las siguientes RFC proporcionan información acerca de IPsec, ICR y otras tecnologías relacionadas:

  • Autenticación RFC 2085, HMAC-MD5 con prevención de reproducción

  • RFC 2401, arquitectura de seguridad para el protocolo de Internet (reemplazado por RFC 4301)

  • RFC 2402, encabezado de autenticación IP (reemplazado por RFC 4302)

  • RFC 2403, El uso de HMAC-MD5-96 dentro de ESP y AH

  • RFC 2404, El uso de HMAC-SHA-1-96 dentro de ESP y AH (reemplazado por RFC 4305)

  • RFC 2405, El algoritmo de cifrado ESP DES-CBC con IV explícito

  • RFC 2406, IP de encapsulación Seguridad carga (ESP) (reemplazado por RFC 4303 y RFC 4305)

  • RFC 2407, El dominio de interpretación de seguridad de IP de Internet para ISAKMP (reemplazado por RFC 4306)

  • RFC 2408, Protocolo de administración de claves y asociaciones de seguridad de Internet (ISAKMP) (reemplazado por RFC 4306)

  • RFC 2409, El intercambio de claves por red (IKE) (reemplazado por RFC 4306)

  • RFC 2410, El algoritmo de cifrado NULL y su uso con IPsec

  • RFC 2451, Los algoritmos de cifrado ESP en modo CBC

  • RFC 2560, Infraestructura de clave pública de Internet X.509: protocolo de estado de certificado en línea (OCSP)

  • RFC 3193, Proteger L2TP mediante IPsec

  • RFC 3280, Perfil de lista de revocación de certificados (CRL) y certificado de infraestructura de clave pública de Internet X.509

  • RFC 3602, El algoritmo de cifrado de AES-CBC y su uso con IPsec

  • RFC 3948, Encapsulación UDP de paquetes ESP IPsec

  • RFC 4106, El uso del modo Galois/Counter (GCM) en la carga de seguridad de encapsulación (ESP) de IPsec

  • RFC 4210, Protocolo de administración de certificados (CMP) en infraestructura de clave pública X.509 de Internet

  • RFC 4211, Formato de mensajes de solicitud de certificados (CRMF) en infraestructura de clave pública X.509 de Internet

  • RFC 4301, Arquitectura de seguridad para el protocolo de Internet

  • RFC 4302, Encabezado de autenticación IP

  • RFC 4303, carga de Seguridad de encapsulación IP (ESP)

  • RFC 4305, Requisitos de implementación de algoritmo criptográfico para encapsulación de la carga de seguridad (ESP) y el encabezado de autenticación (AH)

  • RFC 4306, Protocolo de intercambio de claves por red (IKEv2)

  • RFC 4307, Algoritmos criptográficos para uso en el intercambio de claves por red versión 2 (IKEv2)

  • RFC 4308, Conjuntos criptográficos para IPsec

    Solo se admite el conjunto VPN-A en Junos OS.

  • Autenticación RFC 4754, IKE e IKEv2 que usa el algoritmo de firma digital de curva elíptica (ECDSA)

  • RFC 4835, Requisitos de implementación de algoritmo criptográfico para encapsulación de la carga de seguridad (ESP) y el encabezado de autenticación (AH)

  • RFC 5996, Protocolo de intercambio de claves por red versión 2 (IKEv2) (reemplazado por RFC 7296)

  • RFC 7296, Protocolo de intercambio de claves por red versión 2 (IKEv2)

  • RFC 7427, Autenticación de firma en el intercambio de claves por red versión 2 (IKEv2)

  • RFC 7634, ChaCha20, Poly1305 y su uso en el Protocolo de intercambio de claves por red (IKE) e IPsec

  • Especificación RFC 8200, protocolo de Internet, versión 6 (IPv6)

Junos OS admite parcialmente las siguientes RFC para IPsec y IKE:

  • RFC 3526, Grupos Diffie-Hellman con exponencial más modular (MODP) para intercambio de claves por red (IKE)

  • RFC 5114, Grupos Diffie-Hellman adicionales para su uso con los estándares GTI-I

  • RFC 5903, Módulos A principales de grupos de curva elíptica (grupos ECP) para IKE y IKEv2

Los siguientes RFC y borradores de Internet no definen estándares, sino que proporcionan información acerca de IPsec, ICR y otras tecnologías relacionadas. El GTI-I los clasifica como "informativos".

