Apa itu VPN IPsec dan bagaimana cara kerja IPsec?

Jika Anda membuka pengaturan di aplikasi VPN, seringkali akan muncul daftar protokol. IPsec adalah salah satu opsi yang mungkin Anda lihat, kadang ditulis sebagai IKEv2/IPsec. IPsec juga sudah terintegrasi di Windows, macOS, dan iOS, jadi Anda mungkin sudah menggunakannya tanpa memilihnya sendiri.

Organisasi IETF menstandarisasikannya pada 1990-an sebagai cara umum untuk melindungi lalu lintas IP melintasi jaringan yang tidak tepercaya, dari sambungan permanen antar jaringan kantor hingga seorang pengguna tunggal yang tersambung dari lokasi lain. Sebuah aplikasi VPN konsumen berbasis IPsec menerapkan perlindungan yang sama pada koneksi Anda: ia menghubungkan perangkat Anda ke server yang dijalankan oleh penyedia VPN, sehingga lalu lintas Anda keluar melalui server itu daripada langsung dari perangkat Anda sendiri.

Apa itu IPsec?

IPsec (Internet Protocol Security) adalah rangkaian protokol yang melindungi data saat berpindah melintasi jaringan IP. IPsec mengenkripsi setiap paket lalu lintas Anda, memverifikasi asal paket, dan memeriksa agar tidak ada yang diubah dalam perjalanan.

Data Anda tidak melintasi internet sebagai satu kesatuan. Data dipotong menjadi paket-paket kecil, masing‑masing dibungkus dengan informasi pengalamatan agar router tahu ke mana mengirimnya. IPsec bekerja pada paket‑paket itu secara individual.

Kerangka kerja ini menyediakan:

• Enkripsi: isi setiap paket menjadi ciphertext, sehingga operator jaringan atau siapapun yang menguping tidak dapat membacanya.
• Pemeriksaan integritas: pihak penerima mengonfirmasi data tiba tanpa perubahan.
• Autentikasi: setiap ujung koneksi membuktikan dirinya adalah mesin yang diklaimnya, menggunakan kunci pra-berbagi (kata sandi rahasia yang sudah dimiliki kedua pihak) atau sertifikat digital (kredensial yang diterbitkan dan ditandatangani oleh otoritas tepercaya).
• Proteksi anti‑replay: paket yang pernah ditangkap penyerang dan dikirim ulang akan ditolak.

Sebuah VPN yang dibangun di atas protokol‑protokol ini adalah VPN IPsec. Perangkat lunak dan perangkat jaringan VPN menggunakan IPsec untuk membuat koneksi terlindungi melintasi jaringan publik. Karena IPsec bekerja pada lapisan jaringan, ia dapat melindungi lalu lintas IP di seluruh perangkat, bukan dibatasi hanya pada satu aplikasi.

Istilah dan definisi IPsec yang berguna

Terminologi IPsec bisa cepat terasa rumit. Berikut ringkasan singkat istilah yang sering Anda temui dan artinya:

Bagaimana cara kerja sebuah VPN IPsec?

Sebuah VPN IPsec menyiapkan terowongan terlindungi dalam empat tahap cepat: kedua ujung saling mengautentikasi, menyepakati parameter enkripsi, lalu mengenkripsi dan mengenkapsulasi setiap paket keluar. Pihak penerima memeriksa adanya perubahan dan mendekripsinya.

1. Autentikasi dan negosiasi: ujung‑ujung membuktikan identitas satu sama lain, lalu menyepakati algoritme enkripsi dan integritas yang akan dipakai serta kunci yang menyertainya.
2. Pembentukan tunnel: setelah syarat disepakati, kedua pihak membuka koneksi terlindungi dan mencatat pengaturan yang disepakati sebagai security association, aturan bersama untuk tunnel tersebut.
3. Enkripsi dan transmisi: paket keluar dienkripsi dan dienkapsulasi sebelum meninggalkan perangkat Anda, lalu melintasi internet seperti lalu lintas lain.
4. Dekripsi di tujuan: ujung penerima memeriksa paket untuk manipulasi, mendekripsinya, dan meneruskan data asli.

