IPsec: AH in modalità tunnel è sicuro?

4

Ho un IPSec VPN site-to-site che si comporta male (velocità di upload / download del 10-20% come percentuale della larghezza di banda del circuito WAN disponibile) quando si utilizza ESP in modalità tunnel con crittografia DES e MD5 Auth. Dopo aver attivato Active Protocol to AH ancora in modalità tunnel ma ora utilizzando SHA-256 per l'autenticazione, vedo un aumento triplo della velocità effettiva attraverso la VPN. Penso che l'AH abbia un overhead molto più basso grazie all'assenza di crittografia sui pacchetti. Ma i dati non sono ancora intrinsecamente crittografati poiché si trova in modalità tunnel?

La vera domanda si riduce a " I miei dati sono ancora al sicuro in modalità AH? " In tal caso, questo aumento della velocità è meraviglioso e vorrei mantenere le mie impostazioni endpoint in questo modo. In caso contrario, ovviamente non ne vale la pena e ho bisogno di tornare al precedente protocollo ESP.

I gateway sono Zyxel Zywall USG 200 in siti a 3000 miglia di distanza l'uno dall'altro. Grazie in anticipo per il tuo tempo.

    
posta Tedwin 15.03.2015 - 22:20
fonte

1 risposta

5

Non è "segreto", ma è "a prova di manomissione". Potrebbe non corrispondere alla tua definizione di "sicuro".

I tuoi dati non sono più riservati se viene utilizzato solo AH - chiunque catturi pacchetti può leggere i tuoi dati perché non è crittografato. È protetto dalle modifiche, tuttavia; AH assicura che la manomissione dei dati venga rilevata e scartata.

AH non "crittografa intrinsecamente"; un "tunnel" non implica crittografia, anche se spesso se le persone utilizzano tunnel, lo fanno per lo più in modo da poter utilizzare la crittografia.

Potresti voler leggere alcune descrizioni di alto livello:

  • AH garantisce l'integrità senza connessione e l'autenticazione dell'origine dei dati dei pacchetti IP
  • ESP fornisce l'autenticità dell'origine, l'integrità e la riservatezza dei pacchetti
risposta data 15.03.2015 - 22:33
fonte

Leggi altre domande sui tag