Общее описание технологии VPN

На сегодняшний день технология VPN (Virtual Private Network - виртуальная частная сеть) завоевала всеобщее признание и любой администратор считает своим долгом организовать VPN-каналы для сотрудников, работающих вне офиса (рис 1).

VPN представляет собой объединение отдельных машин или локальных сетей в виртуальную сеть, которая обеспечивает целостность и безопасность передаваемых данных. Она обладает свойствами выделенной частной сети и позволяет передавать данные между двумя компьютерами через промежуточную сеть (internetwork), например Internet.

            Технология VPN отличается определенным рядом экономических преимуществ по сравнению с другими способами удаленного доступа. Во-первых, пользователи могут обращаться к корпоративной сети, не устанавливая с ней коммутируемое соединение, таким образом, отпадает надобность в использовании модемов. Во-вторых, можно обойтись без выделенных линий.

При наличии доступа в Интернет, любой пользователь может подключиться к сети офиса своей компании. Тем не менее, следует заметить, что общедоступность данных совсем не означает их незащищенность. Система безопасности VPN - это стена, которая защищает всю корпоративную информацию от несанкционированного доступа. Прежде всего, информация передается в зашифрованном виде. Прочитать полученные данные может лишь обладатель ключа к этому шифру. Подтверждение подлинности ключей включает в себя проверку целостности передаваемых (получаемых) данных и идентификацию пользователей, задействованных в VPN. Первая гарантирует, что данные дошли до адресата именно в том виде, в каком были посланы. Далее система проверяет, не изменялись ли данные во время движения по сетям (по ошибке или намеренно). Таким образом, VPN предполагает создание защищенных от несанкционированного доступа туннелей между несколькими локальными сетями или удаленными пользователями.

            Для построения VPN необходимо на обоих концах линии связи иметь программы шифрования исходящего трафика и дешифрования входящего. Они могут работать как на специализированных аппаратных устройствах, так и на ПК с операционными системами Windows, Linux или NetWare.

            Важнейшими элементами защищенного соединения являются: управление доступом, аутентификация и шифрование.

Основы тунелирования

            Тунелирование (инкапсуляция) - это способ передачи информации через промежуточную сеть. Такой информацией могут быть кадры (пакеты) другого протокола. При инкапсуляции кадр не передается в сгенерированном узлом-отправителем виде, а снабжается дополнительным заголовком, содержащим информацию о маршруте, позволяющую инкапсулированным пакетам проходить через промежуточную сеть. На конце туннеля кадры деинкапсулируются и передаются получателю.

            Этот процесс и есть тунелирование. Логический путь передвижения инкапсулированных пакетов в транзитной сети называется туннелем.

            VPN работает на основе протокола Point-to-Point Protocol (РРР). Протокол PPP создан для передачи данных по телефонным линиям и выделенным соединениям “точка-точка”. PPP инкапсулирует пакеты IP, IPX и NetBIOS в кадры PPP и передает их по каналу “точка-точка”. Протокол PPP может использоваться маршрутизаторами, соединенными выделенным каналом, или клиентом и сервером RAS, соединенными удаленным подключением.

Основные компоненты PPP:

            Инкапсуляция обеспечивает мультиплексирование нескольких транспортных протоколов по одному каналу;

            Протокол LCP - PPP задает гибкий LCP для установки, конфигурации и проверки канала связи. LCP обеспечивает согласование формата инкапсуляции, параметры установки и разрыва соединения, размера пакета, а также параметры аутентификации. В качестве протоколов аутентификации могут использоваться PAP, CHAP и др.;

            Протоколы управления сетью предоставляют специфические конфигурационные параметры для соответствующих транспортных протоколов. Например, IPCP протокол управления IP.

Для формирования VPN туннелей используются протоколы L2TP, PPTP,  IPsec, IP-IP.

Протокол L2TP позволяет шифровать и передавать IP-трафик с использованием протоколов, поддерживающих режим “точка-точка” доставки дейтаграмм. Например, к ним относятся протокол IP, ретрансляция кадров и асинхронный режим передачи.

Протокол PPTP позволяет туннелировать IP-, IPX- и NetBEUI-трафик в заголовки IP для передачи по IP-сети, например Internet.

Протокол IPsec позволяет шифровать и туннелировать полезную информацию протокола IP в заголовки IP для передачи по IP-сетям.

Протокол IP-IP – IP-дейтаграмма туннелируется с помощью дополнительного заголовка IP. Главное назначение IP-IP - инкапсуляция многоадресного трафика в тех частях сети, где не поддерживается многоадресная маршрутизация.

            Для технической реализации VPN, помимо стандартного сетевого оборудования, понадобится шлюз VPN, который выполняет все функции по формированию туннелей, защите информации, контролю трафика, а зачастую и функции централизованного управления.

            Сегодня VPN - это экономичное, надежное и общедоступное решение организации удаленного доступа. VPN обеспечит соединение с любой точкой мира и сохранность передачи самых важных данных, каким бы ни было расстояние.