Asociaciones de seguridad IPsec

Una asociación de seguridad (SA) IPsec especifica las propiedades de seguridad que se reconocen mediante hosts comunicados. Una única SA protege los datos en una dirección. La protección es para un solo host o para una dirección de grupo (multidifusión). Dado que la mayoría de la comunicación es de igual a igual o de cliente-servidor, debe haber dos SA para proteger el tráfico en ambas direcciones.

Los tres elementos siguientes identifican una SA IPsec de modo exclusivo:

• El protocolo de seguridad (AH o ESP)

• La dirección IP de destino

• El índice de parámetros de seguridad

El SPI, un valor arbitrario de 32 bits, se transmite con un paquete AH o ESP. Las páginas del comando man ipsecah(7P) y ipsecesp(7P) explican la protección que ofrecen AH y ESP. Se utiliza un valor de suma de comprobación de integridad para autenticar un paquete. Si la autenticación falla, se deja el paquete.

Las asociaciones de seguridad se almacenan en una base de datos de asociaciones de seguridad (SADB). Un motor de administración basado en sockets, la interfaz PF_KEY, permite a las aplicaciones privilegiadas administrar la base de datos. Por ejemplo, la aplicación IKE y el comando ipseckeys usan la interfaz de socket PF_KEY.

• Para obtener una descripción completa de SADB IPsec, consulte Base de datos de asociaciones de seguridad para IPsec.

• Para obtener más información sobre cómo administrar SADB, consulte la página del comando man pf_key(7P).

Administración de claves en IPsec

Las asociaciones de seguridad (SA) requieren materiales para la autenticación y para el cifrado. La administración de este material de claves se denomina administración de claves. El protocolo de intercambio de claves de Internet (IKE) gestiona automáticamente la administración de claves. También puede administrar las claves manualmente con el comando ipseckey.

Las SA de los paquetes IPv4 e IPv6 pueden utilizar cualquier método para administrar las claves. A menos que tenga una razón de peso para utilizar la administración de claves manual, se recomienda la administración automática. Por ejemplo, para interoperar con sistemas que no sean Solaris es posible que precise la administración de claves manual.

En la versión actual, SMF proporciona el siguiente servicio de administración de claves para IPsec:

• svc:/network/ipsec/ike:default service – es el servicio SMF para la administración automática de claves. El servicio ike ejecuta el daemon in.iked para proporcionar administración automática de claves. Para ver una descripción de IKE, consulte el Capítulo 22Intercambio de claves de Internet (descripción general). Para obtener más información sobre el daemon in.iked, consulte la página de comando man in.iked(1M) Para obtener información sobre el servicio ike, consulte Utilidad de gestión de servicios de IKE.

• svc:/network/ipsec/manual-key:default service – es el servicio SMF para la administración manual de claves. El servicio de manual-key ejecuta el comando ipseckey con varias opciones para administrar claves manualmente. Para ver una descripción del comando ipseckey, consulte Utilidades para la generación de claves en IPsec. Para obtener más información sobre las opciones del comando ipseckey, consulte la página de comando man ipseckey(1M).

En las versiones anteriores a Solaris 10 4/09 los comandos en.iked e ipseckey administran material de claves.

• El daemon in.iked proporciona administración de claves automática. Para ver una descripción de IKE, consulte el Capítulo 22Intercambio de claves de Internet (descripción general). Para obtener más información sobre el daemon in.iked, consulte la página de comando man in.iked(1M).

• El comando ipseckey proporciona administración de claves manual. Para ver una descripción del comando, consulte Utilidades para la generación de claves en IPsec. Para obtener más información sobre las opciones del comando ipseckey, consulte la página de comando man ipseckey(1M).