stringtranslate.com

Виртуальная частная сеть

Виртуальная частная сеть ( VPN ) — это механизм создания безопасного соединения между вычислительным устройством и компьютерной сетью или между двумя сетями с использованием незащищенной среды связи, такой как общедоступный Интернет . [1]

VPN может расширить доступ к частной сети (той, которая запрещает или ограничивает публичный доступ) для пользователей, у которых нет прямого доступа к ней, например, к офисной сети, обеспечивающей безопасный доступ извне через Интернет.

[2] Преимущества VPN включают безопасность, снижение затрат на выделенные линии связи и большую гибкость для удаленных сотрудников . [3]

VPN создается путем установления виртуального соединения «точка-точка» с использованием протоколов туннелирования в существующих сетях. VPN, доступная из общедоступного Интернета, может предоставить некоторые преимущества [ необходим пример ] частной глобальной сети (WAN). [4]

Типы

Дерево классификации VPN основано сначала на топологии, а затем на используемой технологии.
Обзор VPN-подключений, показывающий совместное использование конфигураций типа «сеть-сеть» и удаленной работы в интрасети.

Виртуальные частные сети можно разделить на несколько категорий:

Удаленный доступ
Конфигурация хост -сеть аналогична подключению компьютера к локальной сети. Этот тип обеспечивает доступ к корпоративной [ жаргонной ] сети, такой как интранет . Это может быть использовано для удаленных работников или для предоставления мобильному работнику доступа к необходимым инструментам, не подвергая их воздействию общедоступного Интернета.
Сайт-сайт
Конфигурация «сеть-сеть» соединяет две сети. Эта конфигурация расширяет сеть на географически разнесенные офисы или подключает группу офисов к центру обработки данных. Соединяющий канал может проходить через разную промежуточную сеть, например две сети IPv6 , соединенные через сеть IPv4 . [5]
Межсайтовое взаимодействие на базе Экстранета
В контексте конфигураций типа «сеть-сеть» термины « интрасеть» и «экстранет» используются для описания двух разных вариантов использования. [6] VPN типа «сеть-сеть» в интрасети описывает конфигурацию, в которой сайты, подключенные с помощью VPN, принадлежат одной и той же организации, тогда как VPN типа «сеть-сеть» в экстрасети объединяет сайты, принадлежащие нескольким организациям.

Обычно частные лица взаимодействуют с VPN удаленного доступа, тогда как предприятия, как правило, используют соединения типа «сеть-сеть» для сценариев «бизнес-бизнес» , облачных вычислений и филиалов . Однако эти технологии не являются взаимоисключающими и в значительно сложной бизнес-сети могут быть объединены для обеспечения удаленного доступа к ресурсам, расположенным в любом заданном месте, например, к системе заказов, расположенной в центре обработки данных.

Системы VPN также можно классифицировать по:

Механизмы безопасности

Виртуальные частные сети не могут сделать онлайн-соединения полностью анонимными, но они могут повысить конфиденциальность и безопасность, шифруя весь обмен данными между удаленными точками через открытый Интернет. Чтобы предотвратить раскрытие частной информации или перехват данных , VPN обычно разрешают только аутентифицированный удаленный доступ с использованием [ необходимо пояснение ] протоколов туннелирования и методов безопасного шифрования .

Модель безопасности VPN обеспечивает:

Фазы жизненного цикла туннеля IPSec в виртуальной частной сети

Протоколы безопасного VPN включают следующее:

Аутентификация

Конечные точки туннеля должны быть проверены перед созданием безопасных VPN-туннелей. [ нужна цитация ] Созданные пользователями VPN удаленного доступа могут использовать пароли , биометрию , двухфакторную аутентификацию или другие криптографические методы. В туннелях между сетями часто используются пароли или цифровые сертификаты . В зависимости от протокола VPN они могут хранить ключ, позволяющий туннелю VPN устанавливаться автоматически, без вмешательства администратора. Пакеты данных защищены защитой от несанкционированного доступа с помощью кода аутентификации сообщения (MAC), который предотвращает изменение или подделку сообщения без его отклонения из-за несовпадения MAC-адреса с измененным пакетом данных.