Internet Key Exchange (IKE) menjalankan dua tahap pertama, dan IKEv2 adalah versi yang umum digunakan saat ini. Negosiasi itu biasanya berjalan lewat port UDP 500. Jika perangkat Anda berada di belakang router yang melakukan NAT, kedua sisi beralih ke NAT traversal (NAT‑T), yang membungkus pertukaran kunci dan lalu lintas terenkripsi berikutnya ke dalam port UDP 4500 agar dapat melewati router tanpa diubah.

Untuk apa IPsec digunakan?

IPsec mengamankan lalu lintas yang harus melewati internet publik. Penggunaan paling umum adalah pekerja jarak jauh yang tersambung ke jaringan kantor melalui klien VPN perusahaan, sambungan permanen antar lokasi perusahaan, dan aplikasi VPN yang menawarkan IKEv2/IPsec untuk melindungi penjelajahan di Wi‑Fi publik.

Site‑to‑site vs. remote‑access IPsec VPNs

Sebuah site‑to‑site VPN IPsec menghubungkan seluruh jaringan. Perusahaan dengan kantor pusat dan gudang di bagian kota menempatkan gateway di tiap ujung, dan tunnel berjalan di antara kedua titik itu. Printer di gudang bisa mengakses server di kantor pusat tanpa perangkat lunak VPN terpasang pada printer karena gateway menangani enkripsi untuk semua perangkat di belakangnya.

Sebuah remote‑access VPN IPsec menghubungkan satu perangkat ke jaringan penuh. Perangkat lunak klien di laptop Anda membentuk salah satu ujung tunnel, dan gateway di jaringan kantor Anda membentuk ujung lain, sehingga server yang sama dapat dijangkau dari kamar hotel kapan pun tunnel aktif.

Protokol apa saja yang digunakan IPsec?

IPsec adalah kumpulan protokol:

• ESP (Encapsulating Security Payload): mengenkripsi dan mengautentikasi payload.
• AH (Authentication Header):memeriksa integritas pada payload dan sebagian besar header IP, tanpa mengenkripsi apapun.
• IKE (Internet Key Exchange): menegosiasikan pengaturan dan menetapkan kunci.

Anda mungkin melihat "IKEv2/IPsec" di pengaturan VPN, dan itu tampak seperti pilihan antara dua protokol. Bukan demikian: IKEv2 menyiapkan koneksi dan IPsec melindungi apa yang lewat di dalamnya.

Mengapa Anda hanya akan melihat ESP

ESP adalah yang melindungi lalu lintas dalam pengaturan IPsec saat ini. AH membuat data Anda tetap terbaca bagi siapa pun yang menangkapnya, karena hanya memberikan bukti bahwa paket berasal dari sumber yang diharapkan dan tiba tanpa perubahan.

AH juga gagal bekerja ketika Network Address Translation (NAT) ada di jalur, karena ia melindungi bagian header IP yang ditulis ulang oleh NAT. Router rumah dan jaringan seluler menggunakan NAT, sehingga AH jarang dipakai.

Apa perbedaan antara mode tunnel IPsec dan mode transport?

Mode tunnel membungkus seluruh paket asli, termasuk header. Mode transport hanya mengenkripsi payload dan membiarkan header IP asli terlihat, yang cocok untuk komunikasi server‑ke‑server langsung di dalam pusat data.

Kata "tunnel" memiliki dua arti di sini, yang sering menimbulkan kebingungan. Sebuah IPsec tunnel adalah koneksi terlindungi antara dua ujung, sedangkan tunnel mode adalah keputusan terpisah tentang seberapa banyak tiap paket dibungkus.

Siapa pun yang mengamati koneksi mode‑tunnel melihat lalu lintas bergerak antara kedua ujung, bukan alamat yang tersembunyi di dalamnya. Dalam mode transport, sumber dan tujuan tetap tampak jelas, karena hanya payload yang terenkripsi.

Apa kelebihan dan kekurangan IPsec?

IPsec telah digunakan sejak 1990‑an, sehingga kelebihan dan kekurangannya terdokumentasi dengan baik.

