В общем случае VPN - это объединение локальных сетей или отдельных машин, подключенных к сети общего пользования, в единую виртуальную (наложенную) сеть, обеспечивающую секретность и целостность передаваемой по ней информации (прозрачно для пользователей).

Использование технологии VPN необходимо там, где требуется защита корпоративной сети от воздействия вирусов, злоумышленников, просто любопытных, а также от других угроз, являющихся результатом ошибок в конфигурировании или администрировании сети.

Виртуальные частные сети (VPN), создаваемые на базе арендуемых и коммутируемых каналов связи сетей общего пользования (и, в первую очередь, Интернет), являются отличной альтернативой изолированным корпоративным сетям, причем, альтернативой, обладающей рядом несомненных преимуществ:

1. низкая стоимость арендуемых каналов и коммуникационного оборудования
2. развитая топология сети (широкий географический охват);
3. высокая надежность;
4. легкость масштабирования (подключения новых сетей или пользователей);
5. легкость изменения конфигурации;
6. контроль событий и действий пользователей.

Рисунок 1. VPN для удаленных пользователей

VPN (рис.2) представляет собой объединение отдельных машин или локальных сетей в виртуальной сети, которая обеспечивает целостность и безопасность передаваемых данных. Она обладает свойствами выделенной частной сети и позволяет передавать данные между двумя компьютерами через промежуточную сеть (internetwork), например Internet.

VPN отличается рядом экономических преимуществ по сравнению с другими методами удаленного доступа. Во-первых, пользователи могут обращаться к корпоративной сети, не устанавливая c ней коммутируемое соединение, таким образом, отпадает надобность в использовании модемов. Во-вторых, можно обойтись без выделенных линий.

Рисунок 2. VPN для двух офисных сетей

Имея доступ в Интернет, любой пользователь может без проблем подключиться к сети офиса своей фирмы. Следует заметить, что общедоступность данных совсем не означает их незащищенность. Система безопасности VPN - это броня, которая защищает всю корпоративную информацию от несанкционированного доступа. Прежде всего, информация передается в зашифрованном виде. Прочитать полученные данные может лишь обладатель ключа к шифру. Наиболее часто используемым алгоритмом кодирования является Triple DES, который обеспечивает тройное шифрование (168 разрядов) с использованием трех разных ключей.

Подтверждение подлинности включает в себя проверку целостности данных и идентификацию пользователей, задействованных в VPN. Первая гарантирует, что данные дошли до адресата именно в том виде, в каком были посланы. Самые популярные алгоритмы проверки целостности данных - MD5 и SHA1. Далее система проверяет, не были ли изменены данные во время движения по сетям, по ошибке или злонамеренно. Таким образом, построение VPN предполагает создание защищенных от постороннего доступа туннелей между несколькими локальными сетями или удаленными пользователями.

Для построения VPN необходимо иметь на обоих концах линии связи программы шифрования исходящего и дешифрования входящего трафиков. Они могут работать как на специализированных аппаратных устройствах, так и на ПК с такими операционными системами как Windows, Linux или NetWare.

Управление доступом, аутентификация и шифрование - важнейшие элементы защищенного соединения.

Основы туннелирования

Туннелирование (tunneling), или инкапсуляция (encapsulation), - это способ передачи полезной информации через промежуточную сеть. Такой информацией могут быть кадры (или пакеты) другого протокола. При инкапсуляции кадр не передается в сгенерированном узлом-отправителем виде, а снабжается дополнительным заголовком, содержащим информацию о маршруте, позволяющую инкапсулированным пакетам проходить через промежуточную сеть (Internet). На конце туннеля кадры деинкапсулируются и передаются получателю.

Этот процесс (включающий инкапсуляцию и передачу пакетов) и есть туннелирование. Логический путь передвижения инкапсулированных пакетов в транзитной сети называется туннелем.

VPN работает на основе протокола PPP(Point-to-Point Protocol). Протокол PPP разработан для передачи данных по телефонным линиям и выделенным соединениям "точка-точка". PPP инкапсулирует пакеты IP, IPX и NetBIOS в кадры PPP и передает их по каналу "точка-точка". Протокол PPP может использоваться маршрутизаторами, соединенными выделенным каналом, или клиентом и сервером RAS, соединенными удаленным подключением.

