Qu'est-ce qu'une association de sécurité ?

Une association de sécurité (SA) est l'ensemble négocié de paramètres de sécurité — algorithme de chiffrement, méthode d'authentification, clés et durée de vie — sur lesquels deux pairs IPsec s'accordent avant que le trafic protégé puisse transiter par un tunnel. Chaque sens d'un tunnel IPsec dispose de sa propre SA, et le protocole IKE les renégocie selon un calendrier défini afin que le trafic chiffré ne soit jamais interrompu.

Points clés à retenir

• Une SA définit les clés, l'algorithme et la durée de vie pour un sens de tunnel.
• IKE négocie les SAs et les renouvelle automatiquement avant leur expiration.
• Chaque tunnel IPsec gère une paire distincte de SA entrantes et sortantes.
• Un index de paramètre de sécurité (SPI) identifie chaque SA sur un périphérique.
• VOS affiche l'état des entités de sécurité (SA) IKE et IPsec par tunnel à des fins de surveillance en temps réel.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · Associations de sécurité et Versa · FAQ

Pourquoi les associations de sécurité sont-elles importantes ?

C’est l’association de sécurité (SA) qui protège réellement le trafic – non pas la configuration du tunnel en soi, mais l’accord actif que chaque point d’extrémité applique à chaque paquet. Sans SA valide, un pair ne dispose d’aucune clé ni d’aucun algorithme à appliquer ; par conséquent, aucun trafic protégé ne peut circuler. Chaque SA a une durée de vie limitée et doit être renouvelée en permanence : IKE la renégocie avant son expiration afin qu’un tunnel opérationnel ne soit jamais interrompu. Lorsque le renouvellement de la clé échoue, le tunnel cesse de faire transiter le trafic même si sa configuration semble toujours correcte – c’est pourquoi l’état de la SA est l’un des premiers éléments que les opérateurs vérifient lorsqu’ils diagnostiquent une panne.

Le modèle définit également les paramètres de sécurité de manière indépendante pour chaque direction et chaque paire de nœuds ; ainsi, la compromission d'un tunnel n'expose pas les autres. C'est cette isolation qui permet aux déploiements à grande échelle – comptant des centaines de sites distants, chacun disposant de ses propres tunnels – de fonctionner sans qu'une défaillance ne se propage à l'ensemble de l'infrastructure.

Qu'est-ce qu'une association de sécurité ?

Une SA est l'enregistrement que chaque point d'extrémité conserve pour un sens du trafic d'un tunnel : l'algorithme de chiffrement à utiliser (AES-GCM ou AES-CBC), l'algorithme de vérification de l'intégrité, les clés de session actuelles et la durée de validité de l'accord avant sa renégociation. Deux SA – une pour le trafic entrant et une pour le trafic sortant – couvrent le trafic d'un tunnel dans les deux sens.

Chaque SA est identifiée de manière unique par un index de paramètre de sécurité (SPI), une valeur de 32 bits que l'expéditeur appose sur chaque paquet, associée à l'adresse de destination et au protocole de sécurité (AH ou ESP). Le destinataire utilise ce triplet pour trouver la SA correspondante et appliquer ses clés et ses algorithmes.

Les SA ne sont pas configurées directement ; c'est IKE qui les négocie. La phase 1 établit un canal de contrôle sécurisé entre les pairs, lui-même régi par une SA IKE, et la phase 2 utilise ce canal pour négocier la SA IPsec qui protège le trafic de données proprement dit.

Types d'associations de sécurité

Chaque session IPsec est régie par deux SA. La SA IKE, établie lors de la phase 1, protège le canal de négociation : les pairs s'authentifient mutuellement et s'accordent sur les paramètres régissant toutes les étapes suivantes. La SA IPsec, établie lors de la phase 2 (à raison d'une par sens), assure le chiffrement et l'authentification effectifs du trafic de données ; elle a une durée de vie plus courte et fait l'objet d'un renouvellement de clé plus fréquent que la SA IKE qui l'a générée.

