IPsec ist ein vom IETF gepflegter Internetstandard. Es werden Datenverschlüsselung und -integrität sowie Authentifizierung für den Datenverkehr zwischen den Netzwerkendpunkten auf IP-Ebene bereitgestellt.

Mit ONTAP sichert IPsec den gesamten IP-Verkehr zwischen ONTAP und den verschiedenen Clients, einschließlich der Protokolle NFS, SMB und iSCSI. Neben Datenschutz und Datenintegrität ist der Netzwerkverkehr vor verschiedenen Angriffen wie Replay- und Man-in-the-Middle-Angriffen geschützt. ONTAP verwendet die IPsec Transportmodus-Implementierung. Dabei wird das Internet Key Exchange (IKE) Protokollversion 2 zur Aushandlung des Schlüsselmaterials zwischen ONTAP und den Clients über IPv4 oder IPv6 eingesetzt.

Wenn die IPsec-Funktion auf einem Cluster aktiviert ist, benötigt das Netzwerk einen oder mehrere Einträge in der ONTAP Security Policy Database (SPD), die den verschiedenen Verkehrseigenschaften entsprechen. Diese Einträge ordnen die spezifischen Schutzdetails zu, die für die Verarbeitung und Übertragung der Daten erforderlich sind (wie zum Beispiel Cipher Suite und Authentifizierungsverfahren). Ein entsprechender SPD-Eintrag ist auch auf jedem Client erforderlich.

Für bestimmte Arten von Datenverkehr kann eine andere Verschlüsselungsoption für Daten in Bewegung vorzuziehen sein. Beispielsweise wird für die Verschlüsselung von NetApp SnapMirror und Cluster-Peering-Datenverkehr im Allgemeinen das Transport Layer Security (TLS) Protokoll anstelle von IPsec empfohlen. Dies ist darauf zurückzuführen, dass TLS in den meisten Situationen eine bessere Leistung bietet.

IPsec wurde erstmals mit ONTAP 9.8 eingeführt. Die Implementierung hat sich in den nachfolgenden ONTAP Versionen wie unten beschrieben weiterentwickelt.

Die Unterstützung für IPsec-Hardware-Offload wurde auf IPv6-Datenverkehr ausgeweitet.

Die Unterstützung für IPsec Hardware-Offload wurde auf "Link-Aggregation-Gruppen" erweitert. "Postquantum Pre-Shared Keys (PPKs)" werden für die IPsec Pre-Shared-Key (PSK) Authentifizierung unterstützt.

Einige kryptografische Operationen, wie Verschlüsselung und Integritätsprüfungen, können auf eine unterstützte Netzwerkkarte ausgelagert werden. Siehe IPsec Hardware Offload Funktion für weitere Informationen.

IPsec Frontend-Hostprotokollunterstützung ist in MetroCluster IP- und MetroCluster fabric-attached Konfigurationen verfügbar. Die mit MetroCluster Clustern bereitgestellte IPsec-Unterstützung ist auf Frontend-Host-Datenverkehr beschränkt und wird auf MetroCluster Intercluster-LIFs nicht unterstützt.

Zertifikate können für die IPsec-Authentifizierung zusätzlich zu den PSKs verwendet werden. Vor ONTAP 9.10.1 wurden für die Authentifizierung nur PSKs unterstützt.

Die von IPsec verwendeten Verschlüsselungsalgorithmen sind FIPS 140-2-validiert. Diese Algorithmen werden vom NetApp Cryptographic Module in ONTAP verarbeitet, das die FIPS 140-2-Validierung trägt.

Die Unterstützung für IPsec ist zunächst auf Basis der Implementierung des Transportmodus verfügbar.

Wenn ONTAP 9.16.1 oder höher verwendet wird, besteht die Möglichkeit, bestimmte rechenintensive Vorgänge wie Verschlüsselung und Integritätsprüfungen auf eine Netzwerkschnittstellenkarte (NIC), die im Speicherknoten installiert ist, auszulagern. Der Durchsatz für Vorgänge, die auf die NIC-Karte ausgelagert werden, beträgt etwa 5 % oder weniger. Dies kann die Leistung und den Durchsatz des durch IPsec geschützten Netzwerkverkehrs erheblich verbessern.