Incompatibilité entre IPsec et la traduction d’adresses
Protocole IPsec

Pour faciliter les communications inter‐ et intra-entreprises, et ainsi pour améliorer leurs relations commerciales et leur productivité, de nombreuses entreprises se connectent à l'Internet, voire se tournent vers des sociétés spécialisées (fournisseurs d'accès Internet, opérateurs...) pour souscrire un service de VPN (Virtual Private Network). Ces réseaux privés virtuels consistent à interconnecter les réseaux d’une ou plusieurs entreprises au travers d'une infrastructure de réseau public, en garantissant, dans la plupart des cas, une certaine qualité de service.

Dès qu'une entreprise effectue des échanges au travers d'un réseau public, sans verser dans la paranoïa, il est important de rester très prudent. En effet, rien ne prouve que ces échanges ne feront pas l'objet d'écoutes lors de leur transfert et qu'ainsi leur teneur ne sera pas révélée à un tiers. C'est l'une des multiples formes que peut prendre l'espionnage industriel. De plus, rien n’assure non plus que le trafic reçu provienne bien du terminal déclaré et qu'il n'est pas issu d'un terminal malveillant ayant usurpé l'identité d'un terminal légitime.

Pour répondre à cette problématique, la solution la plus naturelle et la plus répandue consiste à utiliser le protocole IPsec (IP security), la version sécurisée d'IP. Ce protocole proposé par l'Internet Engineering Task Force (IETF) permet en effet d'authentifier l’origine de paquets IP et de garantir leur confidentialité et leur intégrité. Du fait que la très grande majorité des réseaux d'entreprise repose sur le protocole IP, IPsec apparaît comme la solution la plus naturelle. IPsec est d'ailleurs proposé dans quasiment toutes les offres commerciales de VPN pour assurer la protection des échanges IP, et ce quel que soit le type de réseau de transport exploité dans l'interconnexion (MPLS, IP...).

Cet article décrit le protocole IPsec, en particulier les deux protocoles AH (Authentication Header) et ESP (Encapsulating Security Payload), ainsi que les différents modes d'utilisation. Les problèmes de compatibilité d’IPsec avec les mécanismes de base comme la traduction d’adresses et la fragmentation sont exposés, ainsi que les solutions de sécurité alternatives de type SSL et SHTTP à .