امنيت VPN
شبکه های VPN بمنظور تامين امنيت (داده ها و ارتباطات) از روش های متعددی استفاده می نمايند :
● فايروال . فايروال يک ديواره مجازی بين شبکه اختصای يک سازمان و اينترنت ايجاد می نمايد. با استفاده از فايروال می توان عمليات متفاوتی را در جهت اعمال سياست های امنيتی يک سازمان انجام داد. ايجاد محدوديت در تعداد پورت ها فعال ، ايجاد محدوديت در رابطه به پروتکل های خاص ، ايجاد محدوديت در نوع بسته های اطلاعاتی و … نمونه هائی از عملياتی است که می توان با استفاده از يک فايروال انجام داد.
● رمزنگاری . فرآيندی است که با استفاده از آن کامپيوتر مبداء اطلاعاتی رمزشده را برای کامپيوتر ديگر ارسال می نمايد. ساير کامپيوترها ی مجاز قادر به رمزگشائی اطلاعات ارسالی خواهند بود. بدين ترتيب پس از ارسال اطلاعات توسط فرستنده ، دريافت کنندگان، قبل از استفاده از اطلاعات می بايست اقدام به رمزگشائی اطلاعات ارسال شده نمايند. سيستم های رمزنگاری در کامپيوتر به دو گروه عمده تقسيم می گردد :
رمزنگاری کليد متقارن
رمزنگاری کليد عمومی
در رمز نگاری ” کليد متقارن ” هر يک از کامپيوترها دارای يک کليد Secret ( کد ) بوده که با استفاده از آن قادر به رمزنگاری يک بسته اطلاعاتی قبل از ارسال در شبکه برای کامپيوتر ديگر می باشند. در روش فوق می بايست در ابتدا نسبت به کامپيوترهائی که قصد برقراری و ارسال اطلاعات برای يکديگر را دارند ، آگاهی کامل وجود داشته باشد. هر يک از کامپيوترهای شرکت کننده در مبادله اطلاعاتی می بايست دارای کليد رمز مشابه بمنظور رمزگشائی اطلاعات باشند. بمنظور رمزنگاری اطلاعات ارسالی نيز از کليد فوق استفاده خواهد شد. فرض کنيد قصد ارسال يک پيام رمز شده برای يکی از دوستان خود را داشته باشيد. بدين منظور از يک الگوريتم خاص برای رمزنگاری استفاده می شود .در الگوريتم فوق هر حرف به دوحرف بعد از خود تبديل می گردد.(حرف A به حرف C ، حرف B به حرف D ) .پس از رمزنمودن پيام و ارسال آن ، می بايست دريافت کننده پيام به اين حقيقت واقف باشد که برای رمزگشائی پيام لرسال شده ، هر حرف به دو حرق قبل از خود می باطست تبديل گردد. در چنين حالتی می باطست به دوست امين خود ، واقعيت فوق ( کليد رمز ) گفته شود. در صورتيکه پيام فوق توسط افراد ديگری دريافت گردد ، بدليل عدم آگاهی از کليد ، آنان قادر به رمزگشائی و استفاده از پيام ارسال شده نخواهند بود.
در رمزنگاری عمومی از ترکيب يک کليد خصوصی و يک کليد عمومی استفاده می شود. کليد خصوصی صرفا” برای کامپيوتر شما ( ارسال کننده) قابل شناسائی و استفاده است . کليد عمومی توسط کامپيوتر شما در اختيار تمام کامپيوترهای ديگر که قصد ارتباط با آن را داشته باشند ، گذاشته می شود. بمنظور رمزگشائی يک پيام رمز شده ، يک کامپيوتر می بايست با استفاده از کليد عمومی ( ارائه شده توسط کامپيوتر ارسال کننده ) ، کليد خصوصی مربوط به خود اقدام به رمزگشائی پيام ارسالی نمايد . يکی از متداولترين ابزار “رمزنگاری کليد عمومی” ، روشی با نام PGP)Pretty Good Privacy) است . با استفاده از روش فوق می توان اقدام به رمزنگاری اطلاعات دلخواه خود نمود.