  • RFC 2104, HMAC: Hash con claves para autenticación de mensajes

  • RFC 2412, El protocolo de determinación de claves OAKLEY

  • RFC 3706, Un método basado en el tráfico para detectar pares inactivos de intercambio de claves por red (IKE)

  • Borrador de Internet draft-eastlake-sha2-02.txt, Algoritmos de hash seguros de EE. UU. (SHA y HMAC-SHA) (caduca en julio del 2006)

IPsec en línea con compatibilidad con selector de tráfico

La integración de selectores de tráfico dentro de despliegues IPsec en línea proporciona un control matizado sobre la administración del tráfico VPN. La definición de selectores de tráfico establece criterios para las direcciones IP locales y remotas que pueden atravesar el túnel IPsec, lo que crea reglas que dictan el flujo de tráfico.

Selector de tráfico para IPsec en línea

Descripción general

IPsec en línea le permite lograr el cifrado y el descifrado directamente dentro del motor de reenvío de paquetes, lo que mejora la seguridad y la eficiencia al eliminar la necesidad de una tarjeta de servicios dedicada. Las configuraciones de estilo selector de tráfico permiten la creación de múltiples asociaciones de seguridad IPsec de fase 2 con distintos parámetros de tráfico, lo que ofrece una administración de seguridad granular y exige un estricto cumplimiento de la política de seguridad. El selector de tráfico facilita el control granular sobre el tráfico de túnel IPsec al habilitar el filtrado basado en pares de direcciones locales y remotas configurados y negociados.

En las implementaciones de MX-SPC3, el selector de tráfico se administra mediante la tarjeta de servicios. Sin embargo, con IPsec en línea, el motor de reenvío de paquetes MX asume la función de aplicar el selector de tráfico. Un selector de tráfico es un acuerdo entre pares de IKE para permitir el tráfico a través de un túnel si el tráfico coincide con un par especificado de direcciones locales y remotas. Otros parámetros, como el puerto de origen, el puerto remoto y el protocolo, también se pueden usar para la selección de tráfico. Esencialmente, un selector de tráfico actúa como un filtro creado por IKE y aplicado por PFE. Dependiendo de la configuración, este filtro (o conjunto de filtros) funciona en dos escenarios principales:

Tráfico que fluye hacia el túnel: si el paquete IP de texto sin formato entrante satisface el selector de tráfico, el paquete se reenvía hacia el túnel IPSec para el procesamiento de ESP.

Tráfico entrante al túnel: una vez que el paquete se ha sometido al procesamiento ESP, el paquete IP de texto sin formato se reenvía si cumple con el selector de tráfico

El sistema admite el modo de túnel seguro y los protocolos ESP, esenciales para estándares de seguridad robustos, mientras que el modo de transporte y el encabezado de autenticación (AH) están excluidos debido a limitaciones del plano de control.

Configuración y compatibilidad

El selector de tráfico para IPsec en línea admite el modo de túnel ESP, lo que garantiza una seguridad sólida para sus comunicaciones de red. Para configurar un selector de tráfico, utilice la traffic-selector instrucción configuration en el nivel de jerarquía [edit security ipsec vpn vpn-name]. El selector de tráfico se define con las instrucciones obligatorias local-ip ip-address/netmask y remote-ip ip-address/netmask . Para obtener más información, consulte selector de tráfico.

El comando show security ipsec security-association detail operativo de la CLI muestra información del selector de tráfico para las SA. El show security ipsec security-association traffic-selector traffic-selector-name comando de la CLI muestra información para un selector de tráfico especificado.

Para un selector de tráfico dado, se especifica una única dirección y máscara de red para las direcciones local y remota. Los selectores de tráfico se pueden configurar con direcciones IPv4 o IPv6.

Se pueden configurar varios selectores de tráfico para la misma VPN. Se puede configurar un máximo de 200 selectores de tráfico para cada VPN. Los selectores de tráfico se pueden utilizar con los modos de túnel IPv4 en IPv4, IPv4 en IPv6, IPv6 en IPv6 o IPv6 en IPv4.

Las siguientes características no son compatibles con los selectores de tráfico:

  • Diferentes familias de direcciones configuradas para las direcciones IP locales y remotas en el mismo selector de tráfico

  • Una dirección remota de 0.0.0.0/0 (IPv4) o 0::0 (IPv6) para VPN de sitio a sitio

  • Protocolos de enrutamiento dinámico configurados en interfaces st0

Puede configurar varios conjuntos de prefijos IP locales, prefijos IP remotos, rangos de puertos de origen, rangos de puertos de destino y protocolos para la selección de tráfico. Esto significa que varios conjuntos de rangos de direcciones IP, rangos de puertos y protocolos pueden formar parte del mismo selector de tráfico, tal como se define en RFC 7296. Cuando se configuran varios selectores de tráfico, cada selector de tráfico conduce a una negociación independiente que da como resultado varios túneles IPsec. Sin embargo, si configura varios términos en un selector de tráfico, esta configuración da como resultado una única negociación de SA IPsec con varios prefijos, puertos y protocolos IP.

