Инсотел - Поставки сетевого и серверного оборудования
Инсотел в Facebook Инсотел в Twitter Инсотел в Вконтакте
Магазин сетевого оборудования: коммутаторы, ip телефоны, межсетевые экраны, беспроводные маршрутизаторы, медиаконвертеры, gsm шлюзы.

Обзоры

Виртуальные Частные Сети (VPN)


Действительно, при сравнении стоимости услуг по соединению нескольких сетей через Internet, например, с сетями Frame Relay можно заметить существенную разницу в стоимости. Однако, необходимо отметить, что при объединении сетей через Internet, сразу же возникает вопрос о безопасности передачи данных, поэтому возникла необходимость создания механизмов позволяющих обеспечить конфиденциальность и целостность передаваемой информации. Сети, построенные на базе таких механизмов, и получили название VPN.

В этой статье мы попробуем разобраться, что же такое VPN, какие существуют плюсы и минусы данной технологии и какие варианты реализации VPN существуют.

Рис.1. Виртуальная Частная сеть.
Что такое VPN


Что же такое VPN? Существует множество определений, однако главной отличительной чертой данной технологии является использование сети Internet в качестве магистрали для передачи корпоративного IP-трафика. Сети VPN предназначены для решения задач подключения конечного пользователя к удаленной сети и соединения нескольких локальных сетей. Структура VPN включает в себя каналы глобальной сети, защищенные протоколы и маршрутизаторы.

Как  работает Виртуальная Частная Сеть?

Для объединения удаленных локальных сетей в виртуальную сеть корпорации используются так называемые виртуальные выделенные каналы. Для создания подобных соединений используется механизм туннелирования. Инициатор туннеля инкапсулирует пакеты локальной сети (в том числе, пакеты немаршрутизируемых протоколов) в новые IP-пакеты, содержащие в своем заголовке адрес этого инициатора туннеля и адрес терминатора туннеля. На противоположном конце терминатором туннеля производится обратный процесс извлечения исходного пакета.

Как уже отмечалось выше, при осуществлении подобной передачи требуется учитывать вопросы конфиденциальности и целостности данных, которые невозможно обеспечить простым туннелированием. Для достижения конфиденциальности передаваемой корпоративной информации необходимо использовать некоторый алгоритм шифрования, причем одинаковый на обоих концах туннеля.

Для того чтобы была возможность создания VPN на базе оборудования и программного обеспечения от различных производителей необходим некоторый стандартный механизм. Таким механизмом построения VPN является протокол Internet Protocol Security (IPSec). IPSec описывает все стандартные методы VPN. Этот протокол определяет методы идентификации при инициализации туннеля, методы шифрования, используемые конечными точками туннеля и механизмы обмена и управления ключами шифрования между этими точками. Из недостатков этого протокола можно отметить то, что он ориентирован на IP.

Другими протоколами построения VPN являются протоколы PPTP (Point-to-Point Tunneling Protocol), разработанный компаниями Ascend Communications и 3Com, L2F (Layer-2 Forwarding) - компании Cisco Systems и L2TP (Layer-2 Tunneling Protocol), объединивший оба вышеназванных протокола. Однако эти протоколы, в отличие от IPSec, не являются полнофункциональными (например, PPTP не определяет метод шифрования), поэтому мы, в основном, будем ориентироваться на IPSec.

Говоря об IPSec, нельзя забывать о протоколе IKE (Internet Key Exchange), позволяющем обеспечить передачу информации по туннелю, исключая вмешательство извне. Этот протокол решает задачи безопасного управления и обмена криптографическими ключами между удаленными устройствами, в то время, как IPSec кодирует и подписывает пакеты. IKE автоматизирует процесс передачи ключей, используя механизм шифрования открытым ключом, для установления безопасного соединения. Помимо этого, IKE позволяет производить изменение ключа для уже установленного соединения, что значительно повышает конфиденциальность передаваемой информации.