Основные компоненты PPP :

Инкапсуляция - обеспечивает мультиплексирование нескольких транспортных протоколов по одному каналу;

Протокол LCP - PPP задает гибкий LCP для установки, настройки и проверки канала связи. LCP обеспечивает согласование формата инкапсуляции, размера пакета, параметры установки и разрыва соединения, а также параметры аутентификации. В качестве протоколов аутентификации могут использоваться PAP, CHAP и др.;

Протоколы управления сетью - предоставляют специфические конфигурационные параметры для соответствующих транспортных протоколов. Например, IPCP протокол управления IP.

Для формирования туннелей VPN используются протоколы PPTP, L2TP, IPsec, IP-IP.

Протокол PPTP - позволяет инкапсулировать IP-, IPX- и NetBEUI-трафик в заголовки IP для передачи по IP-сети, например Internet.

Протокол L2TP - позволяет шифровать и передавать IP-трафик с использованием любых протоколов, поддерживающих режим "точка-точка" доставки дейтаграмм. Например, к ним относятся протокол IP, ретрансляция кадров и асинхронный режим передачи (АТМ).

Протокол IPsec - позволяет шифровать и инкапсулировать полезную информацию протокола IP в заголовки IP для передачи по IP-сетям.

Протокол IP-IP - IP-дейтаграмма инкапсулируется с помощью дополнительного заголовка IP. Главное назначение IP-IP - туннелирование многоадресного трафика в частях сети, не поддерживающих многоадресную маршрутизацию.

Для технической реализации VPN, кроме стандартного сетевого оборудования, понадобится шлюз VPN, выполняющий все функции по формированию туннелей, защите информации, контролю трафика, а нередко и функции централизованного управления.

На сегодняшний день VPN - это экономичное, надежное и общедоступное решение организации удаленного доступа. Каким бы ни было расстояние, VPN обеспечит соединение с любой точкой мира и сохранность передачи самых важных данных.

 Преимущества технологии VPN

Команда гостей, направляющаяся в раздевалку в перерыве хоккейного матча, идет по крытому туннелю, который защищает игроков от хулиганских выходок болельщиков местной команды. Виртуальные частные сети (Virtual Private Network, VPN) обеспечивают подобную защиту информации, передаваемой предприятиями через Интернет.

VPN служит для организации прямого, безопасного соединения через общедоступный Интернет между клиентами (обычно конечным пользователем и корпоративным офисом) или между двумя ЛВС. Благодаря VPN удаленные пользователи могут обращаться к серверам предприятия и связываться с различными офисами своей компании. VPN может применяться как базовая архитектура обеспечения безопасности для экстрасети.

Для VPN не нужны выделенные линии, поэтому пользоваться ею может каждый, кто располагает доступом к Интернету. После того как соединение установлено, сотрудникам может предоставляться доступ ко всем ресурсам сети - так, словно они присутствуют в офисе. Самое большое достоинство технологии заключается в том, что, несмотря на общедоступную инфраструктуру, прямое соединение VPN, иногда именуемое "туннелем", защищено столь надежно, что украсть данные или получить несанкционированный доступ к территориально-распределенной сети становится очень трудно.

Сети VPN обладают рядом экономических преимуществ перед другими методами дистанционного доступа. Пользователи VPN могут обращаться к корпоративной сети, не устанавливая коммутируемое соединение, что позволяет сократить численность модемов или вообще отказаться от них. Можно обойтись и без выделенных линий, соединяющих удаленные офисы. Кроме того, повышается производительность труда, так как сотрудники могут пользоваться самыми быстрыми линиями связи, имеющимися в их распоряжении, вместо того чтобы тратить время на установление коммутируемого соединения через банк модемов. В результате, как утверждает Боб Лонадье, аналитик из фирмы Hurwitz Group (Фреймингем, шт. Массачусетс), специализирующейся на консультациях в области сложных технологий, расходы компаний на организацию VPN окупаются уже через шесть - девять месяцев.

Организация связи

Для построения VPN необходимо иметь на обоих концах линии связи программы шифрования исходящего и дешифрования входящего трафика. Программы могут работать на специализированных аппаратных устройствах или на ПК с универсальной операционной системой, такой, как Linux, NetWare или Windows.

