• Разнообразие  протоколов. Так как используется кадрирование PPP, удаленные пользователи могут использовать для доступа  к корпоративому узлу большое  количество различных протоколов, таких  как IP, IPX и т.д.
• Создание туннелей в различных сетях. L2TP может работать как в сетях IP, так и в сетях ATM, Frame Relay и др.
• Безопасность передачи данных. При этом, пользователь не должен иметь никакого специального программного обеспечения.
• Возможность аутентификации пользователей.

 

 

IPSec

     IPSec (IP Security) - набор протоколов, касающихся вопросов обеспечения защиты данных при транспортировке IP-пакетов. IPSec также включает в себя протоколы для защищённого обмена ключами в сети Интернет. Протоколы IPSec работают на сетевом уровне (уровень 3 модели OSI).

     Internet-протокол (IP) не имеет средств защиты  передаваемых данных. Он даже  не может гарантировать, что  отправитель является именно  тем, за кого он себя выдает. IPSec представляет собой попытку  исправить ситуацию. При использовании  IPSec весь передаваемый трафик  может быть защищен перед передачей по сети. При использовании IPSec получатель сообщения может отслеживать источник полученных пакетов и удостовериться в целостности данных. Необходимо быть уверенным в том, что транзакция может осуществляться только один раз (за исключением случая, когда пользователь уполномочен повторять ее). Это означает, что не должно существовать возможности записи транзакции и последующего ее повторения в записи с целью создания у пользователя впечатления об осуществлении нескольких транзакций. Представьте себе, что мошенник получил информацию о трафике и знает, что передача такого трафика может дать ему какие-то преимущества (например, в результате на его счет будут переведены деньги). Необходимо обеспечить невозможность повторной передачи такого трафика.

     С помощью виртуальной частной  сети (VPN) можно решать следующие прикладные задачи:

• Виртуальная частная сеть между организациями
• Мобильный пользователь
• Пользователь SOHO

IPSec VPN оптимален  для объединения сетей разных  офисов через Интернет.

Можно устанавливать VPN-соединение с использованием протокола IPSec.

     Для пользователей SMB/SOHO (Малый бизнес/Малый  офис/Домашний офис):

• Экономическая эффективность
• Законченное решение для коммерческого использования

 

 

Для дистанционных  пользователей:

• Интегрированное безопасное решение
• Нет необходимости в дополнительном программном обеспечении
• Простота конфигурирования

 

 

Для коллективных пользователей:

• Экономически эффективное решение для дистанционных пользователей и филиалов
• Совместимость с решениями большинства поставщиков решений для виртуальных частных сетей.

 

 

     Существует  две разновидности протокола IPSec: ESP (Encapsulation Security Payload, инкапсуляция защещенных данных) и AH (Authentication Header, Аутентифицирующий заголовок). ESP и AH - новые протоколы IP. О том, что пакет является пакетом ESP, говорит значение в поле протокола заголовка IP, равное 50, а для пакета AH - равное 51.

     В пакетах ESP и AH между заголовком IP (IP header) и данными протокола верхнего уровня вставляется заголовок ESP/AH (ESP/AH header).  
ESP может обеспечивать как защиту данных, так и аутентификацию, а также возможен вариант протокола ESP без использования защиты данных или без аутентификации. Однако, невозможно использовать протокол ESP одновременно без защиты данных и без аутентификации, поскольку в данном случае безопасность не обеспечивается. При осуществлении защиты передаваемых данных заголовок ESP не защищен, но защищены данные протокола верхнего уровня и часть трейлера ESP.  
А в случае аутентификации производится аутентификация заголовка ESP, данных протокола верхнего уровня и части трейлера ESP.  
Хотя протокол AH может обеспечивать только аутентификацию, она выполняется не только для заголовка AH и данных протокола верхнего уровня, но также и для заголовка IP.

     Протоколы семейства IPSec могут использоваться для защиты либо всех полезных данных IP-пакета, либо данных протоколов верхнего уровня в поле полезных данных IP-пакета. Это различие определяется выбором  двух различных режимов протокола IPSec: транспортного режима или туннельного режима.  
Транспортный режим в основном используется хостом IP для защиты генерируемых им самим данных, а туннельный режим используется шлюзом безопасности для предоставления услуги IPSec другим машинам, не имеющим функций IPSec. Однако функции хоста IPSec и шлюза безопасности могут выполняться одной и той же машиной. Оба протокола IPSec, AH и ESP, могут выполняться в транспортном или туннельном режиме.

SSL VPN

     SSL (Secure Socket Layer) протокол защищенных сокетов, обеспечивающий безопасную передачу данных по сети Интернет. При его использовании создается защищенное соединение между клиентом и сервером.

     SSL использует защиту данных с открытым ключом для подтверждения подлинности передатчика и получателя. Поддерживает надёжность передачи данных за счёт использования корректирующих кодов и безопасных хэш-функций.

     SSL использует RC4, MD5, RSA и другие алгоритмы защиты данных.  
SSL использует два ключа для защиты данных - открытый ключ и закрытый или частный ключ известный только получателю сообщения.