Маршрутизация

Протоколы туннелирования могут работать в топологии сети «точка-точка» , однако теоретически это не будет считаться VPN, поскольку по определению ожидается, что VPN будет поддерживать произвольные и изменяющиеся наборы сетевых узлов. Но поскольку большинство реализаций маршрутизаторов поддерживают виртуальный, программно-определяемый туннельный интерфейс , предоставляемые клиентом VPN часто представляют собой просто [ неоднозначно ] определенные туннели, использующие обычные протоколы маршрутизации.

Строительные блоки VPN, предоставляемые провайдером

Терминология VPN типа «сеть-сеть»

В зависимости от того, работает ли VPN, предоставляемая провайдером (PPVPN), на уровне 2 (L2) или уровне 3 (L3), описанные ниже строительные блоки могут быть только L2, только L3 или комбинацией обоих. Функция многопротокольной коммутации по меткам (MPLS) стирает идентичность уровней L2–L3. [19] [ оригинальное исследование? ]

RFC  4026 обобщил следующие термины для охвата L2 MPLS VPN и L3 ( BGP ) VPN, но они были введены в RFC  2547. [20] [21]

Клиентские (C) устройства

Устройство, находящееся в сети клиента и не подключенное напрямую к сети поставщика услуг. Устройства C не знают о VPN.

Периферийное устройство клиента (CE)

Устройство на границе сети клиента, обеспечивающее доступ к PPVPN. Иногда это просто точка разграничения между ответственностью поставщика и клиента. Другие провайдеры позволяют клиентам настраивать его.

Граничное устройство поставщика (PE)

Устройство или набор устройств на границе сети провайдера, которое подключается к сетям клиентов через устройства CE и представляет представление провайдера о сайте клиента. PE знают о VPN, которые подключаются через них, и поддерживают состояние VPN.

Устройство провайдера (P)

Устройство, которое работает внутри базовой сети поставщика и не имеет прямого интерфейса с какой-либо конечной точкой клиента. Например, он может обеспечивать маршрутизацию для множества туннелей, управляемых провайдером, которые принадлежат PPVPN разных клиентов. Хотя устройство P является ключевым элементом реализации PPVPN, оно само по себе не поддерживает VPN и не поддерживает состояние VPN. Его основная роль заключается в том, чтобы позволить поставщику услуг масштабировать свои предложения PPVPN, например, выступая в качестве точки агрегации для нескольких PE. Соединения P-to-P в такой роли часто представляют собой оптические каналы высокой пропускной способности между основными местоположениями провайдеров.

Видимые пользователю услуги PPVPN

Службы уровня 2 OSI

ВЛАН

VLAN — это метод уровня 2, который обеспечивает сосуществование нескольких широковещательных доменов локальной сети (LAN), соединенных между собой через магистральные каналы с использованием транкингового протокола IEEE 802.1Q . Другие транкинговые протоколы использовались, но уже устарели, в том числе Inter-Switch Link (ISL), IEEE 802.10 (первоначально протокол безопасности, но для транкинга было введено подмножество) и эмуляция ATM LAN (LANE).

Служба виртуальной частной локальной сети (VPLS)

Сети VLAN, разработанные Институтом инженеров по электротехнике и электронике , позволяют нескольким локальным сетям с тегами использовать общий транкинг. Сети VLAN часто включают в себя только объекты, принадлежащие клиентам. В то время как VPLS, как описано в приведенном выше разделе (службы уровня 1 OSI), поддерживает эмуляцию топологий как «точка-точка», так и «точка-многоточка», обсуждаемый здесь метод расширяет возможности технологий уровня 2, таких как 802.1d и 802.1q LAN-транкинг. через такие транспортные сети, как Metro Ethernet .

В этом контексте VPLS представляет собой PPVPN уровня 2, имитирующий полную функциональность традиционной локальной сети. С точки зрения пользователя, VPLS позволяет соединить несколько сегментов локальной сети прозрачным для пользователя способом, благодаря чему отдельные сегменты локальной сети ведут себя как одна локальная сеть. [22]

В VPLS сеть провайдера эмулирует обучающий мост, который может дополнительно включать службу VLAN.

