Descripción general del VPN IPsec

A continuación, se muestran algunas de las topologías VPN de IPsec compatibles con el sistema operativo (OS) Junos:

• VPN de sitio a sitio: conecta dos sitios de una organización y permite comunicaciones seguras entre los sitios.

• VPN radiales: conectan las sucursales a la oficina corporativa en una red empresarial. También puede utilizar esta topología para conectar radios entre sí mediante el envío de tráfico a través del concentrador.

• VPN de acceso remoto: permite que los usuarios que trabajan en casa o que viajan se conecten a la oficina corporativa y a sus recursos. Esta topología a veces se denomina end-to-site tunnel.

Tabla 2 resume las diferencias entre las VPN basadas en políticas y las VPN basadas en ruta.

Un túnel VPN de IPsec se compone de la configuración de túneles y la seguridad aplicada. Durante la instalación de túneles, los pares establecen asociaciones de seguridad (SA), las cuales definen los parámetros para proteger el tráfico entre ellos. (Véase Información general sobre IPsec.) Una vez establecido el túnel, IPsec protege el tráfico enviado entre los dos extremos del túnel aplicando los parámetros de seguridad definidos por las SA durante la configuración del túnel. Dentro de la implementación de Junos OS, IPsec se aplica en modo de túnel, el cual admite los protocolos Carga de seguridad de encapsulación (ESP) y Encabezado de autenticación (AH).

En este tema, se incluyen las siguientes secciones:

Procesamiento de paquetes en modo de túnel

IPsec funciona en uno de dos modos: transporte o túnel. Cuando ambos extremos del túnel son hosts, puede utilizar cualquiera de los modos. Cuando al menos uno de los puntos de conexión de un túnel es una puerta de enlace de seguridad, como un enrutador o firewall de Junos OS, debe utilizar el modo de túnel. Los dispositivos Juniper Networks funcionan siempre en modo de túnel para túneles IPsec.

En el modo de túnel, todo el paquete IP original (carga y encabezado) se encapsula dentro de otra carga IP y se le anexa un nuevo encabezado, como se muestra en Figura 1. El paquete original completo puede cifrarse, autenticarse o ambas cosas. Con el protocolo Encabezado de autenticación (AH), también se autentican el AH y los nuevos encabezados. Con el protocolo Carga de seguridad de encapsulación (ESP), también se puede autenticar el encabezado ESP.

Figura 1: Modo de túnel

En una VPN de sitio a sitio, las direcciones de origen y destino utilizadas en el nuevo encabezado son las direcciones IP de la interfaz de salida. Consulte Figura 2.

Figura 2: VPN de sitio a sitio en modo de túnel

En una VPN de marcado, no existe una puerta de enlace de túnel en el extremo del túnel del cliente de marcado VPN; el túnel se extiende directamente al propio cliente (consulte Figura 3). En este caso, en los paquetes enviados desde el cliente de marcado, tanto el encabezado nuevo como el original encapsulado tienen la misma dirección IP: la del ordenador del cliente.

Algunos clientes VPN, como Netscreen-Remote , utilizan una dirección IP interna virtual (también llamada "dirección adhesiva"). NetScreen-Remote le permite definir la dirección IP virtual. En estos casos, la dirección IP interna virtual es la dirección IP de origen en el encabezado del paquete original del tráfico que se origina en el cliente, y la dirección IP que el ISP asigna dinámicamente al cliente de marcado es la dirección IP de origen en el encabezado exterior.

Figura 3: VPN de marcado en modo de túnel

En los dispositivos SRX5400, SRX5600 y SRX5800, IKE proporciona administración de túnel para IPsec y autentica a las entidades finales. IKE realiza un intercambio de claves Diffie-Hellman (DH) para generar un túnel IPsec entre los dispositivos de red. Los túneles IPsec generados por IKE se utilizan para cifrar, descifrar y autenticar el tráfico de usuario entre los dispositivos de red en la capa IP.