     На  сегодняшний день, в сети Интернет можно встретить множество сайтов на которых используется протокол SSL для обеспечения безопасности пользовательских данных (например, веб-сайты предоставляющие  коммерческие и банковские сервисы). Практически все самые популярные браузеры, почтовые клиенты и интернет-приложения поддерживают работу с протоколом SSL. Для доступа к страницам, защищённым протоколом SSL, в URL вместо обычного префикса http, как правило, применяется префикс https (порт 443), указывающий на то, что будет использоваться SSL-соединение.  
SSL также может обеспечить защиту протоколов прикладного уровня (уровень 7 модели OSI), например, таких как POP3 или FTP. Для работы SSL требуется, чтобы на сервере имелся SSL-сертификат.  
Безопасное соединение между клиентом и сервером при использовании SSL выполняет две функции - аутентификацию и защиту данных.

     SSL состоит из двух уровней. На  нижних уровнях (уровни 4-5) многоуровневого транспортного протокола (например, TCP) он является протоколом записи и используется для инкапсуляции (то есть формирования пакета) различных протоколов. Для каждого инкапсулированного протокола он обеспечивает условия, при которых сервер и клиент могут подтверждать друг другу свою подлинность, выполнять защиту передаваемых данных и производить обмен ключами, прежде чем протокол прикладной программы начнет передавать и получать данные.  
 
Преимущества протокола SSL:

• Простота использования
• Нет необходимости в дополнительном программном обеспечении
• Безопасный удаленный доступ

 

 

SSL VPN оптимален для подключения  удаленных пользователей к ресурсам  локальной сети офиса через  Интернет.

 

 

Способы организации безопасного  удалённого доступа

     Наиболее  распространённый вариант это настройка  собственного pptp vpn сервера. Начиная с ОС семейства Windows NT4.0/2000 такая возможность реализуема штатными(native) средствами. Удобно также, что все наиболее распростаранённые ОС MS начиная с Windows 95OSR2 имеют предустановленный клиент для удалённых частных сетей(pptp клиент)

     Организация не имеющая выделенного сервера  также может воспользоваться  всеми удобствами pptp vpn. На рынке представлено большое количество недорогих аппаратных роутеров имеющих возможность настройки vpn сервера.Обзор нескольких таких устройств представлен в слудующем разделе.

     Наиболее  простой, но при этом наименее гибкий и безопасный способ это открытие терминального доступа к серверу  со внешнего интерфейса. Достоинтва такого способа – простота реализации, но минусы очевидны: светя терминальным портом организация является находкой для хакера. Поэтому избрав такой вариант необходимо ограничить доступ к серверу по IP и по возможности по МАКУ(физическому адресу сетевого интерфейса).

     Последнее время также стало популярным использование специальных программ для установки удалённого доступа. Hamachi, TeamViewer и тд.

Данные  программы инициируют соединение изнутри  в обход фильтров через 80 порт. Данный подход удобен для администраторов, но никак не для пользователей

 

Обзор аппаратных роутеров для удалённого доступа

D-link DI-804HV

     DI-804HV это высокопроизводительный широкополосный маршрутизатор с функциями безопасной передачи данных, спроектированный специально для применения в связках центральный офис - отделение. Предлагая эффективное решения для подключения удаленных офисов во всем мире к центральному через Интернет , устройство составляет серьезную конкуренцию подключениям типа точка-точка по дорогим выделенным каналам. Маршрутизатор бизнес-класса DI-804HV поддерживает IPSec для обеспечения безопасности соединений, связывая небольшие сети удаленных офисов в единую сеть или позволяя получать дополнительные сервисы вашим доверенным партнерам удаленно. В дополнение, маршрутизатор одновременно выполняет функции Интернет-шлюза, предоставляя доступ в Интернет всем сотрудникам офиса, используя одно единственное подключение к провайдеру через Ethernet WAN порт или подключенный к нему кабельный/DSL модем.

     

D-link DFL-210

Межсетевой экран VPN DFL-210 предоставляет средства полной защиты сети и организации виртуальных  частных сетей (VPN) для сетевой  инфраструктуры небольших компаний. Устройство обеспечивает экономичное  и надежное решение для защиты от угроз, связанных с содержимым пакетов наряду с фильтрацией  этого содержимого, межсетевым экраном, поддержкой VPN и обнаружением вторжений. Функциональные возможности устройства позволяют пользователям эффективно обнаруживать и предотвращать атаки  из сети Интернет, повышая защиту основных сетевых приложений, не понижая производительности сети.

 

Приложение

Пример  настройки сервера  удалённого доступа  RAS

 

1. Добавляем роль на сервере Windows 2003 SP2 Standart Edition  “Контроллер домена (Active Directory)”

 Active Directory будет являться хранилищем  учётных записей для удалённого доступа

2. Добавляем роль на сервере Windows 2003 SP2 Standart Edition 

“Cервер удалённого доступа VPN”

3. Устанавливаем службу проверки подлинности в сети (это стандартный компонент Windows 2003

     Это все, необходимые компоненты для  создания простого удалённого доступа. Теперь настроим наш RAS сервер:

     1)

     

     2)

     

     3)

 

     3)

     

     4)

     

 

4. В данном случае мы указываем Radius сервер, берущий данные о учётных записях из базы Active Directory

     На  этом настройка службы маршрутизации  и удалённого доступа закончена. Осталось сконфигурировать Radius сервер на работу с нашим RAS сервером.

     

     Для этого в консоли “Службы проверки подлинности в интернете” во вкладке Radius-клиенты указываем IP адрес и секретный ключ для связи с RAS.