آشنایی با شبکه خصوصی مجازی VPN

آشنایی با VPN، ساختار و عملکرد آن

 

شبکهٔ خصوصی مجازی (Virtual Private Network، به اختصار VPN)، شبکه‌ای است که اطلاعات در آن از طریق یک شبکه عمومی مانند اینترنت جابه‌جا می‌شود اما در عین حال با استفاده از الگوریتم‌های رمزنگاری و با تصدیق هویت (Authentication)، این ارتباط هم‌چنان اختصاصی باقی می‌ماند.
شبکهٔ خصوصی مجازی به طور عمده برای ایجاد ارتباط بین شعبه‌های مختلف شرکت‌ها و یا فعالیت از راه دور مورد استفاده قرار می‌گیرد.

 

دانلود کل مطلب در :

ادامه نوشته

امنیت در VPN چگونه می باشد ؟

شبكه هاي VPN بمنظور تامين امنيت (داده ها و ارتباطات) از روش هاي متعددي استفاده مي نمايند :

1: فايروال . فايروال يك ديواره مجازي بين شبكه اختصاي يك سازمان و اينترنت ايجاد مي نمايد. با استفاده از فايروال مي توان عمليات متفاوتي را در جهت اعمال سياست هاي امنيتي يك سازمان انجام داد. ايجاد محدوديت در تعداد پورت ها فعال ، ايجاد محدوديت در رابطه به پروتكل هاي خاص ، ايجاد محدوديت در نوع بسته هاي اطلاعاتي و ... نمونه هائي از عملياتي است كه مي توان با استفاده از يك فايروال انجام داد.

 

2: رمزنگاري . فرآيندي است كه با استفاده از آن كامپيوتر مبداء اطلاعاتي رمزشده را براي كامپيوتر ديگر ارسال مي نمايد. ساير كامپيوترها ي مجاز قادر به رمزگشائي اطلاعات ارسالي خواهند بود. بدين ترتيب پس از ارسال اطلاعات توسط فرستنده ، دريافت كنندگان، قبل از استفاده از اطلاعات مي بايست اقدام به رمزگشائي اطلاعات ارسال شده نمايند. سيستم هاي رمزنگاري در كامپيوتر به دو گروه عمده تقسيم مي گردد :

· رمزنگاري كليد متقارن

· رمزنگاري كليد عمومي

 

در رمز نگاري " كليد متقارن " هر يك از كامپيوترها داراي يك كليد Secret ( كد ) بوده كه با استفاده از آن قادر به رمزنگاري يك بسته اطلاعاتي قبل از ارسال در شبكه براي كامپيوتر ديگر مي باشند. در روش فوق مي بايست در ابتدا نسبت به كامپيوترهائي كه قصد برقراري و ارسال اطلاعات براي يكديگر را دارند ، آگاهي كامل وجود داشته باشد. هر يك از كامپيوترهاي شركت كننده در مبادله اطلاعاتي مي بايست داراي كليد رمز مشابه بمنظور رمزگشائي اطلاعات باشند. بمنظور رمزنگاري اطلاعات ارسالي نيز از كليد فوق استفاده خواهد شد. فرض كنيد قصد ارسال يك پيام رمز شده براي يكي از دوستان خود را داشته باشيد. بدين منظور از يك الگوريتم خاص براي رمزنگاري استفاده مي شود .در الگوريتم فوق هر حرف به دوحرف بعد از خود تبديل مي گردد.(حرف A به حرف C ، حرف B به حرف D ) .پس از رمزنمودن پيام و ارسال آن ، مي بايست دريافت كننده پيام به اين حقيقت واقف باشد كه براي رمزگشائي پيام لرسال شده ، هر حرف به دو حرق قبل از خود مي باطست تبديل گردد. در چنين حالتي مي باطست به دوست امين خود ، واقعيت فوق ( كليد رمز ) گفته شود. در صورتيكه پيام فوق توسط افراد ديگري دريافت گردد ، بدليل عدم آگاهي از كليد ، آنان قادر به رمزگشائي و استفاده از پيام ارسال شده نخواهند بود.

