IPsec VPN on VPN-yhteys, jonka suojaus hoidetaan IPsec-protokollaperheellä. Se salaa ja todentaa IP-paketit kahden päätepisteen välillä suoraan verkkokerroksella. Jos mietit, mikä on IPsec VPN, lyhyt vastaus on tämä: se on yksi vakiintuneimmista tavoista yhdistää yrityksen toimipisteet tai etätyöntekijä yritysverkkoon turvallisesti julkisen internetin yli.
Lyhyesti
- IPsec ei ole yksi protokolla vaan kokonainen perhe, johon kuuluvat AH, ESP, IKE ja ISAKMP.
- Transport-tila salaa vain paketin hyötykuorman, tunnelitila koko paketin.
- Vahvuuksia ovat vahva salaus (enintään AES-256), avoimet standardit ja IKEv2:n ansiosta yhteys, joka kestää verkon vaihdon.
- Heikkouksia ovat työläät asetukset ja vianhaku sekä ongelmat NAT:n ja eri valmistajien toteutusten kanssa.
- WireGuard on uudempi ja helpompi, mutta IPsec on yhä vakioratkaisu monissa yritysverkoissa.
Mikä on IPsec VPN ja mistä se koostuu
IPsec on lyhenne sanoista Internet Protocol Security. Se on kokoelma protokollia, jotka suojaavat IP-paketteja todentamalla ja salaamalla ne kahden päätepisteen välillä (PureVPN). VPN taas on laajempi käsite: suojattu yhteys kahden laitteen tai verkon välillä. IPsec VPN on siis VPN, jonka turvallisuus on rakennettu IPsecin varaan.
Koska IPsec toimii IP-kerroksella eli melko alhaalla verkkoprotokollapinossa, se suojaa kaiken IP-pakettien sisältämän datan riippumatta siitä, mitä sovellusta tai käyttöjärjestelmää käytät. Sovellusten ei tarvitse tietää IPsecistä mitään. Minusta tämä on samalla sen suurin etu ja suurin haaste, ja palaan siihen haittojen kohdalla.
Protokollaperheen neljä pääosaa
Theseuksessa julkaistun opinnäytetyön mukaan IPsec-perheen keskeiset osat ovat nämä (Theseus / opinnäytetyö):
- AH (Authentication Header) – todentaa paketit eli varmistaa, että ne tulevat oikealta lähettäjältä eivätkä ole muuttuneet matkalla.
- ESP (Encapsulating Security Payload) – salaa paketin sisällön ja voi myös todentaa sen.
- IKE (Internet Key Exchange) – hoitaa osapuolten välisen avaintenvaihdon.
- ISAKMP (Internet Security Association and Key Management Protocol) – kehys turvasopimusten ja avainten hallinnalle.
Näiden lisäksi IPsec käyttää työkaluinaan salaus- ja tiivistealgoritmeja, kuten AES, HMAC ja SHA-256. Ne eivät ole IPsecin omia keksintöjä, vaan IPsec määrittelee, miten niitä käytetään.
Onko IPsec sama asia kuin VPN?
Ei ole. IPsec on yksi tapa toteuttaa VPN, mutta ei ainoa. VPN-yhteys voi perustua myös esimerkiksi SSL/TLS:ään, OpenVPN:ään tai WireGuardiin (NordVPN).
Toisaalta IPseciä käytetään myös tilanteissa, joissa kukaan ei puhu VPN:stä. Yritysverkoissa puhutaan usein vain kahden lähiverkon välisestä suojatusta tiedonsiirrosta, vaikka taustalla on sama tekniikka.
