IPsec VPN چیست؟ چگونه کار می‌کند و چرا مسدود می‌شود؟

IPsec معمولاً در یکی از چندین مکان ظاهر می‌شود. در منوی پروتکل یک برنامه VPN، در کنار WireGuard و OpenVPN. یا در یک ایمیل از IT، که می‌گوید VPN قدیمی شرکت در حال بازنشستگی است و این چیزی است که جایگزین آن می‌شود. 

پس VPN IPsec چیست؟ پاسخ کوتاه: IPsec مجموعه‌ای از قوانین برای رمزگذاری ترافیک اینترنت است و یک VPN IPsec یک VPN است که بر اساس آن قوانین ساخته شده است.

همه چیز بعد از آن جایی است که گیج کننده می‌شود و یک دلیل برای آن وجود دارد: IPsec در دهه 1990 طراحی شده است و اینترنتی که برای آن طراحی شده، اینترنتی نیست که ما اکنون استفاده می‌کنیم. از آن زمان به‌روزرسانی و گسترش یافته است تا به‌روز بماند، که همین باعث می‌شود امروز به نظر پیچیده بیاید. این راهنما مشخص می‌کند کدام بخش‌ها هنوز برای شما مهم هستند و کدام‌ها را می‌توانید نادیده بگیرید.

IPsec چیست؟

قبل از پرداختن به IPsec، ابتدا باید به موضوع دیگری بپردازیم: پروتکل اینترنت. این بخش از اینترنت است که داده‌ها را از یک مکان به مکان دیگر منتقل می‌کند. این پروتکل برای ارسال داده‌ها بدون هیچ گونه حفاظتی طراحی شده است، بنابراین هر چیزی که حمل می‌کند در معرض دید است و می‌تواند توسط هر کسی که در مسیر آن را مدیریت می‌کند، خوانده شود. IPsec مجموعه‌ای از استانداردها است که بعداً برای پر کردن این شکاف اضافه شده است. نام آن ترکیبی از این دو ایده است: پروتکل اینترنت به علاوه امنیت.

بنابراین IPsec یک پروتکل VPN واحد نیست و نام یک VPN هم نیست. این مجموعه‌ای از استانداردهاست، همان‌هایی که پروتکل اینترنت را ایمن‌تر می‌کنند تا داده‌ها را ارسال کنند.

تفاوت را می‌توان به راحتی در کنار هم مشاهده کرد:

IPsec مجموعه‌ای از استانداردها است.

IPsec VPN یک VPN است که با استفاده از آنها ساخته شده است.

IKEv2/IPsec گزینه‌ای است که در برنامه‌های VPN مشاهده خواهید کرد. این یک روش خاص برای به کارگیری IPsec است و نزدیک به تنها گزینه‌ای است که هنوز در استفاده روزمره قرار دارد.

بیشتر توضیحات وقت خود را صرف دو مورد اول می‌کنند. سومین مورد همان چیزی است که شما واقعاً با آن سر و کار خواهید داشت.

IPsec واقعاً چه کاری برای شما انجام می‌دهد

پس برگردیم به IPsec. واقعاً چه کاری انجام می‌دهد؟ این دو وظیفه را انجام می‌دهد.

اولین مورد رمزنگاری است. داده‌هایی که از دستگاه شما خارج می‌شوند، به هم ریخته می‌شوند، بنابراین هر کسی که در مسیر با آن‌ها سر و کار دارد، از جمله ارائه‌دهنده اینترنت شما، یک مجموعه‌ای از کاراکترها را می‌بیند که نمی‌تواند آن‌ها را رمزگشایی کند. این امر داده‌های شما را خصوصی نگه می‌دارد.

دومین تأیید است. IPsec تأیید می‌کند که داده‌ها واقعاً از دستگاهی که ادعا می‌کند از آن آمده‌اند، آمده‌اند و هیچ چیزی در حین انتقال تغییر نکرده است. این داده‌ها را دست نخورده نگه می‌دارد.