در رمزنگاري عمومي از تركيب يك كليد خصوصي و يك كليد عمومي استفاده مي شود. كليد خصوصي صرفا" براي كامپيوتر شما ( ارسال كننده) قابل شناسائي و استفاده است . كليد عمومي توسط كامپيوتر شما در اختيار تمام كامپيوترهاي ديگر كه قصد ارتباط با آن را داشته باشند ، گذاشته مي شود. بمنظور رمزگشائي يك پيام رمز شده ، يك كامپيوتر مي بايست با استفاده از كليد عمومي ( ارائه شده توسط كامپيوتر ارسال كننده ) ، كليد خصوصي مربوط به خود اقدام به رمزگشائي پيام ارسالي نمايد . يكي از متداولترين ابزار "رمزنگاري كليد عمومي" ، روشي با نام PGP)Pretty Good Privacy) است . با استفاده از روش فوق مي توان اقدام به رمزنگاري اطلاعات دلخواه خود نمود.

 

3: IPSec . پروتكل IPsec)Internet protocol security protocol) ، يكي از امكانات موجود براي ايجاد امنيت در ارسال و دريافت اطلاعات مي باشد . قابليت روش فوق در مقايسه با الگوريتم هاي رمزنگاري بمراتب بيشتر است . پروتكل فوق داراي دو روش رمزنگاري است : Tunnel ، Transport . در روش tunel ، هدر و Payload رمز شده درحاليكه در روش transport صرفا" payload رمز مي گردد. پروتكل فوق قادر به رمزنگاري اطلاعات بين دستگاههاي متفاوت است :

 

· روتر به روتر

· فايروال به روتر

· كامپيوتر به روتر

· كامپيوتر به سرويس دهنده

 

سرويس دهنده AAA : سرويس دهندگان( AAA : Authentication ,Authorization,Accounting) بمنظور ايجاد امنيت بالا در محيط هاي VPN از نوع " دستيابي از راه دور " استفاده مي گردند. زمانيكه كاربران با استفاده از خط تلفن به سيستم متصل مي گردند ، سرويس دهنده AAA درخواست آنها را اخذ و عمايات زير را انجام خواهد داد :

· شما چه كسي هستيد؟ ( تاييد ، Authentication )

· شما مجاز به انجام چه كاري هستيد؟ ( مجوز ، Authorization )

· چه كارهائي را انجام داده ايد؟ ( حسابداري ، Accounting ) تكنولوژي هاي VPN

 

با توجه به نوع VPN ( " دستيابي از راه دور " و يا " سايت به سايت " ) ، بمنظور ايجاد شبكه از عناصر خاصي استفاده مي گردد:

· نرم افزارهاي مربوط به كاربران از راه دور

· سخت افزارهاي اختصاصي نظير يك " كانكتور VPN" و يا يك فايروال PIX

· سرويس دهنده اختصاصي VPN بمنظور سرويُس هاي Dial-up

· سرويس دهنده NAS كه توسط مركز ارائه خدمات اينترنت بمنظور دستيابي به VPN از نوع "دستيابي از را دور" استفاده مي شود.

· شبكه VPN و مركز مديريت سياست ها

با توجه به اينكه تاكنون يك استاندارد قابل قبول و عمومي بمنظور ايجاد شVPN ايجاد نشده است ، شركت هاي متعدد هر يك اقدام به توليد محصولات اختصاصي خود نموده اند.

- كانكتور VPN . سخت افزار فوق توسط شركت سيسكو طراحي و عرضه شده است. كانكتور فوق در مدل هاي متفاوت و قابليت هاي گوناگون عرضه شده است . در برخي از نمونه هاي دستگاه فوق امكان فعاليت همزمان 100 كاربر از راه دور و در برخي نمونه هاي ديگر تا 10.000 كاربر از راه دور قادر به اتصال به شبكه خواهند بود.

- روتر مختص VPN . روتر فوق توسط شركت سيسكو ارائه شده است . اين روتر داراي قابليت هاي متعدد بمنظور استفاده در محيط هاي گوناگون است . در طراحي روتر فوق شبكه هاي VPN نيز مورد توجه قرار گرفته و امكانات مربوط در آن بگونه اي بهينه سازي شده اند.

