Der Aufbau eines IPsec-VPN erfolgt in einer festgelegten Reihenfolge.
Phase 1: Am Anfang steht der Aufbau einer Sicherheitsbeziehung (Security Association). Dabei einigen sich die beteiligten Endpunkte auf die Sicherheitsaspekte.
Phase 2: Anschließend verständigen sich beide Parteien über die kryptografischen Schlüssel. Dieser Schlüsselaustausch erfolgt über das Protokoll Internet Key Exchange (IKE), idealerweise in der modernen Version IKEv2. Die technische Basis für diesen Austausch bildet das Internet Security Association and Key Management Protocol (ISAKMP). Es arbeitet eng mit dem Diffie-Hellman-Verfahren aus der asymmetrischen Verschlüsselung zusammen. Phase 3: Nach dem Schlüsselaustausch beginnt die Vorbereitung für die Datenübertragung. Hierbei kommen zwei unterschiedliche Protokolle zum Einsatz. Der Authentication Header (AH) stellt die Authentizität und die Integrität der Datenpakete sicher. Er verschlüsselt die Nutzdaten nicht selbst. Für die tatsächliche Verschlüsselung ist das Protokoll Encapsulating Security Payload (ESP) verantwortlich.
Phase 4: Anschließend beginnt die eigentliche Datenübertragung über den verschlüsselten VPN-Tunnel. IT-Verantwortliche unterscheiden außerdem zwischen zwei Betriebsmodi eines IPsec-VPN:
Vergleich von Tunnelmodus und Transportmodus bei IPsec
Gesamtes Datenpaket inklusive ursprünglichem Header
Nur die reinen Nutzdaten (Payload)
Ja, wird für die Weiterleitung zwischen den Gateways generiert
Nein, der originale Header bleibt sichtbar
Standortvernetzung zwischen zwei Routern (Site-to-Site)
Direkte Verbindung zwischen zwei Endgeräten (Host-to-Host)
Sehr hoch, da interne Netzwerkstrukturen verborgen bleiben
Moderat, da Quell- und Zieladresse lesbar bleiben