Как построить VPN


Существуют различные варианты построения VPN. При выборе решения требуется учитывать факторы производительности средств построения VPN. Например, если маршрутизатор и так работает на пределе мощности своего процессора, то добавление туннелей VPN и применение шифрования/дешифрования информации могут остановить работу всей сети из-за того, что этот маршрутизатор не будет справляться с простым трафиком, не говоря уже о VPN.

Опыт показывает, что для построения VPN лучше всего использовать специализированное оборудование,
однако если имеется ограничение в средствах, то можно обратить внимание на чисто программное решение.

Рассмотрим некоторые варианты построения VPN.

1.VPN на базе брандмауэров


Брандмауэры большинства производителей поддерживают туннелирование и шифрование данных. Все подобные продукты основаны на том, что если уж трафик проходит через брандмауэр, то почему бы его заодно не зашифровать. К программному обеспечению собственно брандмауэра добавляется модуль шифрования. Недостатком данного метода можно назвать зависимость производительности от аппаратного обеспечения, на котором работает брандмауэр. При использовании брандмауэров на базе ПК надо помнить, что подобное решение можно применять только для небольших сетей с небольшим объемом передаваемой информации.

Рис.2. VPN на базе брандмауэра.


В качестве примера решения на базе брандмауэров можно назвать FireWall-1 компании Check Point Software Technologies. FairWall-1 использует для построения VPN стандартный подход на базе IPSec. Трафик, приходящий в брандмауэр, дешифруется, после чего к нему применяются стандартные правила управления доступом. FireWall-1 работает под управлением операционных систем Solaris и Windows NT 4.0.

2. VPN на базе маршрутизаторов


Другим способом построения VPN является применение для создания защищенных каналов маршрутизаторов. Так как вся информация, исходящая из локальной сети, проходит через маршрутизатор, то целесообразно возложить на этот маршрутизатор и задачи шифрования.

Ярким примером оборудования для построения VPN на маршрутизаторах является оборудование компании Cisco Systems. Начиная с версии программного обеспечения IOS 11.3(3)T маршрутизаторы Cisco поддерживают протоколы L2TP и IPSec. Помимо простого шифрования проходящей информации Cisco поддерживает и другие функции VPN, такие как идентификация при установлении туннельного соединения и обмен ключами.

Рис.3. VPN на базе маршрутизаторов.

Для построения VPN Cisco использует туннелирование с шифрованием любого IP-потока. При этом туннель может быть установлен, основываясь на адресах источника и приемника, номера порта TCP(UDP) и указанного качества сервиса (QoS).

Для повышения производительности маршрутизатора может быть использован дополнительный модуль шифрования ESA (Encryption Service Adapter).

Кроме того, компания Cisco System выпустила специализированное устройство для VPN, которое так и называется Cisco 1720 VPN Access Router (Маршрутизатор Доступа к VPN), предназначенное для установки в компаниях малого и среднего размера, а также в в отделениях крупных организаций.

3. VPN на базе программного обеспечения


Следующим подходом к построению VPN являются чисто программные решения. При реализации такого решения используется специализированное программное обеспечение, которое работает на выделенном компьютере и в большинстве случаев выполняет роль proxy-сервера. Компьютер с таким программным обеспечением может быть расположен за брандмауэром.

Рис.4. VPN на базе программного обеспечения.


 

В качестве примера такого решения можно выступает программное обеспечение AltaVista Tunnel 97 компании Digital. При использовании данного ПО клиент подключается к серверу Tunnel 97, аутентифицируется на нем и обменивается ключами. Шифрация производится на базе 56 или 128 битных ключей Rivest-Cipher 4, полученных в процессе установления соединения. Далее, зашифрованные пакеты инкапсулируются в другие IP-пакеты, которые в свою очередь отправляются на сервер. В ходе работы Tunnel 97 осуществляет проверку целостности данных по алгоритму MD5. Кроме того, данное ПО каждые 30 минут генерирует новые ключи, что значительно повышает защищенность соединения.

Положительными качествами AltaVista Tunnel 97 являются простота установки и удобство управления. Минусами данной системы можно считать нестандартную архитектуру (собственный алгоритм обмена ключами) и низкую производительность.

