Descripción general de VPN IPsec

Las siguientes son algunas de las topologías VPN IPsec compatibles con el sistema operativo (OS) junos:

• VPN de sitio a sitio: conecta dos sitios de una organización y permite comunicaciones seguras entre los sitios.

• VPN radiales: conecta las sucursales con la oficina corporativa en una red empresarial. También puede usar esta topología para conectar radios mediante el envío de tráfico a través del hub.

• VPN de acceso remoto: permite que los usuarios que trabajan en casa o que viajan se conecten a la oficina corporativa y sus recursos. Esta topología a veces se denomina end-to-site tunnel.

Tabla 2 resume las diferencias entre las VPN basadas en políticas y las VPN basadas en rutas.

Un túnel VPN IPsec consta de configuración de túnel y seguridad aplicada. Durante la configuración del túnel, los pares establecen asociaciones de seguridad (SA), que definen los parámetros para proteger el tráfico entre ellos. (Ver Descripción general de IPsec.) Después de establecer el túnel, IPsec protege el tráfico enviado entre los dos puntos de conexión de túnel mediante la aplicación de los parámetros de seguridad definidos por las SA durante la configuración del túnel. En la implementación de Junos OS, IPsec se aplica en modo de túnel, que admite los protocolos Carga de seguridad de encapsulación (ESP) y encabezado de autenticación (AH).

Este tema incluye las siguientes secciones:

Procesamiento de paquetes en modo de túnel

IPsec funciona en uno de dos modos: transporte o túnel. Cuando ambos extremos del túnel son hosts, puede usar cualquiera de los modos. Cuando al menos uno de los puntos de conexión de un túnel es una puerta de enlace de seguridad, como un enrutador o firewall de Junos OS, debe usar el modo de túnel. Los dispositivos de Juniper Networks siempre funcionan en modo de túnel para túneles IPsec.

En el modo de túnel, todo el paquete IP original (carga y encabezado) se encapsula dentro de otra carga IP y se anexa un nuevo encabezado, como se muestra en Figura 1. El paquete original completo se puede cifrar, autenticar o ambos. Con el protocolo encabezado de autenticación (AH), el AH y los encabezados nuevos también se autentican. Con el protocolo Carga de seguridad de encapsulación (ESP), el encabezado ESP también se puede autenticar.

Figura 1: Modo de túnel

En una VPN de sitio a sitio, las direcciones de origen y destino utilizadas en el nuevo encabezado son las direcciones IP de la interfaz de salida. Consulte Figura 2.

Figura 2: VPN de sitio a sitio en modo de túnel

En una VPN de marcado, no hay ninguna puerta de enlace de túnel en el extremo del túnel del cliente de marcado VPN; el túnel se extiende directamente al propio cliente (consulte Figura 3). En este caso, en los paquetes enviados desde el cliente de marcado, tanto el encabezado nuevo como el original encapsulado tienen la misma dirección IP: la del equipo del cliente.

Algunos clientes VPN, como el cliente VPN dinámico y Netscreen-Remote, usan una dirección IP interna virtual (también llamada "dirección adhesiva"). Netscreen-Remote le permite definir la dirección IP virtual. El cliente VPN dinámico usa la dirección IP virtual asignada durante el intercambio de configuración de XAuth. En tales casos, la dirección IP interna virtual es la dirección IP de origen en el encabezado del paquete original del tráfico que se origina en el cliente, y la dirección IP que el ISP asigna dinámicamente al cliente de marcado es la dirección IP de origen en el encabezado externo. A partir de la versión 21.4R1 de Junos OS vpn dinámica no se admite en dispositivos SRX300, SRX320, SRX340, SRX345, SRX380 y SRX550 HM.

