Безопасность VPN    261

Безопасность VPN

Итак, мы разобрались с основными физическими компонентами VPN-методов передачи информации в открытых сетях. Настало время рассказать о самом интересном — о том, как обеспечивается безопасность таких сетей.

Во всех виртуальных частных сетях должно обеспечиваться соблюдение трех основных критериев:

Доступность. VPN — это прежде всего еще один сервис, обеспечивающий доступ сотрудников и бизнес-партнеров организации к внутренним ресурсам. А это значит, что ИТ-специалисты должны поддерживать необходимый уровень сервиса, и эта услуга должна быть доступна всем легитимным пользователям.

Проверка целостности. Мы не можем гарантировать того, что передаваемые по открытой сети данные не будут перехвачены и изменены. В конце концов, в некоторых средах передачи данных определенное количество испорченных пакетов является нормой. Однако мы должны иметь возможность фильтровать такие пакеты. Обычно такая фильтрация становится возможной благодаря цифровым подписям, которые основываются на асимметричных методах шифрования.

Обеспечение конфиденциальности. Необходимо сделать так, чтобы содержимое передаваемой информации было известно только отправителю и получателю. Этого можно достичь благодаря различным алгоритмам симметричного и несимметричного шифрования.

Однако это еще не все. Нам необходимо отличать легитимных пользователей, имеющих право получать доступ к сети, от злоумышленников. Этого можно достичь с помощью аутентификации. Аутентификация может осуществляться при помощи логина и пароля, цифрового сертификата, смарт-карты, генератора одноразовых паролей и многого другого.

После того как система аутентифицировала клиента, начинается следующий этап — авторизация. На этом этапе система должна проверить, какие именно ресурсы должны быть доступны аутентифицированному клиенту, и предоставить к ним доступ.

Авторизация и аутентификация может происходить двумя путями — централизованным и децентрализованным. При втором подходе вся информация о клиенте хранится в базе данных сервера и не связана с другими ИС. Обычно это затрудняет администрирование. Представьте себе, что вы администратор крупной сети и ваши сотрудники имеют доступ к десяткам ИС. В случае децентрализованного управления вам придется создавать учетную запись пользователя и настраивать права доступа отдельно для каждой системы, что, в свою очередь, приведет к ошибкам при администрировании, а это может повлечь за собой возникновение инцидентов, связанных с ИБ. При таком подходе достаточно просто забыть заблокировать учетную запись скомпрометированного пользователя в одной из множества ИС и тем самым допустить возможность кражи злоумышленником конфиденциальной

262    Глава 23  •  Виртуальные защищенные сети (VPN)

информации. Централизованная же система лишена этого недостатка, учетные записи­ пользователей создаются и управляются из одного и того же места.

Основная задача централизованной системы — реализовать возможность единого входа и централизованного управления. Осуществить реализацию данного принципа могут помочь такие системы, как RADIUS и TACACS.

Еще удобнее внедрить групповую модель управления доступом. В этом случае вы будете просто добавлять пользователей в определенные группы, а уже группам давать права доступа. При таком подходе у вас могут быть тысячи пользователей и только несколько десятков групп. Согласитесь, это достаточно удобно.

Теперь настала пора рассмотреть процесс установки безопасного соединения. Вообще существуют различные технологии приватных сетей, и ниже мы приведем их краткую классификацию, но процесс установки соединения будем рассматривать на примере IPSec, так как на сегодняшний день это самый широко используемый протокол.

VPN канального уровня прозрачны для приложений, могут инкапсулировать пакеты третьего уровня и выше. Используют такие протоколы, как L2F, PPTP, L2TP.

VPN сетевого уровня также не вызывают проблем в работе приложений, инкапсулируют IP в IP. Самый известный и наиболее распространенный протокол, работающий на данном уровне, — IPSec. Он обеспечивает аутентификацию, туннелирование и шифрование пакетов. Является обязательным компонентом IPv6.

VPN сеансового уровня предназначены для ретрансляции трафика из защищенной сети в общедоступную. Работают посредством сокетов, а защита информации осуществляется благодаря TLS.

Итак, вернемся к процедуре установления безопасного соединения. Вне зависимости от того, какое ПО вы будете использовать, все будет происходить согласно описанным далее принципам.

Обе стороны должны иметь одинаковую конфигурацию. Это значит, что они сконфигурированы для использования одних и тех же протоколов шифрования данных и технологий обеспечения целостности информации.

Прежде чем отправлять информацию по сети, оба хоста должны идентифицировать себя, чтобы убедиться в том, что отправка произойдет в нужном направлении.

После того как соединение будет установлено, оба хоста должны принять решение об используемых алгоритмах шифрования. Один шлюз может поддерживать несколько разных алгоритмов для обеспечения взаимодействия с разными клиентами.

После того как решение об используемых алгоритмах принято, создается ключ, который затем будет использован для шифрации и дешифрации данных.

