INSTITUTO POLITÉCNICO INDUSTRIAL DE LUANDA (IPIL)

ÁREA DE FORMAÇÃO: INFORMÁTICA

CURSO: TÉCNICO DE INFORMÁTICA

PROJECTO TECNOLÓGICO

IMPLEMENTAÇÃO DE UMA VPN COM O PROTOCOLO IPSEC

NA CLÍNICA MULTIPERFIL

Nome: Taylor Gabriel Correia De Araújo.

Nº20

Turma:II13A

LUANDA/2024
 INSTITUTO POLITÉCNICO INDÚSTRIAL DE LUANDA(IPIL)

IMPLEMENTAÇÃO DE UMA VPN COM O PROTOLOCO IPSEC

NA CLÍNICA MULTIPERFIL

Orientador:

__________________________________

Aércio Maria

LUANDA/2024
 Taylor Gabriel Correia De Araújo

IMPLEMENTAÇÃO DE UMA VPN COMO O PROTOCOLO

IPSEC NA CLÍNICA MULTIPERFIL

Aprovada com conceito_____________________________

Nome do membro da banca__________________________

Titulação

Nome do membro da banca__________________________

Titulação

Nome do membro da banca__________________________

Titulação
 AGRADECIMENTOS
Agradeço primeiramente a Deus, que concedeu –me o fôlego de vida , que permitiu-
me terminar a execução do trabalho. Aos meus familiares pelo apoio emocional e
financeiro, em especial aos mais próximos que deram-me apoio financeiro e emocional,
agradecer aos meus amigos e colegas que estiveram comigo em momentos únicos da
vida e durante o meu percurso acadêmico, ao meu orientador Aércio Paulo Mária Pelo
acompanhamento, dedicação e a partilha da sua experiência ao longo do projecto.
De um modo geral agradecemos a todos que contribuíram diretamente ou
indiretamente para a realização do mesmo.
 DEDICATÓRIA
Dedico este trabalho primeiramente a Deus, ele que nunca me abandonou nos
momentos de necessidade e insegurança, aos meus familiares que já não fazem parte do
mundo dos vivos.
A mim pelo esforço e dedicação submetida para a realização do mesmo, aos meus
tios, irmãos, primos pela confiança e inspiração.
 RESUMO
Neste trabalho será abordado sobre a implementação de uma VPN usando o
protocolo IPsec na infraestrutura de rede da clínica Multiperfil. As vulnerabilidades de
segurança existentes na infraestrutura de rede da Clínica.
O IPsec é um conjunto de protocolos que realizam autenticação, integridade e
encriptação de informação utilizando procedimentos e algoritmos criptográficos. O
trabalho têm como objectivo realizar a introdução do IPsec para proteção da rede e do
tráfego, mantendo a resiliência e desempenho da rede existente. concluindo-se que: A
introdução do IPsec têm um grande impacto na arquitetura de rede. Os processos de
autenticação e encriptação são computacionalmente bastantes exigentes.

Palavras-chave: VPN, IPsec, Segurança, Encriptação, Autenticação, Desempenho.

 ABSTRACT
In this work, we will address the implementation of a VPN using the IPsec protocol
in the network infrastructure of the Multiperfil clinic. We will discuss the security
vulnerabilities existing in the clinic's network infrastructure.
IPsec is a set of protocols that perform authentication, integrity, and encryption of
information using cryptographic procedures and algorithms. The objective of this work
is to introduce IPsec for the protection of the network and traffic, while maintaining the
resilience and performance of the existing network. It is concluded that the introduction
of IPsec has a significant impact on the network architecture. The authentication and
encryption processes are computationally demanding.

Keywords: VPN, IPsec, Security, Encryption, Authentication, Performance.

 LISTA DE FIGURAS
Figura 1: Topologia host-to-host ..................................................................................... 9
Figura 2: Topologia Host-Rede ....................................................................................... 8
Figura 3: Topologia Gateway .......................................................................................... 8
Figura 4:Estrutura padrão de um pacote IPSec ............................................................. 11
Figura 5: No modo transporte, o cabeçalho do IPSec (AH e/ou ESP) é situado entre o
cabeçalho IP e sua porção de dados ............................................................................... 14
Figura 6: No modo túnel, o pacote IP recebe um cabeçalho IPSec e um novo cabeçalho
IP .................................................................................................................................... 15
Figura 7: Funcionamento do algoritmo de Diffie-Hellman ........................................... 18
Figura 8: Topológia da rede………………………………………………………………
Figura 9: Configuração da licença de segurança no router c1900 da clínica…………….
Figura 10: Configuração da licença de segurança no router c1900 da provedora. ………
Figura 11: Configuração do vpn ipsec no router da clínica………………………………
Figura 12: Configuração do vpn ipsec no router da provedora. ………………………….
Figura 13: Verificação do ipsec sa no router da clínica. …………………………………
Figura 14: Verificação do ipsec sa no router da provedora………………………………
Figura 15: Políticas ipsec no router da clínica……………………………………………
Figura 16: Políticas ipsec no da provedora………………………………………………
Figura 17: ACL no router da clínica……………………………………………………..
Figura 18: ACL no router da provedora…………………………………………………..
Figura 19: Configuração da criptografia no router da clinica…………………………….
Figura 20: Configuração da criptografia no router da provedora…………………………
 LISTA DE TABELAS
Tabela 1: Análise dos resultados
Figura 2: Autenticação com Pre-Shared-Key(PSK).
Tabela 4: Autenticação com certificados.
Tabela 5: Orçamento Hardware.
Figura 6: Orçamento Software.
Figura 7: Orçamento Serviços.
Figura 8: Orçamento total.
 LISTA DE ABREVIATURAS
Aqui está a lista de abreviaturas existentes no trabalho:

1. VPN - Virtual Private Network

2. TCP/IP - Transmission Control Protocol/Internet Protocol
3. LAN - Local Area Network
4. IP - Internet Protocol
5. PPP - Point-to-Point Protocol
6. PPTP - Point to Point Tunneling Protocol
7. L2F - Layer 2 Forwarding
8. L2TP - Layer 2 Tunneling Protocol
9. GRE - Generic Routing Encapsulation
10. IPSec - Internet Protocol Security
11. AES - Advanced Encryption Standard
12. IKE - Internet Key Exchange
13. ISAKMP - Internet Security Association Key Management Protocol
14. DES - Data Encryption Standard
15. MD5 - Message Digest Algorithm 5
16. DH - Diffie-Hellman
17. PKC - Public Key Cryptography
18. SSL - Secure Sockets Layer
19. TLS - Transport Layer Security
20. UDP - User Datagram Protocol
21. SA - Security Association
22. SPI - Security Parameters Index
23. AH - Authentication Header
24. ESP - Encapsulating Security Payload
25. BITS - Bump-in-the-stack
26. RFC - Request for Comments
27. ATM - Asynchronous Transfer Mode
28. X.25 - A standard for packet-switched networks
29. RADIUS - Remote Authentication Dial-In User Service
30. TACACS+ - Terminal Access Controller Access-Control System Plus
31. WAN - Wide Area Network
32. IoT - Internet of Things
33. ISP - Internet Service Provider
 ÍNDICE

CAPÍTULO 1

1. INTRODUÇÃO...........................................................................................................1

1.1 Delimitação de Pesquisa............................................................................................3

1.1.2 DEFINIÇÃO DO PROBLEMA.....................................................................................3

1.3 OBJECTIVOS...........................................................................................................4
1.3.1 OBJECTIVOS GERAIS.................................................................................................4
1.3.2 OBJECTIVOS ESPECÍFICOS.....................................................................................4

1.4 JUSTIFICATIVA......................................................................................................5

1.5 HIPÓTESES..............................................................................................................6

CAPÍTULO 2

2 Virtual Private Network (VPN)..................................................................................9

2.1 Aplicações para VPN.................................................................................................9

2.2 TUNELAMENTO...................................................................................................11

2.3 Tipos de Túneis........................................................................................................12

