VPN در یك تعریف كوتاه شبكهای از مدارهای مجازی برای انتقال ترافیك شخصی است. در واقع پیادهسازی شبكهی خصوصی یك شركت یا سازمان را روی یك شبكه عمومی، VPN گویند.
شبكههای رایانهای به شكل گستردهای در سازمانها و شركتهای اداری و تجاری مورد استفاده قرار میگیرند. اگر یك شركت از نظر جغرافیایی در یك نقطه متمركز باشد، ارتباطات بین بخشهای مختلف آنرا میتوان با یك شبكهی محلی برقرار كرد. اما برای یك شركت بزرگ كه دارای شعب مختلف در نقاط مختلف یك كشور و یا در نقاط مختلف دنیا است و این شعب نیاز دارند كه با هم ارتباطاتِ اطلاعاتیِ امن داشته باشند، بایستی یك شبكهی گستردهی خصوصی بین شعب این شركت ایجاد گردد. شبكههای اینترانت كه فقط محدود به یك سازمان یا یك شركت میباشند، به دلیل محدودیتهای گسترشی نمیتوانند چندین سازمان یا شركت را تحت پوشش قرار دهند. شبكههای گسترده نیز كه با خطوط استیجاری راهاندازی میشوند، در واقع شبكههای گستردهی امنی هستند كه بین مراكز سازمانها ایجاد میشوند. پیادهسازی این شبكهها علیرغم درصد پایین بهرهوری، نیاز به هزینه زیادی دارد. زیرا، این شبكهها به دلیل عدم اشتراك منابع با دیگران، هزینه مواقع عدم استفاده از منابع را نیز بایستی پرداخت كنند. راهحل غلبه بر این مشكلات، راهاندازی یك VPN است.
فرستادن حجم زیادی از داده از یك كامپیوتر به كامپیوتر دیگر مثلا” در به هنگام رسانی بانك اطلاعاتی یك مشكل شناخته شده و قدیمی است . انجام این كار از طریق Email به دلیل محدودیت گنجایش سرویس دهنده Mail نشدنی است .استفاده از FTP هم به سرویس دهنده مربوطه و همچنین ذخیره سازی موقت روی فضای اینترنت نیاز دارد كه اصلا” قابل اطمینان نیست .
یكی از راه حل های اتصال مستقیم به كامپیوتر مقصد به كمك مودم است كه در اینجا هم علاوه بر مودم ، پیكر بندی كامپیوتر به عنوان سرویس دهنده RAS لازم خواهد بود . از این گذشته ، هزینه ارتباط تلفنی راه دور برای مودم هم قابل تامل است . اما اگر دو كامپیوتر در دو جای مختلف به اینترنت متصل باشند می توان از طریق سرویس به اشتراك گذاری فایل در ویندوز بسادگی فایل ها را رد و بدل كرد . در این حالت ، كاربران می توانند به سخت دیسك كامپیوترهای دیگر همچون سخت دیسك كامپیوتر خود دسترسی داشته باشند . به این ترتیب بسیاری از راه های خرابكاری برای نفوذ كنندگان بسته می شود .
شبكه های شخصی مجازی یا( VPN ( Virtual private Networkها اینگونه مشكلات را حل میكند . VPN به كمك رمز گذاری روی داده ها ، درون یك شبكه كوچك می سازد و تنها كسی كه آدرس های لازم و رمز عبور را در اختیار داشته باشد می تواند به این شبكه وارد شود . مدیران شبكه ای كه بیش از اندازه وسواس داشته و محتاط هستند می توانند VPN را حتی روی شبكه محلی هم پیاده كنند . اگر چه نفوذ كنندگان می توانند به كمك برنامه های Packet snifter جریان داده ها را دنبال كنند اما بدون داشتن كلید رمز نمی توانند آنها را بخوانند.
یك مثال :
فرض نمائید درجزیره ای در اقیانوسی بزرگ، زندگی می كنید. هزاران جزیره در اطراف جزیره شما وجود دارد. برخی از جزایر نزدیك و برخی دیگر دارای مسافت طولانی با جزیره شما میباشند متداولترین روش بمنظور مسافرت به جزیره دیگر، استفاده از یك كشتی مسافربری است مسافرت با كشتی مسافربری ، بمنزله عدم وجود امنیت است . در این راستا هر كاری را كه شما انجام دهید،توسط سایر مسافرین قابل مشاهده خواهد بود.فرض كنید هر یك از جزایر مورد نظر به مشابه یك شبكه محلی(LAN) و اقیانوس مانند اینترنت باشند. مسافرت با یك كشتی مسافربری مشابه برقراری ارتباط با یك سرویس دهنده وب و یا سایر دستگاههای موجود در اینترنت است.شما دارای هیچگونه كنترلی بر روی كابل ها و روترهای موجود در اینترنت نمیباشید.(مشابه عدم كنترل شما بعنوان مسافر كشتی مسافربری بر روی سایر مسافرین حاضر در كشتی ) .در صورتیكه تمایل به ارتباط بین دو شبكه اختصاصی از طریق منابع عمومی وجود داشته باشد، اولین مسئله ای كه با چالش های جدی برخورد خواهد كرد، امنیت خواهد بود.
