A criptografia IPsec é uma forma comum de descrever as proteções de segurança oferecidas pelo Internet Protocol Security (IPsec). Na prática, o IPsec não é apenas um recurso de criptografia. Trata-se de uma arquitetura de segurança para redes IP que garante confidencialidade, integridade, autenticação, proteção contra repetição de pacotes e controle de tráfego baseado em políticas na camada de rede. Por isso, o IPsec continua essencial em VPNs corporativas, interligação de filiais, redes em nuvem e diversos ambientes de infraestrutura, onde a segurança precisa ser integrada à rota IP, e não apenas adicionada na camada de aplicação.

Um dos motivos da relevância contínua do IPsec é seu funcionamento abaixo da maioria dos aplicativos. Um navegador web pode usar HTTPS, uma plataforma de e-mail TLS e um sistema de voz SRTP, mas o IPsec protege o tráfego IP de forma geral. Ele garante comunicações seguras entre hosts, entre gateways de segurança ou entre um host e um gateway. Isso torna a solução ideal para proteger vários aplicativos simultaneamente, sem a necessidade de redesenhá-los individualmente.

O IPsec é uma estrutura de segurança de camada de rede que protege o tráfego entre hosts, gateways ou ambientes híbridos de host para gateway.

O que é a criptografia IPsec?

IPsec é a sigla para *Internet Protocol Security*. Consiste em um conjunto de protocolos e regras desenvolvidos para proteger o tráfego na camada IP. Em outras palavras, o IPsec atua mais próximo da infraestrutura de rede do que os mecanismos de segurança específicos de aplicações. Ao invés de proteger apenas uma sessão web ou uma transferência de arquivos, o IPsec resguarda pacotes de diversos serviços, sempre que as políticas permitam sua inclusão em uma associação de segurança IPsec.

A expressão criptografia IPsec é prática, mas incompleta. A criptografia é apenas um dos seus recursos. Dependendo da configuração adotada, o IPsec pode fornecer:

• confidencialidade da carga útil dos pacotes,

• autenticação de origem dos dados,

• integridade sem conexão,

• proteção contra repetição de pacotes e

• seleção de tráfego e aplicação de políticas.

Em implantações reais, essas proteções estão vinculadas principalmente ao ESP (Encapsulating Security Payload), juntamente com o IKEv2, protocolo de gerenciamento de chaves responsável pela autenticação de dispositivos pares e criação das associações de segurança que definem como os pacotes serão protegidos.

Como funciona o IPsec

Na prática, o IPsec opera definindo quais pacotes devem ser protegidos, negociando parâmetros de segurança para esses fluxos e aplicando os serviços de segurança selecionados durante o tráfego pela rede.

1. Seleção de tráfego e políticas

Uma implementação de IPsec requer, primeiramente, regras que definem o tráfego a ser protegido. Essas regras geralmente se baseiam em endereços de origem e destino, protocolos, portas, interfaces, identidades de dispositivos remotos ou políticas de rede mais amplas. No contexto corporativo, esse é o tráfego relevante que deve ser direcionado para um túnel IPsec.

Dentro da arquitetura IPsec, políticas e estado não são detalhes secundários, e sim fundamentais. O sistema deve identificar qual tráfego é elegível e como ele deve ser tratado. Alguns fluxos podem ser descartados, outros contornar o IPsec e o restante deve ser protegido antes do envio.

2. Autenticação de pares e troca de chaves

Após a identificação do tráfego protegível, os dois dispositivos envolvidos precisam definir como garantir a segurança da comunicação. Essa tarefa é realizada pelo IKEv2. Os dispositivos se autenticam mutuamente, negociam parâmetros criptográficos, geram chaves compartilhadas e estabelecem uma ou mais associações de segurança. Essas associações definem algoritmos, chaves, tempo de validade, modos de operação, seletores e outros parâmetros da sessão protegida.