2.3.1 Protocolos de Tunelamento..........................................................................................12

2.4 IPSec – Internet Protocol Security.........................................................................14

2.4.1 Security Associations(SA)....................................................................................15

2.4.3 Bump-in-the-wire (BITW)...................................................................................17

2.5 Protocolos Principais do IPSec...............................................................................19

2.5.1 Protocolo AH (Authentication Header).......................................................................19
2.5.2 Protocolo ESP (Encapsulating Security Payload)......................................................19

2.6 Internet Key Exchange............................................................................................20

2.7 Funcionamento........................................................................................................20

2.8 Diffie-Hellman (DH)................................................................................................21

CAPÍTULO 3

3. Implementação Prática.............................................................................................24
3.1 Metodologia.......................................................................................................................24

3.2 Etapas da Implementação.......................................................................................25

3.3 Segurança da Rede..................................................................................................29

CAPÍTULO 4

4. ANÁLISE DOS RESULTADOS..............................................................................34

4.1 Segurança.................................................................................................................34

4.2 ORÇAMENTO........................................................................................................36

5. CONCLUSÕES E RECOMENDAÇÕES...............................................................39

6. REFERÊNCIAS BIBLIOGRÁFICAS....................................................................40

7. ANEXOS....................................................................................................................41
CAPÍTULO 1 – INTRODUÇÃO
 1. INTRODUÇÃO

Atualmente, com o crescimento da internet, o constante aumento de sua área de

abrangência, e a expectativa de uma rápida melhoria na qualidade dos meios de
comunicação associada ao aumento das velocidades de acesso com banda larga, a
mesma passou a ser vista como um meio conveniente para as comunicações
corporativas. No entanto, a transmissão de dados sensíveis pela rede somente se torna
possível com o uso de tecnologias que tornem esse meio altamente inseguro em um
meio confiável. Com essa abordagem, o uso de VPN (Virtual Private Network) sobre o
modelo de referência TCP/IP parece ser uma alternativa viável e adequada (ROSSI e
FRANZIN, 2010).
Redes Privadas Virtuais são definidas amplamente como uma forma de estender uma
rede privada através do público rede como a internet (Brown, 1999). Uma rede privada
é uma rede que existe em uma área local (LAN). A extensão de uma rede privada que é
feita com o uso da tecnologia VPN pode ser usado para acessar outras redes privadas
remotamente através do uso de um túnel VPN.
Um túnel na rede é uma maneira de enviar dados que normalmente não são
suportados por um protocolo de rede, reembalando os dados em um pacote para outro
protocolo. Se dois roteadores tiverem tunelamento configurado é possível encapsular o
dados para enviar diretamente uns aos outros pela Internet e, em seguida, desencapsular
a carga útil que foi enviada através do túnel para enviá-lo ao destino.
Além de encapsular redes privadas, outros aspectos fortes da VPN são as capacidades
de adicionando criptografia e integridade ao túnel (Brown, 1999). VPN pode ser usada
para manter dados confidenciais dentro da rede privada e garantir que os dados
permaneçam inalterados durante o transporte. Ele adiciona um extra camada de
segurança, não expondo a rede privada à Internet pública, mas ao mesmo tempo sendo
capaz de acessar uma rede privada remotamente.
Alguns dos dispositivos que implementam uma VPN são: roteadores, equipamentos
específicos e softwares instalados em gateways. As VPNs possuem seus próprios
protocolos de comunicação que atuam em conjunto com o TCP/IP, fazendo com que o
túnel virtual seja estabelecido e os dados trafeguem criptografados.
AS VPNs como sendo uma implementação segura tende apresentar algumas funções
básicas: garantir a privacidade, integridade e autenticação das entidades envolvidas na
comunicação.
O fator confusão entra em jogo nas discussões mais básicas sobre VPNs. isto se deve
principalmente ao fato de existirem na verdade vários tipos diferentes de VPNs e
dependendo dos requisitos funcionais, vários métodos diferentes de construção de cada
tipo de VPN estão disponíveis. O processo de seleção deve incluir a consideração do
problema que está sendo resolvido, a análise de risco do segurança fornecida por uma
implementação específica, questões de escala no crescimento do tamanho da VPN e a
complexidade envolvida em ambos implementação da VPN, bem como manutenção e
solução de problemas contínuas. Para simplificar a descrição dos diferentes tipos de
VPNs, eles foram divididos principalmente neste artigo em categorias que residem nas
diferentes camadas do conjunto de protocolos TCP/IP ( P. Fergunson and G. Huston).
 Figura 1: Modelo do protocolo TCP/IP.
Fonte: R. Marco Antonio G.; F. Oswaldo.
 1.1 Delimitação de Pesquisa.
1.1.2 DEFINIÇÃO DO PROBLEMA
As vulnerabilidades de segurança existentes na infraestrutura de rede da clínica,
decorrentes da sua arquitetura e da utilização de redes de transporte IP inseguras,
incentivam a introdução do Internet Protocol Security (IPsec). O IPsec é um conjunto de
protocolos que realizam autenticação, integridade e encriptação de informação
utilizando procedimentos e algoritmos criptográficos. O trabalho apresentado foi
desenvolvido num contexto empresarial, tendo como objectivo realizar a introdução do
IPsec para protecção da rede e do tráfego, mantendo a resiliência e desempenho da rede
existente.
 1.3 OBJECTIVOS
1.3.1 OBJECTIVOS GERAIS
 Implementar uma VPN com o protocolo IPSEC na infraestrutura de rede da
clínica Multiperfil.

1.3.2 OBJECTIVOS ESPECÍFICOS

 Realizar uma avaliação da infraestrutura de rede existente na clínica Multiperfil
para determinar a viabilidade e os requisitos da implementação da VPN IPsec.

 Projetar uma arquitetura de rede segura que permita a implementação da VPN

IPsec, considerando os dispositivos, protocolos e configurações necessários.

 Configurar os dispositivos de rede, incluindo roteadores, firewalls e servidores,

para suportar a VPN IPsec e garantir a conectividade segura entre a rede local e
os dispositivos remotos.

 Estabelecer políticas de segurança adequadas para a VPN IPsec, como

autenticação de usuários, criptografia de dados e controle de acesso, a fim de
proteger as informações sensíveis da clínica Multiperfil.

 Realizar testes e verificações rigorosas para garantir o funcionamento correto da

VPN IPsec, incluindo a resolução de problemas e a correção de quaisquer
problemas de conectividade ou desempenho.
 1.4 JUSTIFICATIVA
Este trabalho cientifico encontra-se estruturada da seguinte forma:

Capitulo 1 – Neste capítulo vamos fazer um pequeno resume VPN, como são
classificadas .
Capitulo 2 – Neste capítulo abordaremos com mais detalhes sobre VPN, seus
protocolos em especial o IPSec.
Capitulo 3 – Neste capítulo vai ser abordado sobre o ponto foco do trabalho que é a
implementação de um VPN com o protocolo IPSec, apresentando todos os mecanismos
possíveis para implementar esta tecnologia, e os componentes que a compõe .
Capitulo 4 – Este capítulo é onde vai ser elaborado a análise dos resultados obtidos,
juntamente com o orçamento.
Conclusões e recomendações – Onde vamos fazer um fecho do trabalho, recorrendo
as observações e recomendações em relação ao resultado alcançados.
Referências bibliográficas.
Anexo.
 1.5 HIPÓTESES
 Hipótese sobre Segurança:
A implementação de uma VPN IPSec representa um dos métodos mais robustos para
garantir a segurança das comunicações em redes, oferecendo um ambiente virtual
privado e criptografado para a transmissão de dados sensíveis.
A confiabilidade da VPN IPSec reside na sua capacidade de empregar algoritmos de
criptografia de última geração, como o AES (Advanced Encryption Standard), que
oferece um alto nível de proteção contra tentativas de acesso não autorizado.
A autenticação mútua fornecida pelo protocolo IKE (Internet Key Exchange) garante
que apenas dispositivos confiáveis possam estabelecer conexões seguras, prevenindo
ataques de spoofing e garantindo a integridade das comunicações.
A gestão eficiente das chaves criptográficas é fundamental para garantir a segurança
contínua da VPN IPSec, exigindo práticas de gerenciamento de chaves robustas e
protocolos de troca de chaves seguras para evitar comprometimentos de segurança.
Ao mitigar riscos como interceptação de dados, ataques de negação de serviço e
intrusões de rede, a VPN IPSec se posiciona como uma solução essencial para garantir a
confidencialidade, integridade e autenticidade das comunicações em redes corporativas
e de infraestrutura crítica.

