11.2 Классификация по типу реализации.

1. VPN на основе брандмауэров

Разграничительная линия между брандмауэрами и VPN оказывается порой весьма нечеткой, так как оба типа продуктов обычно устанавливаются на передней линии защиты сети, к тому же многие брандмауэры поддерживают функции VPN. Как правило, такого рода продукты применяются, когда вы не можете быть полностью уверены в удаленных пользователях и вынуждены укрепить защиту против возможного проникновения злоумышленников в сеть.

Существует довольно тонкая взаимосвязь между брандмауэрами и VPN. Если туннели завершаются на оборудовании провайдера Internet, то трафик будет передаваться по вашей локальной сети или по линии связи с провайдером Internet в незащищенном виде. Если конечная точка находится на вашей территории, но расположена за брандмауэром, то туннелируемый трафик можно контролировать с помощью средств контроля доступа брандмауэра, но никакой дополнительной защиты при передаче по локальной сети это не даст. Более того, конечную точку будет связывать с брандмауэром нешифруемый канал.

Расположение конечной точки внутри защищаемой брандмауэром зоны обычно означает открытие прохода через брандмауэр (как правило, через конкретный порт TCP). Некоторые компании предпочитают применять реализуемый брандмауэром контроль доступа ко всему трафику, в том числе и к туннелируемому, особенно если другую сторону туннеля представляет партнер, заказчик или поставщик, стратегия защиты которого неизвестна или не внушает доверия. Одно из преимуществ применения тесно интегрированных с брандмауэром продуктов туннелирования состоит в том, что вы можете открывать туннель, применять к нему правила защиты брандмауэра и перенаправлять трафик на конечную точку на конкретном компьютере или в защищаемой брандмауэром подсети.

Одним из первых среди основных производителей брандмауэров на рынок VPN вышла Check Point Software Technologies (http://ww\v.checkpoint.com). Вот уже несколько лет компания является лидером по объему продаж брандмауэров, и она довольно рано поняла целесообразность интеграции в брандмауэр функций VPN. VPN-1 Gateway базируется на Firewall-1, но он также поддерживает функции шифрования и туннелирования. Помимо этого продукта компания продает также VPN-1 RemoteLink — аппаратно-программное решение для филиалов с функциями Firewall-1 и VPN.

2. Автономные аппаратные VPN.

Как правило, аппаратные продукты надежнее и устойчивее ко взлому, чем программные, к тому же их производительность на операциях шифрования выше. Однако, в то же время, им не хватает гибкости, особенно если дело касается конфигурации, изменений и диагностирования на стороне клиента. Вместе с тем сегодня многие подобные продукты имеют клиентское программное обеспечение и другой управляющий инструментарий, что упрощает внесение изменений.

3. Использование специализированных коммутаторов, маршрутизаторов

В 1998 году Cisco выпустила на рынок 1720 VPN Access Router. Этот продукт предлагает филиалам и небольшим компаниям универсальное решение задачи доступа в Internet и организации VPN. Маршрутизатор осуществляет высокоскоростное шифрование и содержит туннельный сервер для создания защищенных соединений. Он поставляется с двумя слотами глобальной сети и портом локальной сети на 10/100 Мбит/с.

3. Программная реализация VPN

Итак, рынок автономного оборудования, в том числе продаваемого вместе с клиентским программным обеспечением и компонентами управления, предлагает множество продуктов. Хотя и не столь популярные, как их аппаратные аналоги, продукты на базе программного обеспечения предоставляют несколько любопытных возможностей. Зачастую они оказываются более гибкими, позволяя осуществлять избирательное туннелирование (например, по протоколу или адресу) вместо туннелирования всего трафика. Например, очень часто направлять через туннель имеет смысл только важный трафик, например запрос к базе данных или электронную почту, но не трафик Web. Кроме того, программным продуктам, как правило, не требуется выделенного компьютера, так что компании могут использовать имеющееся оборудование

Клиент-серверный продукт Aventail ExtraNet Center выполняется на Windows NT и нескольких разновидностях UNIX, в том числе AIX, Digital Unix, HP-UX, Solaris и Linux. В противовес общей тенденции использовать IPSec для шифрования и аутентификации, Aventail является твердым сторонником SOCKS 5. Aventail ExtraNet Center поддерживает также множество схем шифрования и аутентификации, таких, как RADIUS, Challenge Handshake Authentication Protocol (CHAP), Windows NT Domain, NDS и цифровые сертификаты Х.509. Продукт работает с рядом приложений, в том числе Web, Java и ActiveX, а также с приложениями от SAP, Oracle и PeopleSoft. Клиентский компонент Aventail Connect выполняется в фоновом режиме, с его помощью пользователи могут осуществлять безопасную навигацию в системах Windows NT.