O que é uma VPN IPsec e como ela funciona?

Se você abrir as configurações em um app VPN, frequentemente encontrará uma lista de protocolos. IPsec é uma das opções que podem aparecer, às vezes exibida como IKEv2/IPsec. Ele também vem integrado ao Windows, macOS e iOS, então você pode estar usando uma VPN IPsec (também escrita IPsec VPN) sem tê‑la escolhido explicitamente.

O IETF padronizou esse conjunto de protocolos na década de 1990 como uma forma geral de proteger o tráfego IP através de redes não confiáveis, desde um link permanente entre duas redes de escritório até um único usuário se conectando de outro local. Uma VPN IPsec de consumidor aplica essa mesma proteção à sua conexão: ela liga seu dispositivo a um servidor administrado pelo seu VPN provedor, fazendo com que seu tráfego saia por esse servidor em vez de sair diretamente do seu dispositivo.

O que é IPsec?

IPsec (Internet Protocol Security) é um conjunto de protocolos que protege dados enquanto eles trafegam por redes IP. Ele criptografa cada pacote do seu tráfego, verifica de onde o pacote veio e checa se nada foi alterado no caminho.

Seus dados não atravessam a internet de uma só vez. Eles são divididos em pacotes, cada um envolvido por informações de endereçamento para que os roteadores saibam para onde enviar. O IPsec atua sobre esses pacotes individualmente.

O framework fornece:

• Criptografia: o conteúdo de cada pacote vira ciphertext (texto cifrado), que um operador de rede ou qualquer pessoa ouvindo a comunicação não consegue ler.
• Verificação de integridade: o lado receptor confirma que os dados chegaram sem alterações.
• Autenticação: cada extremidade prova que é a máquina que afirma ser, usando uma chave pré‑compartilhada (uma senha secreta que ambos os lados já possuem) ou um certificado digital (uma credencial emitida e assinada por uma autoridade confiável).
• Proteção contra replay: pacotes capturados por um atacante anteriormente e reenviados são rejeitados.

Um VPN construído sobre esses protocolos é uma VPN IPsec. Softwares de VPN e equipamentos de rede usam IPsec para criar conexões protegidas através de redes públicas. Como o IPsec opera na camada de rede, ele pode proteger o tráfego IP em todo o dispositivo, em vez de ficar limitado a um único aplicativo.

Termos úteis sobre IPsec e definições

A terminologia do IPsec pode ficar complicada rapidamente. Aqui vai um pequeno glossário com os termos que você verá mais frequentemente e o que eles significam:

Como funciona uma VPN IPsec?

Uma VPN IPsec estabelece um túnel protegido em quatro etapas rápidas: as duas extremidades se autenticam, concordam sobre os termos de criptografia, então criptografam e encapsulam cada pacote de saída. O receptor verifica se houve adulteração e o descriptografa.

1. Autenticação e negociação: as extremidades provam suas identidades entre si, depois acertam os algoritmos de criptografia e integridade que usarão e as chaves correspondentes.
2. Estabelecimento do túnel: com os termos acordados, ambos os lados abrem a conexão protegida e registram as configurações acordadas como uma associação de segurança, o manual compartilhado para aquele túnel.
3. Criptografia e transmissão: os pacotes de saída são criptografados e encapsulados antes de deixarem seu dispositivo, e então cruzam a internet como qualquer outro tráfego.
4. Descriptografia no destino: a extremidade receptora verifica o pacote quanto a adulterações, descriptografa e encaminha os dados originais.

O Internet Key Exchange (IKE) executa as duas primeiras etapas, e o IKEv2 é a versão de uso comum hoje. Essa negociação normalmente roda sobre a porta UDP 500. Se seu dispositivo estiver atrás de um roteador realizando Tradução de Endereço de Rede (NAT), ambos os lados mudam para NAT‑T (NAT-T), que envolve a troca de chaves e o tráfego criptografado subsequente na porta UDP 4500 para que atravessassem o roteador sem alterações.

Para que serve o IPsec?

O IPsec protege tráfego que precisa percorrer a internet pública. Seus usos mais comuns são trabalhadores remotos conectando‑se à rede do escritório através de um cliente empresarial VPN, links permanentes entre sites da empresa e apps de VPN que oferecem IKEv2/IPsec para proteger a navegação em redes Wi‑Fi públicas ().

Site‑to‑site vs. acesso remoto IPsec VPNs

Uma VPN site‑to‑site IPsec conecta redes inteiras. Uma empresa com matriz e depósito em outra parte da cidade coloca um gateway em cada ponta, e o túnel roda entre esses dois pontos. Uma impressora no depósito pode alcançar um servidor na matriz sem nenhum software VPN na própria impressora porque o gateway lida com a criptografia para tudo que está por trás dele.