Figura 3: VPN de marcado en modo de túnel

En los dispositivos SRX5400, SRX5600 y SRX5800, IKE proporciona administración de túneles para IPsec y autentica las entidades finales. IKE realiza un intercambio de claves Diffie-Hellman (DH) para generar un túnel IPsec entre dispositivos de red. Los túneles IPsec generados por IKE se utilizan para cifrar, descifrar y autenticar el tráfico de usuario entre los dispositivos de red en la capa IP.

La VPN se crea mediante la distribución de la carga de trabajo de ICR e IPsec entre las varias unidades de procesamiento de servicios (SPU) de la plataforma. Para túneles de sitio a sitio, la SPU menos cargada se elige como SPU de anclaje. Si varias SPU tienen la misma carga más pequeña, cualquiera de ellas se puede elegir como SPU de anclaje. Aquí, la carga corresponde a la cantidad de puertas de enlace de sitio a sitio o túneles VPN manuales anclados en una SPU. En el caso de los túneles dinámicos, los túneles dinámicos recién establecidos emplean un algoritmo de rotación para seleccionar la SPU.

En IPsec, la carga de trabajo se distribuye mediante el mismo algoritmo que distribuye el IKE. La SA de fase 2 para un par de puntos de terminación de túnel VPN determinado es propiedad exclusiva de una SPU en particular, y todos los paquetes IPsec que pertenecen a esta SA de fase 2 se reenvían a la SPU de anclaje de esa SA para el procesamiento de IPsec.

Varias sesiones IPsec (SA de fase 2) pueden funcionar en una o más sesiones de IKE. La SPU que se selecciona para anclar la sesión IPsec se basa en la SPU que ancla la sesión IKE subyacente. Por lo tanto, todas las sesiones de IPsec que se ejecutan en una sola puerta de enlace de IKE reciben servicio de la misma SPU y no tienen equilibrio de carga en varias SPU.

Tabla 3 muestra un ejemplo de una línea SRX5000 con tres SPU que ejecutan siete túneles IPsec en tres puertas de enlace IKE.

Las tres SPU tienen una carga igual de una puerta de enlace IKE cada una. Si se crea una nueva puerta de enlace IKE, se puede seleccionar SPU0, SPU1 o SPU2 para anclar la puerta de enlace de IKE y sus sesiones IPsec.

La configuración y el derribo de túneles IPsec existentes no afectan a la sesión de IKE subyacente ni a los túneles IPsec existentes.

Utilice el siguiente show comando para ver el recuento actual de túneles por SPU: show security ike tunnel-map.

Utilice la summary opción del comando para ver los puntos de anclaje de cada puerta de enlace: show security ike tunnel-map summary.

En un clúster de chasis SRX5400, SRX5600 o SRX5800, puede insertar nuevas SPC en los dispositivos sin afectar ni interrumpir el tráfico en los túneles VPN IKE o IPsec existentes. Cuando se inserta una nueva SPC en cada chasis del clúster, los túneles existentes no se ven afectados y el tráfico sigue fluyendo sin interrupciones.

A partir de Junos OS versión 19.4R1, en todos los clústeres de chasis de línea SRX5000, puede insertar una nueva tarjeta SRX5K-SPC3 (SPC3) o SRX5K-SPC-4-15-320 (SPC2) en un chasis existente que contenga una tarjeta SPC3. Solo puede insertar las tarjetas en una ranura más alta que la tarjeta SPC3 existente en el chasis. Debe reiniciar el nodo después de insertar la SPC3 para activar la tarjeta. Una vez completado el reinicio del nodo, los túneles IPsec se distribuyen a las tarjetas.

Sin embargo, los túneles existentes no pueden usar la potencia de procesamiento de las unidades de procesamiento de servicio (SPU) en las nuevas SPC. Una nueva SPU puede anclar túneles dinámicos y de sitio a sitio recién establecidos. Sin embargo, no se garantiza que los túneles recién configurados se anclarán a una nueva SPU.