 Hipótese sobre Desenvolvimento:

O desenvolvimento de uma solução de VPN IPSec requer uma abordagem holística
que abrange desde a seleção das tecnologias adequadas até a implementação de práticas
de codificação segura e testes abrangentes de segurança.
A utilização de frameworks e bibliotecas de criptografia bem estabelecidos,
juntamente com boas práticas de desenvolvimento seguro, é crucial para mitigar
vulnerabilidades de segurança e garantir a robustez da solução.
Testes de penetração e avaliações de segurança contínuas são essenciais para
identificar e corrigir possíveis falhas de segurança durante todas as fases do ciclo de
vida do desenvolvimento da VPN IPSec.
A integração de recursos de monitoramento e auditoria na solução facilitará a
detecção precoce de anomalias e atividades suspeitas, permitindo uma resposta rápida a
incidentes de segurança.
Ao seguir padrões de segurança reconhecidos e adotar uma abordagem proativa para
mitigar ameaças, o desenvolvimento de uma solução de VPN IPSec pode fornecer uma
camada sólida de proteção para ambientes de rede sensíveis.

 Hipótese sobre Protocolos de Comunicação:

 A escolha e configuração dos protocolos de comunicação desempenham um papel
crucial na eficácia e desempenho da VPN IPSec, afetando diretamente a segurança e a
capacidade de escalabilidade da rede.
Protocolos como IKEv2 e ESP (Encapsulating Security Payload) são fundamentais
para estabelecer e manter conexões seguras entre os dispositivos VPN, facilitando a
negociação de parâmetros de segurança e a encapsulação de dados.
A configuração cuidadosa dos parâmetros de segurança, como algoritmos de
criptografia e métodos de autenticação, é essencial para equilibrar a segurança e o
desempenho da VPN IPSec, especialmente em ambientes de alta demanda.
A implementação de mecanismos de balanceamento de carga e failover contribuirá
para garantir a disponibilidade contínua da VPN IPSec, mesmo diante de falhas de
hardware ou ataques de negação de serviço.
Ao seguir as melhores práticas e padrões de comunicação segura, é possível
maximizar a eficácia da VPN IPSec e garantir uma proteção robusta das comunicações
em redes corporativas e de infraestrutura crítica.

 Hipótese sobre IoT (Internet of Things):

A integração de dispositivos IoT em uma infraestrutura de rede protegida por VPN
IPSec apresenta desafios únicos devido à diversidade de dispositivos, protocolos e
requisitos de segurança envolvidos.
A segmentação da rede e a implementação de políticas de controle de acesso
baseadas em função são cruciais para proteger os dispositivos IoT contra ataques
cibernéticos e minimizar o impacto de violações de segurança.
A criptografia de ponta a ponta entre os dispositivos IoT e os gateways VPN garante
a confidencialidade dos dados transmitidos, impedindo a interceptação de informações
por agentes maliciosos.
A integração de mecanismos de detecção de intrusões e análise comportamental nos
dispositivos IoT aumenta a capacidade de detectar e responder a atividades maliciosas
na rede, mitigando os riscos de comprometimento da segurança.
Ao adotar uma abordagem de segurança em camadas e implementar controles de
segurança robustos, é possível integrar dispositivos IoT de forma segura em redes
protegidas por VPN IPSec, garantindo a proteção dos dados e a privacidade dos
usuários.
CAPÍTULO 2 – FUNDAMENTAÇÃO TEÓRICA
 2. Virtual Private Network (VPN)
Uma rede privada virtual é composta por computadores pertencentes a uma única
organização que compartilham informações especificamente entre si. Eles têm certeza
de que serão os únicos aqueles que usam a rede, e que as informações enviadas entre
eles (na pior das hipóteses) só serão vistas por outros do grupo. A típica rede local
(LAN) corporativa ou rede de área ampla Rede (WAN) é um exemplo de rede privada.
A linha entre o privado e o público. A rede sempre foi desenhada no roteador gateway,
onde uma empresa montará um firewall para manter intrusos da rede pública fora de sua
rede privada ou para manter seus próprios impedir que usuários internos examinem a
rede pública (C. Scott, P. Wolfe, M. Erwin).
Uma rede privada virtual é uma forma de simular uma rede privada sobre uma rede
pública, como a Internet. É chamado de "virtual" porque depende do uso de conexões
virtuais que isto é, conexões temporárias que não têm presença física real, mas
consistem em pacotes roteados em diversas máquinas na Internet. Conexões virtuais
seguras são criado entre duas máquinas, uma máquina e uma rede, ou duas redes.

2.1 Aplicações para VPN

 Conexão de Lans via Internet

Uma solução que substitui as conexões entre LANs através de circuitos dedicados de
longa distância é a utilização de circuitos dedicados locais interligando-as à Internet. O
software de VPN assegura esta interconexão formando a WAN corporativa. A depender
das aplicações também, pode-se optar pela utilização de circuitos discados em uma das
pontas, devendo a LAN corporativa estar, preferencialmente, conectada à Internet via
circuito dedicado local ficando disponível 24 horas por dia para eventuais tráfegos
provenientes da VPN.

Figura 2: Conexão de Lans via Internet

Fonte: CHIN (2023).

 Acesso Remoto via Internet

 O acesso remoto a redes corporativas através da Internet pode ser viabilizado com a
VPN através da ligação local a algum provedor de acesso (Internet Service Provider -
ISP). A estação remota disca para o provedor de acesso, conectando-se à Internet e o
software de VPN cria uma rede virtual privada entre o usuário remoto e o servidor de
VPN corporativo através da Internet.

Figura 3: Acesso Remoto via Internet

Fonte: CHIN (2023).
 Conexão de Computadores numa Intranet

Em algumas organizações, existem dados confidenciais cujo acesso é restrito a um

pequeno grupo de usuários. Nestas situações, redes locais departamentais são
implementadas fisicamente separadas da LAN corporativa. Esta solução, apesar de
garantir a "confidencialidade" das informações, cria dificuldades de acesso a dados da
rede corporativa por parte dos departamentos isolados. As VPNs possibilitam a conexão
física entre redes locais, restringindo acessos indesejados através da inserção de um
servidor VPN entre elas. Observe que o servidor VPN não irá atuar como um roteador
entre a rede departamental e o resto da rede corporativa uma vez que o roteador
possibilitaria a conexão entre as duas redes permitindo o acesso de qualquer usuário à
rede departamental sensitiva. Com o uso da VPN o administrador da rede pode definir
quais usuários estarão credenciados a atravessar o servidor VPN e acessar os recursos
da rede departamental restrita. Adicionalmente, toda comunicação ao longo da VPN
pode ser criptografada assegurando a "confidencialidade" das informações. Os demais
usuários não credenciados sequer enxergarão a rede departamental.