Descripción de la inserción automática de rutas

La inserción automática de rutas (ARI) inserta automáticamente una ruta estática para la red remota y los hosts protegidos por un punto de conexión de túnel remoto. Se crea una ruta basada en la dirección IP remota configurada en el selector de tráfico. En el caso de los selectores de tráfico, la dirección remota configurada se inserta como una ruta en la instancia de enrutamiento asociada con la interfaz st0 que está enlazada a la VPN.

Los protocolos de enrutamiento y la configuración del selector de tráfico son formas mutuamente excluyentes de dirigir el tráfico a un túnel. Las rutas ARI pueden entrar en conflicto con las rutas que se rellenan mediante protocolos de enrutamiento. Por lo tanto, no debe configurar protocolos de enrutamiento en una interfaz st0 que esté enlazada a una VPN en la que estén configurados selectores de tráfico.

La IRA también se conoce como inserción de ruta inversa (RRI). Las rutas ARI se insertan en la tabla de enrutamiento de la siguiente manera:

  • Si la opción está configurada en el nivel de jerarquía [edit security ipsec vpn vpn-name], las establish-tunnels immediately rutas ARI se agregan después de que se completen las negociaciones de fase 1 y fase 2. Dado que no se agrega una ruta hasta que se establecen las SA, una negociación fallida no da como resultado que el tráfico se enrute a una interfaz st0 que esté inactiva. En su lugar, se utiliza un túnel alternativo o de respaldo.

  • Si la establish-tunnels immediately opción no está configurada en el nivel de jerarquía [edit security ipsec vpn vpn-name], las rutas ARI se agregan al confirmar la configuración.

  • No se agrega una ruta ARI si la dirección remota configurada o negociada en un selector de tráfico es 0.0.0.0/0 o 0::0.

La preferencia por la ruta estática ARI es 5. Este valor es necesario para evitar conflictos con rutas similares que podrían agregar un proceso de protocolo de enrutamiento.

La ruta estática de ARI no se puede filtrar a otras instancias de enrutamiento mediante la rib-groups configuración. Utilice la import-policy configuración para perder rutas ARI estáticas.

Superposición de direcciones IP en la misma VPN enlazadas a la misma interfaz st0

Cuando se configuran direcciones IP superpuestas para varios selectores de tráfico en la misma VPN, el primer selector de tráfico configurado que coincida con el paquete determina el túnel utilizado para el cifrado del paquete.

En el ejemplo siguiente, se configuran cuatro selectores de tráfico (ts-1, ts-2, ts-3 y ts-4) para la VPN (vpn-1), que está enlazada a la interfaz st0.1 punto a punto:

Un paquete con una dirección de origen 192.168.5.5 y una dirección de destino 10.1.5.10 coincide con los selectores de tráfico ts-1 y ts-2. Sin embargo, el selector de tráfico ts-1 es la primera coincidencia configurada y el túnel asociado con ts-1 se utiliza para el cifrado de paquetes.

Un paquete con una dirección de origen 172.16.5.5 y una dirección de destino 10.2.5.10 coincide con los selectores de tráfico ts-3 y ts-4. Sin embargo, el selector de tráfico ts-3 es la primera coincidencia configurada y el túnel asociado con el selector de tráfico ts-3 se utiliza para el cifrado de paquetes.

Superposición de direcciones IP en diferentes VPN enlazadas a diferentes interfaces st0

Cuando se configuran direcciones IP superpuestas para varios selectores de tráfico en diferentes VPN que están enlazadas a diferentes interfaces st0 punto a punto, primero se selecciona una interfaz st0 por la coincidencia de prefijo más larga para un paquete dado. Dentro de la VPN que está enlazada a la interfaz st0 seleccionada, el selector de tráfico se selecciona en función de la primera coincidencia configurada para el paquete.

En el ejemplo siguiente, se configura un selector de tráfico en cada una de las dos VPN. Los selectores de tráfico se configuran con la misma subred local, pero con diferentes subredes remotas.

Se configuran diferentes subredes remotas en cada selector de tráfico, por lo tanto, se agregan dos rutas diferentes a la tabla de enrutamiento. La búsqueda de ruta utiliza la interfaz st0 enlazada a la VPN adecuada.

