IPsec VPN ile SSL VPN arasındaki farklar nelerdir? IPsec tünel kurulumu hangi aşamalardan oluşur?
Cevap
Karşılaştırma
| Özellik | IPsec VPN | SSL/TLS VPN |
|---|---|---|
| Katman | Layer 3 (IP) | Layer 4-7 (TLS) |
| Tipik kullanım | Site-to-site, sabit cihazlar | Remote access, mobil kullanıcı |
| İstemci | Router/firewall veya özel istemci | Tarayıcı veya hafif istemci (AnyConnect, GlobalProtect) |
| Portlar | UDP 500 (IKE), UDP 4500 (NAT-T), ESP (IP 50) | TCP 443 (veya DTLS UDP 443) |
| NAT / firewall geçişi | NAT-T gerekir, bazen engellenir | Neredeyse her yerden geçer |
| Erişim kontrolü | Genelde tüm subnet | Uygulama bazlı ince ayar kolay |
IPsec bileşenleri
- IKE (Internet Key Exchange): Anahtar müzakeresi. Bugün IKEv2 tercih edilir.
- ESP (Encapsulating Security Payload): Şifreleme + bütünlük. Yaygın kullanılan budur.
- AH (Authentication Header): Yalnızca bütünlük, şifreleme yok; IP header'ını da koruduğu için NAT ile çalışmaz.
- Tunnel mode: Tüm orijinal IP paketi şifrelenir, yeni IP header eklenir (site-to-site).
- Transport mode: Yalnızca payload şifrelenir (host-to-host, GRE over IPsec).
Kurulum aşamaları
- IKE Phase 1: İki uç kimlik doğrulaması yapar (PSK veya sertifika), Diffie-Hellman ile ortak anahtar üretir ve yönetim için güvenli bir kanal (IKE SA) kurar. Parametreler: şifreleme, hash, DH grubu, lifetime.
- IKE Phase 2: Bu güvenli kanal üzerinden veri trafiği için IPsec SA'lar müzakere edilir (her yön için bir SA). Hangi trafiğin şifreleneceği proxy ID / interesting traffic ile tanımlanır.
- Veri aktarımı: ESP ile şifreli trafik akar; lifetime dolunca rekey yapılır.
Sık görülen sorunlar
- Phase 1 düşüyor: PSK, şifreleme/DH grubu uyuşmazlığı, UDP 500/4500 engeli.
- Phase 1 kalkıyor ama trafik yok: Phase 2 proxy ID'leri iki uçta birbirinin aynası değil veya NAT exemption eksik.
- Büyük paketler takılıyor: ESP overhead nedeniyle MTU/MSS ayarı.
show crypto ikev2 sa
show crypto ipsec saİlgili Ağ Güvenliği soruları
- DMZ nedir ve tipik bir DMZ mimarisi nasıl tasarlanır?
- 802.1X ve port security nedir? Switch portlarına yetkisiz cihaz bağlanması nasıl engellenir?
- IDS ile IPS arasındaki fark nedir?
- DDoS saldırı türleri nelerdir ve nasıl önlem alınır?
- Cisco'da standart ve extended ACL arasındaki fark nedir? Nereye uygulanmalıdır?
- Stateful ve stateless firewall arasındaki fark nedir?
Bu konuda başka bir soru biliyor musun?
Mülakatta karşılaştığın soruları ekle, onaylandıktan sonra yayına alınsın.