Псевдопровод (PW)

PW похож на VPLS, но может предоставлять разные протоколы L2 на обоих концах. Обычно его интерфейсом является протокол WAN, такой как асинхронный режим передачи или Frame Relay . Напротив, если вы хотите обеспечить видимость локальной сети, смежной между двумя или более местоположениями, будет уместна услуга виртуальной частной локальной сети или IPLS.

Туннелирование Ethernet-over-IP

EtherIP ( RFC  3378) [23] — это спецификация протокола туннелирования Ethernet-over-IP. EtherIP имеет только механизм инкапсуляции пакетов. Он не имеет никакой защиты конфиденциальности или целостности сообщений. EtherIP был представлен в сетевом стеке FreeBSD [24] и серверной программе SoftEther VPN [25] .

Служба, подобная локальной сети, только с использованием IP (IPLS)

Подмножество VPLS, устройства CE должны иметь возможности уровня 3; IPLS представляет пакеты, а не кадры. Он может поддерживать IPv4 или IPv6.

Виртуальная частная сеть Ethernet (EVPN)

Ethernet VPN (EVPN) — это передовое решение для предоставления услуг Ethernet через сети IP-MPLS. В отличие от архитектур VPLS, EVPN обеспечивает обучение MAC (и MAC,IP) в сети на основе уровня управления. PE, участвующие в экземплярах EVPN, изучают маршруты MAC (MAC,IP) клиента в плоскости управления с использованием протокола MP-BGP. Обучение MAC на уровне управления дает ряд преимуществ, которые позволяют EVPN устранять недостатки VPLS, включая поддержку множественной адресации с балансировкой нагрузки для каждого потока и предотвращение ненужной лавинной рассылки через базовую сеть MPLS на несколько PE, участвующих в P2MP/MP2MP. L2VPN (например, в случае ARP-запроса). Это определено в RFC  7432.

Архитектура PPVPN уровня 3 OSI

В этом разделе обсуждаются основные архитектуры PPVPN: одна, в которой PE устраняет неоднозначность повторяющихся адресов в одном экземпляре маршрутизации, а другая — виртуальный маршрутизатор, в котором PE содержит экземпляр виртуального маршрутизатора для каждой VPN. Наибольшее внимание привлек первый подход и его варианты.

Одна из проблем PPVPN заключается в том, что разные клиенты используют одно и то же адресное пространство, особенно частное адресное пространство IPv4. [26] Поставщик должен иметь возможность устранить неоднозначность перекрывающихся адресов в PPVPN нескольких клиентов.

BGP/MPLS ППВПН

В методе, определенном RFC  2547, расширения BGP объявляют маршруты в семействе VPN-адресов IPv4, которые имеют форму 12-байтовых строк, начинающихся с 8-байтового идентификатора маршрута (RD) и заканчивающихся 4-байтовым адресом IPv4. . RD устраняют неоднозначность, в противном случае дублируются адреса в одном и том же PE. [ нужна цитата ]

PE понимают топологию каждой VPN, которая соединена с туннелями MPLS напрямую или через P-маршрутизаторы. В терминологии MPLS маршрутизаторы P — это маршрутизаторы с коммутацией меток , не знающие VPN. [ нужна цитата ]

Виртуальный маршрутизатор PPVPN

Архитектура виртуального маршрутизатора [27] [28] в отличие от методов BGP/MPLS не требует внесения изменений в существующие протоколы маршрутизации, такие как BGP. Предоставляя логически независимые домены маршрутизации, клиент, использующий VPN, несет полную ответственность за адресное пространство. В различных туннелях MPLS разные PPVPN устраняются по их меткам, но не нуждаются в различителях маршрутизации. [ нужна цитата ]

