Realizacija IP VPN mreža
IP VPN mreže su skup:
Tuneliranja - Integritet layer 3 VPN mreža se obezbjeđuje izgradnjom 'sigurnih tunela' kroz javne IP komunikacione kanale korištenjem Layer 2 Tunneling Protocol (L2TP), Layer 2 Forwarding (L2F), Point to Point Tunneling Protocol (PPTP) ili IPSec protokola. Tuneli se uspostavljaju s kraja na kraj, odnosno između krajnjih terminalnih uređaja (router-a ili radnih stanica kod remote access-a) kroz cijelu mrežu. Za razliku od prva tri protokola koji uspostavljaju konekciju na drugom nivou i od kojih niti jedan ne uključuje kripciju korisničkih podataka IPSec je skup protokola i procedura za uspostavu, održavanje i terminiranje zaštićenih komunikacionih kanala kroz javnu IP mrežu uz autentikaciju i servise za kripciju na IP mrežnom nivou (layer 3) tako da kroz IP tunele teku kriptovani podaci. Definisana su četiri različita načina transmisije podataka kroz IP/Internet mreže (Slika 3).
*Slika 3: Obrada originalnog IP paketa u Layer 3 VPN mrežama
- In Place Transmission Mode
Rješenje koje je specifično za različite proizvođače, a kriptuju se samo podaci i nema promjene veličine paketa.
- Transport Mode
Kriptuju se samo podaci, ali se povećava veličina paketa.
- Encrypted Tunnel Mode
IP zaglavlje se kriptuje zajedno sa podacima, a paketu se dodaje novo IP zaglavlje koje kao odredišnu adresu nosi adresu izlaznog VPN uređaja. Ovo je ujedno rješenje koje daje najbolju zaštitu korisničkih podataka.
- Non-Encrypted Tunnel Mode
Ništa se ne kriptuje, ali se dodaje novo IP zaglavlje.
Ukoliko se ne vrši kripcija podataka u IP/Internet VPN mrežama adekvatnije je koristiti termin Virtual Network (VN), jer je 'privatnost' u ovakvim mrežama upitna.
Kripcije - Transmisija nekriptovanog teksta kroz Internet može biti veoma opasna. Podaci mogu biti pročitani pomoću neke od 'sniffing' tehnologija. Razvijeni su alati kao što su protokol analyzer-i ili mrežni dijagnostički alati ugrađeni u današnje operativne sisteme koji lahko mogu pročitati nekriptovane podatke. Proces kripcije, dekripcije i učesnici u njemu (pošiljaoc i primaoc) čine cryptosystem. Postoje dva tipa cryptosystem-a:
- private (symmetric) key
- public (asymmetric) key
Uz protokole kao što su L2TP ili PPTP koriste se razni metodi kripcije podataka: Data Encryption Standard (DES), Triple DES (3DES), RC4-40, CAST-40, DES-40.
Autentikacije - Razvijena su dva vida autentikacije: korisnika i podataka. Autentikacija podataka je rjeđe prisutna u primijenjenim sistemima i podrazumijeva identifikaciju VPN uređaja koji šalje podatke kao i potvrdu da oni nisu mijenjani prilikom prenosa. Češće korišten metod je autentikacija korisnika koji koristi VPN mrežu. Sistemi za autentikaciju su integrirani u VPN pristupne uređaje. Tek nakon uspjele autentikacije korisniku će biti omogućen pristup u VPN mrežu. Najčešće se koriste sistemi koji podržavaju RADIUS, TACACS/TACACS+ ili LDAP autentikacioni servis.
Autorizacije - Nakon potvrđivanja identiteta osobe koja koristi VPN, njegov ranije definisan profil određuje servise i aplikacije koje može koristiti, tako da mu se omogućava korištenje samo onih resursa VPN-a za koje je autorizovan. Autorizacija koja se radi u odnosu na servis podržava: Internet servise (Web browser, mail, FTP, Telnet i sl.), kompletnu TCP familiju, te RPC ili UDP bazirane aplikacije.
*Slika 4: Autorizacija, tuneliranje i autentikacija u IP/Internet VPN mrežama
Ono što svaki korisnik očekuje od vlastite mreže je određeni nivo kvaliteta, sigurnost i raspoloživost. Ukoliko je kvalitet i raspoloživost Internet konekcija i bio upitan zadnjih godina, stanje se značajno mijenja iz dana u dan, stalnim proširivanjem Internet backbone-a i novim servisima kao što su DiffServ koji kvalitativno mijenjaju cijelu sliku. Sa ovakvim alatima IP davoaci usluge su sada u mogućnosti garantovati određeni nivo kvaliteta definisan kroz Service Level Agreement što je do skoro bila osnovna prednost layer 2 mreža. I uz sve alate koji treba da obezbijede sigurnost podataka u IP/Internet VPN mrežama, ovo i dalje ostaje osnovni problem ovako realizovanih mreža. Ovo je posljedica arhitekture samog Interneta koji je osmišljen kao mreža u kojoj podaci trebaju biti dostupni svima.