4. VPN на базе сетевой ОС


Решения на базе сетевой ОС мы рассмотрим на примере системы Windows NT компании Microsoft. Для создания VPN Microsoft использует протокол PPTP, который интегрирован в систему Windows NT. Данное решение очень привлекательно для организаций использующих Windows в качестве корпоративной операционной системы. Необходимо отметить, что стоимость такого решения значительно ниже стоимости прочих решений. В работе VPN на базе Windows NT используется база пользователей NT, хранящаяся на Primary Domain Controller (PDC). При подключении к PPTP-серверу пользователь аутентифицируется по протоколам PAP, CHAP или MS-CHAP. Передаваемые пакеты инкапсулируются в пакеты GRE/PPTP. Для шифрования пакетов используется нестандартный протокол от Microsoft Point-to-Point Encryption c 40 или 128 битным ключом, получаемым в момент установки соединения. Недостатками данной системы являются отсутствие проверки целостности данных и невозможность смены ключей во время соединения. Положительными моментами являются легкость интеграции с Windows и низкая стоимость.

5. VPN на базе аппаратных средств


Вариант построения VPN на специальных устройствах может быть использован в сетях, требующих высокой производительности. Примером такого решения служит продукт cIPro-VPN компании Radguard

Рис.5. VPN на базе аппаратных средств


Данный продукт использует аппаратное шифрование передаваемой информации, способное пропускать поток в 100 Мбит/с. cIPro-VPN поддерживает протокол IPSec и механизм управления ключами ISAKMP/Oakley. Помимо прочего, данное устройство поддерживает средства трансляции сетевых адресов и может быть дополнено специальной платой, добавляющей функции брандмауэра

Проблемы в VPN

  • Основной проблемой сетей VPN является отсутствие устоявшихся стандартов аутентификации и обмена шифрованной информацией.
    Эти стандарты все еще находятся в процессе разработки и потому продукты различных производителей не могут устанавливать VPN-соединения и автоматически обмениваться ключами. Данная проблема влечет за собой замедление распространения VPN, так как трудно заставить различные компании пользоваться продукцией одного производителя, а потому затруднен процесс объединения сетей компаний-партнеров в, так называемые, extranet-сети.
  • Как можно заметить из вышесказанного, продукты построения VPN могут оказаться узким местом в сети.
    Это происходит из-за того, что для поддержки множества соединений и шифрования информации, передаваемой по этим соединениям, требуется высокая производительность используемого оборудования (и/или программного обеспечения). Это является еще одним проблемным моментом в построении VPN.
  • Еще одним уязвимым местом VPN можно считать отсутствие единых, надежных способов управления такими сетями, что может стать кошмаром для сетевых администраторов.
  • И, наконец, отсутствие (или слабое развитие) механизмов обеспечения качества сервиса в сети Internet является проблемой построения сетей VPN,
    требующих для некоторых приложений гарантированной доставки информации за ограниченное время.

Что ждать в будущем


Чего же можно ожидать в плане развития технологий VPN в будущем? Без всякого сомнения, будет выработан и утвержден единый стандарт построения подобных сетей. Скорее всего, основой этого стандарта будет, уже зарекомендовавший себя протокол IPSec. Далее, производители сконцентрируются на повышении производительности своих продуктов и на создании удобных средств управления VPN.

Скорее всего, развитие средств построения VPN будет идти в направлении VPN на базе маршрутизаторов, так как данное решение сочетает в себе достаточно высокую производительность, интеграцию VPN и маршрутизации в одном устройстве. Однако, будут развиваться и недорогие решения на базе сетевых ОС для небольших организаций.

В заключение, надо сказать, что, несмотря на то, что технология VPN еще очень молода, ее ожидает большое будущее.