Незашифрованные туннели

Некоторые виртуальные сети используют протоколы туннелирования без шифрования для защиты конфиденциальности данных. Хотя VPN часто обеспечивают безопасность, незашифрованная оверлейная сеть не подпадает под категорию безопасных или надежных. [29] Например, туннель, установленный между двумя хостами с инкапсуляцией универсальной маршрутизации (GRE), представляет собой виртуальную частную сеть, но не является ни безопасным, ни надежным. [30] [31]

Собственные протоколы туннелирования в виде открытого текста включают протокол туннелирования уровня 2 (L2TP), если он настроен без IPsec , а также протокол туннелирования « точка-точка » (PPTP) или двухточечное шифрование Microsoft (MPPE). [32]

Надежные сети доставки

Доверенные VPN не используют криптографическое туннелирование; вместо этого они полагаются на безопасность сети одного провайдера для защиты трафика. [33]

С точки зрения безопасности VPN должна либо доверять базовой сети доставки, либо обеспечивать безопасность с помощью механизма самой VPN. Если доверенная сеть доставки не работает только между физически безопасными сайтами, как доверенным, так и безопасным моделям необходим механизм аутентификации, позволяющий пользователям получить доступ к VPN. [ нужна цитата ]

VPN в мобильных средах

Мобильные виртуальные частные сети используются в условиях, когда конечная точка VPN не привязана к одному IP-адресу , а вместо этого перемещается по различным сетям, таким как сети передачи данных от операторов сотовой связи или между несколькими точками доступа Wi-Fi, не прерывая безопасный сеанс VPN. или потеря сеансов приложений. [37] Мобильные VPN широко используются в сфере общественной безопасности , где они предоставляют сотрудникам правоохранительных органов доступ к таким приложениям, как компьютерная диспетчеризация и криминальные базы данных, [38] а также в других организациях с аналогичными требованиями, таких как управление полевой службой и здравоохранение. [39] [ для проверки нужна расценка ]

Сетевые ограничения

Ограничением традиционных VPN является то, что они представляют собой соединения «точка-точка» и не поддерживают широковещательные домены ; поэтому связь, программное обеспечение и сеть, основанные на уровне 2 и широковещательных пакетах , таких как NetBIOS, используемый в сетях Windows , могут не поддерживаться в полной мере, как в локальной сети . Варианты VPN, такие как служба виртуальной частной локальной сети (VPLS) и протоколы туннелирования уровня 2, предназначены для преодоления этого ограничения. [40]

