1. Какие ключевые вопросы безопасности обеспечивает протокол ipSec? Каковы мероприятия администратора системы по реализации vpn сети?

IPsec - кодирование всего, что идет по каналу, который организует оператор связи. Протоколы IPSec описаны в нескольких RFC. В них используются различные технологии шифрования для выполнения ключевых функций обеспечения безопасности против наиболее типичных угроз Интернет. При этом аутентификация гарантирует, что устройство VPNсети осуществляет связь именно с требуемым узлом. Конфиденциальность данных обеспечивается посредством шифрования. Поддержка целостности обеспечивает предотвращение изменения данных в процессе передачи. Ключевые технологии шифрования протоколов IPSec содержат:

- симметричные алгоритмы шифрования (DES, 3DES, AES);

- хэш-алгоритмы (MD5 и SHA-1) для генерирования кода аутентификации;

- протокол обмена ключами Диффи-Хеллмана (DH) двух VPN-устройств для генерации общего секретного кода по небезопасному каналу;

- инфраструктуру открытого ключа (PKI), состоящую из протоколов и стандартов для применения алгоритмов открытого ключа.

После принятия решения о создании VPN-сети администратор системы должен определить соответствующие меры для обеспечения адекватной защиты инфраструктуры. Для этого перед началом реализации необходимо провести аудит безопасности предлагаемых решений, строго определить приложение и цели его применения.

- Аудит безопасности. Цель аудита — убедиться, что после реализации VPN-сети безопасность ИС не снизится из-за уязвимости в брандмауэре, приложении удаленного доступа или методе аутентификации, а сеть не станет более открытой для широкой аудитории, чем до реализации VPN

- Сфера действия сети и требования приложений. После того как выполнен аудит безопасности, администратору системы необходимо определить сферу действия виртуальной частной сети путем идентификации конечных пользователей (партнеры, подрядчики, мобильные пользователи), которые могут получать доступ к VPN-сети и приложениям. Этот этап включает в себя оценку приложений, которые будут использоваться, и степень чувствительности данных к задержкам, похищению или искажению, которые они будут передавать.

- Документация. В случае организации экстранет администратор системы совместно с администрацией предприятия должен зафиксировать правила поведения пользователей в специальном документе. При использовании удаленного доступа этот документ должен отражать политику администратора системы по отношению к новой форме доступа пользователей.

- Политика безопасности. В случае организации экстранет работа в виртуальной частной сети определяется политикой аутентификации и авторизации. Авторизация должна основываться на общих принципах, которые определяются работающими в данной сети предприятиями. Эти принципы должны отражать базовые привилегии, включая доступ к сети и доступ к Web-серверу. Принципы должны быть преобразованы в определенный набор данных и распространены по VPN-сети. Политика удаленного доступа в виртуальной частной сети не должна радикально отличаться от традиционной политики удаленного доступа. Ключевым компонентом службы виртуального удаленного доступа является туннелирование (способ поглощения/инкапсуляции пакетов протоколом, который понятен только во входной и выходной точках данной сети).

- Авторизация. При предоставлении традиционной службы удаленного доступа Интернет-оператор поддерживает отдельные профайлы для каждого пользователя, которые определяют авторизацию. На основе этого сервер безопасности, взаимодействуя с сервером сетевого доступа NAS, предоставляет доступ на основе политик использования и подсоединения пользователей. При использовании службы виртуального удаленного доступа вся тяжесть подробной авторизации, основанной на политиках, возлагается непосредственно на компанию удаленного пользователя. Служба виртуального удаленного доступа позволяет компаниям также быстро реагировать на изменение состава сообщества своих удаленных пользователей.

- Выделение адресов. При использовании традиционной службы удаленного доступа IP-адрес выделяется динамически из набора доступных адресов оператора. В этом случае удаленные пользователи имеют ограниченный доступ к ресурсам своей корпоративной сети или вообще его не имеют, поскольку брандмауэры и политики безопасности запрещают доступ с внешних IP-адресов к корпоративной сети. При использовании службы виртуального удаленного доступа корпоративный шлюз может выделять адреса, которые являются внутренними адресами корпоративной сети и могут быть адресами, зарезервированными для частных сетей. Поскольку туннели протокола L2TP оперируют исключительно на уровне преобразованных (инкапсулированных) пакетов, реальные политики управления адресами (для корректировки службы виртуального удаленного доступа, для всех целей обработки протокола РРР, для пользователя удаленного доступа) выглядят так, как будто он соединен непосредственно с корпоративным шлюзом.

- Учет. Сервер NAS и корпоративный шлюз могут подсчитывать число пакетов, байтов и число созданных и разорванных соединений. Поскольку виртуальный удаленный доступ является службой доступа, учет попыток доступа, особенно неудачных, представляет значительный интерес. Корпоративный шлюз может отвергнуть попытки создания новых соединений на основе информации аутентификации, собранной оператором Интернет, с внесением соответствующих записей в файл учета.

- Организационная безопасность сети. Физический доступ ко всем устройствам сети должен быть включен в политику доступа. Требования физической безопасности подразумевают: запирание на замок телекоммуникационного помещения (ER), где находятся сетевые устройства, запирание телекоммуникационного шкафа с устройствами, защиту резервных источников питания. Администратор системы должен обеспечить надлежащий контроль за вентиляцией и температурой в помещении, отключить неиспользуемые или ненужные порты в сети.