Qu'est-ce que l'ESP ?

L'Encapsulating Security Payload (ESP) est le protocole IPsec, numéro de protocole IP 50, qui chiffre et authentifie le contenu d'un paquet IP acheminé via un tunnel. C'est le pilier d'IPsec : tandis qu'IKE négocie les clés, ESP assure la protection effective de chaque paquet transitant par le tunnel, tant dans la superposition SD-WAN d'Versaque dans ses connexions client SASE .

Points clés à retenir

• Le protocole ESP assure le chiffrement, l'authentification et la protection de l'intégrité des paquets IP acheminés via un tunnel.
• Il fonctionne sous le numéro de protocole IP 50, qui est distinct de celui d'AH et d'IKE simple.
• IKE négocie l'association de sécurité ; ESP l'applique paquet par paquet.
• Le mode « tunnel » encapsule l'intégralité du paquet ; le mode « transport » n'encapsule que la charge utile.
• Versa utilise l'ESP pour les chemins de superposition SD-WAN et les tunnels VPN clients « SASE ».

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · ESP et Versa · FAQ

Pourquoi l'ESP est-il important ?

L'ESP est la composante d'IPsec qui assure la protection effective des données. L'IKE gère l'authentification des pairs et la négociation des clés, mais chaque paquet transitant par un tunnel IPsec est encapsulé, chiffré et authentifié par l'ESP. Comme il fonctionne en dessous de la couche application, tout protocole circulant à l'intérieur du tunnel est protégé sans modification. C'est pourquoi l'ESP est à la base des VPN site à site, des superpositions SD-WAN et des clients d'accès à distance.

L'ESP a également supplanté son protocole frère, l'Authentication Header (AH), en tant que choix par défaut pour IPsec. L'AH authentifie un paquet, y compris les champs de l'en-tête externe, mais n'assure aucun chiffrement ; de plus, comme il recouvre ces champs, la réécriture d'adresse rend impossible son transit à travers une passerelle NAT. ESP n'authentifie que la charge utile, ce qui lui permet de mieux tolérer le NAT – mais pas sans aide : ESP correspond au protocole IP 50 et ne dispose d'aucun port qu'un dispositif NAT puisse mapper ; ainsi, dans la plupart des cas, les tunnels s'appuient sur le NAT-Traversal (NAT-T, RFC 3948), qui détecte la présence d'un NAT sur le chemin lors de la négociation IKE et encapsule ESP dans le port UDP 4500. Cette compatibilité avec le NAT, contrairement à l’incompatibilité totale d’AH, est l’une des raisons pour lesquelles ESP est devenu le choix quasi universel.

Qu'est-ce que l'ESP ?

D'un point de vue structurel, le protocole ESP encapsule les données protégées entre un en-tête et un pied de page. L'en-tête contient un index de paramètre de sécurité (SPI), qui identifie l'association de sécurité à utiliser – et donc les clés et les algorithmes correspondants –, ainsi qu'un numéro de séquence servant à prévenir les attaques par rejeu. La charge utile est chiffrée à l'aide du chiffrement négocié, et un pied de page ajoute un remplissage, le champ « protocole suivant » et une valeur de contrôle d'intégrité facultative permettant de détecter toute altération.

L'association de sécurité (SA) régissant un flux ESP est négociée au préalable par IKE : algorithme de chiffrement, mode de hachage ou mode AEAD, et durée de vie de la clé. Le protocole ESP lui-même ne négocie rien : il applique simplement ce que spécifie la SA. C'est pourquoi les appareils VOS d'Versaproposent ESP comme une « transformation IPsec » distincte, séparée de la transformation IKE utilisée pour l'échange de clés.

Types d'ESP

Le protocole ESP prend en charge deux modes d'encapsulation. Le mode « tunnel » encapsule l'intégralité d'un paquet IP d'origine dans un nouveau paquet externe, masquant ainsi l'adressage d'origine ; ce mode est utilisé pour la quasi-totalité des VPN de type « site à site » et d'accès à distance. Le mode « transport » ne chiffre que la charge utile, laissant l'en-tête d'origine visible ; il est principalement utilisé pour la protection de type « hôte à hôte ».

