IPsec — protocollo, modalità operative e negoziazione

IPsec protegge solo il payload (contenuto) del pacchetto IP, lasciando invariato l’header originale con gli indirizzi IP reali dei due endpoint.

Comunicazione sicura diretta tra due host specifici (es. due server che si parlano direttamente). Gli IP reali restano visibili.

IPsec incapsula l’intero pacchetto IP originale (header + payload) all’interno di un nuovo pacchetto IP. Il nuovo header contiene gli IP dei gateway VPN, nascondendo completamente la struttura della rete interna.

VPN Site-to-Site e Remote Access. Gli IP interni della LAN privata sono completamente nascosti a chi monitora il traffico.

Fornisce autenticazione e integrità del pacchetto ma non fornisce cifratura. Il contenuto resta leggibile, ma qualsiasi modifica — anche di un solo bit — viene rilevata.

È il protocollo principale di IPsec. Fornisce cifratura, integrità e autenticazione — tutto ciò che serve per una comunicazione sicura completa.

Una SA è unidirezionale: per comunicare nelle due direzioni servono due SA (una per A→B e una per B→A)

Le SA sono identificate da un SPI (Security Parameter Index) — un numero che il destinatario usa per trovare i parametri corretti nel database

Le SA sono memorizzate nel SAD (Security Association Database) su ciascun dispositivo

Le SA hanno una durata limitata (lifetime in secondi o in byte trasmessi) — scaduta, vengono rinegoziati nuovi parametri automaticamente

! Definisce i parametri per la Fase 1 (canale di controllo sicuro)
Router(config)# crypto isakmp policy 10
! Il numero 10 è la priorità — più basso = più prioritario

Router(config-isakmp)# encryption aes 256
! Algoritmo di cifratura per il canale IKE

Router(config-isakmp)# hash sha256
! Algoritmo di hash per l'integrità

Router(config-isakmp)# authentication pre-share
! Metodo di autenticazione: pre-shared key (chiave segreta condivisa)
! L'alternativa è "rsa-sig" con certificati digitali

Router(config-isakmp)# group 14
! Gruppo Diffie-Hellman 14 = 2048 bit — standard attuale

Router(config-isakmp)# lifetime 86400
! Durata della SA in secondi (86400 = 24 ore)
Router(config-isakmp)# exit

! Configura la chiave pre-condivisa per il peer 2.2.2.2
Router(config)# crypto isakmp key ChiaveSegreta!2024 address 2.2.2.2
! La stessa chiave deve essere configurata specularmente sull'altro router

! Definisce gli algoritmi per proteggere i dati effettivi degli utenti
Router(config)# crypto ipsec transform-set TS-AES-SHA esp-aes 256 esp-sha256-hmac
! "TS-AES-SHA" è il nome del transform set (sceglilo tu)
! esp-aes 256   → cifratura ESP con AES-256
! esp-sha256-hmac → integrità con HMAC-SHA256

Router(cfg-crypto-trans)# mode tunnel
! Tunnel Mode: incapsula l'intero pacchetto originale
Router(cfg-crypto-trans)# exit

! Definisce quale traffico deve essere cifrato (interessato dal tunnel)
! Questa ACL non filtra il traffico — lo SELEZIONA per la cifratura
Router(config)# ip access-list extended ACL-VPN-SEDE-A
Router(config-ext-nacl)# permit ip 10.1.1.0 0.0.0.255 10.2.2.0 0.0.0.255
! Tutto il traffico da Sede A (10.1.1.0/24) verso Sede B (10.2.2.0/24)
! verrà incapsulato e cifrato nel tunnel IPsec
Router(config-ext-nacl)# exit

! La crypto map lega insieme ISAKMP policy, transform set e ACL
Router(config)# crypto map VPN-MAP 10 ipsec-isakmp
! "VPN-MAP" è il nome della map, "10" è il numero di sequenza

Router(config-crypto-map)# set peer 2.2.2.2
! IP pubblico del router dell'altra sede

Router(config-crypto-map)# set transform-set TS-AES-SHA
! Usa il transform set definito al Passo 2

Router(config-crypto-map)# match address ACL-VPN-SEDE-A
! Usa la crypto ACL definita al Passo 3

Router(config-crypto-map)# set security-association lifetime seconds 3600
! Durata della IPsec SA (Fase 2): 1 ora — più breve della Fase 1
Router(config-crypto-map)# exit

! Applica la crypto map sull'interfaccia WAN (verso Internet)
Router(config)# interface GigabitEthernet0/1
! L'interfaccia con l'IP pubblico 1.1.1.1
Router(config-if)# crypto map VPN-MAP
Router(config-if)# exit

Router(config)# end
Router# write memory