● IPSec . پروتکل IPsec)Internet protocol security protocol) ، يکی از امکانات موجود برای ايجاد امنيت در ارسال و دريافت اطلاعات می باشد . قابليت روش فوق در مقايسه با الگوريتم های رمزنگاری بمراتب بيشتر است . پروتکل فوق دارای دو روش رمزنگاری است : Tunnel ، Transport . در روش tunel ، هدر و Payload رمز شده درحاليکه در روش transport صرفا” payload رمز می گردد. پروتکل فوق قادر به رمزنگاری اطلاعات بين دستگاههای متفاوت است :
روتر به روتر
فايروال به روتر
کامپيوتر به روتر
کامپيوتر به سرويس دهنده
● سرويس دهنده AAA . سرويس دهندگان( AAA : Authentication ,Authorization,Accounting) بمنظور ايجاد امنيت بالا در محيط های VPN از نوع ” دستيابی از راه دور ” استفاده می گردند. زمانيکه کاربران با استفاده از خط تلفن به سيستم متصل می گردند ، سرويس دهنده AAA درخواست آنها را اخذ و عمايات زير را انجام خواهد داد :
شما چه کسی هستيد؟ ( تاييد ، Authentication )
شما مجاز به انجام چه کاری هستيد؟ ( مجوز ، Authorization )
چه کارهائی را انجام داده ايد؟ ( حسابداری ، Accounting )
تکنولوژی های VPN
با توجه به نوع VPN ( ” دستيابی از راه دور ” و يا ” سايت به سايت ” ) ، بمنظور ايجاد شبکه از عناصر خاصی استفاده می گردد:
نرم افزارهای مربوط به کاربران از راه دور
سخت افزارهای اختصاصی نظير يک ” کانکتور VPN” و يا يک فايروال PIX
سرويس دهنده اختصاصی VPN بمنظور سرويُس های Dial-up
سرويس دهنده NAS که توسط مرکز ارائه خدمات اينترنت بمنظور دستيابی به VPN از نوع “دستيابی از را دور” استفاده می شود.
شبکه VPN و مرکز مديريت سياست ها
با توجه به اينکه تاکنون يک استاندارد قابل قبول و عمومی بمنظور ايجاد شVPN ايجاد نشده است ، شرکت های متعدد هر يک اقدام به توليد محصولات اختصاصی خود نموده اند.
- کانکتور VPN . سخت افزار فوق توسط شرکت سيسکو طراحی و عرضه شده است. کانکتور فوق در مدل های متفاوت و قابليت های گوناگون عرضه شده است . در برخی از نمونه های دستگاه فوق امکان فعاليت همزمان 100 کاربر از راه دور و در برخی نمونه های ديگر تا 10.000 کاربر از راه دور قادر به اتصال به شبکه خواهند بود.
- روتر مختص VPN . روتر فوق توسط شرکت سيسکو ارائه شده است . اين روتر دارای قابليت های متعدد بمنظور استفاده در محيط های گوناگون است . در طراحی روتر فوق شبکه های VPN نيز مورد توجه قرار گرفته و امکانات مربوط در آن بگونه ای بهينه سازی شده اند.
- فايروال PIX . فايروال PIX(Private Internet eXchange) قابليت هائی نظير NAT ، سرويس دهنده Proxy ، فيلتر نمودن بسته ای اطلاعاتی ، فايروال و VPN را در يک سخت افزار فراهم نموده است .
Tunneling( تونل سازی )
اکثر شبکه های VPN بمنظور ايجاد يک شبکه اختصاصی با قابليت دستيابی از طريق اينترنت از امکان ” Tunneling ” استفاده می نمايند. در روش فوق تمام بسته اطلاعاتی در يک بسته ديگر قرار گرفته و از طريق شبکه ارسال خواهد شد. پروتکل مربوط به بسته اطلاعاتی خارجی ( پوسته ) توسط شبکه و دو نفطه (ورود و خروج بسته اطلاعاتی ) قابل فهم می باشد. دو نقظه فوق را “اينترفيس های تونل ” می گويند. روش فوق مستلزم استفاده از سه پروتکل است :
پروتکل حمل کننده . از پروتکل فوق شبکه حامل اطلاعات استفاده می نمايد.
پروتکل کپسوله سازی . از پروتکل هائی نظير: IPSec,L2F,PPTP,L2TP,GRE استفاده می گردد.
