Ao farejar o tráfego criptografado por IPSec, você não verá os pacotes originais da camada de aplicativos (como HTTP, SMTP, etc.). Em vez disso, você verá principalmente pacotes encapsulados no protocolo IPsec. Os tipos de pacotes específicos que você observará dependem do modo IPSec (transporte ou túnel) e do protocolo IP subjacente usado. Aqui está um colapso:
Tipos de pacotes comuns: *
ESP (encapsulando a carga útil de segurança): Este é o núcleo da criptografia IPSEC. Você verá pacotes ESP na camada de rede, substituindo o cabeçalho IP original. O cabeçalho ESP contém informações sobre os parâmetros de segurança e a carga útil são os dados criptografados.
*
ah (cabeçalho de autenticação): Se a autenticação for usada juntamente com a criptografia (que é comum), você verá pacotes AH. AH fornece integridade e autenticação de dados, mas não criptografa os dados em si. Geralmente precede ESP se ambos forem usados.
*
pacote IP (cabeçalho IP externo): No modo de túnel
, o pacote IP original é encapsulado dentro de um * novo pacote IP. Você verá este cabeçalho IP externo que contém os endereços IP de origem e destino usados para o túnel IPSec. No modo de transporte
, não há cabeçalho IP externo; O cabeçalho ESP substitui o cabeçalho IP original.
*
udp (protocolo de datagrama do usuário) ou TCP (protocolo de controle de transmissão): Às vezes, dependendo da configuração, o IPSec pode ser implementado sobre UDP ou TCP. Você verá esses cabeçalhos da camada de transporte apenas se o iPsec não for executado diretamente sobre IP, o que é menos comum. (Isso é mais frequentemente visto com IPSec sobre Nat-T).
O que você * não vai ver: *
Cabeçalhos originais da camada de aplicativos: Estes estão ocultos dentro da carga útil do ESP e são criptografados. Você não poderá ver o HTTP, SMTP, FTP, etc., cabeçalhos sem descriptografar o túnel IPSec.
em resumo: O tipo de pacote dominante será ESP, possivelmente precedido por AH no modo de túnel. Você também verá o cabeçalho IP externo no modo de túnel. A ausência de protocolos de camada de aplicativo identificáveis confirma que o tráfego é criptografado por IPsec.
