6.1 Inleiding tot VPN
Virtual Private Network of VPN is letterlijk een virtueel particulier netwerk. Hoogstwaarschijnlijk heb je het woord VPN vaak gehoord als je het land wilde wijzigen in de browser van je telefoon of computer. Start VPN, selecteer een land en je bent klaar.
Hoewel VPN's in feite niets met landen te maken hebben. De zaak is een beetje anders.
Stel je voor dat je in een kantoor op een computer werkt, en in dit kantoor staan verschillende computerapparatuur met netwerktoegang: computers, servers, printers, apparatuur voor videoconferenties.
Situatie 1 : je kantoor is gegroeid, je hebt besloten om naar een volgende verdieping te verhuizen. Je hebt je computer meegenomen, verplaatst naar een andere kamer, aangesloten op een ander netwerkstopcontact en je hebt nog steeds toegang tot alle servers en computers van het bedrijf.
Hoogstwaarschijnlijk communiceert uw computer nu met een andere router, maar alle routers in uw bedrijf weten hoe ze met elkaar moeten communiceren en bieden u alle voordelen van het gebruik van hetzelfde lokale netwerk. U hebt geen probleem om toegang te krijgen tot alle apparatuur op het bedrijfsnetwerk.
Situatie 2 : Er is een pandemie uitgebroken en u besluit om vanuit huis te werken. Je hebt je werkcomputer mee naar huis genomen, maar pech, er is thuis geen toegang tot kantoorservers. Logisch, want ze verbleven op kantoor aan de andere kant van de stad. Aan de andere kant rijst de vraag: toen je de computer in het eerste geval overzette, had je nog toegang tot kantoorcomputers. Wanneer u de computer in het tweede geval heeft verplaatst, is er geen toegang. Wat is er veranderd?
In het eerste geval zaten alle computers in uw kantoor (zelfs die op verschillende verdiepingen) op hetzelfde lokale netwerk. Maar in het tweede geval, nee. Uw computer thuis is niet verbonden met het kantoor-LAN. U hebt dus geen toegang tot de interne bronnen van het kantoornetwerk.
Als oplossing voor dit probleem werd een oplossing voorgesteld: een virtueel lokaal netwerk (VPN). In je kantoor stond op elke verdieping een router die data naar elkaar stuurde en zorgde voor de werking van het lokale netwerk.
We moeten twee virtuele routers maken (in de vorm van programma's), een op kantoor, de tweede thuis, die ook gecodeerde gegevens naar elkaar zullen sturen via internet. En er zijn zulke programma's: een daarvan heet VPN-server en de tweede is VPN-client .
De VPN-server wordt door de systeembeheerder op kantoor geconfigureerd en de VPN-client zit nu in elke computer en/of telefoon.
U start een VPN-client op uw computer en gebruikt deze om verbinding te maken met de VPN-server, zodat de computer nu denkt dat deze zich binnen het lokale netwerk bevindt waar de VPN-server zich bevindt.
Als u nu uw browser start, gaan alle gegevens van uw browser naar uw lokale virtuele router (VPN-client), vandaar naar de virtuele router van het bedrijf (VPN-server) en vervolgens verder de wereld in via de internetgateway van uw kantoor bedrijven.
Het externe IP-adres van uw computer komt nu overeen met het openbare IP-adres van uw kantoor. En als dit kantoor zich bijvoorbeeld in Duitsland bevindt, dan weet de server waartoe uw browser toegang heeft gekregen zeker dat u zich in een kantoor in Duitsland bevindt.
6.2 VPN-typen
VPN-netwerken zijn verdeeld volgens hun doelfuncties. Er zijn veel verschillende, maar hier is een lijst met typische VPN-oplossingen:
intranet-VPN
Het wordt gebruikt om verschillende gedistribueerde vestigingen van één organisatie te combineren in een enkel beveiligd netwerk, waarbij gegevens worden uitgewisseld via open communicatiekanalen. Dit is de eerste waar het allemaal mee begon.
VPN voor toegang op afstand
Het wordt gebruikt om een veilig kanaal te creëren tussen een bedrijfsnetwerksegment (hoofdkantoor of filiaal) en een enkele gebruiker die, terwijl hij thuis werkt, verbinding maakt met bedrijfsbronnen vanaf een thuiscomputer, bedrijfslaptop, smartphone of internetkiosk. Dit is de optie die je hebt als je vanuit huis werkt en via een VPN verbinding maakt met kantoor.
Extranet-VPN
Gebruikt voor netwerken waarmee "externe" gebruikers (bijvoorbeeld klanten of klanten) verbinding maken. Het niveau van vertrouwen in hen is veel lager dan in de werknemers van het bedrijf, dus het is noodzakelijk om speciale "grenzen" van bescherming te bieden die de toegang van laatstgenoemden tot bijzonder waardevolle, vertrouwelijke informatie verhinderen of beperken.