Figura 4: Conexão de Computadores numa Intranet

Fonte: CHIN (2023).
 2.2 TUNELAMENTO

De acordo com MARLETA (2007), o tunelamento é uma técnica utilizada pela VPN
para encapsular um protocolo dentro de outro. Assim, pode-se utilizar esta técnica para
que seja possível que um pacote dentro de uma rede que não usa o protocolo IP, possa
trafegar pela Internet.
No entanto, quando se utiliza o tunelamento por meio de VPN, existem estratégias de
criptografia a serem adicionadas ao processo, antes de encapsular um pacote que irá ser
transportado pela rede. Logo, o processo de tunelamento em uma VPN é composto
pelas seguintes fases (ASSIS, 2003):

 Criptografia dos dados: Criptografar o pacote a ser transportado,

de forma que o torne ilegível em caso de interceptação da transmissão;
 Encapsulamento: Um dado protocolo de tunelamento encapsula os
pacotes com um cabeçalho que contém informações de roteamento, com
identificação do destino do pacote;
 Transmissão ao longo da rede: Os pacotes são roteados entre as
extremidades do túnel na rede intermediária (rede pública), até chegarem ao seu
destino;
 Desencapsulamento: No destino, o pacote é desencapsulado,
deixando apenas informações do protocolo da rede local;
 Decriptografia dos dados: Realiza a descriptografia dos pacotes
finais,de forma que o torne legível para a outra extremidade do túnel.

Figura 5: Processo de tunelamento.

Fonte:Chin(2023).
 2.3 Tipos de Túneis
Segundo ASSIS (2003), existem dois tipos de tunelamento:

 Tunelamento Voluntário: Quando uma estação de trabalho ou um

servidor utiliza um software para o cliente de tunelamento para criar uma
conexão até o servidor VPN. Este método é utilizado por clientes dial-up que
primeiro conectam-se a Internet, para depois criar o túnel utilizando o software,
com isso o cliente passa a ser o fim do túnel;
 Tunelamento Compulsório: Neste tipo de tunelamento, o
computador do usuário não funciona como extremidade do túnel. Existe um
servidor de acesso remoto, que está localizado entre o computador do usuário e o
servidor do túnel, pelo qual funciona como uma das extremidades do túnel.
Desta forma, não é necessário que os clientes de rede tenham software cliente
para tunelamento.

2.3.1 Protocolos de Tunelamento

Os Protocolos de Tunelamento são os protocolos responsáveis pela abertura e
gerenciamento de sessões de túneis em VPNs. Estes protocolos podem ser divididos em
dois grupos:

 Protocolos de camada 2 (PPP sobre IP): transportam protocolos de

camada 3, utilizando quadros como unidade de troca. Os pacotes são
encapsulados em quadros PPP; exemplos de protocolos de nível 2 são o PPTP,
L2F, L2TP e GRE.
 Protocolos de camada 3 (IP sobre IP): encapsulam pacotes IP com
cabeçalhos deste mesmo protocolo antes de enviá-los. O IPSec é um protocolo
de camada 3.

 PPTP – Point to Point Tunneling Protocol

O protocolo PPTP é um modelo "voluntário" de tunelamento, ou
seja , permite que o próprio sistema do usuário final, por exemplo, um
computador, configure e estabeleça conexões discretas ponto-a-
ponto para um servidor PPTP, localizado arbitrariamente, sem a
intermediação do provedor de acesso. Este protocolo constrói as
funcionalidades do protocolo PPP (Point-to-Point Protocol - um dos
protocolos mais utilizados na Internet para acesso remoto) para o
tunelamento dos pacotes até seu destino final. Na verdade, o PPTP
encapsula pacotes PPP utilizando-se de uma versão modificada do
GRE (Generic Routing Encapsulation), o que torna o PPTP capaz de
lidar com outros tipos de pacotes além do IP, como o IPX (Internet
Packet Exchange) e o NetBEUI (Network Basic Input/Output System
Extended User Interface), pois é um protocolo baseado na camada 2
do modelo OSI (enlace).

 L2F – Layer 2 Forwarding

 Foi um dos primeiros protocolos utilizado por VPNs. Assim como o
PPTP, o L2F foi projetado como um protocolo de tunelamento entre
usuários remotos e corporações. Uma grande diferença entre o PPTP
e o L2F, é o fato do mesmo não depender de IP e, por isso, é capaz de
trabalhar diretamente com outros meios como FRAME RELAY ou ATM.
Este protocolo utiliza conexões PPP para a autenticação de usuários
remotos, mas também inclui suporte para TACACS+ e RADIUS
(servidores de autenticação de usuário) para uma autenticação desde
o inicio da conexão. Na verdade, a autenticação é feita em dois
níveis: primeiro, quando a conexão é solicitada pelo usuário ao
provedor de acesso; depois, quando o túnel se forma, o gateway da
corporação também irá requerer uma autenticação.
A grande vantagem desse protocolo é que os túneis podem suportar mais
de uma conexão, o que não é possível no protocolo PPTP. Além disso, o L2F
também permite tratar de outros pacotes diferentes de IP, como o IPX e o
NetBEUI por ser um protocolo baseado na camada 2 do modelo OSI.

 L2TP – Layer 2 Tunneling Protocol

Este protocolo foi criado pela IETF (Internet Engennering Task Force) para resolver
falhas presentes no PPTP e do L2F. Na verdade, utiliza os mesmo conceitos do L2F e
assim como este, foi desenvolvido para transportar pacotes por diferentes meios, como
X.25, framerelay e ATM e também é capaz de tratar de outros pacotes diferentes de IP,
como o IPX e o NetBEUI (protocolo baseado na camada 2 do modelo OSI) .
O L2TP é, porém, um modelo de tunelamento "compulsório", ou seja, criado pelo
provedor de acesso, não permitindo ao usuário qualquer participação na formação do
túnel (o tunelamento é iniciado pelo provedor de acesso). Neste modelo, o usuário disca
para o provedor de acesso à rede e, de acordo com o perfil configurado para o usuário e
ainda, em caso de autenticação positiva, um túnel L2TP é estabelecido dinamicamente
para um ponto pré-determinado, onde a conexão PPP é encerrada.
 GRE (Generic Routing Protocol)
Túneis GRE são geralmente configurados entre roteadores fonte e roteadores destino
(pacotes ponto-a-ponto). Os pacotes designados para serem enviados através do túnel (já
encapsulados com um cabeçalho de um protocolo como, por exemplo, o IP) são
encapsulados por um novo cabeçalho (cabeçalho GRE) e colocados no túnel com o
endereço de destino do final do túnel. Ao chegar a este final, os pacotes são
desencapsulados (retira-se o cabeçalho GRE) e continuarão seus caminhos para o
destino determinado pelo cabeçalho original.

 IPSec (Internet Protocol Security)

Talvez o mais importante desses protocolos, o IPSec surgiu a partir de esforços
para garantir segurança aos pacotes da próxima geração do IP (IPv6), podendo hoje
ser também usado com o IPv4. Apesar das RFCs que definem o IPSec fazerem parte
dos padrões do IETF desde 1995, os protocolos ainda estão sendo refinados,
conforme surgem as necessidades de adaptação e variedades de utilização. O IPSec
será melhor detalhado na seção 2.4.
 2.4 IPSec – Internet Protocol Security
O IPSec é um conjunto de protocolos que permite proteger a troca de informações
por uma LAN, WANs privadas e públicas e pela Internet. Através dele podemos fazer
uso de 37 diversas aplicações como, transferência de arquivos, utilização de e-mail,
acesso remoto, entre outros, com garantia de que as informações trafegadas estão
seguras. O IPsec também garante interoperabilidade, sistemas de criptografia para IPV4
e para IPV6, além de prover confidencialidade, integridade e autenticidade
([Link]).
Além disso, ainda de acordo com ([Link]), dentre os protocolos utilizados pelo
IPSec para garantir a segurança, tem-se dois que devem ser detalhados:

 AH (Autentication Header): Este protocolo verifica a integridade

e a autenticidade do pacote, contudo não oferece a criptografia de dados.

 ESP (Encapsulating Security Payload): Este protocolo oferece

serviços que garantem a integridade, autenticidade e confidencialidade dos
dados trafegados durante a comunicação, sendo que a confidencialidade pode ser
fornecida ao conteúdo da mensagem e ao controle de fluxo de tráfego.

Figura 6:Estrutura padrão de um pacote IPSec.

