VPN: плюсы и минусы. Что такое VPN

Процесс обмена данными в VPN

Назначение VPN - предоставить пользователям защищенное соединение к внутренней сети из-за пределов ее периметра, например, через интернет-провайдера. Основное преимущество VPN состоит в том, что пока программное обеспечение его поддерживает, пользователь может подключаться к внутренней сети через любое внешнее соединение. Это означает, что высокоскоростные устройства, например, ADSL, могут обеспечивать соединение с внутренней сетью и функционировать с полной нагрузкой. Это особенно удобно для пользователей, постоянно работающих на дому.

Существует два основных типа VPN. Первое решение основано на специальном оборудовании; на сервере и клиенте устанавливается специальное программное обеспечение, обеспечивающее защищенное соединение. Второй тип решения - это управляемый VPN. В этом сценарии некоторый провайдер предоставляет пользователям возможность дозвона на свой модемный пул, а затем устанавливать защищенное соединение с вашей внутренней сетью. Преимущество этого метода состоит в том, что все управление VPN перекладывается на другую компанию. Недостатком является то, что как правило эти решения ограничиваются модемными соединениями, что зачастую сводит на нет преимущества технологии VPN.

VPN использует несколько разных технологий защиты пакетов. Целью VPN является создание защищенного туннеля между удаленным компьютером и внутренней сетью. Туннель передает и кодирует трафик через незащищенный мир Интернет. Это означает, что два сайта ВУЗа могут использовать VPN для связи друг с другом. Логически это работает как WAN-связь между сайтами.

Вы также можете использовать комбинацию Службы Удаленного Доступа (RAS) и VPN для осуществления безопасной связи между кампусами, как показано на рисунке:

Удаленный пользователь дозванивается на RAS

1. RAS аутентифицирует пользователя.

2. Удаленный пользователь запрашивает файл с кампуса В и этот запрос посылается на сервер VPN.

3. Сервер VPN отправляет запрос через межсетевой экран и далее через Интернет на удаленный кампус.

4. Сервер VPN в удаленном кампусе получает запрос и устанавливает защищенный канал между кампусами А и В.

После установления туннеля, файл пересылается с кампуса В в кампус А через сервер VPN, а затем удаленному пользователю.

Защищенные протоколы обмена информацией PPTP

PPTP обеспечивает безопасность инкапсуляцией кадра PPP в датаграмму IP, передаваемую между сетями. PPTP может использоваться в схемах LAN-to-LAN и WAN-to-WAN. PPTP использует такой же механизм аутентификации, что и PPP. В нем могут использоваться CHAP, Microsoft CHAP (MS-CHAP), PAP, Shiva PAP (SPAP), и Extensible Authentication Protocol (EAP). PPTP может шифровать трафик IP, IPX или NetBEUI. Туннели устанавливаются, когда оба конца договариваются о параметрах соединения. Сюда включается согласование адресов, параметры сжатия, тип шифрования. Сам туннель управляется посредством протокола управления туннелем.

PPTP включает много полезных функций. Среди них сжатие и шифрование данных, разнообразие методов аутентификации. PPTP доступен во всех текущих платформах Windows.

L2TP PPTP был (и остается) хорошей идеей, но вытесняется другими технологиями. Протокол Layer 2 Tunneling Protocol (L2TP) является комбинацией протоколов PPTP и L2F, предложенный компанией Cisco.

Оба протокола очень сходны по функциям, поэтому IETF предложила объединить их в один. В результате появился L2TP, описанный в RFC 2661. L2TP использует достоинства как PPTP, так и L2F.

L2TP инкапсулирует кадры как сообщения UDP и передает их по сети IP. Эти сообщения используются для управления и передачи данных Для шифрования используется IPSec. Как и PPTP, L2TP использует методы те же аутентификации, что и PPP. L2TP также подразумевает существование межсетевого пространства между клиентом L2TP и сервером L2TP. Поскольку управлением туннелем L2TP производится по тому же UDP-соединению, что и передача данных, оба типа пакетов имеют одинаковую структуру. Стандартный порт L2TP для сервера и клиента в Windows 2000 - 1701 UDP.

Что же в результате выбрать? Если для PPTP необходима межсетевая среда на базе IP, то L2TP нуждается в соединении "точка-точка". Это означает, что L2TP может использоваться поверх IP, Frame Relay, X.25, ATM. L2TP позволяет иметь несколько туннелей. PPTP ограничен одним туннелем. L2TP разрешает аутентификацию туннеля Layer 2, а PPTP - нет. Однако, это преимущество игнорируется, если вы используете IPSec, поскольку в этом случае туннель аутентифицируется независимо от Layer 2. И наконец, размер пакета L2TP на 2 байта меньше за счет сжатия заголовка пакета.