بخش‌های مختلف IPsec این دو کار را انجام می‌دهند، به همین دلیل است که برخی راهنماها آن‌ها را به عنوان انتخابی که باید انجام دهید، ارائه می‌دهند. معمولاً دو مورد را در کنار هم می‌بینید، یکی که فقط داده‌ها را تأیید می‌کند و دیگری که آن‌ها را نیز رمزگذاری می‌کند، با خطی در زیر که می‌گوید دومی امن‌تر است. با این حال، سال‌هاست که این یک انتخاب واقعی نیست، هرچند بسیاری از مقالات هنوز آن را به عنوان یک انتخاب توصیف می‌کنند.

چرا IPsec احساس می‌شود که بیشتر از آنچه باید پیچیده است؟

دلیل اینکه IPsec احساس پیچیدگی می‌کند به زمان ساخت آن برمی‌گردد. این فناوری از اواسط دهه 1990 نشأت می‌گیرد و اینترنت در آن زمان مکان بسیار ساده‌تری نسبت به حال حاضر بود.

فرض بر این بود که هر دو دستگاه می‌توانند به طور مستقیم به یکدیگر دسترسی پیدا کنند، هر کدام با آدرس عمومی خود، و اینکه همه چیز در بین آنها داده‌ها را بدون لمس کردن یا نگاهی به نوع داده‌ای که بود، منتقل می‌کند.

هیچ‌یک از آن فرضیات اکنون برقرار نیست. در خانه، روتر شما آدرس‌ها را هنگام خروج داده‌ها بازنویسی می‌کند. در خارج از خانه، شبکه‌های هتل و دفتر بر اساس نوع ترافیک فیلتر می‌کنند، برخی را عبور می‌دهند و بقیه را حذف می‌کنند. و تلفن‌ها چندین بار در روز بین Wi-Fi و داده‌های موبایل جابه‌جا می‌شوند.

طراحی اولیه IPsec هیچ‌یک از این موارد را در نظر نگرفت و هرگز بر اساس آن بازسازی نشد. هر بار که وضعیت جدیدی پیش می‌آمد، لایه دیگری به آن اضافه می‌شد تا اتصالات همچنان برقرار بمانند.

این همان جایی است که نام‌های عجیب و غریبی که با آن‌ها روبرو می‌شوید، از آنجا ناشی می‌شود: شماره‌های پورت اضافی و اجزایی که مقالات دیگر توصیف می‌کنند. بیشتر آن در ابتدا وجود نداشت. این موارد اضافه شدند تا IPsec در دنیایی که برای آن ساخته نشده بود، کار کند.

IKEv2: بخشی از IPsec که واقعاً خواهید دید

IPsec یک گروه از استانداردها است و یکی از آنها به همه چیزهایی که باید قبل از انتقال هر داده‌ای حل و فصل شود، می‌پردازد. آن یکی IKE است که مخفف Internet Key Exchange می‌باشد. این همچنین نامی است که شما در یک برنامه VPN خواهید دید، که به عنوان IKEv2/IPsec در آنجا فهرست شده است.

به طور دقیق‌تر، IKE تعیین می‌کند که کدام روش رمزنگاری برای اتصال استفاده خواهد شد، آیا هر طرف واقعاً همان کسی است که ادعا می‌کند و کدام کلیدها همه چیزهایی را که بعد از آن می‌آید رمزگذاری و رمزگشایی خواهند کرد. پس از اینکه IKE همه این موارد را مشخص کرد، کار را به بخش‌های IPsec که داده‌های شما را منتقل می‌کنند، واگذار می‌کند.

IKE دو نسخه دارد، IKEv1 و IKEv2. برخی از راهنماها این دو نسخه را به عنوان دو مرحله در نحوه کار IKE توصیف می‌کنند، اما این اشتباه است. این‌ها دو نسخه از یک چیز هستند که هفت سال فاصله دارند و IKEv2 برای جایگزینی IKEv1 نوشته شده است. هر اتصال خاص از یکی از آن‌ها استفاده می‌کند.