Смотрите также

Рекомендации

  1. ^ «виртуальная частная сеть». Глоссарий Ресурсного центра по компьютерной безопасности NIST . Архивировано из оригинала 2 января 2023 года . Проверено 2 января 2023 г.
  2. ^ «Что такое VPN? - Виртуальная частная сеть» . Циско . Архивировано из оригинала 31 декабря 2021 года . Проверено 5 сентября 2021 г.
  3. ^ Мейсон, Эндрю Г. (2002). Безопасная виртуальная частная сеть Cisco . Сиско Пресс. п. 7. ISBN 9781587050336.
  4. ^ «Виртуальная частная сеть: обзор» . ТехНет . Документы Майкрософт . 4 сентября 2001 г. Архивировано из оригинала 17 июня 2022 г. Проверено 7 ноября 2021 г.
  5. ^ Дэвис, Джозеф (июль 2007 г.). «IPv6-трафик через VPN-соединения». Кабельщик. Журнал ТехНет . Архивировано из оригинала 7 ноября 2021 года . Проверено 7 ноября 2021 г. - через Microsoft Docs .
  6. ^ RFC 3809 - Общие требования к виртуальным частным сетям, предоставляемым поставщиком. сек. 1.1. дои : 10.17487/RFC3809 . РФК 3809.
  7. ^ RFC  6434, «Требования к узлу IPv6», Э. Янкевич, Дж. Лоуни, Т. Нартен (декабрь 2011 г.)
  8. ^ «1. Максимально мощное VPN-подключение» . www.softether.org . Проект SoftEther VPN. Архивировано из оригинала 8 октября 2022 года . Проверено 8 октября 2022 г.
  9. ^ "ОпенКоннект". Архивировано из оригинала 29 июня 2022 года . Проверено 8 апреля 2013 г. OpenConnect — это клиент Cisco AnyConnect SSL VPN [...] OpenConnect официально не поддерживается и каким-либо образом не связан с Cisco Systems. Это просто взаимодействие с их оборудованием.
  10. ^ «Почему TCP вместо TCP — плохая идея» . сайты.inka.de . Архивировано из оригинала 6 марта 2015 года . Проверено 24 октября 2018 г.
  11. ^ «Статус товарного знака и поиск документов» . tarr.uspto.gov . Архивировано из оригинала 21 марта 2012 года . Проверено 8 октября 2022 г.
  12. ^ «ssh (1) - страницы руководства OpenBSD» . man.openbsd.org . Архивировано из оригинала 5 июля 2022 года . Проверено 4 февраля 2018 г.
    • Баршель, Колин. «Панель инструментов Unix». cb.vu. _ Архивировано из оригинала 28 мая 2019 года . Проверено 2 августа 2009 г.
    • «SSH_VPN – Вики-справка сообщества». help.ubuntu.com . Архивировано из оригинала 2 июля 2022 года . Проверено 28 июля 2009 г.
  13. ↑ Солтер, Джим (30 марта 2020 г.). «WireGuard VPN доходит до версии 1.0.0 и следующего ядра Linux». Арс Техника . Архивировано из оригинала 31 марта 2020 года . Проверено 30 июня 2020 г.
  14. ^ "Разница - 99761f1eac33d14a4b1613ae4b7076f41cb2df94^! - ядро/common - Git в Google" . android.googlesource.com . Архивировано из оригинала 29 июня 2022 года . Проверено 30 июня 2020 г.
  15. ^ Янглав, Р. (декабрь 2000 г.). «Виртуальные частные сети – как они работают». Журнал вычислительной техники и управления . 11 (6): 260–262. doi : 10.1049/cce: 20000602. ISSN  0956-3385.
    • Бенджамин Даулинг и Кеннет Г. Патерсон (12 июня 2018 г.). «Криптографический анализ протокола WireGuard». Международная конференция по прикладной криптографии и сетевой безопасности . ISBN 978-3-319-93386-3.
  16. ^ Фуллер, Джонрей; Ха, Джон (2002). Red Hat Linux 9: Руководство по безопасности Red Hat Linux (PDF) . США: Red Hat, Inc., стр. 48–53. Архивировано (PDF) из оригинала 14 октября 2022 года . Проверено 8 сентября 2022 г.
    • Петерсен, Ричард (2004). «Глава 17: Безопасность интернет-протокола: IPsec, инкапсуляция крипто-IP для виртуальных частных сетей». Red Hat — полный справочник Enterprise Linux и Fedora Edition. США: МакГроу-Хилл/Осборн . ISBN 0-07-223075-4. Архивировано из оригинала 17 января 2023 года . Проверено 17 января 2023 г.
  17. ↑ Титц, Олаф (20 декабря 2011 г.). «CIPE — инкапсуляция крипто-IP». CIPE — крипто-IP-инкапсуляция . Архивировано из оригинала 18 мая 2022 года . Проверено 8 сентября 2022 г.