فرض كنید، جزیره شما قصد ایجاد یك پل ارتباطی با جزیره مورد نظر را داشته باشد .مسیر ایجاد شده یك روش ایمن ، ساده و مستقیم برای مسافرت ساكنین جزیره شما به جزیره دیگر را فراهم می آورد. اما ایجاد و نگهداری یك پل ارتباطی بین دو جزیره مستلزم صرف هزینه های بالائی خواهد بود.(حتی اگر جزایر در مجاورت یكدیگر باشند).با توجه به ضرورت و حساسیت مربوط به داشتن یك مسیر ایمن و مطمئن ، تصمیم به ایجاد پل ارتباطی بین دو جزیره گرفته شده است. در صورتیكه جزیره شما قصد ایجاد یك پل ارتباطی با جزیره دیگر را داشته باشد كه در مسافت بسیار طولانی نسبت به جزیره شما واقع است ، هزینه های مربوط بمراتب بیشتر خواهد بود.
وضعیت فوق ، نظیر استفاده از یك اختصاصی Leased است. ماهیت پل های ارتباطی(خطوط اختصاصی) از اقیانوس (اینترنت) متفاوت بوده و كماكان قادر به ارتباط جزایر شبكه های( LAN) خواهند بود. سازمانها و موسسات متعددی از رویكرد فوق ( استفاده از خطوط اختصاصی) استفاده می نمایند. مهمترین عامل در این زمینه وجود امنیت و اطمینان برای برقراری ارتباط هر یك سازمانهای مورد نظر با یكدیگر است . در صورتیكه مسافت ادارات و یا شعب یك سازمان از یكدیگر بسیار دور باشد ، هزینه مربوط به برقرای ارتباط نیز افزایش خواهد یافت
با توجه به موارد گفته شده ، چه ضرورتی بمنظور استفاده از VPN وجود داشته و VPN تامین كننده ، كدامیك از اهداف و خواسته های مورد نظر است ؟
یك شبكه اختصاصی مجازی (vpn) از رمزنگاری سطح بالا برای ایجاد ارتباط امن بین ابزار دور از یكدیگر، مانند لپ تاپ ها و شبكه مقصد استفاده می كند. Vpn اساساً یك تونل رمزشده تقریباً با امنیت و محرمانگی یك شبكه اختصاصی اما از میان اینترنت ایجاد می كند. این تونل Vpn می تواند در یك مسیریاب برپایه Vpn، فایروال یا یك سرور در ناحیه Dmz پایان پذیرد. برقراری ارتباطات Vpn برای تمام بخش های دور و بی سیم شبكه یك عمل مهم است كه نسبتاً آسان و ارزان پیاده سازی می شود.
تبادل داده ها روی اینرنت چندان ایمن نیست . تقریبا” هر كسی كه در جای مناسب قرار داشته باشد می تواند جریان داده ها را زیر نظر گرفته و از آنها سوء استفاده كند . اگرچه Vpn رمزنگاری مؤثری ارائه می كندو كار نفوذ را برا ی خرابكاران خیلی سخت می كند ، اما كار اجرایی بیشتری را برروی كارمندان It تحمیل می كنند، چرا كه كلیدهای رمزنگاری و گروه های كاربری باید بصورت مداوم مدیریت شوند.
قراردادهای ردهی بستهگرایvpn
VPNSimple Key Management for Internet Protocol SKIP:
یك قرارداد مدیریت كلید است ولی با توجه به اینكه این قرارداد امكانات تونلكشی را نیز ارائه میدهد، میتوان آنرا به عنوان یك قرارداد پیادهسازی VPN در نظر گرفت. این قرارداد در سطح لایهی سوم OSI كار میكند.
Layer 2 Tunneling Protocol ( L2TP) :
یك مكانیزم تونلكشی است كه از تركیب مكانیزمهای PPTP وL2F به منظور بهرهوری از محاسن هر دو قرارداد به وجود آمده است و از قرارداد PPP برای بستهبندی اطلاعات استفاده میكند.
از پروتكل فوق بمنظور ایجاد تونل بین موارد زیر استفاده می گردد :
● سرویس گیرنده و روتر
●NAS و روتر
● روتر و روتر
Layer Two Filtering (L2F ):
این قرارداد مانند PPTP یك قرارداد تونلكشی در لایهی دوم است كه توسط شركت Cisco ارائه شده و بوسیلهی بعضی از شركتها نظیر Telecom حمایت میشود.