اختلاط احتمالاً ناشی از این است که IKEv1 دو مرحله داخلی دارد که به عنوان فاز 1 و فاز 2 شناخته می‌شوند. IKEv2 هیچ ساختار مشابهی ندارد.

IKEv1 نیز اکنون بازنشسته شده است. مشتریان اصلی VPN پشتیبانی از آن را متوقف کرده‌اند و برای راه‌اندازی‌های جدید توصیه نمی‌شود، که IKEv2/IPsec را به نزدیک‌ترین نسخه‌ای که هنوز به‌طور عمومی استفاده می‌شود، تبدیل می‌کند.

IKEv2 یک ویژگی دیگر نیز دارد که ارزش دانستن را دارد. اگر شما از یک VPN در تلفن خود استفاده کنید، می‌تواند اتصال را در زمانی که شبکه زیر آن تغییر می‌کند، حفظ کند. فرض کنید از خانه خارج می‌شوید: تلفن شما Wi-Fi را قطع کرده و به داده‌های موبایل سوئیچ می‌کند و تونل VPN به جای قطع شدن، فعال باقی می‌ماند و از شما نمی‌خواهد دوباره متصل شوید. این ویژگی از یک بخش اختیاری IKEv2 به نام MOBIKE ناشی می‌شود، بنابراین بستگی به این دارد که آیا برنامه و سرورهای آن از آن پشتیبانی می‌کنند یا خیر. وقتی که این کار را انجام می‌دهند، واقعاً راحت است.

نقطه ضعف IPsec: چرا VPN شما در Wi-Fi هتل کار نمی‌کند

IKE باید آماده‌سازی خود را قبل از اینکه بقیه IPsec بتوانند داده‌های شما را منتقل کنند، به پایان برساند و آن آماده‌سازی از طریق شماره‌های پورت خاصی انجام می‌شود: UDP 500 یا UDP 4500 در شبکه‌هایی که از NAT استفاده می‌کنند.

این شماره‌های پورت برچسب‌هایی هستند. هر قطعه داده‌ای که از یک شبکه عبور می‌کند، یک برچسب دارد که نوع ترافیک را مشخص می‌کند و تجهیزات در طول مسیر آن را می‌خوانند تا تصمیم بگیرند با داده چه کاری انجام دهند. ترافیک وب یک برچسب دارد، ترافیک ایمیل برچسب دیگری دارد و IPsec برچسب خاص خود را دارد.

برچسب‌های IPsec زمانی که استانداردها نوشته شدند، ثابت شدند. هر اتصال IPsec از همان برچسب‌ها استفاده می‌کند و هر کسی می‌تواند آن‌ها را جستجو کند. این باعث می‌شود که یک اتصال IPsec به راحتی شناسایی شود. تجهیزات شبکه نیازی به شکستن رمزگذاری یا خواندن چیزی درون بسته ندارند، زیرا خواندن برچسب برای شناسایی ترافیک IPsec کافی است. این همچنین به این معنی است که مسدود کردن IPsec آسان است.

تا به حال احتمالاً می‌توانید ببینید که چرا یک VPN که بر روی IPsec اجرا می‌شود، اغلب در فرودگاه یا هتل به اتصال نمی‌رسد. Wi-Fi آنها معمولاً مرور وب و ایمیل را مجاز می‌داند و بقیه را مسدود می‌کند، بنابراین وقتی VPN شما از طریق IPsec متصل می‌شود، شبکه برچسب را می‌خواند، متوجه می‌شود که در لیست مجاز نیست و اتصال هرگز برقرار نمی‌شود. روترهای خانگی با کنترل والدین یا فیلتر کردن محتوا به همین شکل در مقیاس کوچکتر عمل می‌کنند و شبکه‌های موبایل گاهی اوقات از اتصالات خانگی سخت‌گیرتر هستند.

