11. Сведения об организации безопасности удаленного доступа к локальной сети

В настоящее время удаленный доступ к компьютерным ресурсам локальных сетей стал не менее значимым, чем доступ в режиме непосредственного под­ключения. Удаленный доступ к локальной сети реализуется из внешнего фи­зически не защищаемого окружения через открытые сети. Соответственно средства построения защищенной виртуальной сети должны обеспечивать безопасность сетевого взаимодействия не только при объединении локальных сетей, но и при подключении к локальным сетям удаленных компьютеров.

Удаленный доступ к локальной сети возможен через телефонную сеть, гло­бальную компьютерную сеть или через среду передачи информации, обра­зованную цепочкой из телефонной и глобальной компьютерной сети. Не исключен также случай, когда локальная сеть и удаленный компьютер объединяются в единую виртуальную сеть путем подключения по телефонным линиям к глобальной компьютерной сети. Наиболее эффек­тивным способом удаленного доступа к локальным сетям является доступ через глобальную сеть Internet, для подключения к которой могут использо­ваться каналы телефонной связи. Удаленный доступ к локальным сетям че­рез Internet обладает рядом преимуществ:

обеспечивается масштабируемая поддержка удаленного доступа, позво­ляющая мобильным пользователям связываться по местным телефон­ным линиям с поставщиками услуг Internet и через них входить в свою локальную сеть;

для организации удаленного доступа пользователей исключается необ­ходимость в наличии модемных пулов в локальной сети, а трафиком дистанционного доступа можно управлять точно так же, как любым дру­гим трафиком Internet;

сокращаются расходы на информационный обмен через открытую внешнюю среду, так как вместо того, чтобы устанавливать дорогостоя­щие непосредственные соединения с локальной сетью по междугород­ной или международной телефонной связи, удаленные пользователи мо­гут подключаться к Internet и, далее, связываться с сетью своей организации через эту глобальную сеть.

Независимо от типа среды передачи информации, связывающей удаленный компьютер с локальной сетью, для взаимодействия с удаленными пользова­телями из состава локальной сети выделяется сервер удаленного доступа. В общем случае данный сервер предназначен для установки соединения с уда­ленным компьютером, аутентификации удаленного пользователя, управле­ния удаленным соединением, а также выполнения других функций посред­ничества при обмене данными между локальной сетью и удаленным компьютером. К таким функциям относятся:

• разграничение доступа к компьютерным ресурсам;

• криптозащита трафика;

• регистрация событий;

• реагирование на задаваемые события.

Функции, на выполнение которых ориентирован сервер удаленного доступа, имеют отношение к функциям комплексного межсетевого экрана. Учитывая функциональное назначение межсетевого экрана, можно сделать вывод, что он также должен выполнять функции сервера удаленного доступа. Многие брандмауэры поддерживают такие функции. Однако сервер удаленного дос­тупа имеет важное самостоятельное значение и поэтому на практике конфигурируется отдельно, Независимо от того, входит он в состав межсетевого экрана или нет. Это связано с тем, что для удаленного доступа используются отдельные протоколы, обеспечивающие управление удаленным соединением, а также защиту этого соединения.

Для поддержания высокой безопасности сервер удаленного доступа, как и межсетевой экран, должен функционировать на компьютере, расположенном на стыке между локальной и открытой сетью. В качестве открытой сети выступают публичные компьютерные и телефонные сети. Если пользовате­ли выполняют удаленный доступ к локальной сети из среды Internet, воз­можно, подключаясь к Internet по телефонным линиям, то сервер удаленно­го доступа чаще всего инсталлируют в составе межсетевого экрана или совместно с ним на один компьютер. В случае же, если удаленный доступ к локальной сети выполняется и по телефонным линиям связи, то для уста­новки удаленных телефонных соединений и управления этими соединения­ми целесообразно выделять отдельный сервер удаленного доступа, называе­мый в этом случае терминальным сервером.

Терминальный сервер является системой с несколькими асинхронными пор­тами и одним интерфейсом локальной сети. Его подключение должно осуще­ствляться таким образом, чтобы обмен данными между удаленным компью­тером и локальной сетью осуществлялся исключительно через межсетевой экран. Такое подключение возможно двумя способами:

• терминальный сервер включается в состав открытой подсети при ис­пользовании схем подключения брандмауэра с раздельной защитой от­крытой и закрытой подсетей;

• терминальный сервер подключается к отдельному сетевому интерфейсу брандмауэра, Наличие терминального сервера, контролирующего удаленный доступ к ло­кальной сети по телефонным линиям, не исключает необходимость сервера удаленного доступа, функционирующего совместно с межсетевым экраном и контролирующего удаленный доступ из Internet.

Терминальный сервер должен поддерживать такую важную посредническую функцию, как обратный вызов удаленного пользователя по заданному для него телефонному номеру. Данная функция позволяет ограничить телефон­ные номера, которые могут использоваться для удаленного доступа к ло­кальной сети. Если для какого-либо пользователя задан режим обратного вызова, то после успешной аутентификации этого пользователя при его уда­ленном доступе к локальной сети терминальный сервер разрывает соедине­ние и самостоятельно инициирует вызов, используя указанный для пользо­вателя в базе данных телефонный номер. Такая техника установки удален­ного соединения исключает возможность доступа к локальной сети из не­известных потенциально опасных мест.

Среди протоколов удаленного доступа к локальной сети наибольшую попу­лярность завоевал протокол PPP(Point-to-Point Protocol — протокол "точка-точка"). Данный протокол разработан с учетом опыта, полученного при ис­пользовании подобных протоколов предыдущих поколений, прежде всего, протокола SLIP, и является открытым стандартом Internet. Целевые функ­ции протокола PPP— установление удаленного соединения и обмен ин­формацией по установленному каналу пакетами сетевого уровня, инкапсу­лированными в РРР-кадры. Метод формирования кадров, используемый в протоколе РРР, обеспечивает одновременную работу через канал удаленной связи нескольких протоколов сетевого уровня. Другими важными функция­ми, поддерживаемыми протоколом PPP являются:

• конфигурирование и проверка качества канала связи;

• проверка подлинности (аутентификация) удаленного пользователя и сервера удаленного доступа;

• компрессия и шифрование передаваемых данных;

• обнаружение и коррекция ошибок;

динамическое присвоение адресов IP и управление этими адресами.

Криптозащита трафика при удаленном доступе к локальной сети может быть основана на использовании любых протоколов построения защищенных вир­туальных сетей. Однако Независимость от протоколов сетевого уровня модели OSI обеспечивается только в случае формирования защищенных туннелей на канальном уровне. Поэтому для криптозащиты информационного взаимодей­ствия при удаленном доступе наиболее часто используются протоколы созда­ния защищенных туннелей на канальном уровне. К таким протоколам отно­сятся PPTP, L2P и L2TP, которые основаны на протоколе РРР.

Протоколы PPTP, L2Pи L2TPпозволяют создавать защищенные каналы для обмена данными между удаленными компьютерами и локальными се­тями, функционирующими по различным протоколам сетевого уровня — IP, IPX или NetBEUI. Для передачи по телефонным каналам связи пакеты этих протоколов инкапсулируются в РРР-кадры. При необходимости пере­дачи через Internet защищенные РРР-кадры инкапсулируются в IP-пакеты сети Internet. Криптозащита трафика возможна как в каналах Internet, так и на протяжении всего пути между компьютером удаленного пользователя и сервером удаленного доступа локальной сети.