Kelebihan IPsec

• Enkripsi dan autentikasi kuat. Konfigurasi modern memasangkan cipher seperti AES dengan autentikasi sertifikat atau kunci pra‑berbagi, sehingga setiap ujung membuktikan identitasnya sebelum lalu lintas bergerak.
• Cakupan pada lapisan jaringan. Klien email, transfer file, dan cadangan melewati jalur terlindungi yang sama dengan lalu lintas peramban.
• Independensi aplikasi. Perangkat lunak tidak perlu mengetahui adanya VPN, itulah sebabnya aplikasi bisnis puluhan tahun berjalan lewat IPsec tanpa modifikasi.
• Standar yang dipublikasikan. spesifikasi IETF mendefinisikan IPsec, sehingga firewall dari satu vendor biasanya dapat membangun tunnel ke gateway dari vendor lain.

Kekurangan IPsec

• Kompleksitas konfigurasi. Puluhan pengaturan harus cocok di kedua ujung, termasuk algoritme enkripsi, masa hidup kunci, dan pengenal. Satu ketidakcocokan dapat menghentikan tunnel dari terbentuk.
• Overhead enkripsi dan enkapsulasi. Setiap paket memperoleh byte tambahan, yang dapat menyebabkan fragmentasi pada jalur dengan MTU lebih kecil.
• Kompatibilitas firewall dan NAT. Beberapa jaringan memblokir port yang digunakan IPsec, atau menangani translasi alamat dengan buruk, yang bisa mencegah koneksi terbentuk sama sekali.

Tanpa adanya engineer jaringan, pengaturan, port, dan perilaku NAT biasanya menjadi bagian tersulit untuk menjalankan sebuah VPN IPsec.

Apakah IPsec aman?

IPsec aman bila dikonfigurasi dengan pengaturan terkini, tetapi tidak semua instalasi demikian. Perangkat lama mungkin masih menjalankan cipher kedaluwarsa dan versi pertukaran kunci lama, jadi tingkat perlindungan bervariasi antar koneksi.

Sebagian besar pengaturan modern memasangkan AES untuk enkripsi dengan HMAC-SHA-2 untuk integritas. HMAC-SHA-2 menghasilkan sidik jari pendek dari data menggunakan kunci rahasia, sehingga setiap perubahan akan terlihat segera.

Konfigurasi lama kadang masih menggunakan DES atau MD5, yang keduanya sekarang dianggap tidak aman. Beberapa perangkat warisan juga menawarkan grup Diffie‑Hellman 768‑ atau 1024‑bit. Diffie‑Hellman adalah cara kedua ujung menyepakati kunci bersama tanpa pernah mengirimkannya, dan grup menunjukkan besar bilangan yang dipakai. Grup yang lebih kecil memberikan perlindungan lebih lemah terhadap serangan, itulah sebabnya konfigurasi modern memakai grup Diffie‑Hellman yang lebih kuat menggantikan grup kecil pada perangkat lawas.

Pertukaran kunci juga perlu diperiksa. IKEv1, dirilis pada 1998, memiliki kelemahan pada mode tertentu. Yang terburuk adalah aggressive mode, handshake singkat yang menukar putaran pesan demi kecepatan. Mode ini memberi cukup informasi bagi penyerang untuk menangkap pertukaran dan kemudian menebak kunci bersama pada mesin mereka sendiri tanpa batasan percobaan. Ada juga risiko serangan penurunan versi (downgrade attack), di mana seseorang mengutak‑atik negosiasi pembukaan sehingga kedua ujung menggunakan enkripsi lama yang masih didukung. Organisasi IETF secara formal mendepraktikasikan IKEv1 dan memindahkannya ke status historis pada 2023.

IKEv2 menegosiasikan lebih aman dan lebih baik dalam rekeying, yaitu penggantian kunci secara terjadwal di tengah sesi. IKEv2 juga menambahkan MOBIKE, yang menjaga agar tunnel yang sudah terbangun tetap aktif ketika alamat IP perangkat Anda berubah, sehingga ponsel yang berpindah dari Wi‑Fi ke data seluler tetap tersambung alih‑alih terputus lalu dibangun ulang.

Sebagai pengguna rumahan Anda tidak memilih pengaturan ini sendiri. Aplikasi VPN Anda atau tim TI pemberi kerja yang melakukannya. Yang penting adalah perangkat lunak tetap mutakhir dan masih menerima pembaruan, karena itu yang menjaga cipher dan pertukaran kunci tetap modern.

Enkripsi kuat pada setiap koneksi.

