Qu'est-ce que l'IPsec ?

Le protocole IPsec (Internet Protocol Security) est une suite de protocoles normalisée qui authentifie et chiffre les paquets IP, créant ainsi des tunnels sécurisés sur des réseaux non fiables. C'est le pilier de la plupart des VPN site à site, des tunnels d'accès à distance et des superpositions SD-WAN, y compris ceux d'Versa.

Points clés à retenir

• IPsec assure la confidentialité, l'intégrité et l'authentification au niveau de la couche IP.
• L'ESP assure le chiffrement et l'authentification ; l'IKE négocie les clés et les associations de sécurité.
• Le mode « tunnel » protège les paquets dans leur intégralité ; le mode « transport » ne protège que les données utiles.
• Les déploiements modernes utilisent le protocole IKEv2 avec le chiffrement AES-GCM et des groupes Diffie-Hellman robustes.
• VersaLa structure SD-WAN chiffrée de [nom de l'entreprise] et ses tunnels site à site fonctionnent sous IPsec.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · IPsec et Versa · FAQ

Pourquoi le protocole IPsec est-il important ?

La quasi-totalité des connexions privées transitant par l'Internet public repose sur IPsec. Les succursales accèdent aux centres de données via des tunnels IPsec ; les VPC cloud s'interconnectent avec les réseaux sur site via des passerelles IPsec ; les structures SD-WAN chiffrent chaque chemin à l'aide de ce protocole. Comme il fonctionne au niveau de la couche IP, IPsec protège tout le trafic qui s'y trouve au-dessus – quelle que soit l'application ou le protocole de transport – sans que les applications aient à être modifiées.

Son importance tient également au fait qu’il s’agit d’une norme ouverte. Les terminaux IPsec de différents fournisseurs sont interopérables, ce qui explique pourquoi ce protocole reste le dénominateur commun pour connecter un périphérique de succursale à la passerelle VPN d’un fournisseur de cloud, au pare-feu d’un partenaire ou au service d’un opérateur. Lorsque les architectes ont besoin d’un transport chiffré indépendant du fournisseur, vérifiable et bénéficiant d’une accélération matérielle sur la plupart des plateformes, IPsec reste la solution par défaut – trois décennies après la publication de ses premières RFC.

Qu'est-ce que l'IPsec ?

IPsec est une famille de protocoles qui fonctionnent conjointement. L'ESP (Encapsulating Security Payload) assure les tâches quotidiennes : il chiffre le contenu des paquets et vérifie qu'ils n'ont pas été altérés pendant le transit. L'IKE (Internet Key Exchange) constitue le canal de contrôle : les deux points d'extrémité s'authentifient mutuellement – à l'aide de certificats ou d'une clé pré-partagée –, négocient les algorithmes de chiffrement et établissent les clés de session, qui sont renouvelées selon un calendrier défini sans interruption du trafic.

L'état négocié entre deux points d'extrémité correspond à une association de sécurité (SA): un accord portant sur les algorithmes, les clés et les durées de validité. Les données ne transitent par le tunnel qu'une fois les SA mises en place, et des fonctionnalités telles que la confidentialité parfaite vers l'avant garantissent que même une compromission future des clés ne permettra pas de déchiffrer les sessions passées.

Types d'IPsec

Il existe deux modes d'encapsulation. Le mode « tunnel » encapsule l'intégralité du paquet d'origine dans un nouveau paquet chiffré ; il s'agit de la norme pour les VPN de site à site, car il masque l'adressage interne. Le mode « transport » chiffre uniquement la charge utile et conserve l'en-tête d'origine ; il est principalement utilisé pour la protection de machine à machine.

Deux générations de protocoles d'échange de clés sont encore utilisées. IKEv1 est une technologie héritée mais très répandue ; IKEv2 est la norme moderne : plus rapide à établir, plus résistante aux changements de réseau et constituant le choix par défaut idéal pour les nouveaux déploiements. Le choix des algorithmes de chiffrement complète le tableau : l’AES en mode GCM (chiffrement et intégrité en un seul passage) a largement remplacé l’AES-CBC avec un hachage séparé, et la sélection de groupe Diffie-Hellman détermine la robustesse de l’échange de clés.

IPsec & Versa

IPsec constitue l'infrastructure de chiffrement d'un déploiement « Versa ». La superposition SD-WAN entre les succursales, les hubs et les nœuds de contrôleur s’effectue via des chemins IPsec, les profils SD-WAN des succursales définissant les paramètres de chiffrement. Des tunnels IPsec de site à site relient les appareils VOS aux passerelles tierces et aux fournisseurs de cloud – configurés via des profils VPN IPsec ou des interfaces de tunnel de site à site dans Concerto – et les utilisateurs distants accèdent au réseau via des sessions client SASE protégées par IPsec. VOS prend en charge les protocoles IKEv1 et IKEv2, l’authentification par certificat et par clé pré-partagée, les transformations AES-CBC et AES-GCM, ainsi que la confidentialité parfaite vers l’avant (Perfect Forward Secrecy), avec une surveillance de l’état de la session (SA) par tunnel.

Questions fréquentes

Quelle est la différence entre les VPN IPsec et les VPN TLS/SSL ?

IPsec fonctionne au niveau de la couche IP et protège l'ensemble du trafic entre deux points d'extrémité du réseau, ce qui convient aux déploiements de type « site à site » et aux tunnels complets. Les VPN TLS fonctionnent au niveau de la couche de session, connexion par connexion, ce qui convient à l'accès par application. Les structures SD-WAN utilisent IPsec ; les services ZTNA utilisent généralement TLS.

Quelle est la différence entre IKEv1 et IKEv2 ?

IKEv2 établit des tunnels avec moins de messages, gère plus efficacement le NAT et les changements de réseau, prend en charge les méthodes d'authentification modernes et est moins sensible aux problèmes lors du renouvellement des clés. IKEv1 n'est conservé que pour des raisons de compatibilité avec les anciens pairs ; les nouveaux tunnels devraient utiliser IKEv2 par défaut.

Qu'est-ce qu'une association de sécurité IPsec ?

Une association de sécurité (SA) correspond au contrat négocié entre deux terminaux : quels algorithmes ils utilisent, quelles clés, et pour combien de temps. Chaque tunnel maintient des SA dans les deux sens, et IKE les actualise avant leur expiration afin que le trafic ne soit jamais interrompu.

Pourquoi utiliser AES-GCM plutôt qu'AES-CBC pour IPsec ?

Le protocole AES-GCM assure le chiffrement et la vérification de l'intégrité en un seul passage, ce qui est plus rapide et supprime l'étape distincte de hachage requise par le protocole CBC. La plupart des matériels modernes prennent en charge l'accélération du protocole GCM, ce qui lui permet d'offrir un meilleur débit tout en garantissant un niveau de sécurité équivalent, voire supérieur.

Qu'est-ce que le « Perfect Forward Secrecy » dans IPsec ?

La confidentialité parfaite vers l'avant (Perfect Forward Secrecy) génère chaque clé de session de manière indépendante grâce à un nouvel échange de Diffie-Hellman. Même si une clé à long terme venait à être compromise, les sessions passées ne pourraient toujours pas être déchiffrées, ce qui limite l'impact d'une fuite de clé à la session en cours.

En savoir plus sur IPsec

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez à IPsec, voici quelques ressources qui méritent d'être consultées ensuite.