En el ejemplo siguiente, se configura un selector de tráfico en cada una de las dos VPN. Los selectores de tráfico se configuran con diferentes subredes remotas. La misma subred local está configurada para cada selector de tráfico, pero se especifican valores de máscara de red diferentes.

Se configura una subred remota diferente en cada selector de tráfico, por lo tanto, se agregan dos rutas diferentes a la tabla de enrutamiento. La búsqueda de ruta utiliza la interfaz st0 enlazada a la VPN adecuada.

En el ejemplo siguiente, los selectores de tráfico se configuran en cada una de las dos VPN. Los selectores de tráfico se configuran con diferentes subredes locales y remotas.

En este caso, los selectores de tráfico no se superponen. Las subredes remotas configuradas en los selectores de tráfico son diferentes; por lo tanto, se agregan dos rutas diferentes a la tabla de enrutamiento. La búsqueda de ruta utiliza la interfaz st0 enlazada a la VPN adecuada.

En el ejemplo siguiente, se configura un selector de tráfico en cada una de las dos VPN. Los selectores de tráfico se configuran con la misma subred local. Se configura la misma subred remota para cada selector de tráfico, pero se especifican valores de máscara de red diferentes.

Tenga en cuenta que la remote-ip configuración para ts-1 es 10.1.1.0/24, mientras que la remote-ip configuración para ts-2 es 10.1.0.0/16. Para un paquete destinado a 10.1.1.1, la búsqueda de ruta selecciona la interfaz st0.1 ya que tiene la coincidencia de prefijo más larga. El paquete se cifra en función del túnel correspondiente a la interfaz st0.1.

En algunos casos, los paquetes válidos pueden descartarse debido a la aplicación del tráfico del selector de tráfico. En el ejemplo siguiente, los selectores de tráfico se configuran en cada una de las dos VPN. Los selectores de tráfico se configuran con diferentes subredes locales. Se configura la misma subred remota para cada selector de tráfico, pero se especifican valores de máscara de red diferentes.

Se agregan dos rutas a 10.1.1.0 (10.1.1.0/24 a través de la interfaz st0.1 y 10.1.0.0/16 a través de la interfaz st0.2) a la tabla de enrutamiento. Un paquete enviado desde el origen 172.16.1.1 al destino 10.1.1.1 coincide con la entrada de la tabla de enrutamiento para 10.1.1.0/24 a través de la interfaz st0.1. Sin embargo, el paquete no coincide con el tráfico especificado por el selector de tráfico ts-1 y se descarta.

Si se configuran varios selectores de tráfico con la misma subred remota y máscara de red, se agregan rutas de igual costo a la tabla de enrutamiento. Este caso no se admite con los selectores de tráfico, ya que no se puede predecir la ruta elegida.

Ejemplo: Configuración de selectores de tráfico en una VPN VPN IPSec en línea basada en rutas

En este ejemplo, se muestra cómo configurar los selectores de tráfico para una VPN basada en rutas.

Descripción general

En este ejemplo, se configuran selectores de tráfico para permitir que el tráfico fluya entre subredes en MX304_A y subredes en MX304_B.

En la Tabla 8 se muestran los selectores de tráfico para este ejemplo.

Tabla 8: Configuraciones del selector de tráfico

MX304_A

MX304_B

Nombre del selector de tráfico

Local IP

IP remota

Nombre del selector de tráfico

Local IP

IP remota

TS1-IPv4

192.168.10.0/24

192.168.0.0/16

TS1-IPv4

192.168.0.0/16

192.168.10.0/24

TS2-IPv6

2001: db8: 10: : 0 / 64

2001: db8:20::0/64

TS2-IPv6

2001: db8:20::0/64

2001: db8: 10: : 0 / 64

Topología

En la Figura 10, un túnel VPN IPv6 transporta tráfico IPv4 e IPv6 entre el MX304_A y MX304_B dispositivos. Es decir, el túnel funciona en los modos de túnel IPv4 en IPv6 e IPv6 en IPv6.

Figura 10: Ejemplo de configuración del selector de Traffic Selector Configuration Example tráfico

Configuración

Configuración de MX304_A

Configuración rápida de CLI

Para configurar rápidamente este ejemplo, copie los siguientes comandos, péguelos en un archivo de texto, elimine los saltos de línea, cambie los detalles necesarios para que coincidan con su configuración de red, copie y pegue los comandos en la CLI en el nivel de jerarquía y, luego, ingrese commit desde el [edit] modo de configuración.