Point to Point Tunneling Protocol ( PPTP ):
یك مكانیزم تونلكشی نقطه به نقطه است كه برای دسترسی راه دور به كارگزار سختافزاری Ascend و ویندوز NT طراحی شده است.در این قراداد، امكان رمزنگاری و هویتشناسی پیشبینی نشده و ازقرارداد PPPبرای بستهبندی اطلاعات استفاده میشود.قراردادPPP ارتباط تلفنی یك میزبان به شبكهی محلی را فراهم میآورد و وظیفهی لایهی پیوند داده و لایهی فیزیكی را هنگام ارتباط تلفنی میزبان به فراهم آورندهی سرویس اینترنت(ISP)، انجام میدهد قراردادPPTP در كاربردهای كوچك و كاربردهایی كه نیاز به امنیت خیلی بالایی ندارند، استفاده میشود.راهاندازیVPN با استفاده از قرارداد PPTP در این محیطها كمهزینه و مقرون بصرفه است. قرارداد PPTP دارای قابلیت پیادهسازیVPN شبكهی محلی-بهشبكهی محلی نیز میباشد
این پروتكل امكان رمزنگاری 40 بیتی و 128 بیتی را دارا بوده و از مدل های تعیین اعتبار كاربر كه توسط PPP حمایت شده اند ، استفاده می نماید.
(Ipsec ) IP Security protocol :
Ipsec برخلافPPTP و L2TP روی لایه شبكه یعنی لایه سوم كار می كند . این پروتكل داده هایی كه باید فرستاده شود را همراه با همه اطلاعات جانبی مانند گیرنده و پیغام های وضعیت رمز گذاری كرده و به آن یك IP Header معمولی اضافه كرده و به آن سوی تونل می فرستد .
كامپیوتری كه در آن سو قرار دارد IP Header را جدا كرده ، داده ها را رمز گشایی كرده و آن را به كامپیوتر مقصد می فرستد .Ipsec را می توان با دو شیوه Tunneling پیكر بندی كرد . در این شیوه انتخاب اختیاری تونل ، سرویس گیرنده نخست یك ارتباط معمولی با اینترنت برقرار می كند و سپس از این مسیر برای ایجاد اتصال مجازی به كامپیوتر مقصد استفاده می كند . برای این منظور ، باید روی كامپیوتر سرویس گیرنده پروتكل تونل نصب شده باشد . معمولا” كاربر اینترنت است كه به اینترنت وصل می شود . اما كامپیوترهای درون LAN هم می توانند یك ارتباط VPN برقرا كنند . از آنجا كه ارتباط IP از پیش موجود است تنها برقرار كردن ارتباط VPN كافی است . در شیوه تونل اجباری ، سرویس گیرنده نباید تونل را ایجاد كند بلكه این كار ار به عهده فراهم ساز (Service provider ) است . سرویس گیرنده تنها باید به ISP وصل شود . تونل به طور خودكار از فراهم ساز تا ایستگاه مقصد وجود دارد . البته برای این كار باید همانگی های لازم با ISP انجام بگیرد
قراردادهای كاربردگرای VPN
قراردادهای:SSH
کاربرد اصلی قرارداد SSH، امن نمودن خدمت ارتباط از راه دور است. این قرارداد در لایهی كاربرد و بالاتر از قرارداد TCP/IP كار میكند. SSH قابلیت هویتشناسی كاربران ورمزنگاری اطلاعات را دارد. قرارداد SSH دارای سه لایهی اصلی انتقال، هویتشناسی كاربر و اتصال میباشد. لایهی انتقال، وظیفهی فراهم آوردن امنیت و هویتشناسی كارگزار را بهعهده دارد. به علت قرار گرفتن این لایه بر روی لایهی TCP و همچنین وجود حفرهی امنیتی در لایههای TCP و IP، امنیت در ارتباط بین دو كامپیوتر از بین خواهد رفت، كه میتوان با قرار دادن دیوارهی آتش بر روی آن، این مشكل را به نوعی حل نمود. لایهی هویتشناسی كاربر، وظیفهی شناساندن كارفرما به كارگزار را به عهده دارد. لایهی اتصال وظیفهی تسهیم و ایجاد كانالهای امن لایههای انتقال و هویتشناسی را بر عهده دارد. از قرارداد SSH میتوان برای پیادهسازی شبكههای خصوصی كه حالت خاصی از VPNها هستند، استفاده نمود.
قرار داد SOCKS :
قرارداد SOCKS در مدل لایهبندی شبكه OSI درلایهی پنجم بصورت كارفرما و كارگزار پیادهسازی شده است این قرارداد دارای امكان رمزنگاری اطلاعات نیست ولی بدلیل داشتن امكان هویتشناسی چند سطحی و امكان مذاكره بین كارفرما وكارگزار SOCKS(Negotiate Capability)، میتوان از آن برای پیادهسازی قراردادهای رمزنگاری موجود، از آن استفاده نمود. SOCKS، به صورت Circuit-Level Proxy پیاده سازی شده است. یعنی، كارفرما و كارگزار SOCKS در دروازههای دو شبكه محلی، اعمال هویتشناسی و مذاكرههای لازم را انجام میدهند و سپس ارتباطات میزبانهای دو شبكه محلی با یكدیگر انجام میشود. چون كارفرمای SOCKS مثل یك Proxy عمل مینماید، میتوان برای امنیت بیشتر، به میزبانهای شبكهی محلی، آدرسهای نامعتبر اختصاص داد و با ترجمه آدرس شبكه (NAT) كه در كارگزار SOCKS انجام میشود، این آدرسهای نامعتبر را به آدرس معتبر و بالعكس تبدیل نمود. با این روش میتوان شبكه محلی را از یك شبكه عمومی مخفی نمود.
پیوند ها