Fonte: Pedro, VPNs(2024).
Trafegar dados através da Internet tornou-se uma preocupação quando os dados dos
setores privados começaram a utilizar a grande rede. Quando a Internet era utilizada
apenas no meio acadêmico e científico utilizava-se o protocolo TCP/IP, no entanto as
questões de segurança se intensificaram surgindo assim um protocolo mais seguro
IPSec (Internet Protocol Security) desenvolvido pela IETF (Internet Engineering Task
Force).
Em um cenário digital onde a segurança é uma prioridade incontestável, o IPSec
(Internet Protocol Security) destaca-se como um conjunto de protocolos robustos e
confiáveis projetados para assegurar a integridade, autenticidade e confidencialidade das
comunicações através da Internet. Desenvolvido como uma resposta à crescente
necessidade de segurança em redes, o IPSec se tornou um componente essencial em
muitas implementações de VPNs e redes corporativas. As funcionalidades essenciais do
IPSec incluem:

 Autenticação: O IPSec garante a autenticação das partes envolvidas na

comunicação, verificando suas identidades. Isso é alcançado por meio de
 métodos como certificados digitais ou o compartilhamento seguro de
predefinidas senhas.

 Integridade dos Dados: A integridade dos dados é preservada pelo

IPSec utilizando funções de hash. Essas funções geram resumos criptográficos
dos dados transmitidos, permitindo que o destinatário verifique se os dados não
foram alterados durante a transmissão.

 Confidencialidade: Para proteger os dados contra olhares indiscretos, o

IPSec emprega criptografia. O protocolo ESP (Encapsulating Security Payload)
é responsável por criptografar a carga útil dos pacotes IP, garantindo a
confidencialidade das informações.

 Gerenciamento de Chaves: O gerenciamento eficaz das chaves (IKE)

de criptografia é crucial para a segurança do IPSec. A distribuição segura e a
renovação regular das chaves garantem a continuidade da proteção oferecida
pelo IPSec.

2.4.1 Security Associations(SA)

Um fundamento importante do IPSec são as Security Associations. Uma Security
Association (SA) é um conjunto de parâmetros que representa uma relação
unidirecional entre um emissor e um receptor. Entre estes parâmetros, estão: algoritmo
de criptografia, chave de criptografia, algoritmo de autenticação e chave de
autenticação. As informações de uma SA são comuns ao receptor e ao emissor. Para
uma relação bidirecional, são necessárias duas Security Associations.

Figura 7: security Associations (R1 para R2).

Fonte: Prins and Pract. 5th ed - W. Stallings.

Três parâmetros atuam como identificadores de uma SA:

 Security Parameters Index, um identificador numérico único de 32 bits, presente

nos cabeçalhos dos protocolos IPSec;

 Endereço IP de destino;

 Identificador de protocolo de segurança, que relaciona a SA ao AH ou ao ESP.

Com esses parâmetros, um receptor pode facilmente associar uma mensagem segura
IPSec a uma SA em sua base de dados de SAs (ou a duas, caso sejam utilizados tanto o
AH quanto o ESP). Ele poderá então desencriptar a mensagem e verificar as
informações de autenticação, de acordo com os demais parâmetros.

2.4.2 Implementação
Com o IPSec, a segurança é implementada na camada do IP. Isto faz com que ele
seja transparente para as aplicações, que não precisam ter seu código-fonte alterado para
garantir segurança. Além disso, pode ser facilmente utilizado em conjunto com o UDP,
protocolo muito usado atualmente em comunicações multimídia.
Diferentemente, as soluções de segurança mais comumente adotadas (SSL, TLS,
SSH etc.) operam nas camadas de transporte ou aplicação. Muitas vezes, estas são
utilizadas devido à complexidade da arquitetura e dos protocolos do IPSec, que exigem
que a pilha TCP/IP seja alterada ou estendida, de acordo com a opção de
implementação.
O IPSec pode ser implementado de diversas maneiras, seja num terminal, em um
roteador ou firewall (para criar um gateway de segurança) ou em um dispositivo de
segurança independente. Na RFC 4301, são definidas 3 alternativas de implementação
para o IPSec:

 Integração no IP
Se baseia na integração dos protocolos do IPSec na implementação nativa do IP, o
que é viável tanto para um terminal quanto para um gateway de segurança. Pode ser
considerada a solução padrão, mais elegante.

 Bump-in-the-stack (BITS)
Consiste em implementar os protocolos IPSec entre a implementação nativa IP e os
drivers da rede local. Os pacotes passados adiante pela camada do IP são interceptados
por uma camada extra IPSec, que provê segurança e, depois, encaminha para a interface
de rede na camada seguinte.
Para esta implementação, não é necessário o acesso ao código-fonte da pilha IP.
Normalmente, quando adotada, esta estratégia é aplicada a terminais da Internet.

2.4.3 Bump-in-the-wire (BITW)

Neste método, é utilizado um hardware adicional, que provê os serviços IPSec.
Este hardware atua de maneira semelhante ao software BITS, interceptando pacotes IP,
adicionando segurança e repassando-os na rede.
Quando utilizado em conjunto com um roteador ou firewall, pode-se criar
um gateway de segurança, que permite que diversos computadores numa rede local
estabeleçam conexões seguras com terminais fora da rede, sem implementarem o IPSec.
Mais informações poderão ser obtidas na descrição do modo túnel, na seção Modos de
Operação.
Assim como a opção de implementação BITS, o Bump-in-the-wire não requer o
acesso ao código da implementação IP nativa.
O IPSec opera no nível da camada de rede do modelo OSI, garantindo uma
segurança abrangente para a transmissão de dados em redes IP. Este conjunto de
protocolos oferece dois modos principais de operação: Modo de Transporte e Modo de
Túnel.

Modo de Transporte:

 Foca na proteção dos dados transmitidos entre dois pontos finais,

ideal para comunicações ponto a ponto.
 Criptografa apenas o conteúdo da carga útil, mantendo os cabeçalhos
originais do pacote IP.

Este modo de operação, que pode ser considerado o mais simples, é utilizado
principalmente para o estabelecimento de comunicações fim-a-fim seguras entre
terminais da Internet. Pode ser visto como o envio de pacotes IP comuns, com os
respectivos cabeçalhos de transporte e aplicação, porém seguros. Esta segurança pode
envolver tanto autenticação quanto confidencialidade.

Figura 8: Modo transporte.

Fonte: Pedro, VPNs(2024).

O modo transporte se baseia no encapsulamento dos protocolos das camadas

superiores. Os cabeçalhos referentes ao AH e/ou ESP (os dois protocolos responsáveis
por fornecer autenticação e encriptação) são adicionados após o cabeçalho da Camada
de Transporte (TCP/UDP).
Acrescido ao pacote após os cabeçalhos AH/ESP, o cabeçalho IP é mantido
inalterado, possibilitando um roteamento na rede idêntico ao usual. Devido a este fato,
apenas a porção de dados do pacote pode ser encriptada, provendo confidencialidade.
Caso o pacote seja interceptado por terceiros, ainda que os dados enviados estejam
criptografados, as informações contidas no cabeçalho IP (entre elas endereço de origem
e destino) poderão ser acessadas. Todavia, como poderá ser visto nas seções posteriores,
mesmo que a confidencialidade se restrinja à porção de dados nesse modo de operação,
a integridade pode ser garantida para o pacote como um todo.
Há outra constatação acerca deste tipo de operação: como, neste caso, os cabeçalhos
AH e ESP precisam ser inseridos antes do IP durante o empacotamento da mensagem
oriunda da Camada de Transporte, este modo está associado à opção de arquitetura
integrada, descrita anteriormente.

Modo de Túnel:

 Aplica-se a tráfego entre redes inteiras, encapsulando pacotes IP em

novos cabeçalhos.
 É frequentemente utilizado em VPNs de Site a Site para criar túneis
seguros através da Internet.

Muito utilizado atualmente para o estabelecimento de VPNs, o modo túnel encapsula

completamente o pacote IP. Na frente do cabeçalho IP original, são adicionados os
cabeçalhos IPSec e um novo cabeçalho IP, que permite a formação de um túnel. Desta
forma, a segurança será sempre aplicada ao pacote original como um todo, e não apenas
à porção de dados.

Figura 9: Modo túnel.

