IPsec là gì và IPsec hoạt động như thế nào?

Nếu bạn mở cài đặt trong một ứng dụng VPN, thường sẽ thấy danh sách các giao thức. IPsec là một trong các lựa chọn bạn có thể gặp, đôi khi được ghi là IKEv2/IPsec. Nó cũng được tích hợp sẵn trong Windows, macOS và iOS, nên có thể bạn đang dùng IPsec mà không hề chọn thủ công.

Tổ chức IETF đã chuẩn hoá nó vào những năm 1990 như một cách chung để bảo vệ lưu lượng IP qua các mạng không đáng tin cậy, từ một liên kết cố định giữa hai mạng văn phòng đến một người dùng đơn lẻ kết nối từ nơi khác. Một ứng dụng VPN dành cho người tiêu dùng áp dụng cùng cơ chế bảo vệ đó cho kết nối của bạn: nó nối thiết bị của bạn với một máy chủ do nhà cung cấp VPN vận hành, khiến lưu lượng của bạn đi ra qua máy chủ đó thay vì từ thiết bị của bạn trực tiếp.

IPsec là gì?

IPsec (Internet Protocol Security) là một tập hợp giao thức bảo vệ dữ liệu khi nó đi qua các mạng IP. Nó mã hoá từng gói tin, xác minh nguồn gốc của gói và kiểm tra xem có bị thay đổi trên đường truyền hay không.

Dữ liệu của bạn không đi qua internet dưới dạng một khối duy nhất. Dữ liệu được tách thành các gói (packet), mỗi gói được bọc bằng thông tin định tuyến để các bộ định tuyến biết gửi tới đâu. IPsec hoạt động trên từng gói này một cách riêng lẻ.

Khung làm việc cung cấp:

• Mã hoá: nội dung của mỗi gói trở thành bản mã (ciphertext), người điều hành mạng hoặc bất kỳ ai nghe lén cũng không thể đọc được.
• Kiểm tra tính toàn vẹn: phía nhận xác nhận dữ liệu đến nơi không bị sửa đổi.
• Xác thực: mỗi đầu chứng minh nó là hệ thống mà nó tuyên bố, bằng cách dùng khóa chia sẻ trước (mật khẩu bí mật cả hai bên cùng biết) hoặc chứng chỉ số (chứng nhận do một cơ quan tin cậy cấp và ký).
• Bảo vệ chống phát lại: những gói đã bị kẻ tấn công chụp rồi gửi lại sẽ bị bác bỏ.

Một VPN xây dựng trên các giao thức này chính là một IPsec VPN. Phần mềm và phần cứng mạng sử dụng IPsec để tạo các kết nối bảo mật qua mạng công cộng. Vì IPsec hoạt động ở tầng mạng, nó có thể bảo vệ lưu lượng IP cho toàn bộ thiết bị thay vì chỉ giới hạn trong một ứng dụng đơn lẻ.

Các thuật ngữ IPsec hữu ích và định nghĩa

Thuật ngữ IPsec có thể trở nên phức tạp rất nhanh. Dưới đây là tham khảo nhanh các thuật ngữ bạn thường gặp và ý nghĩa của chúng:

IPsec VPN hoạt động như thế nào?

Một IPsec VPN thiết lập đường hầm bảo mật qua bốn giai đoạn nhanh: hai đầu xác thực lẫn nhau, thống nhất các thông số mã hoá, rồi mã hoá và đóng gói từng gói đi ra. Phía nhận kiểm tra xem có bị can thiệp và giải mã.

1. Xác thực và đàm phán: các đầu chứng minh danh tính cho nhau, rồi thỏa thuận về thuật toán mã hoá và tính toàn vẹn sẽ dùng cũng như các khoá kèm theo.
2. Thiết lập đường hầm: khi các điều khoản đã đồng ý, cả hai phía mở kết nối được bảo vệ và ghi lại cài đặt đã thỏa thuận dưới dạng một security association, bộ quy tắc chung cho đường hầm đó.
3. Mã hoá và truyền: các gói đi ra được mã hoá và đóng gói trước khi rời thiết bị, rồi băng qua internet như mọi lưu lượng khác.
4. Giải mã ở đích: đầu nhận kiểm tra gói có bị can thiệp không, giải mã và chuyển dữ liệu gốc tiếp tục.

