servislerini kullanarak IP protokolü ile gerçekleştirilen bağlantıları korumak için kullanılır. Ağ seviyesinde doğrulama, veri kaynağı doğrulama,veri bütünlüğü, şifreleme ve karşı koruma görevlerini üstlenir.

TCP/IP protokolü geliştirilirken güvenlik üzerinde pek fazla durulmamıştı. Çünkü TCP/IP protokolünün bu denli yoğun ve standart olarak kabul edilip kullanılacağı düşünülmemişti. Bu nedenle verilerimiz ağ üzerinde savunmasız olarak ilerler ve birçok tehlikeyle karşılaşabilirler. Bu tehlikeler verilerimizin değiştirilmesi, verilerimizin kaybolması ve bununla beraber verilerimizin istenilen hedeflere ulaştırılamamasıdır. 
IPsec protokolü sayesinde verilerimiz ağ üzerinde güvenli bir şekilde ulaşmak istedikleri hedeflere ulaştırılır. IPsec protokolü IP protokollerinin güvenlik ihtiyaçlarını karşılamak için geliştirilmiş olan bir güvenlik protokolüdür.

Yazılım IP Şifreleme Protokolü 1993 yılı aralık ayında, John Ioannidis ve takımı ile birlikte Columbia Üniversitesi ve işbirliği ile araştırılmaya başlandı.

1994 Temmuz ayında, 'da çalışmakta olan Wei Xu, bu araştırmaya devam ederek IP protokollerinin gelişmesine katkı sağladı ve protokolün platformuna uygulanmasını başarı ile sonuçlandırdı. Bu başarının ardından, protokolü Sun OS ve HP UX gibi UNIX tabanlı sistemlere de uyarladı. DES ve 3-DES protokollerinin yavaş çalışması, araştırma sırasında karşılaştığı zorluklar arasındaydı. Yazılım şifrelemesi, Intel 80386 mimarisinde T1 hızını yakalayamıyordu. Wei Xu daha sonra, bugün tak-ve-çalıştır olarak bilinen otomatik cihaz sürücüsünü geliştirdi. Bu başarı ile birlikte Gauntlet Güvenlik Duvarı üretildi ve ticari olarak pazarlandı. 1994 aralık ayında, bu güvenlik duvarı ilk kez, Amerika Birleşik Devletleri'nde batı yakası ve doğu yakası arasında bazı siteler arasında güvenli bağlantı kurulması için kullanıldı.

Bir diğer IP Kapsüllenmiş Güvenlik Yükü, Naval Araştırma Laboratuvarlarında DARPA tarafından desteklenen bir proje olarak araştırılmış ve IEFT SIPP çalışma grubu tarafından SIPP ye güvenlik uzantısı olarak tasarlanmış ve 1993 Aralık ayında yayımlanmıştır. Kapsüllenmiş Güvenlik Yükü, ilk olarak Amerika Birleşik Devletlerini Savunma Bakanlığı SP3D protokolünden elde edilmiş, sanılanın aksine ISO Ağ Katmanı Güvenlik Protokolünden elde edilmemiştir.SP3D protokolünün özellikleri, NIST tarafından yayımlanmış, fakat Amerika Birleşik Devletlerini Savunma Bakanlığının Güvenli Bilgi Ağı Sistemi projesi tarafından tasarlanmıştır. Güvenlik Doğrulama Başlığı daha önce Basit Ağ Yönetim Protokolünün 2. Versiyonu için çalışan önceki IETF standartları tarafından elde edilmiştir.

1995 te, IEFT deki IPsec çalışma grubu ücretsiz kullanılabilen, Güvenli Bilgi Ağı Sistemi projesinde NSA sözleşmesi altında geliştirilen protokollerin incelenmiş versiyonlarını oluşturmaya başladı. Güvenli Bilgi Ağı Sistemi projesi NIST tarafından yayımlanan Güvenlik Protokolü Katmanı 3 tarafından tanımlanmış ve ISO Ağ Katmanı Güvenlik Protokolünün temellerini oluşturmuştur. Güvenlik Protokolü Katmanı 3 ün anahtar yönetimi IPsec komitesinde devam eden çalışmalara bir referans sağlayan Ağ Yönetim Protokolü tarafından desteklenmiştir.

IPsec tarafından standartlaştırılmıştır.

IPsec aşağıdaki protokolleri kullanarak çeşitli işlevler sağlamaktadır.