Fonte: : Pedro, VPNs(2024).

O novo cabeçalho IP é utilizado no roteamento do pacote através da Internet.

Chegando a seu destino, ocorrerá primeiramente a verificação da autenticação e a
desencriptação do restante do pacote. No caso de as informações estarem corretas, os
cabeçalhos AH e ESP são removidos e o pacote IP original é reconstituído. De acordo
com o endereço de destino original, o pacote pode ser entregue à máquina local ou
roteado novamente na rede. Se for roteado novamente, não estará mais sob a proteção
do IPSec.
Tipicamente, o modo túnel é utilizado quando ao menos um dos pontos da
comunicação está atrás de um gateway de segurança, que pode ser um roteador
ou firewall que implemente o IPSec. Cria-se um túnel seguro através de uma rede
pública não segura (como a Internet atual). É este o princípio das VPNs.
Como os cabeçalhos IPSec são acrescidos após o IP ter processado as mensagens das
camadas superiores, este modo de operação está associado, em geral, às outras duas
formas de implementação, BITS e BITW.
 2.5 Protocolos Principais do IPSec

2.5.1 Protocolo AH (Authentication Header)

O AH é responsável pela autenticação e integridade dos pacotes IP. Ele adiciona um

cabeçalho de autenticação aos pacotes, garantindo que sua origem e conteúdo
permaneçam intactos durante a transmissão. O AH fornece e integridade aos datagramas
passados entre dois sistemas.
Ele consegue isso aplicando uma função de hash unidirecional com a chave ao
datagrama para criar um resumo da mensagem. Se qualquer parte do diagrama for
alterada durante o trânsito, ela será detectada pelo receptor quando ele executar a
mesma função hash unidirecional no datagrama e comparar o valor do resumo da
mensagem fornecido pelo remetente. Em alguns programas P2P para compartilhamento
de arquivos, por exemplo, é realizada a autenticação dos usuários e o teste de
integridade dos blocos de arquivos enviados. Entretanto, não há privacidade na troca de
pacotes.
No envio da mensagem, é calculada uma sequência de bits (chamada hash) de acordo
com uma chave secreta (estabelecida pela Security Association) e o conteúdo do pacote
(excetuando campos variáveis do IP como TTL). Para isso, é usado um algoritmo
de hash, também definido pela AS. Na recepção, o hash é recalculado e comparado com
o presente no AH. Como apenas os comunicantes conhecem a chave utilizada, é
possível verificar se o pacote foi alterado, seja devido a erros ou a atitudes maliciosas.

2.5.2 Protocolo ESP (Encapsulating Security Payload)

Encapsulating Security Payload (ESP) é um protocolo de segurança usado para

fornecer confidencialidade (criptografia), autenticação de origem de dados, intregidade,
serviço anti-replay opcional e confidencialidade limitada de fluxo de tráfego.
Este protocolo define a encriptação do pacote como um todo (no modo túnel) ou da
porção de dados do pacote (no modo transporte). No lado do emissor é realizada a
encriptação e, no lado do receptor, a desencriptação. No entanto, o ESP agora também
pode fornecer autenticação para os pacotes.
Tanto para a encriptação, feita pelo emissor, quanto para a desencriptação, feita pelo
receptor, são utilizados o algoritmo de criptografia e a chave secreta definidos por uma
mesma SA. Há várias opções de algoritmos, sendo os mais comuns 3DES, Blowfish e
AES.
 2.6 Internet Key Exchange
O Internet Key Exchange (IKE) é um protocolo usado em redes de computadores
para estabelecer, negociar e gerenciar associações de segurança (Security Associations -
SAs) entre dispositivos em uma comunicação segura. O IKE é frequentemente
associado com o protocolo IPsec (Internet Protocol Security), que é usado para fornecer
serviços de segurança, como autenticação, integridade e confidencialidade nas
comunicações de rede.
A principal função do IKE é facilitar a negociação de parâmetros de segurança e a
troca de chaves criptográficas entre dois dispositivos (como dois roteadores, gateways
VPN ou sistemas finais) para estabelecer uma conexão segura. IKE é comumente
utilizado em VPNs (Redes Privadas Virtuais) e em implementações de IPsec.
Aqui estão algumas das principais características e funções do IKE:

1. Autenticação e Integridade: IKE permite que os dispositivos autentiquem

uns aos outros e garantam a integridade dos dados trocados.
2. Negociação de Parâmetros: Antes de estabelecer uma comunicação segura,
os dispositivos precisam concordar sobre parâmetros de segurança, como algoritmos de
criptografia, métodos de autenticação, e chaves de sessão.
3. Estabelecimento de Sessão Segura: Após a negociação bem-sucedida, o
IKE estabelece uma SA (Security Association) que contém as informações necessárias
para proteger o tráfego entre os dispositivos.
4. Renovação de Chaves: O IKE suporta a renovação automática de chaves,
contribuindo para uma comunicação segura a longo prazo.
5. Modos de Operação: Existem dois modos de operação no IKE. Modo
Principal (Main Mode) e Modo Rápido (Quick Mode). O Modo Principal é usado para
estabelecer a comunicação inicial e negociar parâmetros de segurança, enquanto o
Modo Rápido é usado para a renovação de chaves e a troca de dados de controle.

O IKE é uma parte integral da implementação de muitas soluções de VPNs e fornece

uma base segura para a troca de informações sensíveis através de redes não seguras,
como a Internet.

2.7 Funcionamento
Este protocolo, que pode ser considerado o mais complexo do conjunto IPSec, usa o
ISAKMP (Internet Security Association Key Management Protocol) como base para
criar as SAs nos dois lados da comunicação, que serão utilizadas pelos protocolos AH e
ESP.
O primeiro passo para o estabelecimento das SAs para os comunicantes é a criação
de um canal seguro. Este é definido por uma SA bidirecional (ao contrário das demais)
referente ao IKE. Nela, estão contidas informações como a chave secreta e os
algoritmos de criptografia que serão usados nas negociações subsequentes (para as SAs
do AH e do ESP).
Para a escolha da chave secreta, é realizada uma série de procedimentos baseada no
algoritmo de troca de chaves Diffie-Hellman.
 2.8 Diffie-Hellman (DH)

Diffie-Hellman (DH) é um protocolo de criptografiade chave pública que permite

que duas partes estabeleçam uma chave secreta compartilhada usada por algoritmos de
criptografia (DES ou MD5, por exemplo) através de um canal de comunição inseguro.
DH é usado no IKE para estabelecer sessão chaves(Mason, Andrew G).
Proposto em 1976, este algoritmo permite o estabelecimento de uma chave secreta
compartilhada através de um canal de comunicação inseguro. Esta chave poderá ser
utilizada, por exemplo, em algoritmos de criptografia simétrica.
Em 2002, Hellman sugeriu que o algoritmo Diffie-Hellman fosse chamado de
Algoritmo de Acordo de Chaves Diffie-Hellman-Merkle, em reconhecimento ao
antecessor e fundamental trabalho feito por Ralph Merkle na invenção da PKC (Public
Key Cryptography - Criptografia de Chave Pública). O algoritmo DH, como também é
chamado, não executa nenhuma técnica de cifragem de dados. Ao invés disso, ele utiliza
a tecnologia de chave pública para gerar uma chave de sessão simétrica. Duas partes
podem gerar o mesmo segredo desde que possuam suas próprias chaves privadas e a
chave pública de sua contraparte, que está, obviamente, publicamente disponível. Esse é
o acordo de chaves. Se combinarmos um valor privado com o outro valor público, cada
indivíduo gerar á o mesmo valor secreto.
O objetivo do protocolo Diffie-Hellman é permitir que duas partes gerem uma chave
compartilhada, mesmo que estejam se comunicando através de um canal não seguro,
como a internet. Ele funciona da seguinte maneira:

 Geração de Parâmetros: Antes da comunicação, um conjunto de

parâmetros é gerado publicamente. Esses parâmetros incluem um número
primo grande (p) e um número gerador (g). Esses parâmetros são
compartilhados entre as partes.
 Geração de Chaves Públicas e Privadas: Cada parte gera sua
própria chave privada (um número secreto) e uma chave pública
(calculada usando os parâmetros públicos). As chaves públicas podem
ser compartilhadas publicamente.
 Troca de Chaves Públicas: As partes trocam suas chaves públicas.
 Geração da Chave Compartilhada: Com as chaves públicas
recebidas, cada parte pode calcular a mesma chave compartilhada usando
sua chave privada e a chave pública do outro. Surpreendentemente,
mesmo que as chaves públicas sejam compartilhadas publicamente, a
chave compartilhada resultante permanece segura.