Uma VPN IPsec de acesso remoto conecta um único dispositivo a toda uma rede. O software cliente no seu laptop forma uma extremidade do túnel, e o gateway na rede do seu escritório forma a outra, de modo que esse mesmo servidor fica acessível a partir de um quarto de hotel sempre que o túnel estiver ativo.

Quais protocolos o IPsec usa?

IPsec é um conjunto de protocolos:

• ESP (Encapsulating Security Payload): criptografa e autentica o payload.
• AH (Authentication Header): verifica integridade do payload e da maior parte do cabeçalho IP, sem criptografar nada.
• IKE (Internet Key Exchange): negocia configurações e estabelece chaves.

Você pode notar “IKEv2/IPsec” nas configurações de VPN, e parece uma escolha entre dois protocolos. Não é: o IKEv2 configura a conexão e o IPsec protege o que passa por ela.

Por que você verá apenas ESP

ESP é o que protege o tráfego em uma VPN IPsec atual. AH deixa seus dados legíveis para quem os capturar, fornecendo apenas prova de que um pacote veio da fonte esperada e chegou sem modificações.

AH também falha quando a Tradução de Endereço de Rede está no caminho, porque protege partes do cabeçalho IP que o NAT reescreve. Roteadores domésticos e redes móveis usam NAT, por isso o AH é raramente usado.

Qual é a diferença entre o modo túnel e o modo transporte do IPsec?

O modo túnel envolve todo o pacote original, incluindo os cabeçalhos. O modo transporte criptografa apenas o payload e deixa o cabeçalho IP original visível, o que é adequado para tráfego direto servidor‑para‑servidor dentro de um data center.

A palavra túnel tem dupla função aqui, o que confunde as pessoas. Um túnel IPsec é a conexão protegida entre dois endpoints, enquanto o modo túnel é uma decisão separada sobre quanto de cada pacote será encapsulado.

Quem observa uma conexão em modo túnel enxerga tráfego se movendo entre os dois endpoints, não os endereços escondidos dentro. No modo transporte, a origem e o destino permanecem em claro, já que apenas o payload é criptografado.

Quais são as vantagens e desvantagens do IPsec?

O IPsec vem sendo usado desde a década de 1990, então seus trade‑offs já estão bem documentados.

Vantagens do IPsec

• Criptografia e autenticação fortes. Configurações atuais combinam cifras como AES com autenticação por certificado ou chave pré‑compartilhada, de modo que cada extremidade prova sua identidade antes do tráfego ser transmitido.
• Cobertura na camada de rede. Clientes de e‑mail, transferências de arquivo e backups viajam pelo mesmo caminho protegido que o tráfego do navegador.
• Independência de aplicação. O software não precisa saber que existe uma VPN, por isso aplicações empresariais antigas funcionam sobre IPsec sem modificação.
• Um padrão publicado. Especificações do IETF definem o IPsec, então um firewall de um fornecedor geralmente consegue estabelecer um túnel com um gateway de outro.

Desvantagens do IPsec

• Complexidade de configuração. Dezenas de ajustes precisam coincidir em ambas as pontas, incluindo algoritmos de criptografia, tempos de vida de chaves e identificadores. Um único desacerto pode impedir o túnel de subir.
• Sobrecarga de criptografia e encapsulamento. Cada pacote ganha bytes extras, o que pode causar fragmentação em links com MTU menores.
• Compatibilidade com firewall e NAT. Algumas redes bloqueiam as portas que o IPsec usa, ou lidam mal com a tradução de endereços, o que pode impedir a formação da conexão.

Sem um engenheiro de rede disponível, as configurações, portas e o comportamento do NAT costumam ser a parte mais difícil para fazer uma VPN IPsec funcionar.

O IPsec é seguro?

O IPsec é seguro quando configurado com parâmetros atuais, mas nem toda instalação está assim. Equipamentos mais antigos podem ainda usar cifras datadas e uma versão antiga de troca de chaves, então a proteção varia de conexão para conexão.

A maioria das configurações atuais combina AES para criptografia com HMAC-SHA-2 para integridade. HMAC-SHA-2 produz uma pequena impressão dos dados usando uma chave secreta, de modo que qualquer adulteração aparece imediatamente.

Configurações mais antigas às vezes ainda usam DES ou MD5, nenhum dos quais é considerado seguro hoje. Alguns hardwares legados também oferecem grupos Diffie‑Hellman de 768 ou 1024 bits. Diffie‑Hellman é como as duas pontas combinam uma chave compartilhada sem encaminhá‑la, e o grupo é o tamanho dos números usados nessa operação. Grupos menores oferecem menos proteção contra ataques, por isso as configurações modernas usam grupos Diffie‑Hellman mais fortes em vez dos grupos pequenos encontrados em instalações legadas.

