3.3.3. Альтернативные реализации vpn

Помимо стандартных протоколов VPN существуют и специализированные варианты. Проведем анализ некоторых из хорошо известных решений с открытыми исходными текстами, а именно: cIPe, OpenVPN и VTun.

3.3.3.1. Протокол cIPe

Протокол работает на уровне IP и позволяет туннелировать протоколы более высоких уровней (например, ICMP, TCP, UDP). Принцип работы напоминает РРР, но cIPe инкапсулирует передаваемые IP-пакеты в UDP-датаграммы. При разработке cIPe была поставлена цель создать облегченный протокол, в котором для шифрования данных применяются достаточно стойкие криптографические алгоритмы Blowfish и IDEA, но при этом простой для установки и обслуживания и в то же время несколько более производительный, чем IPSec. Из-за того, что в cIPe используется единственный UDP-порт для организации туннеля, трафик без труда проходит через NAT и межсетевой экран с запоминанием состояния. Поэтому он идеально подходит для не слишком опытных пользователей VPN, которым нужно работать совместно. Имеются бесплатные реализации cIPe как для UNIX, так и для Windows[].

3.3.3.2. Пакет OpenVpn

OpenVPN - это еще одно открытое решение, по своей функциональности аналогичное cIPe. Пакет легко инсталлируется и конфигурируется; известно, что он работает на большинстве UNIX-подобных систем, в которых есть драйверы виртуальной сети TUN/TAP. Поскольку протокол работает в адресном пространстве пользователя, то модификаций ядра не требуется. OpenVPN имеет модульную структуру; все криптографические функции реализованы посредством библиотеки OpenSSL, в том числе и самые современные шифры, к примеру, AES с 256-битовым ключом.

Следовательно, протокол в полной мере поддерживает реализованные в OpenSSL механизм PKI для аутентификации сеансов, протокол TLS для обмена ключами, не зависящий от шифра интерфейс EVP для шифрования данных и коды НМАС для аутентификации данных (если эта терминология непонятна, вернитесь к главам, посвященным прикладной криптографии). Как и в случае cIPe, использование единственного UDP-порта для инкапсуляции туннеля позволяет без труда пропускать трафик через NAT и межсетевые экраны с запоминанием состояния. Во время работы над этой книгой пакет еще не был перенесен на платформу Windows.

3.3.3.3. Пакет vTun

VTUn - это еще один пакет, который пользуется драйвером виртуальной сети TUN/TAP для туннелирования IP-трафика. Он поддерживает все распространенные протоколы уровня 3, в том числе IPX и AppleTalk, протоколы для работы по последовательным линиям связи РРР и SLIP, а также все программы, работающие с конвейерами UNIX (UNIX pipes). Встроенный механизм контроля трафика позволяет ограничивать входную и выходную скорость работы туннеля, что отличает это решение от всех остальных.

С точки зрения конфиденциальности VTun не претендует на звание самого безопасного протокола; основной упор сделан на быстродействие, стабильность и удобство эксплуатации. Тем не менее, он поддерживает алгоритм Blowfish с 128-битовым ключом для шифрования данных и MD5 для генерирования 128-битовых сверток. Версии для Windows не существует, так что вы ограничены UNIX- подобными ОС, которые поддерживают драйвер TUN/TAP.