Internet Key Exchange (IKE) điều khiển hai giai đoạn đầu, và IKEv2 là phiên bản được dùng phổ biến ngày nay. Việc đàm phán thường chạy trên cổng UDP 500. Nếu thiết bị của bạn đứng sau một bộ định tuyến thực hiện NAT (dịch địa chỉ mạng), cả hai phía sẽ chuyển sang NAT Traversal (NAT‑T), cơ chế bọc trao đổi khoá và lưu lượng mã hoá vào cổng UDP 4500 để chúng đi qua bộ định tuyến mà không bị thay đổi.

IPsec được dùng để làm gì?

IPsec bảo mật lưu lượng phải đi qua internet công cộng. Các ứng dụng phổ biến nhất là nhân viên làm việc từ xa kết nối vào mạng văn phòng qua một ứng dụng VPN doanh nghiệp, liên kết cố định giữa các điểm của công ty, và các ứng dụng VPN cho người tiêu dùng hỗ trợ IKEv2/IPsec để bảo vệ khi duyệt web trên Wi‑Fi công cộng.

Site‑to‑site so với VPN truy cập từ xa VPNs

Một site‑to‑site IPsec nối toàn bộ mạng với nhau. Một công ty có trụ sở chính và kho hàng khác quận đặt một gateway ở mỗi đầu, và đường hầm chạy giữa hai điểm đó. Một máy in ở kho có thể truy cập server ở trụ sở chính mà không cần phần mềm VPN trên máy in vì gateway xử lý mã hoá cho mọi thiết bị ở phía sau nó.

Một VPN truy cập từ xa kết nối một thiết bị đơn lẻ tới toàn bộ mạng. Phần mềm client trên laptop của bạn tạo một đầu của đường hầm, và gateway ở mạng văn phòng tạo đầu còn lại, nên cùng một server đó có thể truy cập được từ phòng khách sạn bất cứ khi nào đường hầm bật.

IPsec dùng những giao thức nào?

IPsec là một bộ giao thức:

• ESP (Encapsulating Security Payload): mã hoá và xác thực phần tải (payload).
• AH (Authentication Header):kiểm tra tính toàn vẹn trên payload và phần lớn đầu IP mà không mã hoá nội dung.
• IKE (Internet Key Exchange): đàm phán thông số và thiết lập khoá.

Bạn có thể thấy "IKEv2/IPsec" trong cài đặt VPN, và trông như thể là một lựa chọn giữa hai giao thức. Không phải vậy: IKEv2 thiết lập kết nối và IPsec bảo vệ những gì truyền qua kết nối đó.

Tại sao bạn chỉ thấy ESP

ESP là thứ bảo vệ lưu lượng trong một IPsec VPN hiện đại. AH để dữ liệu của bạn ở dạng có thể đọc được bởi bất kỳ ai chặn được, chỉ cung cấp bằng chứng rằng một gói tới từ nguồn mong đợi và không bị sửa đổi.

AH còn gặp trục trặc khi NAT nằm trên đường đi, vì nó bảo vệ các phần của đầu IP mà NAT sẽ ghi đè. Bộ định tuyến gia đình và mạng di động dùng NAT, nên AH hiếm khi được dùng.

Sự khác nhau giữa chế độ tunnel và transport của IPsec là gì?

Chế độ tunnel bọc toàn bộ gói gốc, kể cả đầu, bên trong một gói mới. Chế độ transport chỉ mã hoá payload và để đầu IP gốc ở dạng có thể nhìn thấy, phù hợp cho giao tiếp máy chủ‑máy chủ trực tiếp bên trong trung tâm dữ liệu.

Từ "tunnel" ở đây mang hai nghĩa dễ gây nhầm. Một đường hầm IPsec là kết nối được bảo vệ giữa hai đầu trong khi chế độ tunnel là quyết định khác về mức độ bọc từng gói.

Bất kỳ ai quan sát một kết nối chế độ tunnel chỉ thấy lưu lượng di chuyển giữa hai điểm cuối, chứ không thấy các địa chỉ bị ẩn bên trong. Trong chế độ transport, địa chỉ nguồn và đích vẫn hiển thị, vì chỉ payload được mã hoá.

Ưu nhược điểm của IPsec là gì?

IPsec đã được triển khai từ những năm 1990, nên các đánh đổi của nó đã được ghi chép rõ.