В IPSec установка соединения происходит в две фазы. Во время первой фазы хосты договариваются о методе идентификации, алгоритме шифрования и протоколе

Создание VPN из компонентов с открытым исходным кодом    263

Диффи—Хеллмана (Diffie—Hellman). Данные во время этой фазы передаются в незашифрованном виде. В случае, если первая фаза прошла успешно и хостам удалось договориться между собой, создается ассоциация между этими узлами. Эти ассоциации безопасности (Security Association) создаются и хранятся на каждом узле в течение всей сессии. Они обеспечивают однонаправленную передачу данных и описывают используемые для данного соединения алгоритмы. Поскольку каждый шлюз может создавать множество защищенных соединений, каждой ассоциации присваивается уникальный номер, по которому можно определить, к какому узлу относится данная ассоциация. Как правило, такие ассоциации содержат информацию об алгоритмах шифрования, методах определения целостности данных, способе идентификации узла, протоколе Диффи—Хеллмана, времени жизни ключа шифрования данных и т. д.

Во время второй фазы данные передаются уже в зашифрованном виде. В течение этой фазы генерируются ключи, а хосты договариваются об используемой политике. В случае удачного завершения данной фазы на хостах создаются ассоциации безопасности IPSec.

Создание VPN из компонентов с открытым исходным кодом

Итак, после освоения теоретической части перейдем к практике. Мы расскажем вам об основных этапах создания VPN-сервера с использованием компонентов с открытым исходным кодом. Надо сказать, что и сам сервер также является бесплатным и доступным, для примера мы выбрали Ubuntu 16.04.

Мы не будем детально описывать инсталляцию и конфигурацию каждого компонента. Цель данного раздела — показать основные этапы и принципы построения сервера для лучшего понимания технологии VPN.

Итак, начнем. После установки ОС необходимо проинсталлировать OpenVPN. Данное ПО использует библиотеку OpenSSL и позволяет создавать зашифрованные каналы.

Так как мы будем создавать VPN на основании TLS/SSL, нам необходимо сгенерировать и подписать сертификаты безопасности или, говоря другими словами, развернуть центр сертификации. Для выпуска сертификатов можно использовать easy-rsa, это ПО входит в стандартные репозитории Ubuntu.

После инсталляции создайте директорию для центра сертификации с помощью команды make-cadir ~/openvpn-ca. Это пригодится вам в будущем и облегчит администрирование. На следующем шаге необходимо отредактировать переменные, которые будут использоваться нашим центром сертификации. Все они хранятся в файле с именем vars и находятся в папке openvpn-ca. Активируйте новую конфигурацию командой source vars, после этого очистим нашу среду командой ./clean-all и создадим центр сертификации — ./build-ca.

Создание VPN из компонентов с открытым исходным кодом    265

:POSTROUTING ACCEPT [0:0]

# Allow traffic from OpenVPN client to eth0

-A POSTROUTING -s 10.8.0.0/8 -o eth0 -j MASQUERADE COMMIT

# END OPENVPN RULES

Теперь разрешим нашему фаерволу принимать перенаправленные пакеты. Для этого откроем файл /etc/default/ufw и в директиве DEFAULT_FORWARD_POLICY заменим DROP на ACCEPT.

Последним шагом будет открытие необходимых портов и применение политик. Это можно сделать, выполнив следующие четыре команды:

ufw allow 1194/udp;ufw allow OpenSSH;ufw disable;

ufw enable.

На этом всё, сервер сконфигурирован. Теперь просто запустите сервис командой systemctl start openvpn@server.

Сейчас пора задуматься о том, каким образом мы будем создавать файлы конфигурации для наших клиентов. Создадим для них отдельную директорию mkdir -p ~/client-configs/files и зададим необходимые права доступа chmod 700 ~/clientconfigs/files.

Далее, как и в случае с сервером, скопируем шаблон конфигурации в нашу директорию и отредактируем его — cp /usr/share/doc/openvpn/examples/sample-config- files/client.conf ~/client-configs/base.conf.

В этом файле необходимо задать следующие параметры:IP_адрес_VPN_сервера 1194;

proto udp;group nogroup;user nobody;#ca ca.crt;#cert client.crt;#key client.key;

cipher AES-128-CBC;auth SHA256;key-direction 1.

266    Глава 23  •  Виртуальные защищенные сети (VPN)

Для облегчения последующей генерации файлов конфигурации, которые будут содержать в том числе и ключи для шифрования, мы рекомендуем использовать следующий скрипт:

#!/bin/bash

# First argument: Client identifier

KEY_DIR=~/openvpn-ca/keys

OUTPUT_DIR=~/client-configs/files

BASE_CONFIG=~/client-configs/base.conf

cat ${BASE_CONFIG} \ <(echo -e '<ca>') \ ${KEY_DIR}/ca.crt \

<(echo -e '</ca>\n<cert>') \ ${KEY_DIR}/${1}.crt \

<(echo -e '</cert>\n<key>') \ ${KEY_DIR}/${1}.key \

<(echo -e '</key>\n<tls-auth>') \ ${KEY_DIR}/ta.key \

<(echo -e '</tls-auth>') \ > ${OUTPUT_DIR}/${1}.ovpn

Предположим, что мы назвали наш скрипт make_config.sh. Теперь, используя созданный на прошлом шаге сертификат, создадим конфигурацию для клиента одной командой ./make_config.sh client1 и на выходе получим файл с именем client1.ovpn.

Теперь разберемся с клиентской частью. OpenVPN существует для Linux, Android и Windows. Для создания безопасного соединения в ОС Windows необходимо установить клиентское ПО, скопировать конфигурационный файл на устройство пользователя в директорию OpenVPN и запустить приложение с правами администратора. Далее в самой программе кликните на кнопку соединения, и процесс будет запущен.