Questão de Redes de Computadores — Segurança de Redes — Avança SP 2024

IPsec: modos de operação

Gabarito: letra D. O IPsec pode operar em dois modos: modo transporte e modo túnel (ou tunelamento). No modo transporte, apenas a carga útil do pacote IP é protegida; no modo túnel, o pacote IP inteiro é encapsulado em um novo pacote IP. Essa é a classificação clássica e universalmente aceita na literatura de redes.

O IPsec (IP Security) é uma suíte de protocolos que fornece segurança na camada de rede (camada 3 do modelo OSI), oferecendo serviços como confidencialidade, integridade e autenticação. Ele é amplamente utilizado em VPNs (Redes Privadas Virtuais) para proteger o tráfego que trafega pela Internet pública. A razão de existirem dois modos é a flexibilidade: nem todo cenário exige o mesmo nível de proteção ou o mesmo custo de processamento.

No modo transporte, o cabeçalho IPsec é inserido logo após o cabeçalho IP original, protegendo apenas a carga útil (os dados do protocolo de camada superior, como TCP ou UDP). O cabeçalho IP original permanece intacto e visível. Esse modo é mais eficiente, pois adiciona menos overhead, e é tipicamente usado em comunicações host-a-host, onde o destino final do pacote é o próprio ponto de terminação da segurança.

No modo túnel, o pacote IP inteiro (cabeçalho + carga útil) é encapsulado dentro de um novo pacote IP, com um novo cabeçalho. O pacote original fica completamente oculto, e o novo cabeçalho IP é usado para roteamento. Esse modo é essencial para VPNs site-to-site, onde o túnel termina em um gateway de segurança (como um firewall ou roteador), e não no host de destino. O gateway encapsula e desencapsula os pacotes, e os hosts da rede interna não precisam ter conhecimento do IPsec.

A escolha entre os modos depende do cenário: se a comunicação é direta entre dois hosts, o modo transporte é suficiente; se a comunicação envolve gateways intermediários, o modo túnel é necessário. A banca explora exatamente essa distinção, e as alternativas incorretas tentam confundir com termos que não fazem parte da classificação oficial.

Guarde a fronteira: modo transporte protege a carga útil, modo túnel encapsula o pacote inteiro. É nesse critério que as alternativas se dividem.

Alternativa A — ❌ Incorreta

"Modo agentive e line" não existe na terminologia do IPsec. Não há nenhum modo com esses nomes na literatura técnica ou nas RFCs. A banca criou termos fictícios para testar se o candidato conhece a nomenclatura correta.

Alternativa B — ❌ Incorreta

"Modo de tunelamento e sobrecarga" mistura um termo correto (tunelamento) com um termo incorreto (sobrecarga). O modo túnel existe, mas "sobrecarga" não é um modo do IPsec. O termo correto que acompanha o modo túnel é o modo transporte.

Alternativa C — ❌ Incorreta

"Modo ativo e passivo" não são modos do IPsec. Esses termos podem aparecer em outros contextos de segurança (como em firewalls ou IDS), mas não na classificação dos modos de operação do IPsec.

Alternativa D — ✅ Correta ⟵ GABARITO

O IPsec opera em dois modos: modo transporte e modo túnel (tunelamento). No modo transporte, o cabeçalho IPsec é inserido após o cabeçalho IP, protegendo a carga útil. No modo túnel, o pacote IP inteiro é encapsulado em um novo pacote IP, com um novo cabeçalho. Essa é a classificação correta e amplamente documentada.

Alternativa E — ❌ Incorreta

"Modo de transporte e sobrecarga" repete o erro da alternativa B: o modo transporte é correto, mas "sobrecarga" não é um modo do IPsec. O segundo modo correto é o túnel, não a sobrecarga.

Gabarito: letra D