La VPN se crea mediante la distribución de la IKE y de la carga de trabajo de IPsec entre las distintas unidades de procesamiento de servicios (SPU) de la plataforma. En el caso de los túneles de sitio a sitio, la SPU con menor carga se elige como la SPU de ancla. Si varias SPU tienen la misma carga mínima, cualquiera de ellas puede elegirse como una SPU de ancla. En este caso, la carga corresponde a la cantidad de puertas de enlace de sitio a sitio o de túneles VPN manuales anclados en una SPU. En el caso de túneles dinámicos, los túneles dinámicos recién establecidos emplean un algoritmo de funcionamiento rotativo para seleccionar la SPU.

En IPsec, la carga de trabajo se distribuye con el mismo algoritmo que distribuye la IKE. La SA de fase 2 para un par de puntos de terminación de túnel de VPN determinado es propiedad exclusiva de una SPU en concreto, y todos los paquetes IPsec que pertenecen a esta SA de fase 2 se reenvían a la SPU de ancla de esa SA para el procesamiento de IPsec.

Varias sesiones de IPsec (SA de fase 2) pueden funcionar a través de una o más sesiones IKE. La SPU que se selecciona para anclar la sesión IPsec se basa en la SPU que ancla la sesión de IKE subyacente. Por lo tanto, todas las sesiones IPsec que se ejecutan en una sola puerta de enlace de IKE reciben servicio mediante la misma SPU y no tienen un equilibrio de carga en varias SPU.

Tabla 3 muestra un ejemplo de una línea SRX5000 con tres SPU que ejecutan siete túneles IPsec en tres puertas de enlace IKE.

Las tres SPUs tienen una carga igual de una puerta de enlace ICR cada uno. Si se crea una nueva puerta de enlace de IKE, puede seleccionar SPU0, SPU1 o SPU2 para anclar la puerta de enlace de IKE y sus sesiones IPsec.

La configuración y el desactivamiento de túneles IPsec existentes no afectan a la sesión de IKE subyacente ni a los túneles IPsec existentes.

Utilice el siguiente comando show para ver el recuento actual de túneles por SPU: show security ike tunnel-map.

Utilice la opción summary del comando para ver los puntos de anclaje de cada puerta de enlace: show security ike tunnel-map summary.

En un clúster de chasis SRX5400, SRX5600 o SRX5800, puede insertar nuevas SPC en los dispositivos sin afectar ni interrumpir el tráfico en los túneles VPN de IPsec o IKE existentes. Cuando se inserta una nueva SPC en cada chasis del cluster, los túneles existentes no se ven afectados y el tráfico sigue fluyendo sin interrupciones.

A partir de Junos OS versión 19.4R1, en todos los clústeres de chasis de SRX5000 línea, puede insertar una nueva tarjeta SRX5K-SPC3 (SPC3) o SRX5K-SPC-4-15-320 (SPC2) en un chasis existente que contenga una tarjeta SPC3. Solo puede insertar las tarjetas en un área superior a la de la tarjeta SPC3 existente en el chasis. Debe reiniciar el nodo después de insertar la SPC3 para activar la tarjeta. Una vez completado el reinicio del nodo, se distribuyen los túneles IPsec a las tarjetas.

Sin embargo, los túneles existentes no pueden usar la potencia de procesamiento de las unidades de procesamiento de servicio (SPU) en la nueva SPC. Una nueva SPU puede anclar túneles dinámicos y de sitio a sitio recién establecidos. Sin embargo, no se garantiza que los túneles recién configurados estén anclados a una nueva SPU.