A autenticação pode ser feita por meio de chaves pré-compartilhadas, certificados digitais ou outros métodos compatíveis. Em ambientes pequenos, as chaves pré-compartilhadas são comuns por conta da facilidade de configuração. Em redes maiores ou mais sensíveis à segurança, os certificados são preferidos por oferecer melhor escalabilidade e gestão de identidades mais robusta.

3. Proteção de pacotes com ESP ou AH

Com a associação de segurança estabelecida, o IPsec protege os pacotes por meio de seus protocolos nativos. Em implantações modernas, o ESP é de longe a opção mais utilizada. Ele garante confidencialidade, além de integridade, autenticação, proteção contra repetição e confidencialidade limitada de fluxo de dados. Por cobrir os principais cenários do mundo real, o ESP é o protocolo referenciado quando se fala em túneis IPsec.

O AH (Authentication Header) é outro protocolo do IPsec. Seu objetivo é fornecer serviços de autenticação e integridade, sem garantir confidencialidade. Ele também protege mais campos imutáveis do cabeçalho IP no modo de transporte, quando comparado ao ESP. Na prática, o AH é pouco utilizado, especialmente em ambientes com tradução de endereços (NAT) e requisitos de interoperabilidade de túneis.

4. Manutenção contínua

As sessões IPsec não são configuradas uma única vez. Chaves e associações de segurança possuem tempo de validade definido. Os dispositivos renovam chaves periodicamente, renegociam algoritmos, detectam falhas e reconstroem túneis após alterações de rota. Em redes estáveis, esse processo ocorre em segundo plano de forma silenciosa, mas é um fator crucial que torna o design do IPsec tanto um tema operacional quanto criptográfico.

Componentes principais do IPsec

ESP

O ESP é o protocolo principal do IPsec moderno. Ele criptografa o tráfego e oferece integridade, autenticação de origem e proteção contra repetição. Quando um engenheiro afirma que um firewall, roteador ou gateway suporta VPN IPsec, quase sempre se refere à proteção baseada no ESP.

AH

O AH foca na autenticação e integridade, sem fornecer confidencialidade. Tecnicamente, ele é importante por demonstrar que o IPsec foi projetado como uma estrutura ampla de segurança, e não apenas uma ferramenta de criptografia. Mesmo assim, a maioria das implantações comerciais utiliza o ESP em razão de sua maior flexibilidade em cenários de VPN.

IKEv2

O IKEv2 corresponde à camada de negociação e gerenciamento. Ele realiza a autenticação de pares, negociações criptográficas, criação de chaves e manutenção das associações de segurança. Sem um sistema robusto de gerenciamento de chaves, o uso escalável do IPsec seria inviável.

Associações de Segurança

Uma associação de segurança é o conjunto de regras ativas para um fluxo ou direção de tráfego protegido. Ela especifica algoritmos, chaves, modo de operação, prazos de validade, configurações anti-repetição e dados dos dispositivos remotos. As associações de segurança são essenciais para entender o IPsec, pois o túnel não é um conceito abstrato: ele é implementado por meio de estados negociados concretos.

Modo de Transporte vs Modo de Túnel

O IPsec opera em dois modos principais, cuja escolha impacta diretamente a arquitetura e os casos de uso.

Modo de transporte

No modo de transporte, o IPsec protege a carga útil do pacote IP original, mantendo o cabeçalho IP inalterado. Esse modelo é mais direto e eficiente quando os próprios endpoints executam o IPsec. É geralmente associado à proteção entre host e host, embora os padrões permitam cenários mais detalhados em arquiteturas específicas.

Modo de túnel

No modo de túnel, o pacote IP original é encapsulado dentro de um novo pacote IP, com adição de um cabeçalho externo, mantendo o pacote original como carga interna. É o modelo padrão para VPNs entre gateways e soluções de acesso remoto host para gateway. Também facilita a interligação de filiais, pois o túnel funciona como uma rota segura entre redes distintas.