- فايروال PIX . فايروال PIX(Private Internet eXchange) قابليت هائي نظير NAT ، سرويس دهنده Proxy ، فيلتر نمودن بسته اي اطلاعاتي ، فايروال و VPN را در يك سخت افزار فراهم نموده است . Tunneling( تونل سازي )

اكثر شبكه هاي VPN بمنظور ايجاد يك شبكه اختصاصي با قابليت دستيابي از طريق اينترنت از امكان " Tunneling " استفاده مي نمايند. در روش فوق تمام بسته اطلاعاتي در يك بسته ديگر قرار گرفته و از طريق شبكه ارسال خواهد شد. پروتكل مربوط به بسته اطلاعاتي خارجي ( پوسته ) توسط شبكه و دو نفطه (ورود و خروج بسته اطلاعاتي ) قابل فهم مي باشد. دو نقظه فوق را "اينترفيس هاي تونل " مي گويند. روش فوق مستلزم استفاده از سه پروتكل است :

· پروتكل حمل كننده . از پروتكل فوق شبكه حامل اطلاعات استفاده مي نمايد.

· پروتكل كپسوله سازي . از پروتكل هائي نظير: IPSec,L2F,PPTP,L2TP,GRE استفاده مي گردد.

· پروتكل مسافر . از پروتكل هائي نظير IPX,IP,NetBeui بمنظور انتقال داده هاي اوليه استفاده مي شود.

با استفاده از روش Tunneling مي توان عمليات جالبي را انجام داد. مثلا" مي توان از بسته اي اطلاعاتي كه پروتكل اينترنت را حمايت نمي كند ( نظير NetBeui) درون يك بسته اطلاعاتي IP استفاده و آن را از طريق اينترنت ارسال نمود و يا مي توان يك بسته اطلاعاتي را كه از يك آدرس IP غير قابل روت ( اختصاصي ) استفاده مي نمايد ، درون يك بسته اطلاعاتي كه از آدرس هاي معتبر IP استفاده مي كند ، مستقر و از طريق اينترنت ارسال نمود.

در شبكه هاي VPN از نوع " سايت به سايت " ، GRE)generic routing encapsulation) بعنوان پروتكل كپسوله سازي استفاده مي گردد. فرآيند فوق نحوه استقرار و بسته بندي " پروتكل مسافر" از طريق پروتكل " حمل كننده " براي انتقال را تبين مي نمايد. ( پروتكل حمل كننده ، عموما" IP است ) . فرآيند فوق شامل اطلاعاتي در رابطه با نوع بست هاي اطلاعاتي براي كپسوله نمودن و اطلاعاتي در رابطه با ارتباط بين سرويس گيرنده و سرويس دهنده است . در برخي موارد از پروتكل IPSec ( در حالت tunnel) براي كپسوله سازي استفاده مي گردد.پروتكل IPSec ، قابل استفاده در دو نوع شبكه VPN ( سايت به يايت و دستيابي از راه دور ) است . اينترفيش هاي Tunnel مي بايست داراي امكانات حمايتي از IPSec باشند.

در شبكه هاي VPN از نوع " دستيابي از راه دور " ، Tunneling با استفاده از PPP انجام مي گيرد. PPP بعنوان حمل كننده ساير پروتكل هاي IP در زمان برقراري ارتباط بين يك سيستم ميزبان و يك سيستم ازه دور ، مورد استفاده قرار مي گيرد.

هر يك از پروتكل هاي زير با استفاده از ساختار اوليه PPP ايجاد و توسط شبكه هاي VPN از نوع " دستيابي از راه دور " استفاده مي گردند:

- L2F)Layer 2 Forwarding) . پروتكل فوق توسط سيسكو ايجاد شده است . در پروتكل فوق از مدل هاي تعيين اعتبار كاربر كه توسط PPP حمايت شده اند ، استفاده شد ه است .

(PPTP)(Point-to-Point Tunneling Protocol) : پروتكل فوق توسط كنسرسيومي متشكل از شركت هاي متفاوت ايجاد شده است . اين پروتكل امكان رمزنگاري 40 بيتي و 128 بيتي را دارا بوده و از مدل هاي تعيين اعتبار كاربر كه توسط PPP حمايت شده اند ، استفاده مي نمايد.