Doğrulama Başlığı IPsec protokol paketinin bir parçasıdır ve bağlantısız olarak bütünlük ve kaynak doğrulaması sağlar. Ayrıca isteğe bağlı olarak kayan pencere tekniğini kullanarak replay saldırılarına karşı koruma sağlar ve bunu yaparken eski paketleri düşürür.
Doğrulama Başlığı IP protokolünün üzerinde çalışır ve IP protokol numarası olarak 51 numarasını kullanır. Aşağıda Doğrulama Başlığı'nın nasıl oluşturulduğu gösterilmektedir.


Kapsüllenmiş Güvenlik Yükü protokolü, IPsec protokol paketinin bir parçasıdır, kaynak doğrulama, bütünlük ve gizlilik sağlar. Sadece gizlilik ve sadece doğrulama gerçekleştirme ayarına sahiptir fakat sadece gizlilik ayarı güvenlik açıklarına yol açtığı önerilmemektedir. Doğrulama Başlığının aksine, taşıma modu ile kullanıldığında tüm IP paketi üzerinde bütünlük ve doğrulama sağlamamaktadır. Fakat tünel modu ile kullanıldığında, tüm paket kapsülleneceği ve yeni bir başlık ekleneceği için kapsüllenen paketin tamamında koruma sağlamaktadır.

Kapsüllenmiş Güvenlik Yükü protokolü, IP katmanının üzerinde çalışır ve IP protokol numarası olarak 50 numarasını kullanır. Aşağıda Kapsüllenmiş Güvenlik Yükü'nün nasıl oluşturulduğu gösterilmektedir.


IPsec tarafından sağlanan güvenlik politikası kaynaktan hedefe gönderilecek olan her veri paketine uygulanır. Bu güvenlik politikası iki veritabanın etkileşimi ile belirlenir. Bu veritabanları Güvenlik Ortaklığı Veritabanı(Security Assocation Database) ve Güvenlik Politikası Veritabanı(Security Policy Database) olarak adlandırılır.

Güvenlik Ortaklığı(Security Association) alıcı ve gönderici arasında kurulmuş olan mantıksal bağlantıya verilen isimdir. Bu bağlantı tek yönlü olarak sağlanmaktadır. IPsec güvenlik işlemleri bu bağlantı içerisinde gönderilen veri paketleri üzerine uygulanır. Eğer sistemdeki alıcı ve göndericinin çift yönlü veri alışverişi yapmaları gerekiyorsa, iki farklı Güvenlik Ortaklığının kurulması gerekmektedir. Güvenik Ortaklıkları üç farklı değer ile birbirinden ayırt edilir;

Her IPsec uygulmasında bulunması zorunlu bir veritabanı olan Güvenlik Ortaklığı Veritabanı, sistemden sisteme işleyişinde farklılık gösterebilir. Bu farklılıklar, IPsec protokolünü gerçekleştiren kişiler tarafından belirlenir.

Bu veritabanının amacı, sistemde bulunan Güvenlik Ortaklıklarını tutmaktır. Veritabanı içerisinde Güvenlik Ortaklıkları aşağıdaki parametrelere bağlı olarak tutulmakta ve ayırt edilmektedir;

Güvenlik Politikası Veritabanı(Security Policy Database), hangi veri trafiğinin hangi Güvenlik Ortaklığı ile ilişkili olduğunu belirten kayıtlara sahip olan bir veritabanıdır. Aynı zamanda veri paketleri üzerinde hangi koruma işlemlerinin gerçekleştirileceğini de göstermektedir. Bu veritabanında bulunan her kayıt, kaynak ve hedef IP adresleri ve port numaraları ile ayırt edilir. Veri paketleri işlenirken geçtiği aşamalar şu şekilde sıralanabilir; Öncelikle Güvenlik Politikası Veritabanı ilgili kayıt için aranır ve kayıtın gösterdiği Güvenlik Ortaklığı elde edilir. Daha sonra Güvenlik Ortaklığının sahip olduğu Güvenlik Parametreleri İndeksi bulunur. Bu indeks sayesinde pakete uygulanacak, kullanılan protokollerle ilişkili, işlemler elde edilir. Bu bilgiler doğrultusunda IPsec koruma işlemleri veri paketine uygulanır.

IPsec protokolü uygulanırken kullanılan Doğrulama Başlığı ve Kapsüllenen Güvenlik Yükü, aşağıda anlatılan iki modu desteklemektedir.