Para a maioria das implantações reais, o modo de túnel é o que se imagina ao ouvir o termo VPN IPsec. Ele é flexível, compatível com gateways de segurança e alinhado naturalmente a projetos de rede site a site.

Vantagens do IPsec

Proteção robusta na camada de rede

Por operar na camada IP, o IPsec protege múltiplos aplicativos de uma só vez. Isso o torna uma solução estratégica quando o objetivo é proteger rotas de rede completas, sem modificar cada pilha de aplicações separadamente.

Ampla flexibilidade de implantação

O IPsec suporta comunicações host-host, gateway-gateway e host-gateway. Isso oferece diversas opções de design para arquitetos de rede, seja para proteger filiais, data centers, links em nuvem, usuários móveis ou serviços de infraestrutura específicos.

Segurança além da criptografia

O verdadeiro diferencial do IPsec não é apenas o sigilo dos dados. Ele permite verificar a identidade do dispositivo remoto, detectar alterações no tráfego e bloquear pacotes repetidos. Em termos operacionais, isso torna o IPsec mais confiável do que soluções baseadas apenas em criptografia.

Base de padrões consolidada

O IPsec é fundamentado em padrões IETF consolidados e diretrizes detalhadas de implementação. Essa maturidade é essencial para infraestruturas corporativas, especialmente em ambientes com dispositivos de longo ciclo de vida, interoperabilidade entre fornecedores e gestão controlada de alterações.

Aplicações comuns do IPsec

VPNs site a site

Esse é um dos usos mais frequentes do IPsec. Filiais, unidades industriais, armazéns, subestações e campi remotos se conectam de forma segura por redes não confiáveis por meio de túneis IPsec estabelecidos entre roteadores, firewalls ou gateways de segurança dedicados.

Acesso remoto

Diversas organizações utilizam o IPsec para acesso seguro de usuários remotos. Nesse modelo, notebooks, tablets ou estações de trabalho de campo criam um túnel IPsec com um gateway, permitindo o acesso seguro a aplicações internas pela internet pública.

Interligação de data centers e nuvens

O IPsec é amplamente utilizado para proteger o tráfego entre infraestruturas locais e redes em nuvem, assim como entre múltiplos ambientes de data center. É especialmente útil quando as organizações precisam de um caminho criptografado baseado em padrões, sem depender de um único protocolo de aplicação.

Ambientes OT e infraestruturas críticas

Em redes industriais, de utilidades públicas, transporte e segurança pública, o IPsec protege comunicações entre sedes centrais, estações remotas, dispositivos de borda e plataformas de gerenciamento. É amplamente escolhido por operadores que buscam roteirização segura e conectividade segmentada em redes IP de longa distância.

O IPsec é amplamente adotado em VPNs site a site, acesso remoto, interligação em nuvem e transporte seguro por infraestruturas IP compartilhadas.

Recursos técnicos essenciais em implantações reais

Travessia NAT

Um desafio prático recorrente é o uso massivo de tradução de endereços (NAT) nas redes modernas. O ESP padrão não é compatível com dispositivos NAT, por isso mecanismos de travessia NAT são cruciais em implantações de VPN. A encapsulação UDP permite que pacotes ESP atravessem ambientes NAT de forma mais confiável após negociação específica.

Escolha de algoritmos

O IPsec não está vinculado a um único algoritmo de criptografia permanente. Seu nível de segurança depende dos algoritmos habilitados e da forma como são gerenciados. As decisões de projeto devem considerar orientações criptográficas atualizadas, interoperabilidade entre dispositivos, requisitos de desempenho e políticas internas da organização.

Sobrecarga e planejamento de MTU

O IPsec adiciona cabeçalhos, metadados e, em alguns casos, novas camadas de encapsulação. Essa sobrecarga reduz o tamanho útil da carga útil, altera o comportamento de fragmentação e impacta o desempenho das aplicações se a rede não for projetada adequadamente. Em ambientes de produção, o ajuste de MTU e MSS é tão importante quanto as configurações criptográficas.