Miten IPsec toimii: transport-tila ja tunnelitila
IPsecillä on kaksi päätilaa. Ero on siinä, kuinka suuren osan paketista se suojaa.
| Tila | Mitä suojataan | Tyypillinen käyttö |
|---|---|---|
| Transport-tila | Vain hyötykuorma, alkuperäinen IP-otsikko jää näkyviin | Kahden päätelaitteen tai isännän välinen suojaus |
| Tunnelitila | Koko alkuperäinen IP-paketti kapseloidaan uuteen IP-pakettiin | Kahden IPsec-yhdyskäytävän eli yleensä kahden verkon välinen yhteys |
Tunnelitila on se, mitä useimmat tarkoittavat puhuessaan IPsec VPN:stä. Kun yrityksen etätoimisto yhdistetään pääkonttoriin, jokainen työasema ei tarvitse omaa VPN-ohjelmaa. Riittää, että lähiverkon reititin toimii IPsec-yhdyskäytävänä ja suojaa liikenteen ennen kuin se lähtee julkiseen verkkoon.
Avaimet ja turvasopimukset hoituvat automaattisesti
Kun kaksi yhdyskäytävää muodostaa yhteyden, IKE neuvottelee käytettävät salausmenetelmät ja avaimet. Sovitut asetukset tallentuvat turvasopimuksiksi (Security Association, SA). Käyttäjän ei tarvitse vaihtaa avaimia käsin.
Saman opinnäytetyön mukaan IPsec-yhdyskäytävän voi sijoittaa palomuurin välittömään läheisyyteen, eikä se välttämättä edellytä erillistä ohjelmistolisenssiä. Siksi IPsec on usein kustannustehokas tapa laajentaa yritysverkko useampaan toimipisteeseen.
IPsec VPN:n vahvuudet
IPsec on pysynyt vakiovalintana pitkään, eikä se ole sattumaa. Nämä ovat minusta sen tärkeimmät vahvuudet:
- Vahva salaus – PureVPN:n mukaan IPsec tukee salausta enintään AES-256-tasolla, ja NordVPN kuvaa AES-256:ta yhdeksi vahvimmista nykyään käytössä olevista salausmenetelmistä.
- Kattava suoja – kaikki IP-liikenne kahden pisteen välillä suojataan ilman, että jokaiseen sovellukseen tarvitaan oma ohjelmansa.
- Avoimet standardit – IPsec ei ole sidottu yhteen valmistajaan, joten eri valmistajien laitteet voivat muodostaa yhteyksiä keskenään.
- IPv4 ja IPv6 – IPsec toimii molemmissa, ja PureVPN:n mukaan se on kirjattu osaksi IPv6-spesifikaatiota.
- Vakiintunut asema – IPsec-pohjaisia VPN-ratkaisuja on käytetty 1990-luvulta lähtien, ja ne ovat vakioratkaisu monissa yritysverkoissa.
IKEv2 pitää yhteyden pystyssä verkon vaihtuessa
Arjen kannalta käytännöllisin ominaisuus liittyy IKEv2:een eli IKE-protokollan uudempaan versioon. Se on suunniteltu vakaaksi ja osaa palauttaa yhteyden, kun laite vaihtaa verkkoa, esimerkiksi kun puhelin siirtyy kodin Wi-Fistä mobiiliverkkoon. Tästä syystä moni VPN-palvelu käyttää mobiilisovelluksissaan IKEv2/IPsec-yhdistelmää.
IPsec VPN:n haitat ja sudenkuopat
IPsec on vankka, mutta sen käyttöönotto ja ylläpito eivät ole suoraviivaisia. NordVPN kuvaa sen turvallisuutta vahvaksi mutta ei ongelmattomaksi. Tyypillisimmät hankaluudet ovat nämä:
- Monimutkaiset asetukset – varsinkin kun eri valmistajat ovat toteuttaneet protokollan hieman eri tavoin.
- Yhteensopivuusongelmat – standardista huolimatta kahden valmistajan laitteet eivät aina toimi yhdessä ilman säätöä.
- NAT ja palomuurit – IPsecin saaminen toimimaan osoitteenmuunnoksen (NAT) takana vaatii usein erillisratkaisuja.
- Suorituskyky – salaus ja kapselointi vievät laskentatehoa. Se voi lisätä viivettä ja pienentää läpäisykykyä, etenkin laitteissa, joiden prosessori on vaatimaton.