Ưu điểm của IPsec

• Mã hoá và xác thực mạnh. Các cấu hình hiện nay kết hợp các cipher như AES với xác thực bằng chứng chỉ hoặc khóa chia sẻ trước, nên mỗi đầu phải chứng minh danh tính trước khi dữ liệu truyền.
• Bảo phủ ở tầng mạng. Email, truyền file và sao lưu đi cùng đường bảo vệ với lưu lượng trình duyệt.
• Không phụ thuộc ứng dụng. Phần mềm không cần biết một VPN tồn tại, đó là lý do các ứng dụng doanh nghiệp cũ chạy trên IPsec mà không phải sửa đổi.
• Tiêu chuẩn đã được công bố. Các đặc tả của IETF định nghĩa IPsec, nên một tường lửa từ nhà cung cấp này thường có thể tạo đường hầm tới gateway của nhà cung cấp khác.

Nhược điểm của IPsec

• Phức tạp khi cấu hình. Hàng chục cài đặt phải khớp ở hai đầu, bao gồm thuật toán mã hoá, thời hạn khoá và định danh. Một sai lệch đơn lẻ có thể khiến đường hầm không bật được.
• Chi phí mã hoá và đóng gói. Mỗi gói tăng thêm byte, có thể gây phân mảnh trên các liên kết có MTU nhỏ hơn.
• Tương thích tường lửa và NAT. Một số mạng chặn các cổng mà IPsec cần, hoặc xử lý NAT kém, khiến kết nối không thành.

Nếu không có kỹ sư mạng bên cạnh, cài đặt, cổng và hành vi NAT thường là phần khó nhất để khởi chạy một IPsec VPN.

IPsec có an toàn không?

IPsec an toàn khi được cấu hình với các thiết lập hiện đại, nhưng không phải mọi cấu hình đều vậy. Thiết bị cũ có thể vẫn dùng cipher lỗi thời và phiên bản trao đổi khoá cũ, nên mức độ bảo vệ khác nhau giữa các kết nối.

Hầu hết cấu hình hiện nay kết hợp AES cho mã hoá với HMAC-SHA-2 cho tính toàn vẹn. HMAC-SHA-2 tạo một dấu vân tay ngắn của dữ liệu bằng khoá bí mật, nên mọi sửa đổi sẽ hiện ngay.

Các cấu hình cũ đôi khi vẫn chạy DES hoặc MD5, cả hai đều không còn an toàn. Một số phần cứng kế thừa cũng dùng nhóm Diffie‑Hellman 768‑ hoặc 1024‑bit. Diffie‑Hellman là cách hai đầu thống nhất khoá chung mà không gửi nó, và nhóm là kích thước số họ sử dụng. Các nhóm nhỏ hơn cung cấp ít bảo vệ hơn trước các cuộc tấn công, vì vậy cấu hình hiện đại dùng nhóm Diffie‑Hellman mạnh hơn thay vì các nhóm nhỏ trong thiết bị cũ.

Trao đổi khoá là điều khác cần kiểm tra. IKEv1, phát hành 1998, có điểm yếu được biết trong một số chế độ. Tệ nhất là aggressive mode, một bắt tay rút gọn đánh đổi một vòng tin nhắn lấy tốc độ. Chế độ này để lộ đủ thông tin để kẻ tấn công chụp được trao đổi rồi dò mật khẩu chia sẻ trước trên máy của họ, không có giới hạn số lần thử. Còn có rủi ro của một tấn công hạ cấp (downgrade attack), nơi kẻ can thiệp làm cho hai bên đồng ý dùng mã hoá cũ hơn mà họ vẫn hỗ trợ. IETF đã chính thức đưa IKEv1 vào trạng thái lịch sử vào năm 2023.

IKEv2 đàm phán an toàn hơn và cơ chế tái khoá (rekeying) tốt hơn, tức việc đổi khoá giữa chừng trong phiên. Nó cũng thêm MOBIKE, giúp đường hầm duy trì khi địa chỉ IP của thiết bị thay đổi, nên điện thoại chuyển từ Wi‑Fi sang dữ liệu di động vẫn giữ kết nối thay vì ngắt rồi thiết lập lại.

Với người dùng gia đình, bạn không tự chọn các thiết lập này. Ứng dụng VPN của bạn hoặc nhóm IT của nhà tuyển dụng sẽ làm việc đó. Điều quan trọng là phần mềm phải được cập nhật liên tục, vì đó là cách giữ cho thuật toán và trao đổi khoá hiện đại.