  18. ↑ Титц, Олаф (2 апреля 2013 г.). «CIPE — зашифрованный IP в UDP-туннелировании». СоурсФордж . Архивировано из оригинала 8 сентября 2022 года . Проверено 8 сентября 2022 г.
    • Уилсон, Дэмион (19 октября 2002 г.). «CIPE-Win32 — инкапсуляция Crypto IP для Windows NT/2000». СоурсФордж . Архивировано из оригинала 8 сентября 2022 года . Проверено 8 сентября 2022 г.
  19. ^ «Настройка многопротокольного переключения меток в режимах PFC3BXL и PFC3B» (PDF) . Архивировано (PDF) из оригинала 24 ноября 2020 г. Проверено 24 октября 2020 г.
  20. ^ Э. Розен и Ю. Рехтер (март 1999 г.). «BGP/MPLS VPN». Целевая группа инженеров Интернета (IETF). РФК 2547 . Архивировано из оригинала 1 сентября 2022 года . Проверено 8 октября 2022 г. 
  21. ^ Льюис, Марк (2006). Сравнение, проектирование и развертывание VPN (1-е издание). Индианаполис, Индиана: Cisco Press. стр. 5–6. ISBN 1587051796.
  22. ^ Ethernet-мост (OpenVPN), заархивировано из оригинала 8 октября 2022 г. , получено 8 октября 2022 г.
  23. ^ Холленбек, Скотт; Хаусли, Рассел. «EtherIP: туннелирование кадров Ethernet в IP-дейтаграммах». Архивировано из оригинала 8 октября 2022 года . Проверено 8 октября 2022 г.
  24. ^ Глин М. Бертон: RFC 3378 EtherIP с FreeBSD. Архивировано 23 марта 2018 г. на Wayback Machine , 3 февраля 2011 г.
  25. ^ Новости net-security.org: Многопротокольный SoftEther VPN становится открытым исходным кодом. Архивировано 8 октября 2022 г. на Wayback Machine , январь 2014 г.
  26. ^ Распределение адресов для частных Интернетов. Архивировано 8 октября 2022 г. в Wayback Machine , RFC  1918, Ю. Рехтер и др. , февраль 1996 г.
  27. ^ RFC  2917, Базовая архитектура MPLS IP VPN
  28. ^ RFC  2918, Э. Чен (сентябрь 2000 г.)
  29. ^ Ян, Яньян (2006). «Правильность и гарантия политики безопасности IPsec/VPN». Журнал высокоскоростных сетей . 15 : 275–289. CiteSeerX 10.1.1.94.8561 . 
  30. ^ «Обзор виртуальных частных сетей, предоставляемых поставщиком (PPVPN)» . Безопасные мысли. Архивировано из оригинала 16 сентября 2016 года . Проверено 29 августа 2016 г.
  31. ^ RFC  1702: Общая инкапсуляция маршрутизации в сетях IPv4. Октябрь 1994 года.
  32. ^ IETF (1999), RFC  2661, Протокол туннелирования второго уровня "L2TP"
  33. ^ Cisco Systems, Inc. (2004). Справочник по межсетевым технологиям. Серия сетевых технологий (4-е изд.). Сиско Пресс. п. 233. ИСБН 9781587051197. Проверено 15 февраля 2013 г. [...] VPN, использующие выделенные каналы, такие как Frame Relay [...], иногда называют доверенными VPN , поскольку клиенты уверены, что сетевые средства, управляемые поставщиками услуг, не будут скомпрометированы.
  34. ^ Протокол туннелирования второго уровня «L2TP». Архивировано 30 июня 2022 г. в Wayback Machine , RFC  2661, У. Таунсли и др. , август 1999 г.
  35. ^ Виртуальные частные сети на основе IP. Архивировано 9 июля 2022 г. на Wayback Machine , RFC  2341, А. Валенсия и др. , май 1998 г.
  36. ^ Протокол туннелирования «точка-точка» (PPTP). Архивировано 2 июля 2022 г. в Wayback Machine , RFC  2637, К. Хамзе и др. , июль 1999 г.
  37. ^ Файфер, Лиза. «Мобильный VPN: устранение разрыва». Архивировано 6 июля 2020 г. на Wayback Machine , SearchMobileComputing.com , 16 июля 2006 г.
  38. ^ Уиллетт, Энди. «Решение вычислительных задач мобильных офицеров». Архивировано 12 апреля 2020 г. на Wayback Machine , www.officer.com , май 2006 г.
  39. ^ Ченг, Роджер. «Потерянные связи». Архивировано 28 марта 2018 г. в Wayback Machine , The Wall Street Journal , 11 декабря 2007 г.
  40. ↑ Соуэллс, Джулия (7 августа 2017 г.). «Виртуальная частная сеть (VPN): что такое VPN и как она работает». Хакеркомбат . Архивировано из оригинала 17 июня 2022 года . Проверено 7 ноября 2021 г.

дальнейшее чтение