IPSec (сокращение от IP Security) - набор протоколов для обеспечения защиты данных, передаваемых по межсетевому протоколу IP, позволяет осуществлять подтверждение подлинности и/или шифрование IP-пакетов. IPSec также включает в себя протоколы для защищённого обмена ключами в сети Интернет.

IPSec является неотъемлемой частью IPv6 - интернет-протокола следующего поколения, и необязательным расширением существующей версии интернет-протокола IPv4. Первоначально протоколы IPSec были определены в RFC с номерами от 1825 до 1827, принятые в 1995 году. В 1998 году были приняты новые редакции стандартов (RFC с 2401 по 2412), несовместимые с RFC 1825-1827. В 2005 году была принята третья редакция, незначительно отличающаяся от предыдущей.

Протоколы IPSec работают на сетевом уровне (слой 3 модели OSI). Другие широко распространённые защищённые протоколы сети Интернет, такие как SSL и TLS, работают на транспортном уровне (слои OSI 4 - 7). Это делает IPSec более гибким, поскольку IPSec может использоваться для защиты любых протоколов базирующихся на TCP и UDP. В то же время увеличивается его сложность из-за невозможности использовать протокол TCP (слой OSI 4) для обеспечения надёжной передачи данных.

IPsec-протоколы можно разделить на два класса: протоколы, отвечающие за защиту потока передаваемых пакетов и протоколы обмена криптографическими ключами. На настоящий момент определён только один протокол обмена криптографическими ключами - IKE (Internet Key Exchange). Два протокола обеспечивающие защиту передаваемого потока - ESP (Encapsulating Security Payload - инкапсуляция зашифрованных данных) обеспечивает целостность и конфиденциальность передаваемых данных, в то время как AH (Authentication Header - аутентифицирующий заголовок) гарантирует только целостность потока (передаваемые данные не шифруются).

Протоколы защиты передаваемого потока могут работать в двух режимах - в транспортном режиме, и в режиме туннелирования. При работе в транспортном режиме IPSec работает только с информацией транспортного уровня, в режиме туннелирования - с целыми IP-пакетами.

IPsec-трафик может маршрутизироваться по тем же правилам, что и остальные IP-протоколы, но, так как маршрутизатор не всегда может извлечь информацию характерную для протоколов транспортного уровня, то прохождение IPSec через NAT-шлюзы невозможно. Для решения этой проблемы IETF определила способ инкапсуляции ESP в UDP получивший название NAT-T (NAT traversal).

IPSec можно рассматривать как границу между внутренней (защищённой) и внешней (незащищённой) сетью. Эта граница может быть реализована как на отдельном хосте, так и на шлюзе, защищающем локальную сеть. Заголовок любого пакета, проходящего через границу, анализируется на соответствие политикам безопасности, то есть критериям, заданным администратором. Пакет может быть либо передан дальше без изменений, либо уничтожен, либо обработан с помощью протоколов защиты данных. Для защиты данных создаются так называемые SA (Security Associations) - безопасные соединения, представляющие собой виртуальные однонаправленные каналы для передачи данных. Для двунаправленной связи требуется два SA.

Преимущества и недостатки технологии VPN

Преимущества VPN очевидны. Предоставив пользователям возможность соединяться через Интернет, масштабируемость достигается в основном увеличением пропускной способности канала связи, когда сеть становится перегруженной. VPN помогает сэкономить на телефонных расходах, поскольку вам не требуется иметь дело с пулом модемов. Кроме того, VPN позволяют получить доступ к сетевым ресурсам, которые в обычной ситуации администраторы вынуждены выносить на внешнее соединение.

Итак, VPN обеспечивает:

Ш Защищенные каналы связи по цене доступа в Интернет, что в несколько раз дешевле выделенных линий;

Ш При установке VPN не требуется изменять топологию сетей, переписывать приложения, обучать пользователей - все это значительная экономия;

Ш обеспечивается масштабирование, поскольку VPN не создает проблем роста и сохраняет сделанные инвестиции;

Ш Независимость от криптографии и можете использовать модули криптографии любых производителей в соответствии с национальными стандартами той или иной страны;

Ш открытые интерфейсы позволяют интегрировать вашу сеть с другими программными продуктами и бизнес-приложениями.

К недостаткам VPN можно отнести сравнительно низкую надежность. В сравнении с выделенными линиями и сетями на основе Frame relay виртуальные частные сети менее надежны, однако в 5-10, а иногда и в 20 раз дешевле. По мнению аналитиков, это не остановит VPN, это не существенно для большинства пользователей.

В силу того, что услуга VPN предоставляется и поддерживается внешним оператором, могут возникать проблемы со скоростью внесения изменений в базы доступа, в настройки firewall, а также с восстановлением сломанного оборудования. В настоящее время проблема решается указанием в договорах максимального времени на устранение неполадок и внесение изменений. Обычно это время составляет несколько часов, но встречаются провайдеры, гарантирующие устранение неполадок в течение суток.