Miksi IPsecin vianhaku on vaikeaa
Keppisen opinnäytetyön mukaan IPsec-vianhallinta edellyttää keskeisten osien tuntemista: AH, ESP, IKE, ISAKMP, HMAC, HMAC-SHA ja AES. Kaikkien pitää toimia yhdessä, ja pieni virhe yhdessä asetuksessa voi estää tunnelin syntymisen kokonaan.
Minusta vianhaussa auttaa eniten järjestelmällisyys: katso ensin, onnistuuko IKE-neuvottelu ylipäätään, sitten turvasopimukset ja vasta lopuksi itse liikenne. Sama kerros kerrallaan -ajattelu toimii kaikissa yhteysongelmissa, oli kyse VPN-tunnelista tai siitä, miksi JBL langattomat kuulokkeet eivät suostu yhdistymään puhelimeen.
IPsec verrattuna OpenVPN:ään, WireGuardiin ja SSL-VPN:ään
IPsec ei ole ainoa vaihtoehto. Alla oleva taulukko kuvaa, miten yleisimmät vaihtoehdot eroavat. Se ei ole paremmuusjärjestys, koska sopiva protokolla riippuu käyttötarpeesta.
| Protokolla | Luonne | Salausesimerkkejä | Vahvuus | Heikkous |
|---|---|---|---|---|
| IPsec | Standardiperhe, toimii verkkokerroksella | AES-256, SHA-256 | Vakiintunut, standardoitu, IKEv2 kestää verkon vaihdon | Haastava määrittää, NAT voi tuottaa ongelmia |
| OpenVPN | Ohjelmistopohjainen, käyttää OpenSSL-kirjastoa | AES-256, ChaCha20 | Joustava NAT:n ja palomuurien takana | Vaatii oman ohjelmistonsa |
| WireGuard | Uudempi ja kevyempi protokolla | ChaCha20, Poly1305 | Nopea ja helppo ottaa käyttöön | Lyhyempi historia ja vähemmän vakiintunut yrityksissä |
| SSL-VPN | Toimii sovelluskerroksella, usein selaimella | SSL/TLS | Ei välttämättä vaadi erillistä asiakasohjelmaa | Suojaa yksittäiset istunnot, ei koko verkkoa |
IPsec vai SSL-VPN?
IPsec suojaa koko verkkoliikenteen verkkokerroksella ja edellyttää tyypillisesti asiakasohjelmaa tai yhdyskäytävää. SSL-VPN toimii selaimella ja suojaa yksittäiset istunnot sovelluskerroksella. Karkeasti sanottuna IPsec sopii kokonaisten verkkojen yhdistämiseen ja SSL-VPN yksittäisten sovellusten etäkäyttöön.
Onko IPsec vanhentunut?
Ei ole. Uudempia protokollia on tullut, ja WireGuard kasvattaa suosiotaan nopeutensa ja yksinkertaisuutensa vuoksi. Silti mikään niistä ei ole syrjäyttänyt IPseciä, joka on edelleen laajasti käytössä erityisesti yritysverkoissa. Todennäköisin kehitys on minusta eri protokollien rinnakkaiselo.
IPsec VPN:n käyttöönotto vaiheittain
Tarkat valikot riippuvat laitteesta tai ohjelmistosta, joten tämä on yleiskuva. Yksityiskohdat kannattaa tarkistaa oman laitteen ohjeista. Hyvä yleislähde on NIST:n IPsec VPN -opas.
- Määritä käyttötarkoitus – päätä, tarvitsetko transport-tilaa päätelaitteiden välille vai tunnelitilaa verkkojen välille.
- Valitse laitteisto tai ohjelmisto – IPsec-yhdyskäytävä voi olla palomuurin yhteydessä, tai voit käyttää ohjelmistopohjaista ratkaisua.
- Määritä avaintenhallinta – aseta IKE-asetukset turvallista avaintenvaihtoa varten.
- Valitse salaus ja todennus – esimerkiksi AES-256 ja SHA-256 tai muut vastaavan vahvuiset algoritmit.