Bu mod kullanıldığında, IPsec, Ağ Katmanının üzerinde yer alan Taşıma Katmanı ve Uygulama Katmanına koruma sağlamaktadır. IP paketinin yükü, IPsec başlığı ile genişletilmiştir. Genişletilmiş bu başlık daha sonra Ağ Katmanı protokolü olan IP protokolünün başlığı ile çevrelenir. Taşıma modu, IP paketinin yüküne, şifreleme ve/veya kimlik doğrulama işlemlerini uygulayarak çalışmaktadır. Bu mod, genellikle iki bilgisayar arasında, örnek olarak bir alıcı ve bir sunucu verilebilir, uçtan uca iletişimin korunması amaçlı kullanılır.

Doğrulama Başlığı ile kullanıldığında, IP paketinin yükünün ve IP paket başlığının belirlenen kısımlarının doğrulanması gerçekleştirilir.

Kapsüllenen Güvenlik Yükü ile kullanıldığında, IP paketinin yükü şifrelenir ve opsiyonel olarak doğrulama işlemi gerçekleştirilir. Fakat IP paket başlığı üzerinde bu işlemler gerçekleştirilmez.

Bu mod, tüm IP paketi üzerinde koruma sağlamaktadır. IP paketi üzerine Doğrulama Başlığı ve Kapsüllenen Güvenlik Yükü alanları eklenir. Oluşan yeni pakete yeni bir IP paket yükü gibi davranılır ve tekrar yeni bir IP başlığı ile çevrelenir. Orijinal IP paketi, içeride kalan yük içerisindedir. Paket bir noktadan diğerine iletilirken, iç içe oluşturulmuş bu yapı sayesinde, yol üzerindeki yönlendiriciler, içerideki IP paketini okuyamaz ve değerlendiremezler. Orijinal IP paketininde bulunan kaynak ve hedef adresleri, gönderilmekte olan pakette bulunan kaynak ve hedef adreslerinden farklı olacağı için bu durum, güvenliğe katkıda bulunmaktadır. Tünel modu, Security Association'ın tek veya iki tarafının da, bir güvenlik duvarı veya IPsec uygulanmış bir yönlendirici gibi, bir güvenlik geçidi(gateway) ise kullanılmaktadır.

Doğrulama Başlığı ile kullanıldığında, gönderilen paket içerisinde bulunan tüm IP paketi üzerinde doğrulama işlemi gerçekleştirilir. Buna içerideki IP paketinin başlığı da dahildir. Dışarıda bulunan IP paket başlığının belirli kısımlarının da doğrulanması gerçekleştirilir.

Kapsüllenmiş Güvenlik Yükü ile kullanıldığında, gönderilen paket içerisinde bulunan IP paketine şifreleme ve opsiyonel olarak doğrulama işlemleri gerçekleştirilir.

Bu mod, VPN (Virtual Private Network) oluşturmak için kullanılmaktadır.

IPsec protokolü işlemleri, gönderilecek veya alınan her paket için ayrı ayrı uygulanır. Gönderilecek ve alınan paketler için detaylı adımlar aşağıda anlatılmıştır.


IPSec’ in güvenlik mimarisini oluşturan üç temel unsur vardır:

1.Bütünlük (integrity); hedefe ulaşan verinin kaynaktan gelen veri ile aynı olup
olmadığı kontrol edilir. Ağ üzerinden gönderilen mesajın gerçekten gönderilen
mesaj olup olmadığını anlamak için, mesajı alan bilgisayarın hesapladığı mesaj
özeti (message digest) değeri ile mesajı gönderinin ilettiği mesaj özeti değerleri
karşılaştırılır. Sonuç farklıysa iletilen mesaja iletim sırasında müdahale edildiği
anlaşılır. Mesajları özetlemek için MD5 ve SHA-1 algoritmaları kullanılır.

2.Kimlik doğrulama (Authentication); iletişimde bulunan her iki tarafın da
birbirlerinin kimliklerinin doğrulanması için kullanılır. İletişimde bulunan
bilgisayarların birbirlerinin kimliklerini doğrulamaları için aynı kimlik
doğrulama metodunu kullanması gerekir. IPSec protokolünü kullanarak iletişim
kuracak bilgisayarlar, kimlik doğrulama işlemi için çeşitli yöntemler
kullanabilirler. Bunları şöyle sıralayabiliriz:


3.Gizlilik (Co