Visibilidade operacional

Túneis criptografados aumentam a confidencialidade, mas alteram a forma de monitoramento, filtragem e solução de problemas do tráfego. As equipes precisam de visibilidade sobre negociações IKE, status das associações de segurança, eventos de renovação de chaves, alterações de rota, contadores de pacotes e falhas de política. Boas práticas operacionais são fundamentais, pois um túnel IPsec configurado com segurança ainda pode apresentar falhas na camada de roteamento ou política.

IPsec vs VPNs TLS

O IPsec e as soluções de acesso seguro baseadas em TLS são frequentemente comparadas, mas atuam em camadas diferentes. O TLS protege sessões de aplicação, enquanto o IPsec resguarda de forma geral todo o tráfego IP na camada de rede. O IPsec costuma ser a melhor opção para conectividade ampla entre unidades ou acesso seguro a múltiplos serviços internos. As abordagens TLS são mais práticas para cenários de acesso remoto focados em navegadores ou aplicações específicas.

Nenhuma das tecnologias é superior universalmente. A escolha depende se a barreira de segurança deve estar na camada de aplicação ou IP, do volume de acesso de rede necessário, da experiência do usuário e do modelo operacional que a organização consegue manter.

Considerações de implantação

• Defina seletores de tráfego precisos e evite políticas de túnel excessivamente abrangentes.

• Prefira algoritmos seguros e atualizados, revisando-os periodicamente.

• Utilize certificados quando a escala, gestão de ciclo de vida ou garantia de identidade forem necessárias.

• Projete antecipadamente a travessia NAT, sobrecarga de MTU e comportamento de roteamento.

• Monitore eventos de renovação de chaves, disponibilidade de pares, contadores de SA e status de failover de túneis.

• Documente se o projeto é host-host, host-gateway ou gateway-gateway.

Perguntas frequentes

O IPsec é o mesmo que uma VPN?

Não exatamente. O IPsec é uma estrutura e conjunto de protocolos de segurança, enquanto a VPN é um conceito de implantação mais amplo. Muitas VPNs são construídas com base no IPsec, mas nem todas as soluções de VPN utilizam esse protocolo.

O IPsec se resume apenas à criptografia?

Não. O IPsec oferece confidencialidade, integridade, autenticação, proteção contra repetição e gerenciamento de tráfego por políticas. A criptografia é um recurso importante, mas apenas parte do conjunto completo de funcionalidades.

Qual a diferença entre ESP e AH?

O ESP fornece confidencialidade, além de integridade e autenticação. O AH foca apenas na autenticação e integridade, sem criptografia. Em implantações modernas, o ESP é amplamente predominante.

Qual a diferença entre modo de transporte e modo de túnel?

O modo de transporte protege a carga útil do pacote IP original e mantém seu cabeçalho. O modo de túnel encapsula todo o pacote original em um novo pacote IP externo e é amplamente utilizado em VPNs baseadas em gateway.

Onde o IPsec é mais utilizado?

Os principais usos são VPNs site a site, acesso remoto, interligação de data centers, conexões em nuvem e transporte seguro em redes corporativas e industriais de longa distância.

O IPsec funciona com NAT?

Sim, mas o NAT dificulta o funcionamento nativo do ESP. Por isso, mecanismos de travessia NAT, como a encapsulação UDP, são essenciais na maioria das implantações práticas.

Conclusão

A criptografia IPsec deve ser entendida como um componente com criptografia de uma estrutura de segurança de rede muito mais abrangente. Seu verdadeiro valor está na proteção do tráfego IP por meio de controle de políticas padronizado, autenticação de pares, associações de segurança negociadas e serviços de segurança em nível de pacote. Quando bem projetado, o IPsec continua sendo uma das formas mais práticas de garantir comunicações seguras entre hosts, gateways, filiais, nuvens e domínios de infraestrutura em redes não confiáveis.