Internet-VPN
Gebruikt door providers om toegang tot internet te bieden, meestal als meerdere gebruikers verbinding maken via één fysiek kanaal. Het PPPoE-protocol is de standaard geworden in ADSL-verbindingen.
L2TP was halverwege de jaren 2000 wijdverbreid in thuisnetwerken: in die tijd werd intranetverkeer niet betaald en extern verkeer was duur. Hierdoor konden de kosten worden beheerst: wanneer de VPN-verbinding wordt uitgeschakeld, betaalt de gebruiker niets.
Momenteel is bekabeld internet goedkoop of onbeperkt, en aan de kant van de gebruiker is er vaak een router waarop het in- en uitschakelen van internet niet zo handig is als op een computer. Hierdoor behoort L2TP-toegang tot het verleden.
Client/server-VPN
Ook een populaire optie. Het zorgt voor de bescherming van verzonden gegevens tussen twee knooppunten (geen netwerken) van een bedrijfsnetwerk. Het bijzondere van deze optie is dat de VPN is gebouwd tussen knooppunten die zich meestal in hetzelfde netwerksegment bevinden, bijvoorbeeld tussen een werkstation en een server. Deze behoefte doet zich heel vaak voor in gevallen waarin het nodig is om meerdere logische netwerken in één fysiek netwerk te creëren.
Bijvoorbeeld wanneer het nodig is om het verkeer tussen de financiële afdeling en de personeelsafdeling te verdelen, waarbij toegang moet worden verkregen tot servers die zich in hetzelfde fysieke segment bevinden. Deze optie is vergelijkbaar met VLAN-technologie, maar in plaats van het verkeer te scheiden, wordt het versleuteld.
6.3 OpenVPN
Weet je nog dat we het hadden over een virtuele router aan de kantoorkant, waarmee je verbinding kunt maken via VPN-clients? Er is dus een zeer populaire oplossing waarvan het nuttig voor u zal zijn om er meer over te weten. Dit is OpenVPN.
OpenVPN is een gratis programma dat VPN-technologie (Virtual Private Network) implementeert. Het ondersteunt twee populaire werkingsmodi: client-server en point-to-point, wanneer u twee grote netwerken moet combineren.
Het handhaaft een goed niveau van verkeerscodering tussen zijn deelnemers, en stelt u ook in staat verbindingen tot stand te brengen tussen computers achter NAT en een firewall zonder dat u hun instellingen hoeft te wijzigen.
Om het besturingskanaal en de gegevensstroom te beveiligen, gebruikt OpenVPN de OpenSSL- bibliotheek . Hierdoor kunt u de volledige set versleutelingsalgoritmen gebruiken die beschikbaar zijn in deze bibliotheek.
Het kan ook HMAC- batchverificatie gebruiken voor meer beveiliging en hardwareversnelling om de coderingsprestaties te verbeteren. Deze bibliotheek maakt gebruik van OpenSSL, meer specifiek de SSLv3/TLSv1.2 -protocollen .
Er zijn implementaties van dit programma voor alle populaire besturingssystemen: Solaris, OpenBSD, FreeBSD, NetBSD, GNU/Linux, Apple Mac OS X, QNX, Microsoft Windows, Android, iOS.
OpenVPN biedt de gebruiker verschillende soorten authenticatie :
- De vooraf ingestelde sleutel is de gemakkelijkste methode.
- Certificaatverificatie is de meest flexibele methode in instellingen.
- Een gebruikersnaam en wachtwoord gebruiken - kan worden gebruikt zonder een clientcertificaat aan te maken (er is nog steeds een servercertificaat nodig).
Technische informatie
OpenVPN voert alle netwerkbewerkingen uit via TCP- of UDP-transport. Over het algemeen heeft UDP de voorkeur omdat de tunnel netwerklaagverkeer en hoger over OSI zal transporteren als een TUN-verbinding wordt gebruikt, of linklaagverkeer en hoger als TAP wordt gebruikt.
Dit betekent dat OpenVPN fungeert als een kanaal of zelfs een fysiek laagprotocol voor de client, wat betekent dat de betrouwbaarheid van de gegevensoverdracht kan worden gegarandeerd door hogere OSI-niveaus, indien nodig.
Aangezien we het OSI-model goed hebben geanalyseerd, zou u moeten begrijpen wat hier wordt gezegd.
Dat is de reden waarom het UDP-protocol qua concept het dichtst bij OpenVPN staat, omdat het, net als de protocollen van de datalink en fysieke lagen, geen verbindingsbetrouwbaarheid biedt en dit initiatief naar hogere niveaus doorgeeft. Als u de tunnel configureert om via TCP te werken, ontvangt de server doorgaans OpenVPN TCP-segmenten die andere TCP-segmenten van de client bevatten.
Ook, wat niet onbelangrijk is, OpenVPN kan werken via de meeste proxyservers, inclusief HTTP, SOCKS, via NAT en netwerkfilters. De server kan worden geconfigureerd om netwerkinstellingen toe te wijzen aan de client. Bijvoorbeeld IP-adres, routeringsinstellingen en verbindingsparameters.