 

Источник:  www.itelltd.kiev.ua

 

Последние 10 обзоров:

12.03.2017
Тепловизор серии Q1942-E дополнит по умеренной цене систему круглосуточной защиты важных объектов
Сетевые IP тепловизоры AXIS серии Q1942-E, способные обнаруживать людей, транспортные средства и др. объекты на удалении 1,8 – 5,6 км при любой освещенности при t -40 до +60 °C, незаменимы в системах защиты периметра промышленных объектов, аэропортов, электростанций, на транспортных предприятиях, автостоянках, в портах и гаванях, для городского видеонаблюдения.
07.03.2017
GEFEN EXT-DP-4K600-1SC– идеальное решение для критически важных A/V приложений: медицинских, военных
GEFEN EXT-DP-4K600-1SC идеально подходит для таких применений как медицинские системы отображения, посты управления на военных и промышленных объектах, авиасимуляторы-тренажеры, Digital Signage, компьютерные игры, развлекательные мультимедийные системы.
24.01.2017
Pelco – лидер отрасти, фокусируется на стратегическом наблюдении
Экспозиция Pelco на Intersec 2017 сосредоточена на решениях для нефтяного и газового сектора, городского наблюдения и вертикальных туристических рынков.
22.01.2017
2017: Год Yealink? Yealink продемонстрирует новейшие терминальные решения UC на ITEXPO во Флориде
Экспозиция с темой "Инновации Yealink открывают легкое сотрудничество" предназначена для демонстрации новейших инноваций Yealink в сфере видео и голосовых коммуникаций для бизнеса.
26.12.2016
Сетевые решения Planet для IoT и IIoT награждены премией 2017 Taiwan Excellence
Три промышленных управляемых коммутатора Planet для IoT и Промышленного Интернета (IIoT), а также L2+ централизованное решение для управления беспроводными точками доступа и комплексное решение H.265 IP Видеонаблюдения награждены 2017 Taiwan Excellence Awards за выдающиеся инновации, экологичность и удобство в использовании.
20.12.2016
В пятерку лидеров рейтинга журнала CRN/RE 2016 в номинации ИБП вошли APC, Eaton и Delta Electronics
В 2016 APC by Schneider Electric со значительным отрывом лидирует по шести из восьми показателей в номинации ИБП рейтинга CRN/RE, причем,на первых позициях показатели «Качество продукции» и «Соотношение Цена/Качество». Eaton и Delta Electronics также входят в пятерку лидеров по этим показателям для ИБП.
19.12.2016
Самые популярные Аудио/Видео тренды на 2017
В нашем стремительно меняющемся мире технологии меняются быстрее чем когда-либо, и к числу наиболее популярных A/V трендов добавляются инновационные, экспериментальные аудио-визуальные решения, где аппаратные средства - всего лишь точки перехода для того, что может быть достигнуто.
15.12.2016
Видео конференции Yealink VC - лучший рентабельный выбор для среднего и малого бизнеса
Yealink, Top2 на рынке IP телефонии, завоевывает лидирующие позиции в сфере видео сотрудничества с революционными по простоте, функциональности и низким ценам решениями видео и аудио конференцсвязи для среднего и малого бизнеса и региональных отделений корпораций.
03.12.2016
Лучшие по функционалу/ценам сетевые хранилища NAS QNAP для среднего,малого бизнеса и корпораций

Тайваньская компания QNAP получила мировое признание как поставщик многофункциональных передовых сетевых хранилищ  NAS  наивысшего класса для корпораций, среднего и малого бизнеса и моделей, идеальных  для дома и офиса.

18.10.2016
Простые беспроводные решения видеонаблюдения Axis Companion Dome WV и Axis Companion Cube LW для SMB
Беспроводные все в одном решения видеонаблюдения Axis Companion Line позволяют владельцам малого бизнеса своими руками легко установить и производить удаленное видеонаблюдение в реальном времени с персонального компьютера или мобильного устройства.

+ 7 (495) 646-12-86

Контакты

Телефон
:
(495) 646-12-86
E-mail
:
sales@insotel.ru

Темы Обзоров

Каталог товаров

  Инсотел в Facebook Инсотел в Twitter Инсотел в Вконтакте Инсотел в Cnews Club
  +7(495) 646-12-86

Все права защищены. ООО “Инсотел”. г. Москва, 2-ой Нагатинский проезд д.2 стр.8 © 2008-2015.