Kaspersky VPN mengenkripsi lalu lintas internet Anda dan menyamarkan alamat IP Anda, menjaga koneksi tetap pribadi di jaringan manapun, termasuk Wi‑Fi publik.

Dapatkan Kaspersky VPN

✓

Teruji secara independen dan dianugerahi oleh lab‑lab terkemuka di industri.

Apa perbedaan antara IPsec dan SSL VPNs?

IPsec dapat memberikan perangkat akses tingkat‑jaringan ke jaringan remote, dengan lalu lintas diarahkan melalui terowongan terlindungi sesuai konfigurasi VPN. Sebuah SSL berbasis peramban biasanya menyediakan akses ke sumber daya terpilih, seperti situs internal saja.

IPsec bekerja di lapisan yang lebih rendah, di lapisan jaringan, sehingga ia dapat melindungi segala yang dikirim perangkat. SSL berbasis peramban bekerja lebih tinggi, menggunakan TLS, teknologi yang mengenkripsi koneksi Anda ke situs perbankan. Jadi ketika sebuah tunnel IPsec aktif, perangkat berperilaku seolah‑olah langsung tersambung ke jaringan remote. Sebuah portal SSL berbasis peramban bekerja sebaliknya, membuka akses ke sekumpulan sumber daya tertentu seperti halaman intranet atau satu aplikasi internal, dan perangkat itu sendiri tidak bergabung ke jaringan. Beberapa SSL memang menjalankan klien dan membawa seluruh lalu lintas seperti IPsec, jadi versi portal bukanlah satu‑satunya jenis.

IPsec memerlukan konfigurasi yang cocok di kedua ujung, bahkan bila klien sudah terpasang dalam sistem operasi, sementara SSL berbasis peramban seringkali dapat berjalan tanpa instalasi apapun. Lalu lintasnya melewati port TCP 443, port yang sama yang umum dipakai untuk lalu lintas HTTPS, sehingga banyak diizinkan pada jaringan dan firewall. Ini membuat SSL berbasis peramban lebih mudah digunakan pada jaringan yang membatasi, seperti Wi‑Fi hotel atau bandara, di mana lalu lintas IPsec mungkin diblokir.

Artikel terkait:

• Apa itu VPN dan bagaimana cara kerjanya?
• Bagaimana sebuah VPN menjaga saya aman saat online?
• Apa itu enkripsi data?
• Cara menghindari risiko keamanan Wi‑Fi publik

Produk yang direkomendasikan:

• Kaspersky Premium
• Unduh uji coba gratis 30 hari dari paket premium kami
• Kaspersky Mobile Security

FAQs

Port apa saja yang digunakan IPsec?

IKE berjalan pada port UDP 500, dan NAT traversal (NAT‑T) memindahkan pertukaran kunci dan lalu lintas terenkripsi berikutnya ke port UDP 4500. ESP dan AH bukan port, melainkan protokol IP 50 dan 51. Firewall harus mengizinkan ini, atau tunnel tidak akan terbentuk.

Apakah sebuah VPN IPsec memperlambat koneksi saya?

Ya, sedikit. Mengenkripsi setiap paket memerlukan sedikit CPU, dan lalu lintas melewati server VPN. Kebanyakan orang tidak memperhatikan perbedaan saat menjelajah atau streaming. Jarak ke server menambah latensi, yang memengaruhi kecepatan jauh lebih besar daripada protokolnya sendiri.

Bagaimana IPsec memengaruhi MTU dan MSS?

IPsec menambah sekitar 50 sampai 70 byte per paket, yang dapat memaksa fragmentasi. Administrator biasanya ‘clamp’ nilai TCP MSS untuk mengimbanginya, tetapi tidak ada angka standar: ini tergantung pada enkripsi, apakah NAT‑T aktif, dan MTU dasar link yang digunakan.

Apakah IPsec menggunakan enkripsi simetris atau asimetris?

Keduanya. IKE menggunakan kriptografi asimetris, yaitu pertukaran kunci Diffie‑Hellman, yang memungkinkan kedua ujung menghasilkan rahasia bersama tanpa pernah mengirimkannya. Rahasia itu kemudian digunakan untuk cipher simetris yang lebih cepat, biasanya AES, yang melindungi lalu lintas Anda.