Los túneles de sitio a sitio se anclan a diferentes SPU según un algoritmo de equilibrio de carga. El algoritmo de equilibrio de carga depende de los subprocesos de flujo de número que utiliza cada SPU. Los túneles que pertenecen a las mismas direcciones IP de puerta de enlace local y remota se anclan a la misma SPU con diferentes subprocesos de flujo RT utilizados por la SPU. La SPU con la carga más pequeña se elige como la SPU de ancla. Cada SPU mantiene una cantidad de subprocesos de flujo RT que se alojan en esa SPU en particular. El número de subprocesos de flujo RT alojados en cada SPU varía según el tipo de SPU.

Factor de carga de túnel = Cantidad de túneles anclados en la SPU / Cantidad total de subprocesos de flujo RT utilizados por la SPU.

Los túneles dinámicos se anclan en diferentes SPU según un algoritmo de operación rotativa. No se garantiza que los túneles recién configurados estén anclados a la nueva SPC.

A partir de Junos OS versión 18.2R2 y 18.4R1, todas las funciones de VPN IPsec existentes que actualmente se admiten en SRX5K-SPC3 (SPC3) solo se admitirán en dispositivos SRX5400, SRX5600 y SRX5800 cuando haya tarjetas SRX5K-SPC-4-15-320 (SPC2) y SPC3 instaladas y funcionando en el dispositivo en modo de clúster de chasis o en modo independiente.

Cuando se instalan tarjetas SPC2 y SPC3, puede comprobar la asignación de túnel en diferentes SPU mediante el comando show security ipsec tunnel-distribution.

Use el comando show security ike tunnel-map para ver la asignación de túnel en diferentes SPU con solo la tarjeta SPC2 insertada. El comando show security ike tunnel-map no es válido en un entorno en el cual hay tarjetas SPC2 y SPC3 instaladas.

Insertando la tarjeta SPC3: Directrices y limitaciones:

• En un clúster de chasis, si uno de los nodos tiene una tarjeta SPC3 y el otro nodo tiene 2 tarjetas SPC3, no se admite la conmutación por error al nodo que tiene una tarjeta SPC3.

• Debe insertar la SPC3 o la SPC2 en un chasis existente en una ranura más alta que una tarjeta SPC3 actual presente en una ranura inferior.

• Para que SPC3 ISHU funcione, debe insertar la nueva tarjeta SPC3 en el número de la ranura superior.

• En el clúster de chasis SRX5800, no debe insertar la tarjeta SPC3 en la ranura más alta (ranura nro. 11) debido al límite de alimentación y distribución de calor.

• No se admite la extracción de calor de SPC3.

Tabla 4 resume la línea SRX5000 con la tarjeta SPC2 o SPC3 que admite kmd o iked procesa:

SRX5000 línea con la tarjeta SRX5K-SPC3 (tarjeta de procesamiento de servicios), las plataformas de gama media SRX (firewalls de las series SRX4100, SRX4200, SRX1500 y SRX4600) y el firewall virtual vSRX requiere junos-ike un paquete como software de plano de control para instalar y habilitar las funciones de VPN IPsec.

• En SRX5000 línea con RE3, de forma predeterminada, junos-ike el paquete se instala en Junos OS versiones 20.1R2, 20.2R2, 20.3R2, 20.4R1 y posteriores. Como resultado, iked el proceso se ikemd ejecuta en el motor de enrutamiento de forma predeterminada en lugar del demonio de administración de claves IPsec (kmd). La línea SRX5000 con SRX5K-SPC3 descarga las operaciones criptográficas al motor criptográfico de hardware.

• Las plataformas de rango medio SRX que cubren firewalls de las series SRX1500, SRX4100, SRX4200 y SRX4600, descargan las operaciones criptográficas DH, RSA y ECDSA al motor criptográfico de hardware con dispositivos que ejecutan junos-ike software. Esta función está disponible en Junos OS versión 23.2R1 con dispositivos que tienen junos-ike paquete instalado. Los dispositivos que continúan ejecutando software heredado iked (proceso kmd) no admiten esta característica.

