IPsec

IPsec nedir?

IPsec (Internet Protocol Security), IP paketlerini ağ katmanında kimlik doğrulayarak ve şifreleyerek koruyan protokoller bütünüdür. İki ağ ya da cihaz arasında güvenli bir tünel kurmak için kullanılır ve özellikle ofis-veri merkezi arasındaki site-to-site VPN bağlantılarında yaygındır.

Uygulama katmanında çalışan TLS’in aksine, IPsec uygulamalardan bağımsız olarak tüm IP trafiğini koruyabilir. Bu, uygulamalarda değişiklik yapmadan güvenlik sağlar.

Nasıl çalışır?

IPsec iki aşamadan oluşur. Önce IKE protokolü taraflar arasında kimlik doğrulama yapar (ön paylaşımlı anahtar veya sertifikayla) ve şifreleme anahtarları üzerinde anlaşır. Ardından veri trafiği anlaşılan algoritmalarla korunur.

İki temel protokol vardır: ESP (şifreleme, bütünlük ve kimlik doğrulama) ve AH (yalnızca bütünlük ve kimlik doğrulama). Pratikte ESP kullanılır. İki mod bulunur: taşıma modu (yalnızca veri korunur) ve tünel modu (tüm paket sarmalanır). Ağlar arası VPN için tünel modu kullanılır.

Sunucu ve hosting ortamında

Veri merkezindeki sunucuları ofis ağına bağlamak, bulut ağları ile şirket içi ağ arasında köprü kurmak ve sağlayıcılar arası özel bağlantılar IPsec ile yapılır. Linux'ta StrongSwan ve Libreswan yaygın uygulamalardır. NAT arkasında çalışırken NAT-T (UDP kapsülleme) gerekir; güvenlik duvarında UDP 500 ve 4500 portları ile ESP protokolünün açık olması beklenir.

MTU sorunları IPsec'te sık yaşanır; tünel başlığı nedeniyle boyutun düşürülmesi gerekebilir.

Nasıl korunulur?

• Ön paylaşımlı anahtarda uzun ve rastgele bir değer kullanın; mümkünse sertifika tabanlı kimlik doğrulama tercih edin.
• Güncel IKEv2 ve güçlü şifreleme takımlarını (AES-GCM gibi) kullanın, eskileri kapatın.
• Mükemmel ileri gizlilik (PFS) açık olsun.
• Tünel uçlarının güvenlik duvarında yalnızca gereken adreslere izin verin.
• Tünelden geçecek ağları (trafik seçicilerini) olabildiğince dar tanımlayın.
• Anahtar ve sertifikaları düzenli yenileyin; bağlantı durumunu izleyin.

Sık yapılan hatalar

• Tüm sitelerde aynı ön paylaşımlı anahtarı kullanmak.
• Eski ve zayıf algoritmaları uyumluluk için açık bırakmak.
• Trafik seçicilerini “tüm ağlar” yapıp gereksiz erişim açmak.
• NAT ve MTU sorunlarını önceden planlamamak.