IPsec — набор протоколов для защиты IP-трафика: он шифрует и аутентифицирует пакеты на сетевом уровне. IPsec встроен в Windows, macOS, iOS, Android и большинство роутеров, поэтому его широко используют в корпоративных сетях и для соединения офисов. В связке с IKEv2 он быстро переподключается при смене сети — удобно на телефоне. Минус для России — IPsec легко распознать и заблокировать. Ниже — подробно.
Что такое IPsec
IPsec состоит из нескольких протоколов:
- ESP — шифрует и аутентифицирует данные;
- AH — только аутентифицирует, без шифрования;
- IKE (IKEv1, IKEv2) — согласует ключи и параметры соединения.
Режимы работы
- Туннельный. Весь исходный IP-пакет шифруется и вкладывается в новый пакет. Используется для VPN: между офисами и для удалённых пользователей.
- Транспортный. Шифруется только содержимое пакета, заголовок остаётся. Используется для защиты соединений между двумя узлами в одной сети.
IKEv2
IKEv2 — протокол обмена ключами второй версии. Чаще всего говорят «IKEv2/IPsec». Особенность — MOBIKE: при переходе с Wi-Fi на мобильный интернет соединение сохраняется без переподключения. Поэтому IKEv2 популярен на телефонах. Встроен в iOS, macOS и Windows.
Плюсы и минусы
| Плюсы | Минусы |
|---|---|
| Встроен в системы — не нужна отдельная программа | Легко распознаётся и блокируется |
| Быстрый, особенно IKEv2 | Сложная настройка сервера |
| Быстрое переподключение | Проблемы с NAT в некоторых сетях |
| Стандарт для корпоративных сетей | L2TP/IPsec устарел |
В России для личного VPN IPsec надёжен плохо — лучше протоколы с маскировкой. Подробнее — в гидах WireGuard и VLESS и Reality.
IPsec, WireGuard и VLESS
| Параметр | IPsec / IKEv2 | WireGuard | VLESS + Reality |
|---|---|---|---|
| Встроен в системы | Да | Нет, нужен клиент | Нет, нужен клиент |
| Скорость | Высокая | Самая высокая | Высокая |
| Переподключение при смене сети | Быстрое | Быстрое | Быстрое |
| Распознаётся провайдером | Легко | Легко | Трудно |
| Работа в России | Часто блокируется | Часто блокируется | Работает |
Где IPsec по-прежнему уместен
- Соединение офисов через роутеры — стандарт корпоративных сетей.
- Корпоративный удалённый доступ, если компания выдаёт настройки IKEv2.
- За рубежом, где протокол не блокируют, — встроенный клиент без установки программ.
Как настроить IKEv2 на телефоне
| Система | Где |
|---|---|
| iPhone | «Настройки → Основные → VPN и управление устройством → VPN → Добавить конфигурацию» → тип IKEv2 |
| Android | «Настройки → Сеть и интернет → VPN → Добавить» → IKEv2/IPSec, или приложение strongSwan |
| Windows | «Параметры → Сеть и Интернет → VPN → Добавить VPN» → IKEv2 |
| macOS | «Системные настройки → VPN → Добавить конфигурацию VPN» → IKEv2 |
Нужны адрес сервера, удалённый ID и логин с паролем или сертификат — их выдаёт сервис или администратор. В России встроенный IKEv2 часто блокируется, поэтому для повседневного использования удобнее клиенты с VLESS.
IPsec на роутерах
Многие роутеры — Keenetic, MikroTik, Asus — умеют IPsec и IKEv2 из коробки. Это удобно для соединения двух офисов или домашней сети с дачей: туннель поднимается между роутерами, и устройства видят друг друга как в одной сети. Для обхода блокировок в России IPsec не подходит — его легко распознать, — но для связи своих сетей он хороший выбор.
Частые ошибки IPsec
| Ошибка | Причина |
|---|---|
| Не проходит рукопожатие | Разные параметры шифрования на сторонах |
| Работает, но рвётся через час | Разное время жизни ключей |
| Не подключается из-за NAT | Нужен NAT-T на порту 4500 |
Источники
Какой VPN выбрать
Наш выбор — VPNType: VLESS и Shadowsocks для российских сетей, а также WireGuard и OpenVPN, приложения для всех систем, пробный Premium 5 дней за 1 ₽.
AdGuard VPN
Бесплатная версия с лимитом трафика, премиум быстрее и с большими возможностями
Частые вопросы
Чем IPsec отличается от OpenVPN?
IPsec встроен в большинство операционных систем и работает на уровне IP. OpenVPN — отдельная программа поверх TLS, гибче в настройке и проходит через порт 443.
Блокируется ли IPsec?
Да, его легко распознать по портам UDP 500 и 4500 и протоколу ESP. В России и гостевых сетях IPsec часто не работает.
Где используется IKEv2?
В корпоративных VPN, на iPhone и macOS как встроенный протокол, в мобильных VPN — за быстрое переподключение при смене сети.