O Diffie-Hellman é amplamente utilizado em protocolos de segurança, como

TLS/SSL para comunicação segura na web e em VPNs para estabelecer conexões
seguras entre redes.
 Figura 10: Funcionamento do algoritmo de Diffie-Hellman.

Fonte: Paul Fergunson and Geoff Huston.

O cálculo no protocolo Diffie-Hellman envolve operações matemáticas relativamente

simples, mas a dificuldade reside na capacidade de computar certos valores específicos,
mesmo conhecendo outros valores. Vamos passar pelos passos básicos do cálculo no
Diffie-Hellman:

Suponha que Alice e Bob desejem concordar sobre uma chave compartilhada.
1. Geração de Parâmetros Públicos: Escolha de forma pública dois números
primos grandes: um primo (p) e um gerador (g). p e g são compartilhados publicamente.
2. Geração de Chaves Privadas e Públicas: Cada parte escolhe uma chave
privada, que é um número aleatório, digamos (a) para Alice e (b) para Bob. Cada parte
calcula sua chave pública: para Alice ( A=g a mod p ), para Bob:( B=gb mod p ), as chaves
públicas (A) e (B) são compartilhadas publicamente.
3. Troca de Chaves Públicas: alice envia (A) para Bob, Bob envia (B) para
Alice.
4. Cálculo da Chave Compartilhada: Alice calcula a chave
compartilhada(K) usando a chave pública de Bob: ( K=B a mod p), Bob calcula a chave
compartilhada(K) usando a chave pública de Alice ( K= A b mod p ). Ambas as partes
agora têm a mesma chave compartilhada (K), que pode ser utilizada para criptografar e
descriptografar as comunicações entre elas.

A segurança do Diffie-Hellman é baseada na dificuldade de calcular logaritmos

discretos em um campo finito (problema conhecido como o "Problema do Logaritmo
Discreto"). Mesmo conhecendo (A), (B), (p), e (g), é computacionalmente difícil
determinar os valores de (a) e (b). Isso fornece uma maneira segura de concordar sobre
uma chave secreta através de um canal inseguro.
CAPÍTULO 3 – IMPLEMENTAÇÃO PRÁTICA
 3. Implementação Prática
3.1 Metodologia
Nesta seção, é descrito detalhadamente o processo de implementação prática de uma
VPN IPsec na Clínica Multiperfil, utilizando o simulador de rede Cisco Packet Tracer.
A implementação visa proteger a comunicação entre os usuarias remotos da clínica.

 A rede da Clínica Multiperfil usuarios remotos e servidores, conectadas por

links WAN simulados no Cisco Packet Tracer.

Planta baixa:

Topológia da rede:

Figura 8: Topológia da rede.

Ferramentas e Tecnologias Utilizadas: Foi utilizado o Cisco Packet Tracer para

simulação da rede e configuração da VPN IPsec.
 3.2 Etapas da Implementação

 Foram configurados os roteadores em cada local para suportar VPN IPsec e

estabelecer túneis seguros entre a clínica e a provedora e os usuarios
remotos.

Figura 9: Configuração da licença de segurança no router c1900 da clínica.

 Figura 10: Configuração da licença de segurança no router c1900 da provedora.

 Configuração IPsec nos roteadores simulados e estabelecemos as conexões

VPN.

Figura 11: Configuração do vpn ipsec no router da clínica.

 Figura 12: Configuração do vpn ipsec no router da provedora.

 Foram Realizados testes de conectividade e segurança utilizando pings e

tráfego de teste entre a clínica e os usuarios remotos.
 Figura 13: Verificação do ipsec sa no router da clínica.

Figura 14: Verificação do ipsec sa no router da provedora.

Foi escolhido o Cisco Packet Tracer devido à sua capacidade de simular redes
complexas e a facilidade de configuração e testes de VPN IPsec.

3.3 Segurança da Rede

A segurança da rede foi um aspecto crucial durante toda a implementação da VPN
IPsec. As seguintes medidas foram adotadas para garantir a segurança:

 Configuramos as políticas de IPsec, incluindo autenticação por chave pré-

compartilhada (PSK), criptografia AES e integridade SHA.
Figura 15: Políticas ipsec no router da clínica.

Figura 16: Políticas ipsec no da provedora.

 Implementamos listas de controle de acesso (ACLs) nos roteadores que
apenas dispositivos autorizados possam estabelecer túneis VPN.

Figura 17: ACL no router da clínica.

 Figura 18: ACL no router da provedora.

 Configuramos a criptografia para garantir que todos os dados transmitidos

entre a clínica e os usuarios remotos estejam protegidos.

Figura 19: Configuração da criptografia no router da clinica.

 Figura 20: Configuração da criptografia no router da provedora.

A implementação segue as melhores práticas recomendadas pela Cisco para VPN IPsec
e segurança de rede.
CAPÍTULO 4 – ANÁLISE DOS RESULTADOS
 4. ANÁLISE DOS RESULTADOS
4.1 Clínica Multiperfil
A Clínica Multiperfil foi criada por decreto Ministerial (Decreto nº 33/02) e atribuída a categoria de
Instituto Público, dotado de personalidade jurídica e de autonomia administrativa, financeira e
patrimonial.
Foi inaugurada no dia 8 de Novembro de 2002, pelo Presidente José Eduardo dos Santos com o
objectivo de ser um centro formador e disseminador de conhecimentos e dotar o País de uma infra-
estrutura física, tecnológica e humana capaz de dar respostas às principais necessidades da
população, designadamente nas áreas médicas de maior complexidade tecnológica.
Durante todos estes anos de actividade tem trabalhado na prossecução de um aperfeiçoamento
contínuo na área da saúde, com qualificação constante dos profissionais, através de cursos de
actualização presenciais e a distância (internet), seminários, workshops, jornadas científicas e
congresso na busca da qualificação e reforço de competências profissionais, contando para este
efeito com parcerias nacionais e internacionais na área de educação e saúde, contribuindo para o
desenvolvimento da medicina e melhoria da saúde no país.

 Composta por 12 departamentos:

DEPARTAMENTOS ENDEREÇOS IP

T.I VLAN 10 ([Link]/24)

GERAL VLAN 20 ([Link]/24)

R.H VLAN 30 ([Link]/24)

ARQUIVOS VLAN 40 ([Link]/24)

MARKETING VLAN 50 ([Link]/24)

FINANÇAS VLAN 60 ([Link]/24)

INFORMÁTICA VLAN 70 ([Link]/24)

COMPRAS VLAN 80 ([Link]/24)

CONFERÊNCIAS VLAN 90 ([Link]/24)

PATRIMONIO VLAN 100 ([Link]/24)

NUTRIÇÃO VLAN 110 ([Link]/24)

RECEPÇÃO VLAN 120 ([Link]/24)

  Endereço
Rua do Futungo de Belas

Morro Bento

Luanda, Angola

Tipo de Criptografia: AES com chave de 256 bits.

Protocolo de Integração de Chave: Diffie-Hellman com grupo de chaves de 2048 bits.
Hashing: SHA-256.

Uma redução significativa na largura de banda em comparação com a conexão direta,

principalmente devido à sobrecarga de criptografia e descriptografia.
A latência pode aumentar devido ao processamento adicional necessário para
criptografar e descriptografar os pacotes.
Haverá um certo overhead de gerenciamento associado à negociação e manutenção das
conexões VPN. 1 Gbps (conexão Gigabit Ethernet) de banda larga. Uma redução para
aproximadamente 200-300 Mbps, dependendo das especificações exatas dos
dispositivos e da carga de tráfego.