A troca de chaves é outro ponto a verificar. O IKEv1, lançado em 1998, tem fragilidades conhecidas em certos modos. O pior é o modo agressivo, uma negociação encurtada que troca uma rodada de mensagens por velocidade. Isso expõe informação suficiente para que um atacante capture a troca e depois tente adivinhar a senha compartilhada em sua própria máquina, sem limite de tentativas. Existe também o risco de um ataque de rebaixamento, em que alguém altera a negociação inicial para que ambas as pontas concordem em usar criptografia mais antiga que ainda suportam. O IETF formalmente reclassificou o IKEv1 como histórico em 2023, depreciando seu uso.

O IKEv2 negocia de forma mais segura e é melhor no rekeying, a troca programada por chaves novas durante uma sessão. Ele também adiciona MOBIKE, que mantém um túnel estabelecido quando o endereço IP do seu dispositivo muda, assim um celular que troca do Wi‑Fi para a rede móvel permanece conectado em vez de cair e reconstruir a sessão.

Como usuário doméstico você não escolhe essas configurações. Seu app VPN ou a equipe IT do seu empregador faz isso. O que importa é que o software esteja atualizado e continue recebendo atualizações, pois é isso que mantém cifras e troca de chaves modernas.

Criptografia forte em cada conexão.

A Kaspersky VPN criptografa seu tráfego de internet e mascara seu endereço IP, mantendo sua conexão privada em qualquer rede, incluindo Wi‑Fi público.

Obtenha a Kaspersky VPN

✓

Testada de forma independente e premiada pelos principais laboratórios do setor.

Qual é a diferença entre IPsec e SSL VPNs?

O IPsec pode dar a um dispositivo acesso em nível de rede a uma rede remota, com o tráfego roteado pelo túnel protegido conforme a configuração da VPN. Um SSL baseado em navegador normalmente fornece acesso a recursos selecionados, como um site interno.

O IPsec atua em nível mais baixo, na camada de rede, por isso pode proteger tudo o que um dispositivo envia. SSL VPNs atuam mais acima, usando TLS, a tecnologia que criptografa sua conexão com um site bancário. Assim, quando um túnel IPsec está ativo, o dispositivo se comporta como se estivesse fisicamente conectado à rede remota. Um SSL baseado em navegador funciona ao contrário, abrindo um portal para um conjunto definido de recursos, como uma página intranet ou uma única aplicação interna, e o dispositivo em si nunca ingressa na rede. Alguns SSL VPNs rodam um cliente e encaminham todo o tráfego como o IPsec, então a versão portal não é a única disponível.

O IPsec exige configuração compatível em ambas as pontas, mesmo quando o cliente já está integrado ao sistema operacional, enquanto um SSL baseado em navegador frequentemente pode rodar sem instalação. Seu tráfego passa pela porta TCP 443, a mesma porta usada para tráfego HTTPS, que é amplamente permitida em redes e firewalls. Isso pode tornar os SSL baseados em navegador mais fáceis de usar em redes restritivas, como Wi‑Fi de hotéis ou aeroportos, onde o tráfego IPsec pode ser bloqueado.

Artigos relacionados:

• O que é uma VPN e como ela funciona?
• Como uma VPN me mantém seguro online?
• O que é criptografia de dados?
• Como evitar riscos em Wi‑Fi público

Produtos recomendados:

• Kaspersky Premium
• Faça o download de um teste gratuito de 30 dias do nosso plano premium
• Kaspersky Mobile Security

FAQs

Quais portas o IPsec usa?

IKE roda na porta UDP 500, e o atravessamento de NAT move a troca de chaves e o tráfego criptografado subsequente para a porta UDP 4500. ESP e AH não são portas; são protocolos IP 50 e 51. Um firewall deve permitir esses protocolos, caso contrário o túnel não se formará.

Uma VPN IPsec diminui minha conexão?

Sim, um pouco. Criptografar cada pacote custa um pouco de CPU, e o tráfego passa por um servidor VPN. A maioria das pessoas não percebe diferença ao navegar ou assistir a vídeos. A distância até o servidor adiciona latência, o que afeta a velocidade muito mais do que o próprio protocolo.

Como o IPsec afeta MTU e MSS?

O IPsec adiciona aproximadamente 50 a 70 bytes por pacote, o que pode forçar fragmentação. Administradores ajustam o TCP MSS para compensar, mas não existe um valor padrão: isso depende da criptografia, de o NAT‑T estar ativo e da MTU do enlace subjacente.

O IPsec usa criptografia simétrica ou assimétrica?

Ambas. O IKE usa criptografia assimétrica, uma troca Diffie‑Hellman, que permite às duas pontas estabelecer um segredo compartilhado sem jamais enviá‑lo. Esse segredo então alimenta uma cifra simétrica mais rápida, geralmente AES, que protege seu tráfego.