Mã hoá mạnh cho mọi kết nối.

Kaspersky VPN mã hoá lưu lượng internet của bạn và che địa chỉ IP, giữ kết nối riêng tư trên mọi mạng, kể cả Wi‑Fi công cộng.

Tải Kaspersky VPN

✓

Được kiểm nghiệm độc lập và trao giải bởi các phòng thí nghiệm hàng đầu trong ngành.

Sự khác nhau giữa IPsec và SSL VPNs là gì?

IPsec có thể cấp quyền truy cập mạng‑cấp cho một thiết bị vào một mạng từ xa, với lưu lượng được định tuyến qua đường hầm bảo mật theo cấu hình VPN. Một SSL dựa trên trình duyệt thường chỉ cho phép truy cập tới các tài nguyên chọn lọc, như một website nội bộ.

IPsec hoạt động ở tầng thấp hơn, tức tầng mạng, nên nó có thể bảo vệ mọi thứ thiết bị gửi. SSL hoạt động ở tầng cao hơn, dùng TLS, công nghệ mã hoá kết nối tới trang ngân hàng. Vì vậy khi một đường hầm IPsec bật, thiết bị hành xử như thể nó đang cắm trực tiếp vào mạng từ xa. Một SSL trình duyệt thì ngược lại, mở một cổng tới một tập tài nguyên xác định như trang intranet hoặc một ứng dụng nội bộ, và thiết bị không bao giờ gia nhập mạng. Một số SSL vẫn chạy client và chuyển toàn bộ lưu lượng như IPsec, nên phiên bản dạng cổng không phải là loại duy nhất.

IPsec cần cấu hình khớp ở hai đầu, ngay cả khi client đã có sẵn trong hệ điều hành, trong khi một SSL trình duyệt có thể chạy mà không cần cài gì. Lưu lượng của nó đi qua cổng TCP 443, cùng cổng thường dùng cho lưu lượng HTTPS, vốn được phép rộng rãi qua mạng và tường lửa. Điều này có thể khiến SSL trình duyệt dễ dùng hơn trên các mạng hạn chế, như Wi‑Fi khách sạn hoặc sân bay, nơi lưu lượng IPsec có thể bị chặn.

Bài viết liên quan:

• IPsec là gì và nó hoạt động như thế nào?
• VPN hoạt động như thế nào để bảo vệ tôi trực tuyến?
• Mã hoá dữ liệu là gì?
• Cách tránh rủi ro khi dùng Wi‑Fi công cộng

Sản phẩm đề xuất:

• Kaspersky Premium
• Tải bản dùng thử 30 ngày miễn phí của gói cao cấp
• Kaspersky Mobile Security

FAQs

IPsec dùng cổng nào?

IKE chạy trên cổng UDP 500, và NAT Traversal di chuyển trao đổi khoá và lưu lượng mã hoá tiếp theo vào cổng UDP 4500. ESP và AH không phải là cổng, mà là các giao thức IP số 50 và 51. Một tường lửa phải cho phép những thứ này, nếu không đường hầm sẽ không hình thành.

VPN IPsec có làm chậm kết nối của tôi không?

Có, hơi chậm một chút. Mã hoá mỗi gói tốn một ít CPU, và lưu lượng đi qua một máy chủ VPN. Hầu hết người dùng không nhận thấy gì khi duyệt web hoặc xem video. Khoảng cách tới máy chủ thêm độ trễ, ảnh hưởng tới tốc độ hơn nhiều so với chính giao thức.

IPsec ảnh hưởng thế nào tới MTU và MSS?

IPsec thêm xấp xỉ 50 đến 70 byte cho mỗi gói, có thể gây phân mảnh. Quản trị viên sẽ điều chỉnh giới hạn MTU/MSS để bù, nhưng không có con số chuẩn: nó phụ thuộc vào mã hoá, liệu NAT Traversal có đang hoạt động hay không, và MTU của liên kết nền tảng.

IPsec dùng mã hoá đối xứng hay bất đối xứng?

Cả hai. IKE sử dụng mật mã bất đối xứng, một trao đổi khóa Diffie‑Hellman, cho phép hai đầu thống nhất một bí mật chung mà không gửi nó. Bí mật đó sau đó cấp nguồn cho một cipher đối xứng nhanh hơn, thường là AES, để bảo vệ lưu lượng.