2.2.2. Создание виртуальных частных сетей

Технология виртуальных частных сетей (Virtual Private Network) — это технология эмуляции соединения «точка-точка» через сеть общего пользования. При этом между хостом пользователя и провайдером организуется так называемый туннель, по которому пакеты исходящей от пользователя информации достигают провайдера.

Виртуальные частные сети применяются для создания безопасных и надежных каналов, связывающих локальные сети и обеспечивающих доступ к ним пользователей, постоянно меняющих свое географическое местоположение. В основе этих сетей лежит использование открытой и общедоступной сети, такой как Internet.

Преимущества VPN .

Выгоды для клиента:

— высокие скорости подключения;

— гарантированная полоса пропускания виртуальных каналов связи;

— отсутствие платы за кабельные линии, соединяющие локальные сети;

— более экономичное, надежное и безопасное решение для создания VPN.

Применение VPN-доступа уменьшает затраты на:

— закупку, монтаж и конфигурирование серверов удаленного доступа и модемов;

— сетевое оборудование;

— управление клиентским программным обеспечением;

— контроль трафика удаленного доступа;

— телефонные соединения;

— количество высококвалифицированных сетевых администраторов;

— требуемое число портов доступа при увеличивающемся количестве удаленных пользователей;

— линии связи.

Возможности VPN:

— полностью централизованное управление;

— используется туннелирующий механизм (инкапсуляция) основанная на RFC-1234;

— поддерживаются несколько протоколов (IPX по IP и IP через IP);

— легко добавляются члены в VPN.

Возможность защиты:

— LAN-LAN трафик (для Internet);

— LAN-WAN-LAN трафик (между корпоративными сетями через Internet).

Использование стандартных криптографических алгоритмов:

— RC2 — алгоритм шифрования (40/128 bits);

— DSA — алгоритм авторизации (512 bits);

— Diffie-Hellman — алгоритм для обмена ключами (512 bits);

— MD5 — алгоритм для контроля целостности и т.д.

В своей простейшей форме виртуальные частные сети соединяют множество удаленных пользователей или удаленные офисы с сетью предприятия. Схема соединения для связи с отсутствующими служащими или с представительствами компании в других городах и странах очень проста. Удаленный пользователь посылает информацию в точку присутствия местного сервис-провайдера (ISP), затем вызов шифруется, проходит через Internet и соединяется с сервером предприятия абонента.

Некоторые технологии предлагают возможности роуминга, который позволяет пользователю связаться с ISP отовсюду с целью получения доступа к своей закрытой VPN.

Таким образом, работа VPN основана на формировании туннеля между двумя точками Internetа. Обычно, в самых распространенных случаях, клиентский компьютер устанавливает с провайдером стандартное соединение РРР, после чего подключается через Internet к центральному узлу. При этом формируется канал VPN, представляющий собой туннель, по которому можно производить обмен данными между двумя конечными узлами. Этот туннель непрозрачен для всех остальных пользователей этого провайдера, включая самого провайдера.

Варианты реализации VPN.

1). Программное обеспечение VPN для брандмауэров.

Достоинства: Общее администрирование VPN. Если VPN должны завершаться вне брандмауэра, то канал между окончанием туннеля и брандмауэром может стать уязвимым звеном в системе защиты. При повышении производительности серверных продуктов аппаратное обеспечение потребуется модернизировать.

Недостатки: Операции, связанные с шифрованием данных, могут чрезмерно загружать ЦП и снижать производительность брандмауэра. В случае интегрированных продукта VPN и брандмауэра оба они могут оказаться не лучшими в своем классе.

2). VPN на базе маршрутизатора или коммутатора.

Достоинства: Интегральные сети VPN могут не потребовать дополнительных расходов на приобретение. Упрощение администрирования VPN.

Недостатки: Функционирование VPN может отрицательно повлиять на другой трафик.

3). VPN на базе автономного программного обеспечения.

Достоинства: Завершение VPN нередко представляет собой сложную задачу. При повышении производительности серверных продуктов аппаратное обеспечение может потребоваться модернизировать. Старые аппаратные средства могут послужить для решения новых задач.

Недостатки: Администрирование VPN может потребовать отдельного приложения, возможно, даже выделенного каталога.

4). VPN на базе аппаратных средств.

Достоинства: Многофункциональные устройства облегчают конфигурацию и обслуживание в удаленных офисах. Однофункциональные устройства допускают тонкую настройку для достижения наивысшей производительности.

Недостатки: В многофункциональных блоках производительность одного приложения повышается зачастую в ущерб другому. Однофункциональные устройства могут требовать отдельных инструментов администрирования и каталогов. Модернизация для повышения производительности нередко оказывается слишком дорогостоящей или невозможной.