اگر می‌خواهید یک VPN در مکان‌هایی مانند این‌ها کار کند، می‌توانید آن را به پروتکل دیگری تغییر دهید. OpenVPN گزینه‌ای است که باید به آن مراجعه کنید، زیرا می‌تواند مانند ترافیک وب عادی حرکت کند و بر این اساس اجازه عبور می‌یابد. WireGuard احتمالاً در اینجا کمک نخواهد کرد. این فقط از UDP استفاده می‌کند و شامل اختفا داخلی نیست، بنابراین شبکه‌های محدودکننده ممکن است هنوز آن را شناسایی و مسدود کنند، حتی اگر به یک پورت ثابت وابسته نباشد.

دو انتخابی که دیگر راهنماها می‌گویند باید انجام دهید: AH در مقابل ESP و حالت تونل در مقابل حالت حمل و نقل

در مقالات دیگر درباره IPsec، با دو بخش دیگر مواجه خواهید شد که به عنوان انتخاب‌هایی که باید انجام دهید توصیف شده‌اند. هیچ‌کدام واقعاً تصمیمی نیستند که شما دیگر باید بگیرید.

AH و ESP

وظایف رمزنگاری و تأیید هویت که قبلاً ذکر شد، توسط اجزای مختلف IPsec انجام می‌شوند و آن اجزا نام دارند:

AH فقط تأیید را انجام می‌دهد.

ESP تأیید و رمزنگاری را به طور همزمان انجام می‌دهد.

به این صورت جدا شده، به نظر می‌رسد که چیزی است که می‌توانید بین آن انتخاب کنید و اینگونه است که بیشتر مقالات درباره IPsec آن را ارائه می‌دهند. در عمل چیزی برای انتخاب باقی نمی‌ماند. وقتی داده‌ها از شبکه شما خارج می‌شوند، روتر خانگی شما اطلاعات آدرس را در آن بازنویسی می‌کند و تأیید AH آن اطلاعات آدرس را پوشش می‌دهد. AH هیچ راهی برای تشخیص یک روتر که کار عادی خود را انجام می‌دهد از کسی که در حال دستکاری داده‌ها در طول مسیر است، ندارد، بنابراین وقتی آدرس تغییر می‌کند، تأیید ناموفق می‌شود و اتصال قطع می‌شود.

این به این معنی است که AH در یک شبکه خانگی عادی کار نمی‌کند، که آن را در تقریباً هر موقعیتی رد می‌کند. اتصالات IPsec به جای آن از ESP استفاده می‌کنند. و اگر تأیید بدون رمزگذاری تنها چیزی است که به آن نیاز دارید، ESP می‌تواند این کار را به تنهایی انجام دهد، که AH را با دلایل کمتری برای وجود باقی می‌گذارد.

حالت تونل و حالت حمل و نقل

سپس جفت دوم. داده‌ها در یکی از دو حالت حرکت می‌کنند:

حالت تونل: بسته اصلی به طور کامل درون یک بسته جدید که آدرس جدیدی را حمل می‌کند، قرار می‌گیرد.

حالت حمل و نقل: محتویات محافظت شده‌اند، اما اطلاعات آدرس اصلی به همان صورت باقی می‌ماند.

اگر شما از یک VPN استفاده می‌کنید، در حالت تونل هستید. حالت انتقال عمدتاً برای تنظیمات خاص در داخل شبکه‌های خصوصی استفاده می‌شود و معمولاً در میان گزینه‌هایی که یک برنامه VPN به شما می‌دهد، نیست.

به طور خلاصه، هیچ یک از این دو جفت ارزش به خاطر سپردن را ندارند. دانستن نام‌ها کافی است. سپس وقتی با یک جدول مقایسه‌ای که بر اساس آن‌ها ساخته شده است مواجه می‌شوید، خواهید دانست که نیازی به انتخاب ندارید، زیرا همه چیز قبلاً برای شما تصمیم‌گیری شده است.