Los túneles de sitio a sitio se anclan en diferentes SPU según un algoritmo de equilibrio de carga. El algoritmo de equilibrio de carga depende de los subprocesos de flujo numérico que utilice cada SPU. Los túneles que pertenecen a las mismas direcciones IP de puerta de enlace local y remota se anclan a la misma SPU en diferentes subprocesos de flujo RT utilizados por la SPU. La SPU con la carga más pequeña se elige como la SPU de anclaje. Cada SPU mantiene una cantidad de subprocesos de flujo RT que se alojan en esa SPU en particular. La cantidad de subprocesos de flujo RT alojados en cada SPU varía según el tipo de SPU.

Factor de carga de túnel = Número de túneles anclados en la SPU / Número total de subprocesos de flujo RT utilizados por la SPU.

Los túneles dinámicos se anclan en diferentes SPU según un algoritmo de rotación. No se garantiza que los túneles dinámicos recién configurados estén anclados en la nueva SPC.

A partir de Junos OS versión 18.2R2 y 18.4R1, todas las funciones VPN IPsec existentes que actualmente se admiten en SRX5K-SPC3 (SPC3) solo se admitirán en dispositivos SRX5400, SRX5600 y SRX5800 cuando las tarjetas SRX5K-SPC-4-15-320 (SPC2) y SPC3 se instalan y operan en el dispositivo en un modo de clúster de chasis o en un modo independiente.

Cuando se instalan tarjetas SPC2 y SPC3, puede comprobar la asignación de túnel en diferentes SPU mediante el show security ipsec tunnel-distribution comando.

Utilice el comando show security ike tunnel-map para ver la asignación de túnel en diferentes SPU con solo la tarjeta SPC2 insertada. El comando show security ike tunnel-map no es válido en un entorno en el que las tarjetas SPC2 y SPC3 están instaladas.

Inserción de la tarjeta SPC3: Pautas y limitaciones:

• En un clúster de chasis, si uno de los nodos tiene 1 tarjeta SPC3 y el otro nodo tiene 2 tarjetas SPC3, no se admite la conmutación por error al nodo que tiene 1 tarjeta SPC3.

• Debe insertar las SPC3 o SPC2 en un chasis existente en una ranura más alta que una SPC3 actual presente en una ranura inferior.

• Para que SPC3 ISHU funcione, debe insertar la nueva tarjeta SPC3 en el número de ranura superior.

• En el clúster de chasis SRX5800, no debe insertar la tarjeta SPC3 en la ranura más alta (ranura n.º 11) debido al límite de alimentación y distribución de calor.

• No admitemos la eliminación en caliente de SPC3.

Tabla 4 resume la línea SRX5000 con tarjeta SPC2 o SPC3 que admite kmd o iked procesa:

La línea SRX5000 con tarjeta SRX5K-SPC3 (tarjeta de procesamiento de servicios), plataformas de rango medio SRX (firewalls serie SRX4100, SRX4200, SRX1500 y SRX4600) y firewall virtual vSRX requiere junos-ike un paquete como software de plano de control para instalar y habilitar funciones VPN IPsec.

• En la línea SRX5000 con RE3, de forma predeterminada, junos-ike el paquete se instala en las versiones 20.1R2, 20.2R2, 20.3R2, 20.4R1 y posteriores de Junos OS. Como resultado, iked y ikemd el proceso se ejecuta en el motor de enrutamiento de forma predeterminada en lugar del demonio de administración de claves IPsec (kmd). La línea SRX5000 con SRX5K-SPC3 descarga las operaciones criptográficas al motor criptográfico de hardware.

• Las plataformas de rango medio SRX que cubren los firewalls serie SRX1500, SRX4100, SRX4200 y SRX4600, descargan las operaciones criptográficas DH, ECDH y ECDSA al motor criptográfico de hardware con dispositivos que ejecutan junos-ike software. Esta función está disponible en la versión 23.2R1 de Junos OS y los dispositivos tienen junos-ike el paquete instalado. Los dispositivos que siguen ejecutando software heredado iked (proceso kmd) no admiten esta función.