Le choix des algorithmes de chiffrement a évolué au fil des générations. Les premières implémentations associaient le 3DES ou l'AES-CBC à une fonction de hachage distincte (MD5 ou SHA). Les implémentations modernes privilégient les modes combinés (AEAD) tels que l'AES-GCM, qui assurent à la fois le chiffrement et l'authentification en un seul passage accéléré par le matériel. Il existe également une option de chiffrement NULL : authentification uniquement, sans chiffrement. Les appareils VOS d’ Versaproposent cette gamme complète : 3DES et AES en modes CBC, GCM et CTR, associés à un hachage MD5, SHA-1, SHA-2 ou XCBC, ainsi que le mode NULL.

ESP & Versa

Versa utilise le protocole ESP à deux niveaux. Dans la superposition SD-WAN, l’ESP chiffre le trafic des plans de contrôle et de données transitant par des chemins IPsec entre les nœuds de contrôleur et les équipements CPE : chaque chemin de superposition est, en sous-jacent, un tunnel protégé par l’ESP. Dans le service d’accès sécurisé «Versa », l’ESP protège le tunnel entre un client « SASE » et sa passerelle : les administrateurs configurent les champs IKE et IPsec dans des onglets distincts, en choisissant une transformation IKE pour l’échange de clés et une transformation IPsec distincte (chiffrement et hachage), ainsi qu’un groupe PFS et une durée de vie de la session de sécurité (SA) (28 800 secondes par défaut).

Le client « SASE » peut tenter un ordre de tunnel DTLS, IPsec ou TLS ; ainsi, IPsec basé sur ESP est l’une des trois options de transport, configurées de manière identique pour Secure SD-WAN les déploiements NGFW. L'authentification du tunnel s'effectue à l'aide d'un certificat d'autorité de certification ou d'une clé pré-partagée.

Questions fréquentes

Quelle est la différence entre l'ESP et l'AH ?

AH authentifie un paquet, y compris les champs de l'en-tête externe, mais n'assure aucun chiffrement ; ESP chiffre la charge utile et n'authentifie que ce qu'il protège. Comme ESP ne couvre pas l'en-tête externe, il peut traverser un dispositif NAT – bien qu'en tant que protocole IP sans port, il nécessite généralement une traversée NAT (encapsulation UDP 4500) pour y parvenir –, tandis qu'AH ne peut absolument pas être soumis à un NAT. C’est pourquoi la quasi-totalité des déploiements IPsec modernes utilisent ESP, tandis qu’AH est rarement déployé.

De quoi est composé l'en-tête ESP ?

Un en-tête ESP contient un index de paramètre de sécurité (SPI) identifiant l'association de sécurité, ainsi qu'un numéro de séquence qui empêche la relecture. Il précède la charge utile chiffrée ; il est suivi d'un trailer comprenant un remplissage, un champ « next-header » et une valeur de contrôle d'intégrité facultative à des fins d'authentification.

L'ESP crypte-t-il toujours le trafic ?

Pas nécessairement : le protocole ESP prend en charge une option de chiffrement « NULL » qui permet d'authentifier un paquet sans le chiffrer, ce qui s'avère utile pour le dépannage ou lorsque la confidentialité est assurée par un autre moyen. En environnement de production, y compris dans les déploiements « Versa », le protocole ESP est presque toujours configuré avec un algorithme de chiffrement réel, tel que AES-GCM ou AES-CBC.

Quelle est la différence entre le mode tunnel et le mode transport de l'ESP ?

Le mode « tunnel » encapsule l'intégralité d'un paquet IP d'origine dans un nouveau paquet chiffré, masquant ainsi l'adressage interne ; il s'agit du mode par défaut pour les VPN de site à site et d'accès à distance. Le mode « transport » chiffre uniquement la charge utile et laisse l'en-tête d'origine visible ; il est principalement utilisé pour la protection directe de serveur à serveur.

Qu'est-ce qui détermine les clés utilisées par l'ESP ?

Le protocole IKE (Internet Key Exchange) négocie l'association de sécurité sur laquelle repose l'ESP : il authentifie les pairs et définit d'un commun accord les algorithmes de chiffrement, les fonctions de hachage et la durée de vie des clés. L'ESP, quant à lui, n'effectue aucune négociation ; il applique à chaque paquet qu'il protège les paramètres spécifiés par l'association de sécurité active.

En savoir plus sur l'ESP

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez à la perception extrasensorielle (ESP), voici quelques liens qui pourraient vous intéresser.