Les SA diffèrent également selon le protocole. Une SA ESP couvre le trafic « Encapsulating Security Payload » (chargement de sécurité encapsulé) – qui combine chiffrement et authentification, et représente la grande majorité des déploiements IPsec –, tandis qu’une SA AH couvre le trafic « Authentication Header » (en-tête d’authentification), qui authentifie les paquets sans les chiffrer ; elle est aujourd’hui peu utilisée car elle ne peut pas traverser les serveurs NAT.

Une minorité de déploiements utilise des sessions de sécurité (SA) configurées manuellement, avec des clés statiques au lieu d'une négociation IKE. Les SA manuelles contournent entièrement le plan de contrôle, ce qui simplifie le dépannage en laboratoire, mais elles ne permettent pas le renouvellement des clés ni le secret parfait vers l'avant ; c'est pourquoi elles sont évitées dans les déploiements en production.

Associations de sécurité et Versa

Les appareils VOS affichent l’état des associations de sécurité (SA) pour offrir une visibilité opérationnelle. Dans Director, la vue « Services » de l’onglet « Monitor » comprend une section dédiée à IPsec, avec les onglets « Association de sécurité IKE » et « Association de sécurité IPsec » : cela permet à un opérateur d’accéder en détail aux clés actives, aux algorithmes et à la durée de vie restante des associations de sécurité d’un tunnel, et pas seulement à son état (actif ou inactif). Ces mêmes vues sont disponibles via le tableau de bord de surveillance en temps réel du portail d’Titan .

La visibilité sur les SA fait également partie de la validation des intégrations. Lors de la connexion d’une succursale VOS à Netskope Security Cloud via un tunnel IPsec de site à site, la procédure documentée sur Versavérifie successivement l’historique IKE, l’association de sécurité IKE, l’historique IPsec et l’association de sécurité IPsec, afin de confirmer la validité des SA dans les deux sens.

Questions fréquentes

Quelle est la différence entre une SA IKE et une SA IPsec ?

Une session IKE (IKE SA) protège le canal de contrôle utilisé par les pairs pour négocier : elle les authentifie et sécurise la suite de la négociation. Une session IPsec (IPsec SA), négociée au sein de ce canal, assure le chiffrement et l'authentification du trafic de données. Chaque tunnel comporte une session IKE et au moins deux sessions IPsec, une par sens.

Combien de SA un tunnel IPsec nécessite-t-il ?

Au moins trois : une SA IKE pour le canal de contrôle, plus une SA IPsec entrante et une sortante pour le trafic de données, chaque SA étant unidirectionnelle. Un tunnel transportant à la fois du trafic ESP et AH peut comporter des paires de SA supplémentaires au-delà de ce minimum.

Que se passe-t-il lorsqu'une association de sécurité arrive à expiration ?

Le trafic protégé par cette SA cesse d'être acheminé. Dans la pratique, cela arrive rarement : IKE suit la durée de vie restante de chaque SA et renégocie une SA de remplacement bien avant son expiration ; ainsi, un tunnel en bon état de fonctionnement renouvelle continuellement ses clés en arrière-plan, sans aucune interruption visible du trafic.

Qu'est-ce qu'un index de paramètres de sécurité (SPI) ?

Valeur de 32 bits permettant d'identifier une SA spécifique. Le point d'extrémité émetteur appose son SPI sur chaque paquet ; le récepteur associe ce SPI à l'adresse de destination et au protocole de sécurité afin de rechercher la SA correspondante et d'appliquer les clés et les algorithmes appropriés.

Est-il possible de configurer manuellement une association de sécurité au lieu de la négocier ?

Oui – une SA générée manuellement utilise des clés statiques configurées par l'administrateur au lieu d'une négociation IKE, ce qui permet de contourner entièrement le plan de contrôle. Elle est parfois utilisée pour des tests en laboratoire ou le dépannage, mais on évite de l'utiliser dans les déploiements en production, car les SA manuelles ne peuvent pas être renouvelées automatiquement et n'offrent pas de confidentialité parfaite vers l'avant.

En savoir plus sur les associations de sécurité

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez aux associations de sécurité, voici quelques liens qui pourraient vous intéresser.