IPsec

IPsec é uma arquitetura de segurança para IP, não um único protocolo. A RFC 4301 define políticas, Security Associations, bancos SPD/SAD e processamento. ESP, Encapsulating Security Payload, RFC 4303, é o componente mais usado porque fornece confidencialidade, integridade, autenticação de origem e proteção contra replay conforme o conjunto de algoritmos. AH, Authentication Header, fornece integridade e autenticação sem cifrar, mas sua incompatibilidade com NAT e a disponibilidade de autenticação no ESP reduziram o uso. Uma Security Association é unidirecional e identificada por SPI de 32 bits, endereço de destino e protocolo. Uma conexão bidirecional usa duas ou mais SAs. IKEv2, RFC 7296 e atualizações, negocia algoritmos, autentica pares e cria Child SAs. O primeiro IKE_SA_INIT troca nonces, grupos Diffie-Hellman e propostas. IKE_AUTH autentica por certificados, EAP ou chaves pré-compartilhadas e cria a primeira Child SA. Rekey cria novas chaves. MOBIKE permite mudança de endereço em clientes móveis. NAT traversal encapsula ESP em UDP 4500 quando detecta NAT; IKE usa UDP 500. O firewall precisa liberar. Algoritmos atuais incluem AES-GCM, ChaCha20-Poly1305 em perfis específicos, AES-CBC com HMAC quando necessário, PRFs SHA-2 e grupos modernos. A política deve evitar DES, 3DES, MD5, grupos fracos e IKEv1 em novos projetos. A interoperabilidade exige uma proposta comum. Configurar listas muito largas pode permitir downgrade. A autenticação por certificado escala melhor e evita PSK global. Cada gateway possui certificado e identidade. A PKI precisa de revogação e renovação. PSKs devem ser longas, aleatórias e distintas por par. Uma senha humana é vulnerável a ataque offline dependendo do modo. O critério de projeto é conectar redes ou hosts na camada IP com equipamentos diversos e suporte corporativo.

No modo túnel, o pacote IP original inteiro é protegido e encapsulado em um novo pacote com endereços dos gateways. Uma casa principal 192.168.10.0/24 pode conectar a casa de campo 192.168.20.0/24. Os firewalls criam Child SA com traffic selectors e roteiam. Dispositivos continuam usando IP normal. Isso é útil para Home Assistant central, NVR remoto e monitoramento. As sub-redes não podem se sobrepor; duas redes 192.168.1.0/24 criam ambiguidade. Planejar endereços antes. O túnel não deve liberar tudo. Regras de firewall no IPsec permitem somente MQTT, HTTPS, RTSP ou serviços necessários. O fato de estar cifrado não torna a rede confiável. Cada lado pode estar comprometido. Segmentação permanece. O roteamento precisa considerar caminhos de retorno. Policy-based IPsec usa selectors e políticas; route-based usa VTI/XFRM interface e rotas, facilitando múltiplas redes e protocolos dinâmicos. Equipamentos precisam compatibilidade. Cloud VPNs oferecem route-based. BGP pode rodar, mas é excessivo para duas casas. Static routes bastam. O MTU reduz por cabeçalhos ESP, UDP e IP. Pacotes podem fragmentar ou black-hole. Ajustar MSS, Path MTU Discovery e ICMP. Em Ethernet 1500, o MTU efetivo pode ficar próximo de 1400 ou menos, dependendo de IPv6, NAT-T e algoritmos. Medir. Um teste ping pequeno não prova. Transferência grande e HTTPS. A disponibilidade exige DPD, keepalive e monitoramento. Failover WAN precisa MOBIKE ou renegociação. O túnel deve voltar automaticamente com backoff.

IKEv2 é suportado nativamente por iOS, macOS, Windows e algumas plataformas, além de strongSwan. Um usuário remoto autentica por certificado ou EAP e recebe endereço virtual, DNS e rotas. Split tunneling envia apenas redes da casa; full tunnel envia Internet. Split reduz banda e risco de quebrar serviços, mas o dispositivo usa rede externa para outros tráfegos. Full permite filtro e proteção em Wi‑Fi público, mas aumenta carga. A política deve ser clara. Certificados de cliente por dispositivo são preferíveis. Revogar um telefone não afeta outros. EAP com usuário/senha deve combinar certificado de servidor e MFA quando suporte. O cliente precisa validar o nome do gateway; aceitar qualquer certificado permite MITM. Perfis MDM podem instalar. Em residência, WireGuard pode ser mais simples e rápido para poucos usuários. IPsec/IKEv2 é escolhido quando clientes nativos, interoperabilidade corporativa, autenticação EAP/certificados e integração com firewalls são requisitos. A complexidade de propostas e logs é maior. Um erro comum é usar a mesma PSK para todos e nome genérico. Outro é expor administração do firewall pela VPN a todo usuário. Aplicar grupo. Acessos a câmeras e fechaduras recebem regras. O gateway registra conexão, identidade, endereço e duração, sem conteúdo. O telefone usa bloqueio, biometria e armazenamento seguro de certificado.

O Security Policy Database decide se um pacote é descartado, bypassado ou protegido e por qual SA. Regras incorretas podem deixar tráfego em claro. A implementação precisa de fail-closed: se a SA cai, o tráfego protegido não deve escapar pela rota normal. Em route-based, firewall e routing cuidam. Testar. ESP usa sequence number e janela anti-replay. Pacotes antigos ou repetidos são rejeitados. Em links com grande reordenação, janela pequena pode descartar legítimos; ajustar conforme suporte. Extended Sequence Numbers ajudam altas taxas. As SAs expiram por tempo ou volume e fazem rekey. Overlap evita perda. Se os relógios divergem, certificados podem falhar, mas a criptografia de dados usa contadores. NTP ainda. IPsec não esconde todos os metadados: endereços externos, tamanho e timing ficam visíveis. Tunnel mode esconde endereços internos. Não protege equipamentos antes do gateway se a LAN está comprometida. Host-to-host pode, mas é complexo. A segurança depende da implementação do firewall. Vulnerabilidades em IKE/ESP exigem patches. A disponibilidade pode ser afetada por NAT, CGNAT, bloqueio UDP 500/4500 e múltiplos clientes atrás do mesmo NAT. NAT-T resolve muitos. Alguns hotéis bloqueiam; TLS VPN pode passar melhor. O suporte a IPv6 precisa de políticas próprias. Não criar túnel IPv4 e deixar serviços IPv6 fora. A consequência prática é que um site-to-site pode parecer seguro enquanto um caminho alternativo não protegido existe. Inventariar rotas e testar vazamento.