Kiến trúc: chế độ và thành phần
Transport và tunnel
Transport mã hóa phần tải nhưng để lộ địa chỉ IP gốc, chủ yếu dùng giữa máy được quản lý. Tunnel bọc cả gói trong gói mới, che địa chỉ nội bộ và phù hợp VPN, đổi lại thêm header và khó xử lý MTU.
AH và ESP
AH kiểm tra toàn vẹn nhưng không mã hóa, kém tương thích NAT vì router đổi trường đã xác thực; hiện ít dùng. ESP mã hóa, xác thực và chống phát lại bằng SA cùng sequence number; đây là thành phần hiện đại.
NAT-T
ESP là IP protocol 50, không phải cổng. Nhiều router không NAT tốt. NAT Traversal bọc ESP trong UDP 4500, thêm overhead và keepalive. Khi lỗi phải tách IKE, ESP, NAT, tường lửa và MTU, khó hơn giao thức sinh ra cho NAT.
IKEv1 và IKEv2
IKE thương lượng thuật toán, xác thực và tạo SA. IKEv1 cần nhiều thông điệp, có mode cũ không an toàn và xử lý di động kém; aggressive mode hỗ trợ một số tấn công từ điển vào PSK. IKEv2 rút ngắn thương lượng, hỗ trợ chứng chỉ, EAP, DPD và MOBIKE, nhưng vẫn mang độ phức tạp IPsec.
Mật mã: linh hoạt và rủi ro
Cấu hình hiện đại dùng AES-256-GCM hoặc ChaCha20-Poly1305, SHA-256 nếu toàn vẹn tách riêng, DH nhóm 14 tối thiểu hoặc Curve25519, cùng X.509. Nhưng IPsec vẫn cho phép 3DES, SHA-1, DH yếu, PSK dễ đoán hoặc thiếu PFS. Khả năng tương tác với thiết bị cũ cũng duy trì cấu hình nguy hiểm. PFS cần trao đổi DH mới khi đổi khóa.
Hiệu năng, MTU và ổn định
Có AES-NI, IPsec đạt tốc độ cao; đóng gói và phân mảnh thường là vấn đề thật. Tunnel cộng NAT-T thêm khoảng 60–90 byte. Gói gần 1.500 byte có thể phân mảnh; mất một mảnh buộc khôi phục/truyền lại cả gói. Hạ MTU xuống khoảng 1.400, đôi khi 1.280, và dùng khám phá MTU giúp nhưng cần kiến thức. MOBIKE cải thiện di động; WireGuard thường nối lại với ít trạng thái hơn.
Vì sao VPN vẫn có IPsec?
iOS, iPadOS, macOS và Windows hỗ trợ IKEv2/IPsec gốc, nhận profile không cần client riêng. Doanh nghiệp còn hạ tầng Cisco, Juniper, Fortinet, PKI và quy trình lâu năm. Với MDM hoặc liên kết trung tâm dữ liệu, thay toàn bộ có thể tốn kém, rủi ro hơn duy trì. IPsec tồn tại vì tương thích, không phải luôn tốt hơn.
Khi nào dùng IPsec?
Hợp kết nối cố định giữa văn phòng/datacenter, Apple quản lý bằng MDM, hạ tầng chứng chỉ và firewall sẵn sàng, hoặc thiết bị chuyên dụng. Người dùng cá nhân thường thấy WireGuard đơn giản hơn; OpenVPN hữu ích cho TCP 443. Cảnh báo: IKEv1, PSK yếu, thiếu PFS, thuật toán cũ hoặc tài liệu không nói đổi khóa.
Tranh luận sau Snowden
Tiết lộ năm 2013 cho thấy nỗ lực làm yếu một số thành phần như Dual_EC_DRBG trong vài triển khai. Vấn đề là bộ sinh số ngẫu nhiên, không phải bản thân ESP/IKE. Stack hiện đại phải dùng generator và suite mới. Sự phức tạp cũng gây ngờ vực: Windows, Apple, Android, strongSwan, Libreswan không cùng mã; kiểm toán một bản không xác nhận bản khác.
Khả năng tương tác và phân mảnh triển khai
Các thiết bị có thể cùng hỗ trợ thuật toán chính nhưng khác extension, fragment, lưu khóa hay lỗi. Firmware còn đổi thứ tự đề xuất. Tổ chức nên dùng danh sách thuật toán ngắn, tắt IKEv1, bắt buộc chứng chỉ, chỉ ghi log vận hành cần thiết và thử gia hạn khóa.
Nhà vận hành phải công bố gì?
- phiên bản IKE và cách xác thực;
- mã hóa, toàn vẹn, nhóm DH;
- chu kỳ đổi khóa và PFS;
- MOBIKE, NAT-T;
- log và bảo vệ khóa riêng;
- MTU khuyến nghị, cách chẩn đoán.
Thiếu thông tin không chứng minh tunnel yếu, nhưng ngăn việc kiểm tra lời công bố.
Kết luận
IPsec có thể bảo mật cao khi đội ngũ giỏi cấu hình. Sự linh hoạt và tương tác là lợi thế nghề nghiệp nhưng cũng tạo lỗi cho người phổ thông. WireGuard thường tốt hơn về đơn giản, tốc độ, di động; OpenVPN hữu ích cho tương thích/TCP. IPsec chủ yếu được chọn vì nhu cầu hạ tầng.