Мы рекомендуем установить в серверный шкаф аппаратные устройства, часто именуемые концентраторами. Одновременное выполнение на ПК многочисленных, не связанных между собой процессов существенно увеличивает вероятность появления слабых мест в системе безопасности, а наличие механических компонентов делает ПК более подверженными отказам.

Управление доступом, аутентификация и шифрование - важнейшие элементы защищенного соединения. Протокол PPP (Point-to-Point Protocol) давно служит в качестве универсального канального уровня Интернета для прокладки туннелей между устройствами, но в последние годы более широкое распространение получили протоколы PPTP (Point-to-Point Tunneling Protocol) и L2TP (Layer 2 Tunneling Protocol).

В L2TP объединены протоколы PPTP и L2F (Layer-2 Forwarding) фирмы Cisco Systems. L2TP получил широкое признание благодаря применению методов IPSec (IP Security) для защиты информации (но с различными процедурами аутентификации). В настоящее время IPSec стал основным протоколом, обеспечивающим безопасность передачи данных между двумя устройствами или сетями. Единственным вопросом, на который до сих пор не найден однозначный ответ, остается выбор схемы шифрования. В течение многих лет широко применялся стандарт DES (Data Encryption Standard), но в конце 1990-х гг. многие системные администраторы отказались от него. Разгадать 56-разрядный ключ не составит большого труда для квалифицированного хакера с мощным домашним ПК. Сегодня самый распространенный в отрасли алгоритм Triple DES (3DES) обеспечивает тройное шифрование (168 разрядов) с использованием трех разных ключей. Для реализации этих методов шифрования необходимы специализированные или очень мощные процессоры.

Трудности выбора

Несмотря на столь значительные преимущества технологии VPN, построить полноценное решение на ее основе невозможно без вспомогательных инструментов. Например, пройдет несколько лет, прежде чем VPN будут соответствовать спецификации QoS (Quality of Service - качество обслуживания), которая позволяет администраторам назначать приоритеты пакетам данных, выделяя привилегированным пользователям и программам каналы связи с гарантированной пропускной способностью. Применяемые сегодня коммутаторы могут определить приоритет пакета, лишь "заглянув" в него и расшифровав его содержимое, а это неизбежно порождает угрозу для безопасности. Дальнейшее совершенствование VPN и других форм пересылки сетевых данных связано с новым сетевым стандартом MPLS (MultiProtocol Label Switching - многопротокольная коммутация на основе меток). Он предусматривает присваивание пакетам специальных ярлыков, по которым маршрутизатор будет распознавать пакеты с высоким приоритетом.

Одну из проблем безопасности VPN можно решить уже сегодня. Это защита домашнего пользователя. Настольный ПК домашнего пользователя может стать лазейкой для хакера. Особенно уязвимым его делает недостаточная защищенность многих широкополосных соединений, таких, как кабельные модемы и DSL.

Совместимость различных продуктов VPN также представляла собой серьезную проблему. Конкретные реализации протоколов и спецификаций каждого поставщика VPN имели хотя бы небольшие отличительные особенности. Диапазон задач, охватываемых стандартами, был слишком широк, а пространство для маневра слишком велико, чтобы обеспечить возможность совместной работы продуктов разных изготовителей. Выбрав одного поставщика, компания может оказаться привязанной к его продуктам по крайней мере до тех пор, пока проблема совместимости не будет решена в масштабах всей отрасли.

Выбирая VPN, следует учитывать и другие факторы. Цена многих продуктов зависит от числа туннелей, поэтому компании, планирующие внедрить VPN, должны иметь некоторое представление о том, сколько каналов может понадобиться им в будущем. В настоящее время приобретение продукта, рассчитанного на меньшее число туннелей, обойдется дешевле, но впоследствии, когда появится необходимость в наращивании ресурсов VPN, нынешняя экономия может обернуться крупными затратами.

Процедура подключения удаленных пользователей к VPN, всегда связанная с необходимостью инсталляции на стороне клиента, также довольно непроста. Технически грамотные пользователи, вероятно, смогут установить программу самостоятельно, но всем остальным придется решать трудную задачу. В идеальном случае технический персонал компании должен справиться с инсталляцией всех клиентских программ, но на практике такое случается редко.

ЗАО "Севергазавтоматика АйС" [noname]