Asociaciones de seguridad IPsec

Una asociación de seguridad (SA) IPsec especifica las propiedades de seguridad que se reconocen mediante hosts comunicados. Una única SA protege los datos en una dirección. La protección es para un solo host o para una dirección de grupo (multidifusión). Dado que la mayoría de la comunicación es de igual a igual o de cliente-servidor, debe haber dos SA para proteger el tráfico en ambas direcciones.

Los tres elementos siguientes identifican una SA IPsec de modo exclusivo:

• El protocolo de seguridad (AH o ESP)

• La dirección IP de destino

• El índice de parámetros de seguridad

El SPI, un valor arbitrario de 32 bits, se transmite con un paquete AH o ESP. Las páginas del comando man ipsecah(7P) y ipsecesp(7P) explican la protección que ofrecen AH y ESP. Se utiliza un valor de suma de comprobación de integridad para autenticar un paquete. Si la autenticación falla, se deja el paquete.

Las asociaciones de seguridad se almacenan en una base de datos de asociaciones de seguridad (SADB). PF_KEY, una interfaz administrativa basada en sockets, permite que las aplicaciones privilegiadas gestionen la base de datos. Por ejemplo, la aplicación IKE y el comando ipseckeys usan la interfaz de socket PF_KEY.

• Para obtener una descripción completa de SADB IPsec, consulte Base de datos de asociaciones de seguridad para IPsec.

• Para obtener más información sobre cómo administrar SADB, consulte la página del comando man pf_key(7P).

Gestión de claves en IPsec

Las asociaciones de seguridad (SA) requieren materiales para la autenticación y para el cifrado. La gestión de este material de claves se denomina gestión de claves. El protocolo de intercambio de claves de Internet (IKE) gestiona automáticamente la gestión de claves. También puede administrar las claves manualmente con el comando ipseckey.

Las SA de los paquetes IPv4 e IPv6 pueden utilizar cualquier método para administrar las claves. A menos que tenga una razón de peso para utilizar la gestión manual de claves, se prefiere IKE.

La utilidad de gestión de servicios (SMF) de Oracle Solaris proporciona los siguientes servicios de gestión de claves para IPsec:

• Servicio svc:/network/ipsec/ike:default: es el servicio SMF para la gestión automática de claves. El servicio ike ejecuta el daemon in.iked para proporcionar administración automática de claves. Para ver una descripción de IKE, consulte el Capítulo 9, Intercambio de claves de Internet (descripción general). Para obtener más información sobre el daemon in.iked, consulte la página del comando man in.iked(1M). Para obtener información sobre el servicio ike, consulte Servicio IKE.

• Servicio svc:/network/ipsec/manual-key:default: es el servicio SMF para la gestión manual de claves. El servicio de manual-key ejecuta el comando ipseckey con varias opciones para administrar claves manualmente. Para obtener una descripción del comando ipseckey, consulte Utilidades para la generación de SA en IPsec. Para obtener más información sobre las opciones del comando ipseckey, consulte la página del comando man ipseckey(1M).