آیا استفاده از VPN IPsec در سال 2026 هنوز هم ارزش دارد؟

در تلفن‌ها و دستگاه‌های شخصی، IPsec دیگر انتخاب اصلی نیست. WireGuard سریع‌تر است و در حال حاضر به پروتکل پیش‌فرض در بیشتر برنامه‌های VPN مصرف‌کننده تبدیل شده است. تنها دلایل واقعی باقی‌مانده برای IPsec، حفظ اتصال هنگام تغییر شبکه و یکپارچگی با سیستم‌عامل است و این‌ها دیگر کافی نیستند تا آن را به انتخاب اول تبدیل کنند.

در شرکت‌ها، وضعیت برعکس است. برای سال‌ها، SSL VPN به عنوان پیش‌فرض برای کار از راه دور بود، اما دهه گذشته به آن مهربان نبوده است. همان اجزا بارها و بارها آسیب‌پذیری‌های بحرانی را نشان دادند و بسیاری از آن‌ها قبل از وجود یک وصله مورد سوءاستفاده قرار گرفتند. NSA و CISA در ایالات متحده به سازمان‌ها توصیه می‌کنند که IPsec مبتنی بر استاندارد با IKEv2 را به SSL/TLS VPNهایی که بر اساس کد سفارشی ساخته شده‌اند، ترجیح دهند و مرکز امنیت سایبری ملی نروژ فراتر رفت و به سازمان‌ها گفت که SSL VPN را به طور کامل حذف کنند. Fortinet حالت تونل SSL VPN را از FortiOS 7.6.3 و نسخه‌های بعدی حذف کرده است و IPsec را به عنوان مسیر مهاجرت برای مشتریان خود باقی گذاشته است.

به طور کلی، IPsec یک فناوری سی ساله است که در موقعیت عجیبی قرار دارد: در حال خروج از دستگاه‌های موبایل و به شدت توسط دولت‌ها برای شبکه‌های شرکتی توصیه می‌شود.

پس آیا باید IKEv2/IPsec را انتخاب کنید؟

سوالی که مردم معمولاً ابتدا می‌پرسند این است که کدام پروتکل امن‌تر است و پاسخ صادقانه این است که ایمنی عامل تعیین‌کننده در اینجا نیست. IKEv2/IPsec، WireGuard و OpenVPN همگی زمانی که به درستی تنظیم شوند، امن در نظر گرفته می‌شوند و هر یک از آن‌ها ترافیک شما را در شبکه‌ای که به آن اعتماد ندارید، خصوصی نگه می‌دارد. آنچه آن‌ها را از هم جدا می‌کند، نحوه رفتارشان است، نه قدرتشان.

این همچنین دلیل این است که بیشتر برنامه‌ها یک تنظیم خودکار دارند و اینکه رها کردن آن یک انتخاب منطقی است نه یک انتخاب تنبل. برنامه بر اساس چیزهایی که به راحتی نمی‌توانید ببینید، انتخاب می‌کند و زمانی که یک اتصال کار نمی‌کند، تغییر می‌کند.

اگر ترجیح می‌دهید خودتان انتخاب کنید:

IKEv2/IPsec اگر بیشتر بر روی یک تلفن هستید و در طول روز بین Wi-Fi و داده‌های موبایل جابجا می‌شوید. این پروتکل کمتر قطع و وصل می‌شود و به دلیل اینکه در سیستم‌عامل تعبیه شده است، معمولاً سبک‌تر باقی می‌ماند.

WireGuard اگر می‌خواهید سریع‌ترین گزینه را داشته باشید و در شبکه‌ای هستید که با آن تداخل ندارد.

OpenVPN اگر در جایی هستید که دیگران را مسدود می‌کند، مانند یک هتل یا فرودگاه.

و اگر شما این را برای دسترسی به یک شبکه شرکتی تنظیم می‌کنید، تصمیم‌گیری در این مورد به شما مربوط نمی‌شود. IT پروتکل را انتخاب می‌کند و به دلایل ذکر شده در بخش قبلی، IPsec به طور فزاینده‌ای انتخاب آن‌هاست.

سوالات متداول