13. Режимы работы ipSec

Протокол IPSec можно использовать как в транспортном, так и в туннельном режиме. В первом случае заголовок IPSec размещается между сетевым (IP) и транспортным.

Транспортный режим разработан для применения на оконечных системах (узел - узел). Работа в этом режиме отражается на всех входящих в группу системах и в большинстве случаев требуется перепрограммирование приложений.

Туннельный режим IPSec применяется на шлюзах, и позволяет быстро развернуть туннельные IPSec-устройства по периметру сети. Обеспечить безопасность трафика между сконфигурированными таким образом сетями – очень просто, не требуется разработки новых приложений или специальных пользовательских программных средств. ПО, обеспечивающее туннельный режим, может размещаться на шлюзе или оконечных системах.

На оконечных системах туннельный режим наиболее часто применяется для поддержки удаленных и мобильных пользователей.

Соединение по протоколу IPSec устанавливается однонаправленным соглашением по безопасности SA (Security Association), поэтому на каждое соединение требуется по два SA-соглашения. Каждое из них определяет различные параметры IPSec-соединения, такие как алгоритмы шифрования и аутентификации, которые будут использованы при обмене информацией между системами, сеансовые ключи шифрования и т. д., управляющие их работой.

14. Виртуальные частные сети

Виртуальная частная сеть (VPN) - это технология, обеспечивающая безопасную связь по открытой (общей) сети. В общем случае VPN решает три задачи:

• организация связей между филиалами;

• соединение с партнерами и клиентами;

• взаимодействие мобильных сотрудников с корпоративной сетью.

Истинная частная сеть - принадлежность оборудования сети предприятия и гарантия конфиденциальности информации, передаваемой по этой сети. Такие сети не очень распространены. Гораздо чаще предприятие применяет для связей своих филиалов арендуемые каналы связи.

Частная сеть на арендованных каналах - при аренде канала в таких сетях предприятие делит пропускную способность магистральных каналов и коммутаторов с другими абонентами провайдера. Полоса пропускания арендованного канала полностью выделяется предприятию и является его собственностью. Корпоративные данные практически не доступны для абонентов, не являющихся пользователями корпоративной сети или сотрудниками провайдера. Это обуславливает высокую степень защищенности данных.

Если сети центрального офиса и каждого из филиалов имеют соединения с Интернет, то это дает потенциальную возможность получать доступ к ресурсам любого узла Интернет. Пользователь одного филиала предприятия может получать доступ через Интернет к ресурсам узлов других филиалов или центрального офиса.

Преимущества построения VPN на базе Интернет:

• простота и доступность реализации;

• низкая стоимость.

Недостатки:

• непредсказуемость пропускной способности;

• возможность перехвата информации, передаваемой по открытой сети.

Существуют разнообразные способы построения VPN, отличающиеся распределением функций по поддержанию VPN между корпоративной сетью и провайдером. В одном случае все функции по поддержанию VPN выполняет провайдер, гарантируя конфиденциальность и качество обслуживания клиентского трафика от точки входа в открытую сеть до точки выхода. В другом случае предприятие организует VPN собственными силами, за счет применения специальных VPN-продуктов в своей сети. В качестве таких продуктов могут использоваться:

• маршрутизаторы и межсетевые экраны с дополнительным программным обеспечением, выполняющим шифрование;

• специальные программные и аппаратные средства для создания защищенных каналов.

Как правило, все VPN-продукты обеспечивают только шифрование данных, но не гарантируют пропускную способность. Эта задача может быть решена только силами провайдера.