Еще один существенный недостаток - у потребителей нет удобных средств управления VPN. Хотя в последнее время разрабатывается оборудование, позволяющее автоматизировать управление VPN. Среди лидеров этого процесса - компания Indus River Networks Inc., дочерняя компания MCI WorldCom и Novell. В перспективе VPN сеть должна контролироваться пользователями, управляться компаниями-операторами, а задача разработчиков программного обеспечения - решить эту проблему.

На самом деле, каких-то особенных преимуществ у VPN сетей не так много и их можно пересчитать за счет пальцев одной руки. Но осознать ценность данной сети можно лишь когда понимаешь, какую информацию можно потерять, без использования подобных сетей. Очень важно понять, что связь вида «точка-точка» дает возможность каждому соединению функционировать таким образом, чтобы все контакты были в единственном числе и их сложно было получить третьим лицам. Также важно помнить, что VPN сети позволяют создавать качественное шифрование всех данных и всего трафика. Интересно, что ключи используемые для шифрования, через определенное время меняются, а это мешает взломать данные пользователя и начать их использовать в своих целях.

Есть еще одно преимущество, которое заключается в том, что отдельный пользователь или несколько таких пользователей могут защищено пользоваться интернетом, а в том, чтобы целыми офисами и компаниями, выходить в мировой интернет с защищенными «тылами». К примеру, если у отдельно взятой компании имеется собственный DSL адрес, то лучше использовать VPN сеть, а не пользоваться интернетом посредством ISDN BRI-cоединения.

Недостатки VPN

Как бы парадоксально это не звучало, но с недостатками данных сетей – все несколько проще и понятнее. Основными недостатками данных сетей является настройка vpn , их внедрение и, конечно же, поддержка. В большинстве случаев, использование данных VPN сетей подразумевает использование довольно мощных систем шифрования, в частности – 3DES. Помимо этого, для того чтобы использовать подобные технологии, необходимо иметь периоды смены шифровальных ключей, чтобы сохранять безопасность личных данных на высоком уровне.

Многими специалистами отмечается, что VPN сети нагружают интернет-сеть на 20%, что может повлиять на то, что работа сети встанет в особых «узких» местах или местах, где сеть не отличается высокой скоростью. В такие минуты сложно помнить о достоинствах подобных сетей, которые активно нахваливаются различными программистами. На упомянутые выше цифры, в отношении нагрузки сети, необходимо обратить особое внимание, так как если соединение будет разрываться по ходу соединения, VPN сеть будет абсолютно бесполезна.

Если стоит вопрос использования данных сетей, то следует разобрать все преимущества и, конечно же, недостатки, которые помогут понять, стоит ли задействовать VPN в своих целях.

This entry was posted on Понедельник, Ноябрь 25th, 2013 at 18:27 and is filed under . You can follow any responses to this entry through the feed. Responses are currently closed, but you can from your own site.

Всемирное развитие сети Интернет позволяет пользоваться безграничными объемами присутствующей на различных ресурсах информацией. Virtual Private Network (VPN) дает возможность снизить затраты на внутрикорпоративную связь, сделать передаваемую и получаемую информацию более защищенной и конфиденциальной. Среди вариантов реализации VPN выделяют программные и аппаратные продукты. Готовое приложение, устанавливаемое на компьютер, относится к программному решению для VPN. Множество компаний предлагают использовать эту услугу посредством подключения к серверам, которые им принадлежат. Часть разработчиков поставляют VPN-пакеты, которые взаимодействуют с программными межсетевыми экранами и функционируют на различных ОС. Программные продукты стоят сравнительно недорого. Аппаратный способ использования VPN подразумевают наличие компьютера, частную операционную систему, специализированное программное обеспечение. Он обладает высокой производительностью, но его стоимость высока.

VPN-устройство находится между внутренней сетью и сетью Интернет на концах соединения. При передаче данные исчезают в точке отправки, где шифруются, и появляются лишь в точке назначения. Благодаря этому информация становится невозможна для восприятия сторонними наблюдателями. Для гарантированного доступа к данным только отдельных пользователей возможно усиление частной сети соответствующим протоколом аутентификации.

VPN часто применяется провайдерами, чтобы контролировать доступ к сети. Проще говоря, пользователь подключается обычным способом, а затем запускают VPN-клиент для дальнейшей работы с Интернетом. Это помогает защитить соединение от хакеров и организовать персональный доступ.

Особенностью VPN в большинстве случаях является некоторое снижение производительности сети вследствие времени, необходимого для установления защищенного соединения, шифрованию данных, контроля целостности информации. Для контроля над скоростью соединения можно воспользоваться сервисом на http://hideme.ru/internet-speed/ . Использование VPN снижает затраты на закупку оборудования для соединения. Специалисты сходятся во мнении, что эта технология действительно помогает в защите информации и беспроблемном посещении абсолютно всех сайтов.