• En el firewall virtual vSRX, el subproceso de CPU del plano de datos descarga las operaciones DH, RSA y ECDSA. La aceleración de hardware no está disponible en estos dispositivos. Esta función está disponible en Junos OS versión 23.2R1 con junos-ike el paquete instalado en el dispositivo.

El Tabla 5 describe la compatibilidad de aceleración de hardware para varios cifrados:

Para instalar el paquete IKE de Junos en el firewall de la serie SRX, utilice el siguiente comando:

Para utilizar kmd el proceso con el fin de habilitar las características de VPN IPsec en SRX5000 línea sin una tarjeta SPC3, debe ejecutar el request system software delete junos-ike comando. Después de ejecutar el comando, reinicie el dispositivo.

Para comprobar el paquete junos-ike instalado, utilice el siguiente comando:

Los dos procesos iked y ikemd admiten las características de VPN IPsec en los firewalls de la serie SRX. Una sola instancia de y ikemd ejecutarse en el motor de iked enrutamiento a la vez.

De forma predeterminada, junos-ike el paquete se instala en Junos OS versión 19.4R1 y posteriores para SRX5K-SPC3 con RE3. Tanto los procesos como ikemd los iked que se ejecutan en el motor de enrutamiento están disponibles con este paquete. En SRX5K-SPC3 con RE2, este es un paquete opcional y debe instalarse explícitamente.

Para reiniciar ikemd el proceso en el motor de rutina, utilice el restart ike-config-management comando.

Para reiniciar iked el proceso en el motor de enrutamiento, utilice el restart ike-key-management comando.

Tabla 6 muestra los detalles de las versiones de Junos OS en junos-ike las que se introdujo el paquete.

Para operar las características de VPN IPsec mediante el proceso heredado kmd en línea SRX5000 sin una tarjeta SRX5K-SPC3, debe ejecutar el request system software delete junos-ike comando y reiniciar el dispositivo. Los firewalls de las series SRX1600, SRX2300 y SRX4300 no admiten kmd procesos.

En los firewalls de la serie SRX, anti-replay-window está habilitado de forma predeterminada con un valor de tamaño de ventana de 64.

En la línea SRX Series 5000 con tarjetas SPC3 instaladas, puede configurar el anti-replay-window tamaño en el rango de 64 a 8192 (potencia de 2). Para configurar el tamaño de la ventana, utilice la nueva anti-replay-window-size opción. Un paquete entrante se valida para ataques de reproducción en función de lo anti-replay-window-size que está configurado.

Puede configurar replay-window-size en dos niveles diferentes:

• Global level: configurado en el nivel de jerarquía [edit security ipsec].

  Por ejemplo:

• VPN object: configurado en el nivel de jerarquía [edit security ipsec vpn vpn-name ike].

  Por ejemplo:

Si se configura la antirreproducción en ambos niveles, el tamaño de ventana configurado para un nivel de objeto VPN tiene prioridad sobre el tamaño de ventana configurado en el nivel global. Si la antirreproducción no está configurada, el tamaño de la ventana es 64 de forma predeterminada.

Para deshabilitar la opción de ventana antirreproducción en un objeto VPN, utilice el set no-anti-replay comando en el nivel de jerarquía [edit security ipsec vpn vpn-name ike]. No puede deshabilitar la antirreproducción a nivel global.

No puede configurar ambos anti-replay-window-size y no-anti-replay en un objeto VPN.

Si crea dos túneles VPN que terminan en un dispositivo, puede configurar un par de rutas para que el dispositivo dirija el tráfico que sale de un túnel hacia el otro túnel. También debe crear una política para permitir que el tráfico pase de un túnel al otro. Dicha disposición se conoce como VPN radial. (Consulte Figura 4.)

También puede configurar varias VPN y enrutar el tráfico entre dos túneles.

Los firewalls de la serie SRX solo admiten la función radial basada en rutas.

Figura 4: Varios túneles en una configuración VPN radial