Mode Tunnel et mode de transport IPSec
Les protocoles AH et ESP prennent en charge deux modes IPsec :
- Mode transport
- Mode tunnel
Mode de transport d'IPsec
Le mode de transport IPsec est utilisé pour la communication de bout en bout, lorsque la communication a lieu entre le client et le serveur ou entre une station de travail et une passerelle, par exemple dans une session de bureau à distance entre une station de travail et un serveur.
Le mode transport protège une charge IP dans les protocoles de la couche supérieure tels que les protocoles UDP et TCP. AH et ESP interceptent les paquets de la couche transport qui sont destinés à la couche réseau protègent l'en-tête de transport et fournissent la sécurité configurée. Il s'agit d'un mode par défaut pour IPsec que lorsque mode transport est utilisé, IPsec crypte uniquement la charge utile IP. Il fournit la protection d'une charge utile IP par le biais des en-têtes AH et ESP.
Mode tunnel d'IPsec
Avec le mode tunnel, l'ensemble du paquet IP est protégé par IPsec. Cela signifie qu'en mode tunnel, l'IPsec enveloppe le paquet original, le crypte, ajoute un nouvel en-tête IP et l'envoie de l'autre côté du tunnel VPN. Le mode tunnel est le plus souvent utilisé entre les passerelles ou entre une station terminale et une passerelle.
Le mode tunnel protège les données en encapsulant des paquets entiers qui sont décapsulés par une passerelle de sécurité. En mode tunnel, un en-tête IPsec (en-tête AH et ESP) est inséré entre l'en-tête IP et le protocole de la couche supérieure.
Le mode tunnel protège le datagramme IP original dans son ensemble, en-tête et tout, alors que le mode transport ne le fait pas. Ainsi, l'ordre des en-têtes en mode transport et en mode tunnel lorsqu'ils sont utilisés avec AH et ESP est le suivant :
- Mode de transport : En-tête IP, en-tête IPsec (AH et ESP), charge utile IP (y compris l'en-tête de transport).
- Mode tunnel : Nouvel en-tête IP, en-tête IPsec (AH et ESP), ancien en-tête IP, charge utile IP.
En mode transport, il est intégré à IP et utilisé pour transporter directement le message de la couche (TCP/UDP). Après traitement, le datagramme n'a qu'un seul en-tête IP qui contient les en-têtes AH et ESP IPsec.
L'ordre exact de l'en-tête, que ce soit en mode transport ou en mode tunnel, dépend de la version d'IP utilisée (IPv4 ou IPv6). IPv6 utilise un en-tête d'extension qui doit être disposé d'une manière particulière lorsque IPsec est utilisé. La position de l'en-tête dépend également du protocole IPsec utilisé (AH et ESP).
Le mode transport exige que l'IPsec soit intégré à l'IP, car AH et ESP doivent être appliqués lorsque l'empaquetage IP original est effectué sur le message de la couche transport. C'est souvent le choix des implémentations nécessitant une sécurité de bout en bout avec des hôtes qui exécutent directement IPsec.
Le mode tunnel encapsule le datagramme IP complet, formant ainsi un tunnel virtuel entre les dispositifs compatibles IPsec. Ce datagramme IP est transmis à IPsec, où un nouvel en-tête IP est créé avec l'en-tête IPsec AH et ESP ajouté.
