Особые свойства службы виртуального удаленного доступа

В последующих разделах обсуждаются некоторые наиболее важные отличия службы виртуального удаленного доступа от стандартной службы доступа Internet, касающиеся аутентификации, выделения адресов, авторизации и учета.

Аутентификация и безопасность сети

В традиционном сценарии удаленного доступа Internet-провайдер, использую­щий сервер NAS вместе с сервером безопасности выполняет аутентификацию за­прашивая у пользователя удаленного доступа его имя и пароль. Если удаленный пользователь проходит такую проверку, то начинается этап авторизации.

ПРИМЕЧАНИЕ

Функции Cisco-серверов сетевого доступа NAS обеспечивают поддержку как службы вирту­ального удаленного доступа, так и обычной службы.

Для службы виртуального удаленного доступа Internet-провайдер выполняет аутен­тификацию с целью выяснить идентификационные параметры пользователя (и, как следствие этого, желательный для пользователя корпоративный шлюз). На этом этапе соответствие паролей не проверяется. Сразу после того, как определен корпоративный шлюз, инициируется соединение с использованием собранной Internet-провайдером информации аутентификации. Корпоративный шлюз заканчивает процесс аутенти­фикации, принимая или отвергая это соединение. Например, в запросе протокола РАР соединение отвергается, если имя пользователя или его пароль оказываются непра­вильными. В случае. Когда соединение принято, корпоративный шлюз может выпол­нить следующую фазу аутентификации на уровне протокола РРР. Эти дополнительные операции аутентификации находятся вне сферы спецификации, но могут включать в себя фирменные расширения протокола РРР или текстуальные запросы, осуществ­ляемые в Telnet-ceaHce протокола TCP/IP.

Для каждого установленного туннеля протокола L2TP служба безопасности этого протокола генерирует уникальный случайный ключ, предназначенный для защиты от спуфинга. Внутри туннеля L2TP каждый мультиплексированный сеанс поддер­живает номер последовательности для предотвращения дублирования пакетов. Ап­паратное и программное обеспечение корпорации Cisco предоставляет значитель­ную гибкость, позволяя пользователю осуществлять сжатие данных на стороне кли­ента. Кроме того, шифрование в туннеле может осуществляться с использованием протокола IpSecurity (IPSec).

Авторизация

При предоставлении традиционной службы удаленного доступа Internet-провайдер поддерживает отдельные профили для каждого пользователя, которые определяют ав­торизацию. На основе этого сервер безопасности может взаимодействовать с сервером сетевого доступа NAS для предоставления основанного на политиках использования и подсоединения пользователей на основе их аутентификации. Характер этих директив политик может меняться от простых фильтров по источнику/получателю для неболь­шой группы сайтов до сложных алгоритмов, учитывающих конкретный характер ис­пользуемых приложений, время дня, в которое происходит удаленный доступ, а также длинные списки разрешенных или, наоборот, запрещенных пунктов назначения. Этот процесс может стать весьма обременительным для Internet-провайдера, особенно если ему требуется обеспечивать доступ удаленных пользователей от имени корпораций, которым требуется постоянно изменять свою политику.

При использовании службы виртуального удаленного доступа вся тяжесть под­робной авторизации, основанной на директивах политик, возлагается непосредст­венно на корпорацию удаленного пользователя. В условиях, когда между удаленны­ми пользователями и их корпоративным шлюзом устанавливается сквозное соеди­нение, все операции по авторизации могут быть выполнены так, как если бы удаленные пользователи осуществляли непосредственный доступ к своей корпора­тивной сети. Такая установка освобождает Internet-провайдера от необходимости поддержания большой базы данных профилей индивидуальных пользователей от многих отдельных корпораций. Что еще более важно, при этом служба виртуального удаленного доступа становится более безопасной для использующих ее корпораций. Служба виртуального удаленного доступа также позволяет корпорациям быстро реагировать на изменения состава сообществ своих удаленных пользователей.