پروتکل مسافر . از پروتکل هائی نظير IPX,IP,NetBeui بمنظور انتقال داده های اوليه استفاده می شود.
با استفاده از روش Tunneling می توان عمليات جالبی را انجام داد. مثلا” می توان از بسته ای اطلاعاتی که پروتکل اينترنت را حمايت نمی کند ( نظير NetBeui) درون يک بسته اطلاعاتی IP استفاده و آن را از طريق اينترنت ارسال نمود و يا می توان يک بسته اطلاعاتی را که از يک آدرس IP غير قابل روت ( اختصاصی ) استفاده می نمايد ، درون يک بسته اطلاعاتی که از آدرس های معتبر IP استفاده می کند ، مستقر و از طريق اينترنت ارسال نمود.
در شبکه های VPN از نوع ” سايت به سايت ” ، GRE)generic routing encapsulation) بعنوان پروتکل کپسوله سازی استفاده می گردد. فرآيند فوق نحوه استقرار و بسته بندی ” پروتکل مسافر” از طريق پروتکل ” حمل کننده ” برای انتقال را تبين می نمايد. ( پروتکل حمل کننده ، عموما” IP است ) . فرآيند فوق شامل اطلاعاتی در رابطه با نوع بست های اطلاعاتی برای کپسوله نمودن و اطلاعاتی در رابطه با ارتباط بين سرويس گيرنده و سرويس دهنده است . در برخی موارد از پروتکل IPSec ( در حالت tunnel) برای کپسوله سازی استفاده می گردد.پروتکل IPSec ، قابل استفاده در دو نوع شبکه VPN ( سايت به يايت و دستيابی از راه دور ) است . اينترفيش های Tunnel می بايست دارای امکانات حمايتی از IPSec باشند.
در شبکه های VPN از نوع ” دستيابی از راه دور ” ، Tunneling با استفاده از PPP انجام می گيرد. PPP بعنوان حمل کننده ساير پروتکل های IP در زمان برقراری ارتباط بين يک سيستم ميزبان و يک سيستم ازه دور ، مورد استفاده قرار می گيرد.
هر يک از پروتکل های زير با استفاده از ساختار اوليه PPP ايجاد و توسط شبکه های VPN از نوع ” دستيابی از راه دور ” استفاده می گردند:
- L2F)Layer 2 Forwarding) . پروتکل فوق توسط سيسکو ايجاد شده است . در پروتکل فوق از مدل های تعيين اعتبار کاربر که توسط PPP حمايت شده اند ، استفاده شد ه است .
PPTP)Point-to-Point Tunneling Protocol) . پروتکل فوق توسط کنسرسيومی متشکل از شرکت های متفاوت ايجاد شده است . اين پروتکل امکان رمزنگاری 40 بيتی و 128 بيتی را دارا بوده و از مدل های تعيين اعتبار کاربر که توسط PPP حمايت شده اند ، استفاده می نمايد.
- L2TP)Layer 2 Tunneling Protocol) . پروتکل فوق با همکاری چندين شرکت ايجاد شده است .پروتکل فوق از ويژگی های PPTP و L2F استفاده کرده است . پروتکل L2TP بصورت کامل IPSec را حمايت می کند. از پروتکل فوق بمنظور ايجاد تونل بين موارد زير استفاده می گردد :
سرويس گيرنده و روتر
NAS و روتر
روتر و روتر
عملکرد Tunneling مشابه حمل يک کامپيوتر توسط يک کاميون است . فروشنده ، پس از بسته بندی کامپيوتر ( پروتکل مسافر ) درون يک جعبه ( پروتکل کپسوله سازی ) آن را توسط يک کاميون ( پروتکل حمل کننده ) از انبار خود ( ايترفيس ورودی تونل ) برای متقاضی ارسال می دارد. کاميون ( پروتکل حمل کننده ) از طريق بزرگراه ( اينترنت ) مسير خود را طی ، تا به منزل شما ( اينترفيش خروجی تونل ) برسد. شما در منزل جعبه ( پروتکل کپسول سازی ) را باز و کامپيوتر ( پروتکل مسافر) را از آن خارج می نمائيد .