Tipo de Criptografia AES com chave de 256 bits

Protocolo de Integração de Chave Diffie-Hellman com grupo de chaves de 2048 bits

Hashing SHA-256 bits

Largura de Banda Direta 1 Gbps (conexão Gigabit Ethernet)

Largura de Banda com VPN IPsec 200-300 Mbps (estimativa)

Expectativas de Desempenho Redução significativa na largura de banda; Aumento na latência; Overhead

de gerenciamento adicional

Tabela 1: Análise dos resultados

4.2 Segurança
A implementação do IPsec oferece suporte a uma variedade de algoritmos
criptográficos para garantir a segurança das comunicações. Os algoritmos de
criptografia disponíveis incluem AES (Advanced Encryption Standard) e 3DES (Triple
Data Encryption Standard), entre outros.
  AES (Advanced Encryption Standard)
O AES é um algoritmo de criptografia simétrica amplamente utilizado e considerado
altamente seguro. Ele oferece diferentes tamanhos de chave, sendo os mais comuns de
128, 192 e 256 bits. No Cisco Packet Tracer, o AES é implementado para proteger os
dados transmitidos através do IPsec.
O AES é amplamente considerado seguro devido à sua resistência a ataques conhecidos
e à sua eficiência computacional. A segurança do AES é baseada na dificuldade de
quebrar a cifra sem a chave correta. Mesmo com avanços na computação quântica, o
AES ainda é considerado seguro quando usado com tamanhos de chave adequados.
 3DES (Triple Data Encryption Standard)
O 3DES é uma versão mais segura do algoritmo DES original, que aplica o processo de
cifragem três vezes para aumentar a segurança. Cada passo do processo utiliza uma
chave de 56 bits, resultando em uma chave total de 168 bits.
Embora o 3DES tenha sido amplamente utilizado no passado e ainda ofereça um nível
razoável de segurança, ele é considerado menos eficiente e seguro do que o AES. Isso
se deve ao seu tamanho de bloco fixo e à sua complexidade computacional
relativamente alta. Apesar disso, o 3DES ainda é considerado seguro para uso em
ambientes onde o AES não está disponível ou é inadequado.
 Autenticação com Pre-Shared Key (PSK):
A autenticação com PSK é um método simples de autenticar os túneis VPN IPsec, onde
uma chave compartilhada é pré-configurada em ambos os lados da conexão.

Router(config)# crypto isakmp key cisco123 address [Link]

Router(config)# crypto isakmp policy 10

Router(config-isakmp)# encryption aes

Router(config-isakmp)# authentication pre-share

Router(config-isakmp)# group 2

Router(config-isakmp)# exit

Router(config)# crypto ipsec transform-set MYSET esp-aes esp-sha-hmac

Router(config)# crypto map MYMAP 10 ipsec-isakmp

Router(config-crypto-map)# set peer [Link]

Router(config-crypto-map)# set transform-set MYSET

Router(config-crypto-map)# match address 100

Router(config)# interface GigabitEthernet0/1

 Router(config-if)# crypto map MYMAP

Figura 2: Autenticação com Pre-Shared-Key(PSK).

 Autenticação com Certificados:

A autenticação com certificados usa certificados digitais para autenticar os túneis VPN
IPsec. Cada roteador deve ter um certificado digital e a chave privada correspondente
instalada.

Router(config)# crypto isakmp policy 10

Router(config-isakmp)# authentication rsa-sig

Router(config-isakmp)# exit

Router(config)# crypto map MYMAP 10 ipsec-isakmp

Router(config-crypto-map)# set peer [Link]

Router(config-crypto-map)# set transform-set MYSET

Router(config-crypto-map)# match address 100

Router(config)# interface GigabitEthernet0/1

Router(config-if)# crypto map MYMAP

Tabela 4: Autenticação com certificados.

4.3 ORÇAMENTO
 Hardware:
Equipamento Preço Quantidade

Router C1900 400.000 KZ 2

Switch camada 3 988.008 KZ 1

Switch camada 2 2.034.775 KZ 5

Servidor 319.204,528 KZ 6

Iot router 40.000,13 KZ 1

Total 3.781.987,658 KZ
 Tabela 5: Orçamento Hardware.

 Software:
Tipo de Licença/Serviço Descrição Preço

Cisco IOS Security License Habilita funcionalidades 4.268,65 KZ

avançadas de segurança,
incluindo IPsec VPN

Cisco Advanced Security Oferece recursos avançados 12.418,57 KZ

License como VPN, IPS, controle de
aplicativos

Cisco Firepower Threat Inclui funcionalidades de 24.209,65 KZ

Defense (FTD) License proteção avançada contra
ameaças, IPS, malware

Cisco Smart Net Total Care Suporte técnico 24/7, atualizações 506.004,00 KZ
de software, substituição de
hardware

Cisco Umbrella Segurança de DNS, proteção 42.925,44 KZ

contra malware, filtragem de
conteúdo

Total 589.826,3 KZ

Figura 6: Orçamento Software.

 Serviços:
Serviços Preço

Banda Larga 1.450.000 Kz/mês

Treinamento 12.456 KZ

Total 1.462.456 KZ

Figura 7: Orçamento Serviços.

 Orçamentento Total:
Hardware 3.781.987,658 KZ

Software 589.826,3 KZ

Serviços 1.462.456 KZ

Total 5.834.269,958 KZ

Figura 8: Orçamento total.

5. CONCLUSÕES E RECOMENDAÇÕES
 6. REFERÊNCIAS BIBLIOGRÁFICAS

 RFC2401 Security Architecture for the Internet Protocol. Disponível em

<[Link]
 ROSSI, Marco Antonio G.; FRANZIN, Oswaldo. VPN – Virtual Private
Network. Disponível em: <[Link] Acesso
em:16/12/2023.
 What is a VPN? – Paul Fergunson and Geoff Huston
 Brown, S. (1999). Implementing virtual private networks. New York: McGraw-
Hill
 CHIN, Liou Kuo. Rede Privada Virtual - VPN, 1998. Boletim bimestral sobre
tecnologia de redes. RNP – Rede Nacional de Ensino e Pesquisa, 1998. Vol. 2,
Nº 8. Disponível em: [Link] Acessado em:
6/11/2023.
 AHMAD, David R. Mirza e RUSSEL, Ryan. REDE SEGURA NETWORK.
Alta Books, 2002.
 Pedro,VPNs:[Link]://[Link]/grad/00_1/pedro/
[Link]. acessado em: 26/01/2024.
 ASSIS, João Mário. Implementando VPN em Linux. 2003. 76f. Monografia de
Pós Graduação apresentada ao Departamento de Ciência da Computação –
Universidade Federal de Larvas, Larvas(Brasil).
 MARLETA, Marcelo Honorato. Projeto de uma VPN(Rede Virtual Privada)
baseada em computação reconfigurável e aplicada a robôs móveis. 2007. 103f.
Dissertação (Mestrado em Ciência da Computação e Matemática
Computacional) – Universidade de São Paulo -USP, São Carlos (Brasil).
 IETF, “RFC 4835 - Cryptographic Algorithm Implementation Requirements for
Encapsulating Security Payload (ESP) and Authentication Header (AH)”.
Available: [Link]
 Cryptography and Network Security - Prins and Pract. 5th ed - W. Stallings
 Monteiro, E. et all (2000). Engenharia de Redes Informática. Lisboa: Editora
Informática, Lda
 IETF, “Internet X.509 Public Key Infrastructure - Certificate Management
Protocol (CMP)”. Available: [Link]
 GOLDANI, Carlos Alberto. IPSec e redes virtuais privadas – informe técnico.
Unicerte, 2004.
 SCOTT, Charlie, WOLFE, Paul, ERVWIN Mike. Virtual Private Networks, 2 nd
Edition. O’REILLY 1998

7. ANEXOS