¿Qué es IKEv2 y cómo funciona?
IKEv2 es un protocolo utilizado por IPsec para establecer y gestionar asociaciones de seguridad entre dos extremos. Permite negociar parámetros de seguridad, autenticar a los participantes y preparar la conexión necesaria para proteger el tráfico de una VPN.
¿Qué es IKEv2?
IKEv2 (Internet Key Exchange versión 2) es un protocolo utilizado dentro de IPsec para establecer y gestionar asociaciones de seguridad entre dos extremos de una conexión.
Su función incluye la negociación de parámetros de seguridad, el intercambio inicial de claves, la autenticación de los extremos y la administración de las asociaciones de seguridad que permiten establecer una conexión IPsec.
Explora los principales conceptos de IKEv2
Conoce las etapas del protocolo, su relación con IPsec, sus puertos y algunas de sus principales extensiones.
¿Cómo funciona IKEv2?
IKEv2 establece una negociación entre dos extremos para acordar los parámetros de seguridad, intercambiar material criptográfico, autenticar a las partes y crear las asociaciones de seguridad utilizadas por IPsec.
IKE_SA_INIT
Los extremos intercambian propuestas de seguridad, valores nonce y datos relacionados con el intercambio de claves para establecer la primera asociación de seguridad IKE.
IKE_AUTH
Los participantes se autentican y completan la negociación necesaria para establecer las asociaciones de seguridad relacionadas con el tráfico protegido.
Parámetros de seguridad
IKEv2 permite acordar algoritmos y otros parámetros que serán utilizados por la conexión IPsec.
Protección del tráfico
Una vez establecidas las asociaciones de seguridad, mecanismos como ESP pueden utilizar los parámetros negociados para proteger el tráfico IP.
NAT Traversal
Cuando interviene NAT, IKEv2/IPsec puede utilizar UDP 4500 para transportar IKE y tráfico ESP encapsulado en UDP.
MOBIKE
MOBIKE permite gestionar cambios de dirección o de interfaz de red sin tener que reconstruir necesariamente toda la conexión.
IKEv2, IKE_SA_INIT, IKE_AUTH, NAT Traversal y MOBIKE
El funcionamiento de IKEv2 se divide en diferentes etapas y mecanismos que permiten establecer, mantener y adaptar una conexión IPsec.
Internet Key Exchange versión 2
IKEv2 es el protocolo encargado de negociar y gestionar asociaciones de seguridad dentro de conexiones IPsec. También participa en la autenticación de los extremos.
Conocer IKEv2 →IKE_SA_INIT
Es el intercambio inicial de IKEv2. Permite negociar propuestas de seguridad e intercambiar elementos necesarios para establecer material criptográfico compartido.
Ver IKE_SA_INIT →IKE_AUTH
Es la etapa donde los participantes se autentican y se completa la negociación necesaria para establecer las asociaciones de seguridad relacionadas con el tráfico.
Ver IKE_AUTH →NAT Traversal
Permite transportar tráfico IPsec sobre UDP cuando existe una situación de NAT. El puerto habitual utilizado para NAT Traversal es UDP 4500.
Conocer NAT Traversal →MOBIKE
Es una extensión de IKEv2 que facilita cambios de dirección o de punto de acceso de red durante una conexión IPsec.
Conocer MOBIKE →Puertos, IPsec, seguridad, IKEv1 y conexiones VPN
IKEv2 forma parte de una arquitectura más amplia. Comprender su relación con IPsec y sus mecanismos asociados permite interpretar mejor cómo funcionan las VPN basadas en este protocolo.
Puertos utilizados por IKEv2
IKE utiliza normalmente UDP 500. En escenarios donde se utiliza NAT Traversal, también puede utilizar UDP 4500.
Ver puertos de IKEv2 →IKEv2 e IPsec
IKEv2 administra la negociación y las asociaciones de seguridad, mientras IPsec proporciona mecanismos para proteger el tráfico IP, como ESP.
Conocer IPsec →Seguridad de IKEv2
La seguridad de una conexión depende de los algoritmos, métodos de autenticación, grupos criptográficos y demás parámetros utilizados en la implementación.
Revisar seguridad →IKEv2 frente a IKEv1
IKEv2 es la segunda versión del protocolo Internet Key Exchange y presenta una arquitectura diferente a IKEv1, con un proceso de establecimiento más estructurado.