Procedimiento paso a paso

En el ejemplo siguiente, debe explorar por varios niveles en la jerarquía de configuración. Para obtener instrucciones sobre cómo hacerlo, consulte Uso del editor de CLI en el modo de configuración de la Guía del usuario de CLI.

Para configurar selectores de tráfico:

  1. Configuración del chasis para activar los servicios en línea.

  2. Configuración de conjuntos de servicios para objetos VPN IPv4 y VPN IPv6.

  3. Configure la propuesta de ICR.

  4. Configure la política de IKE y la puerta de enlace de IKE IPv4.

  5. Configure la política de IKE y la puerta de enlace de IKE IPv6.

  6. Configure la propuesta de IPsec.

  7. Configure la política de IPsec.

  8. Configure el túnel VPN IPsec IPv4.

  9. Configure el túnel VPN IPsec IPv6.

  10. Configuración de interfaces de servicio en línea

  11. Configure las interfaces.

Resultados

Desde el modo de configuración, ingrese los comandos , y show security ipsec para confirmar la show interfacesshow security ikeconfiguración. Si el resultado no muestra la configuración deseada, repita las instrucciones de configuración de este ejemplo para corregirla.

Cuando termine de configurar el dispositivo, ingrese commit desde el modo de configuración.

Configurar MX304_B

Configuración rápida de CLI

Para configurar rápidamente este ejemplo, copie los siguientes comandos, péguelos en un archivo de texto, elimine los saltos de línea, cambie los detalles necesarios para que coincidan con su configuración de red, copie y pegue los comandos en la CLI en el nivel de jerarquía y, luego, ingrese commit desde el [edit] modo de configuración.

Procedimiento paso a paso

En el ejemplo siguiente, debe explorar por varios niveles en la jerarquía de configuración. Para obtener instrucciones sobre cómo hacerlo, consulte Uso del editor de CLI en el modo de configuración de la Guía del usuario de CLI.

Para configurar selectores de tráfico:

  1. Configuración del chasis para activar los servicios en línea.

  2. Configuración de conjuntos de servicios para objetos VPN IPv4 y VPN IPv6.

  3. Configure la propuesta de ICR.

  4. Configure la política de IKE y la puerta de enlace de IKE IPv4.

  5. Configure la política de IKE y la puerta de enlace de IKE IPv6.

  6. Configure la propuesta de IPsec.

  7. Configure la política de IPsec.

  8. Configure el túnel VPN IPsec IPv4.

  9. Configure el túnel VPN IPsec IPv6.

  10. Configuración de interfaces de servicio en línea.

  11. Configure las interfaces.

Resultados

Desde el modo de configuración, ingrese los comandos , y show security ipsec para confirmar la show interfacesshow security ikeconfiguración. Si el resultado no muestra la configuración deseada, repita las instrucciones de configuración de este ejemplo para corregirla.

Cuando termine de configurar el dispositivo, ingrese commit desde el modo de configuración.

Verificación

Confirme que la configuración funcione correctamente.

Los resultados de ejemplo que se muestran están en MX304_A.

Verificación del estado de fase 2 de IPsec

Propósito

Verifique el estado de fase 2 de IPsec.

Acción

Desde el modo operativo, ingrese el show security ipsec security-associations comando en MX304_A.

Desde el modo operativo, ingrese el comando en MX304_A show security ipsec security-associations detail

Desde el modo operativo, ingrese el show security ipsec security-associations comando en MX304_B.

Desde el modo operativo, ingrese el show security ipsec security-associations detail comando en MX304_B.

Significado

El show security ipsec security-associations comando enumera todas las SA de fase 2 de IKE activas. Si no se enumera ninguna SA, hay un problema con el establecimiento de la fase 2. Compruebe los parámetros de política de ICR y la configuración de interfaz externa en su configuración. Los parámetros de la propuesta de fase 2 deben coincidir en los dispositivos del par.

Verificar selectores de tráfico

Propósito

Compruebe los selectores de tráfico negociados en la interfaz de túnel seguro.

Acción

Desde el modo operativo, introduzca el show security ipsec traffic-selector comando.

Tabla de historial de cambios

La compatibilidad de la función depende de la plataforma y la versión que utilice. Utilice el Explorador de características para determinar si una característica es compatible con su plataforma.

Lanzamiento
Descripción
24.4R1
A partir de la versión 24.4R1 de Junos OS, MX10K-LC4800 y MX10K-LC9600 admiten servicios IPsec en línea.
24.2R1
A partir de la versión 24.2R1 de Junos OS, MX304 LMIC admite servicios IPsec en línea.