- Määritä tunnelin päätepisteet – yhdyskäytävien IP-osoitteet ja turvasopimusten parametrit.
- Testaa yhteys – varmista, että tunnelin läpi kulkeva liikenne on suojattua ja toimii odotetusti.
- Dokumentoi ja ylläpidä – tallenna asetukset ja seuraa lokeja säännöllisesti, jotta vianhaku on myöhemmin helpompaa.
Mieti myös, mitä tapahtuu, jos tunneli katkeaa kesken kaiken. Kuluttajien VPN-palveluissa tähän on usein oma asetuksensa, ja siitä kerron tarkemmin jutussa mikä on VPN kill switch ja miten se toimii.
Mitä IPsec tarkoittaa tavalliselle käyttäjälle
Useimmat eivät koskaan määritä IPseciä itse. Kohtaat sen todennäköisemmin työpaikan etäyhteydessä tai VPN-sovelluksen asetuksissa kohtana ”IKEv2/IPsec”. Silloin riittää tietää, että kyse on vakiintuneesta ja vahvasti salatusta vaihtoehdosta, joka sopii erityisesti puhelimeen.
Lisää selityksiä ja vertailuja löydät aiheesta Tekniikka. Samalla ”mitä se on ja miten se toimii” -otteella olen käynyt läpi myös sen, mitä on tuulivoima ja miten se vertautuu muihin energiamuotoihin.
Jos protokollapinojen jälkeen kaipaat jotain kouriintuntuvampaa, katso myös, mitä kannattaa vaatia, kun etsit hyvää bluetooth-kaiutinta radiolla.
Usein kysyttyä
Onko IPsec turvallinen VPN-protokolla?
IPseciä pidetään yhtenä turvallisimmista tavoista siirtää dataa julkisessa verkossa. Se käyttää vahvoja salausalgoritmeja, kuten AES-256, ja avaintenhallinta hoidetaan IKE-protokollalla. Käytännön turvallisuus riippuu kuitenkin siitä, että asetukset on tehty oikein.
Mikä ero on IPsecillä ja OpenVPN:llä?
IPsec on standardiperhe, joka toimii verkkokerroksella ja on tuettu laajasti eri laitteissa. OpenVPN on ohjelmistopohjainen protokolla, joka käyttää OpenSSL-kirjastoa ja on usein joustavampi NAT:n ja palomuurien takana.
Toimiiko IPsec myös matkapuhelimissa?
Toimii. IKEv2/IPsec sopii puhelimiin hyvin, koska se säilyttää yhteyden, kun laite siirtyy verkosta toiseen, esimerkiksi Wi-Fistä mobiiliverkkoon.
Voiko IPseciä käyttää ilman VPN-palvelua?
Voi. IPsec on ensisijaisesti IP-pakettien suojaamiseen tarkoitettu protokollaperhe. Sillä voi esimerkiksi yhdistää kaksi lähiverkkoa toisiinsa ilman mitään kaupallista VPN-palvelua.
Mikä korvaa IPsecin tulevaisuudessa?
Yhtä korvaajaa ei ole näköpiirissä. WireGuard kasvattaa suosiotaan, mutta IPsec on edelleen vahvasti käytössä yritysverkoissa ja IPv6-ympäristöissä, joten eri protokollat elävät todennäköisesti rinnakkain.
Lähteet
- PureVPN: IPsec
- NordVPN: IPsec VPN
- Theseus / opinnäytetyö (Sami Keppinen)
- Theseus / opinnäytetyö (Kim Ruuskanen)
- Theseus / opinnäytetyö (Antti Pyhaluoto)
- NIST: Guide to IPsec VPNs
- NIST: uutinen IPsec-oppaan päivityksestä
- Securing IPsec Virtual Private Networks (media.defense.gov)
- Surfshark: VPN-protokollat
- PureVPN: VPN-protokollat
- OPNsense-dokumentaatio: IPsec ja IKEv2
- Cisco: IPsec-VPN:n määritysopas
Näin vertailu tehdään · Ilmoita virheestä · Lisää vertailuja
