¿Qué es ipsec0 interfaz?

En mi Mac el ipsec0 interfaz tiene una dirección IPv6 que es parte de la /64:

2607:fb90:13c0:e82::/64 , que es propiedad de T-Mobile como se ve desde el whois:

CIDR:           2607:FB90::/32
NetName:        TMOV6-1
NetHandle:      NET6-2607-FB90-1
Parent:         NET6-2600 (NET6-2600-1)
NetType:        Direct Allocation
OriginAS:       AS21928
Organization:   T-Mobile USA, Inc. (TMOBI)
RegDate:        2009-07-14
Updated:        2012-02-24
Ref:            http://whois.arin.net/rest/net/NET6-2607-FB90-1

Ya que es un túnel ipsec, podemos averiguar cuál es la dirección de extremo está buscando el tráfico en nuestros principales de la interfaz de salida (tcpdump en en0 por ejemplo), que es donde nos enteramos 208.54.40.75 es el extremo de dirección, que puede whois de nuevo y obtener de nuevo:

NetRange:       208.54.0.0 - 208.54.159.255
CIDR:           208.54.128.0/19, 208.54.0.0/17
NetName:        TMO2
NetHandle:      NET-208-54-0-0-1
Parent:         NET208 (NET-208-0-0-0-0)
NetType:        Direct Allocation
OriginAS:
Organization:   T-Mobile USA, Inc. (TMOBI)
RegDate:        1999-08-10
Updated:        2012-02-24
Ref:            http://whois.arin.net/rest/net/NET-208-54-0-0-1

Así que ahora la parte interesante, ¿qué es la apertura de esta conexión y para qué se utiliza?

Un práctico comando para esto se denomina lsof que enumera los archivos abiertos. Podemos pasar un par de banderas, y volver justo lo que está escuchando, junto con lo que el proceso de escucha.

lsof -a -i -l -P | grep 2607:fb90:13c0:e82

En que punto podemos ver algo como la siguiente:

ntpd        198        0   32u  IPv6 0x1c220855d5c2b5a1      0t0  UDP [2607:fb90:13c0:e82::]:123
CommCente   249     1001   26u  IPv6 0x1c220855d59e9a91      0t0  UDP [2607:fb90:13c0:e82::]:5060
CommCente   249     1001   27u  IPv6 0x1c220855d3b35a61      0t0  TCP [2607:fb90:13c0:e82::]:5060 (LISTEN)

El segundo número que aparece es el PID (IDENTIFICADOR de proceso) el proceso que se ha de conexión abierta, para que podamos obtener más detalle por qué otras conexiones están abiertas mediante el uso de:

lsof -a -i -l -P -p 249

Esta salida será algo como lo siguiente:

COMMAND   PID     USER   FD   TYPE             DEVICE SIZE/OFF NODE NAME
CommCente 249     1001   15u  IPv4 0x1c220855d68c85a1      0t0  UDP 10.64.1.100:500->m4b2836d0.tmodns.net:500
CommCente 249     1001   20u  IPv4 0x1c220855d336be89      0t0  UDP 10.64.1.100:4500->m4b2836d0.tmodns.net:4500
CommCente 249     1001   26u  IPv6 0x1c220855d59e9a91      0t0  UDP [2607:fb90:13c0:e82::]:5060
CommCente 249     1001   27u  IPv6 0x1c220855d3b35a61      0t0  TCP [2607:fb90:13c0:e82::]:5060 (LISTEN)

Podemos ver que este tiene una conexión abierta en el puerto de 500 y 4500. Puerto de 500 se utiliza para el intercambio de claves cuando se utiliza ipsec VPN basados, y 4500 se utiliza para túneles ipsec para atravesar NAT, consulte esta página para obtener más información: https://en.wikipedia.org/wiki/NAT_traversal#IPsec

Y, a continuación, información sobre el proceso en sí:

ps auxwww | grep 249:

xistence          249   0.0  0.2  2582352  29932   ??  S     2:07PM   0:03.34 /System/Library/Frameworks/CoreTelephony.framework/Support/CommCenter

Así que en base a esto podemos hacer un par de suposiciones:

1. Los extremos del túnel son propiedad de T-Mobile
2. Tiene que ver algo con CoreTelephony que parece ser una biblioteca utilizado por Apple para implementar teléfono llamando en iOS (y ahora OS X): https://developer.apple.com/library/prerelease/ios/documentation/NetworkingInternet/Reference/CoreTelephonyFrameworkReference/index.html
3. Basado en 1 y 2, y sabiendo que tengo activado el Wifi de Llamadas en FaceTime y en mi teléfono, puedo estar bastante seguro de que este túnel ipsec se utiliza para enrutar las llamadas a mi portátil.

Tan pronto como empiezo a FaceTime Wifi-llamada mientras se ejecuta tcpdump sobre el ipsec0 interfaz veo el estándar SIP (protocolo de que es lo que FaceTime utiliza para hacer llamadas).

tl;dr: ipsec0 se utiliza para el Wifi de llamadas.