• En el firewall virtual vSRX, el subproceso de CPU del plano de datos descarga las operaciones de DH, ECDH, RSA y ECDSA. La aceleración de hardware no está disponible en estos dispositivos. Esta función está disponible en la versión 23.2R1 de Junos OS con junos-ike el paquete instalado en el dispositivo.

Para instalar el paquete de Junos IKE en el firewall de la serie SRX, utilice el siguiente comando:

Para usar kmd el proceso con el fin de habilitar las funciones VPN IPsec en la línea SRX5000 sin una tarjeta SPC3, debe ejecutar el request system software delete junos-ike comando. Después de ejecutar el comando, reinicie el dispositivo.

Para comprobar el paquete instalado junos-ike , utilice el siguiente comando:

En este tema, se proporciona un resumen de las características y configuraciones de VPN IPsec que no se admiten de la línea SRX5000 con SRX5K-SPC3 y en instancias del firewall virtual vSRX.

La función VPN IPsec es compatible con dos procesos, iked y ikemd en las instancias de firewall virtual SRX5K-SPC3 y vSRX. Una sola instancia de iked y ikemd se ejecutará en el motor de enrutamiento a la vez.

De forma predeterminada, Junos-ike el paquete se instala en junos OS versiones 20.1R2, 20.2R2, 20.3R2, 20.4R1 y posteriores para la línea SRX5000 con RE3, y tanto el proceso como el ikedikemd proceso se ejecutan en el motor de enrutamiento.

Para reiniciar ikemd el proceso en el motor de rutina, utilice el restart ike-config-management comando.

Para reiniciar iked el proceso en el motor de enrutamiento, utilice el restart ike-key-management comando.

Si desea utilizar kmd el proceso para habilitar las funciones de VPN IPsec en la línea SRX5000 sin una tarjeta SRX5K-SPC3, debe ejecutar el request system software delete junos-ike comando. Después de ejecutar el comando, debe reiniciar el dispositivo.

En firewalls serie SRX, anti-replay-window está habilitado de forma predeterminada con un valor de tamaño de ventana de 64.

En la línea SRX Series 5000 con tarjetas SPC3 instaladas, puede configurar el anti-replay-window tamaño en el rango de 64 a 8192 (potencia de 2). Para configurar el tamaño de ventana, utilice la nueva anti-replay-window-size opción. Un paquete entrante se valida para un ataque de repetición basado en el anti-replay-window-size que está configurado.

Puede configurar replay-window-size en dos niveles diferentes:

• Global level— Configurado en el nivel de jerarquía [edit security ipsec].

  Por ejemplo:

• VPN object— Configurado en el nivel de jerarquía [edit security ipsec vpn vpn-name ike].

  Por ejemplo:

Si la anti-reproducción está configurada en ambos niveles, el tamaño de ventana configurado para un nivel de objeto VPN tiene prioridad sobre el tamaño de ventana configurado en el nivel global. Si la anti-reproducción no está configurada, el tamaño de la ventana es 64 de forma predeterminada.

Para deshabilitar la opción de ventana de anti-reproducción en un objeto VPN, utilice el set no-anti-replay comando en el nivel de jerarquía [edit security ipsec vpn vpn-name ike]. No puede deshabilitar la anti-reproducción a nivel global.

No puede configurar tanto en anti-replay-window-sizeno-anti-replay un objeto VPN como en él.

Si crea dos túneles VPN que terminan en un dispositivo, puede configurar un par de rutas para que el dispositivo dirija el tráfico que sale de un túnel hacia el otro túnel. También debe crear una política para permitir que el tráfico pase de un túnel a otro. Esta disposición se conoce como VPN radial. (Ver Figura 4.)

También puede configurar varias VPN y enrutar el tráfico entre dos túneles cualquiera.

Los firewalls serie SRX solo admiten la función radial basada en rutas.

Figura 4: Varios túneles en una configuración VPN radial