Ver diferencias →IKEv2 en una VPN
Muchas VPN basadas en IPsec utilizan IKEv2 para negociar la conexión segura entre un cliente y un gateway o entre distintos extremos de una red.
Conocer las VPN →¿Qué ocurre durante una conexión IKEv2?
El establecimiento de una conexión IKEv2 puede entenderse como una secuencia en la que los extremos negocian seguridad, realizan la autenticación y crean las asociaciones utilizadas posteriormente por IPsec.
Inicio: el iniciador envía una solicitud IKE_SA_INIT al extremo que responderá a la conexión.
Negociación: ambos extremos intercambian propuestas de seguridad, nonces y elementos relacionados con el intercambio de claves.
Autenticación: mediante IKE_AUTH, los participantes autentican sus identidades según el método configurado.
IPsec: una vez establecidas las asociaciones necesarias, el tráfico puede ser protegido mediante mecanismos como ESP.
IKEv2 se encarga principalmente de establecer y administrar las asociaciones de seguridad, mientras que ESP se utiliza para proteger el tráfico IP transportado mediante IPsec.
IKEv2, IKE_SA_INIT, IKE_AUTH y ESP
Estos componentes participan en diferentes partes del proceso de establecimiento y protección de una conexión IPsec.
| Elemento | Función | Relación con IPsec |
|---|---|---|
| IKEv2 | Negocia y administra la seguridad de la conexión | Establece y mantiene asociaciones de seguridad |
| IKE_SA_INIT | Inicia la negociación y el intercambio criptográfico | Establece la primera asociación de seguridad IKE |
| IKE_AUTH | Autentica a los participantes y completa la negociación | Permite establecer asociaciones para el tráfico protegido |
| ESP | Protege los paquetes IP transportados mediante IPsec | Utiliza los parámetros de seguridad negociados |
En una arquitectura IKEv2/IPsec, el protocolo de intercambio establece las condiciones de seguridad y mecanismos como ESP se ocupan de proteger los datos que atraviesan la conexión.
Conceptos relacionados con VPN e IPsec
Fuentes y documentación sobre IKEv2
Para profundizar en el funcionamiento del protocolo, puedes consultar la especificación oficial y documentación técnica relacionada con IPsec.
¿Por qué es importante IKEv2?
IKEv2 permite automatizar buena parte del proceso necesario para establecer una conexión IPsec segura.
Su función principal es negociar parámetros de seguridad, autenticar los extremos y establecer y administrar las asociaciones de seguridad. Otros componentes de IPsec, como ESP, se encargan posteriormente de proteger el tráfico.
FAQ sobre IKEv2
Respuestas breves sobre el protocolo IKEv2, su funcionamiento y su relación con IPsec.
IKEv2 es la segunda versión de Internet Key Exchange y se utiliza dentro de IPsec para negociar parámetros de seguridad, autenticar extremos y establecer asociaciones de seguridad.
Sirve para establecer y gestionar la seguridad de una conexión IPsec mediante negociación de parámetros, intercambio de claves, autenticación y administración de asociaciones de seguridad.
Es el intercambio inicial de IKEv2, donde se negocian propuestas de seguridad y se intercambian elementos necesarios para generar material criptográfico compartido.
Es el intercambio utilizado para autenticar a los participantes y completar el establecimiento de las asociaciones de seguridad relacionadas con el tráfico protegido.
IKEv2 utiliza normalmente UDP 500. Cuando se emplea NAT Traversal, también puede utilizar UDP 4500.
IKEv2 es uno de los componentes utilizados por IPsec para negociar y administrar asociaciones de seguridad. Mecanismos como ESP se encargan de proteger el tráfico IP.
MOBIKE es una extensión de IKEv2 que permite adaptar una conexión IPsec cuando cambia el punto de acceso o la dirección utilizada por el dispositivo.
No. IKEv2 es un protocolo de intercambio y gestión de seguridad. Puede utilizarse como parte de una VPN basada en IPsec.
¿Qué es una VPN site-to-site?
Ya conoces IKEv2 y su relación con IPsec. Ahora descubre cómo una VPN site-to-site permite conectar redes completas mediante túneles entre gateways.
Conocer VPN site-to-site →