6.1 Wprowadzenie do VPN
Virtual Private Network lub VPN to dosłownie wirtualna sieć prywatna. Najprawdopodobniej często słyszałeś słowo VPN, gdy chciałeś zmienić kraj w przeglądarce swojego telefonu lub komputera. Uruchom VPN, wybierz kraj i gotowe.
Chociaż VPN w rzeczywistości nie mają nic wspólnego z krajami. Sprawa ma się trochę inaczej.
Wyobraź sobie, że pracujesz w biurze na komputerze, aw tym biurze są różne sprzęty komputerowe z dostępem do sieci: komputery, serwery, drukarki, sprzęt do wideokonferencji.
Sytuacja 1 : Twoje biuro powiększyło się, zdecydowałeś się przenieść na piętro. Zabrałeś swój komputer, przeniosłeś go do innego pokoju, podłączyłeś do innego gniazdka sieciowego i nadal masz dostęp do wszystkich serwerów i komputerów firmy.
Najprawdopodobniej Twój komputer komunikuje się teraz z innym routerem, ale wszystkie routery w Twojej firmie wiedzą, jak się ze sobą komunikować i zapewniają wszystkie korzyści wynikające z bycia w tej samej sieci lokalnej. Nie masz problemu z dostępem do dowolnego sprzętu w sieci korporacyjnej.
Sytuacja 2 : Rozpoczęła się pandemia i decydujesz się na pracę z domu. Zabrałeś służbowy komputer do domu, ale pech, w domu nie ma dostępu do serwerów biurowych. Wydaje się to logiczne, ponieważ zatrzymali się w biurze na drugim końcu miasta. Z drugiej strony pojawia się pytanie: kiedy przeniosłeś komputer w pierwszym przypadku, nadal miałeś dostęp do komputerów biurowych. Po przeniesieniu komputera w drugim przypadku nie ma dostępu. Co się zmieniło?
W pierwszym przypadku wszystkie komputery w Twoim biurze (nawet te znajdujące się na różnych piętrach) znajdowały się w tej samej sieci lokalnej. Ale w drugim przypadku nie. Twój komputer w domu nie jest podłączony do biurowej sieci LAN. W związku z tym nie masz dostępu do wewnętrznych zasobów sieci biurowej.
Jako rozwiązanie tego problemu zaproponowano rozwiązanie - wirtualną sieć lokalną (VPN). W Twoim biurze na każdym piętrze znajdował się router, który przesyłał między sobą dane i zapewniał działanie sieci lokalnej.
Musimy stworzyć dwa wirtualne routery (w postaci programów), jeden w Twoim biurze, drugi w domu, które również będą przesyłać między sobą zaszyfrowane dane przez Internet. A są takie programy: jeden z nich nazywa się Serwer VPN , a drugi to Klient VPN .
Serwer VPN jest konfigurowany przez administratora systemu w biurze, a klient VPN jest teraz w każdym komputerze i/lub telefonie.
Uruchamiasz klienta VPN na swoim komputerze i używasz go do łączenia się z serwerem VPN, więc komputer myśli teraz, że znajduje się w sieci lokalnej, w której znajduje się serwer VPN.
Jeśli teraz uruchomisz przeglądarkę, wszystkie dane z Twojej przeglądarki trafią do lokalnego routera wirtualnego (klienta VPN), z niego do wirtualnego routera firmy (serwera VPN), a następnie dalej w świat przez bramę internetową Twojego firmy biurowe.
Zewnętrzny adres IP Twojego komputera będzie teraz zgodny z publicznym adresem IP Twojego biura. A jeśli to biuro znajdowało się na przykład w Niemczech, to serwer, do którego uzyskała dostęp Twoja przeglądarka, upewni się, że jesteś w biurze w Niemczech.
6.2 Typy VPN
Sieci VPN są podzielone zgodnie z ich docelowymi funkcjami. Istnieje wiele różnych, ale oto lista typowych rozwiązań VPN:
Intranetowy VPN
Służy do łączenia kilku rozproszonych oddziałów jednej organizacji w jedną bezpieczną sieć, wymieniającą dane poprzez otwarte kanały komunikacji. To pierwszy, od którego wszystko się zaczęło.
Zdalny dostęp VPN
Służy do tworzenia bezpiecznego kanału pomiędzy segmentem sieci korporacyjnej (centralą lub oddziałem) a pojedynczym użytkownikiem, który pracując w domu łączy się z zasobami firmowymi z domowego komputera, firmowego laptopa, smartfona lub kiosku internetowego. Jest to opcja, którą masz, jeśli pracujesz w domu i łączysz się z biurem przez VPN.
Ekstranet VPN
Używany w sieciach, z którymi łączą się użytkownicy „zewnętrzni” (na przykład klienci lub klienci). Poziom zaufania do nich jest znacznie niższy niż do pracowników firmy, dlatego konieczne jest zapewnienie specjalnych „granic” ochrony, które uniemożliwiają lub ograniczają dostęp tych ostatnich do szczególnie cennych, poufnych informacji.
Internet VPN
Używany przez dostawców w celu zapewnienia dostępu do Internetu, zwykle gdy kilku użytkowników łączy się przez jeden kanał fizyczny. Protokół PPPoE stał się standardem w połączeniach ADSL.
L2TP był szeroko rozpowszechniony w połowie 2000 roku w sieciach domowych: w tamtych czasach ruch intranetowy nie był płatny, a ruch zewnętrzny był drogi. Umożliwiło to kontrolę kosztów: gdy połączenie VPN jest wyłączone, użytkownik nic nie płaci.
Obecnie internet przewodowy jest tani lub nielimitowany, a po stronie użytkownika często stoi router, na którym włączanie i wyłączanie internetu nie jest tak wygodne jak na komputerze. Dlatego dostęp L2TP należy już do przeszłości.
Klient/serwer VPN
Również popularna opcja. Zapewnia ochronę przesyłanych danych pomiędzy dwoma węzłami (nie sieciami) sieci korporacyjnej. Osobliwością tej opcji jest to, że VPN jest budowany między węzłami, które zwykle znajdują się w tym samym segmencie sieci, na przykład między stacją roboczą a serwerem. Taka potrzeba bardzo często pojawia się w przypadkach, gdy konieczne jest utworzenie kilku sieci logicznych w jednej sieci fizycznej.
Na przykład, gdy konieczne jest podzielenie ruchu między dział finansowy i dział kadr, dostęp do serwerów zlokalizowanych w tym samym fizycznym segmencie. Ta opcja jest podobna do technologii VLAN, ale zamiast separacji ruchu jest szyfrowana.
6.3 OpenVPN
Pamiętasz, jak rozmawialiśmy o wirtualnym routerze po stronie biura, z którym możesz się łączyć za pomocą klientów VPN? Jest więc jedno bardzo popularne rozwiązanie, o którym warto wiedzieć. To jest OpenVPN.
OpenVPN to darmowy program, który implementuje technologię wirtualnej sieci prywatnej (VPN). Obsługuje dwa popularne tryby pracy: klient-serwer oraz punkt-punkt, gdy trzeba połączyć dwie duże sieci.
Utrzymuje dobry poziom szyfrowania ruchu pomiędzy jego uczestnikami, a także umożliwia nawiązywanie połączeń między komputerami za NAT i firewallem bez konieczności zmiany ich ustawień.
Aby zabezpieczyć kanał kontrolny i przepływ danych, OpenVPN korzysta z biblioteki OpenSSL . Pozwala to na wykorzystanie całego zestawu algorytmów szyfrowania dostępnych w tej bibliotece.
Może również korzystać z uwierzytelniania wsadowego HMAC w celu zwiększenia bezpieczeństwa i przyspieszenia sprzętowego w celu poprawy wydajności szyfrowania. Ta biblioteka używa OpenSSL, a dokładniej protokołów SSLv3/TLSv1.2 .
Istnieją implementacje tego programu dla wszystkich popularnych systemów operacyjnych: Solaris, OpenBSD, FreeBSD, NetBSD, GNU/Linux, Apple Mac OS X, QNX, Microsoft Windows, Android, iOS.
OpenVPN oferuje użytkownikowi kilka rodzajów uwierzytelniania :
- Klucz wstępny jest najłatwiejszą metodą.
- Uwierzytelnianie za pomocą certyfikatu to najbardziej elastyczna metoda w ustawieniach.
- Za pomocą loginu i hasła - można używać bez tworzenia certyfikatu klienta (wymagany jest jeszcze certyfikat serwera).
Specyfikacja
OpenVPN przeprowadza wszystkie operacje sieciowe przez transport TCP lub UDP. Ogólnie rzecz biorąc, preferowany jest protokół UDP, ponieważ tunel będzie przenosił ruch w warstwie sieciowej i wyższej niż OSI, jeśli używane jest połączenie TUN, lub ruch w warstwie łącza i wyższej, jeśli używany jest TAP.
Oznacza to, że OpenVPN działa jako kanał, a nawet protokół warstwy fizycznej dla klienta, co oznacza, że niezawodność przesyłania danych może być zapewniona przez wyższe poziomy OSI, jeśli to konieczne.
Biorąc pod uwagę, że dobrze przeanalizowaliśmy model OSI, powinieneś zrozumieć, co jest tutaj powiedziane.
Dlatego protokół UDP w swojej koncepcji jest najbliższy OpenVPN, ponieważ podobnie jak protokoły łącza danych i warstwy fizycznej nie zapewnia niezawodności połączenia, przekazując tę inicjatywę wyższym poziomom. Jeśli skonfigurujesz tunel do pracy przez TCP, serwer zazwyczaj otrzyma od klienta segmenty TCP OpenVPN, które zawierają inne segmenty TCP.
Ponadto, co nie jest bez znaczenia, OpenVPN może działać przez większość serwerów proxy, w tym HTTP, SOCKS, przez NAT i filtry sieciowe. Serwer można skonfigurować tak, aby przypisywał ustawienia sieciowe klientowi. Na przykład adres IP, ustawienia routingu i parametry połączenia.