- L2TP)Layer 2 Tunneling Protocol) . پروتكل فوق با همكاري چندين شركت ايجاد شده است .پروتكل فوق از ويژگي هاي PPTP و L2F استفاده كرده است . پروتكل L2TP بصورت كامل IPSec را حمايت مي كند. از پروتكل فوق بمنظور ايجاد تونل بين موارد زير استفاده مي گردد :

· سرويس گيرنده و روتر

· NAS و روتر

· روتر و روتر

عملكرد Tunneling مشابه حمل يك كامپيوتر توسط يك كاميون است . فروشنده ، پس از بسته بندي كامپيوتر ( پروتكل مسافر ) درون يك جعبه ( پروتكل كپسوله سازي ) آن را توسط يك كاميون ( پروتكل حمل كننده ) از انبار خود ( ايترفيس ورودي تونل ) براي متقاضي ارسال مي دارد. كاميون ( پروتكل حمل كننده ) از طريق بزرگراه ( اينترنت ) مسير خود را طي ، تا به منزل شما ( اينترفيش خروجي تونل ) برسد. شما در منزل جعبه ( پروتكل كپسول سازي ) را باز و كامپيوتر ( پروتكل مسافر) را از آن خارج مي نمائيد.

مفاهیم: شبکه مجازی اختصاصی (VPN) چیست؟

فضای سایبر > روندها  - همشهری آنلاین - رشید عسگری:
VPN یا شبکه مجازی اختصاصی (Virual Private Network) ابزار برقراری ارتباط در شبکه‌ است

از زمان گسترش دنیای شبکه‌های کامپیوتری، سازمان‌ها و شرکت‌ها به دنبال یک شبکه ایمن و سریع گشته‌اند.

تا مدتی قبل شرکت‌ها و سازمان‌هایی که اطلاعات زیادی برای انتقال داشتند از خطوط Leased و شبکه‌های WAN‌ بهره می‌بردند. شبکه‌های ISDN (با سرعت 128کیلوبایت بر ثانیه) و OC3 (با 155مگابایت بر ثانیه) بخشی از شبکه WAN‌ هستند.

این شبکه‌ها مزیت‌های زیادی نسبت به اینترنت دارند ولی گسترش و نصب آن‌ها بسیار گران‌قیمت و وقت‌گیر است.

افزایش محبوبیت و فراگیری اینترنت بعضی از سازمان‌ها را به استفاده از انترانت کشاند. در این بین استفاده از شبکه‌های مجازی اختصاصی (VPN) مطرح شد.

اصولاً VPN یک شبکه اختصاصی است که از یک شبکه عمومی مانند اینترنت برای ایجاد یک کانال ارتباطی مخصوص بین چندین کاربر و دسترسی به اطلاعات بهره می‌برد.

بهره بردن VPN از شبکه‌های عمومی مسافت را بی‌معنی می‌سازد، امنیت را بالا می‌برد و دردسر‌های استفاده از پروتکل‌های مختلف را کاهش می‌دهد.

مثال خوبی می‌توان برای توضیح VPN مطرح کرد. چند جزیره کوچک و مستقل از هم را در اقیانوسی در نظر بگیرید. در اینجا جزیره‌ها نقش مراکزی را ایفا می‌کنند که ما قصد اتصال آن‌ها به یکدیگر را داریم. اقیانوس هم می‌تواند یک شبکه عمومی مانند اینترنت باشد.

برای رفت و آمد از جزیره‌ای به جزیره‌ دیگر می‌توان از قایق‌های موتوری کوچک استفاده کرد. البته استفاده از این قایق‌ها بسیار وقت‌گیر و البته ناامن است. هر کس از جزیره‌های دیگر می‌تواند رفت و آمد شما را مشاهده کند. از این رو می توان قایق را به استفاده از وب برای ایجاد ارتباط بین دو مرکز تشبیه کرد.

فرض کنید که بین جزیره‌ها پل‌هایی ساخته شده‌است. استفاده از این پل‌ها به مراتب بهتر از روش قبلی است. البته این روش نیز بسیار گران قیمت است و از ایمنی کافی برخوردار نیست. این روش را نیز می‌توان به استفاده از خطوط Leased تشبیه کرد.

حال استفاده از VPN را به صورت یک زیردریایی کوچک و سریع فرض کنید. رفت و آمد با این زیردریایی بسیار سریع و آسان است. از طرفی رفت و آمد شما کاملأ دور از چشمان همه انجام می‌‌شود.

VPDN و Site-to-Site

از انواع VPN می‌توان به Remote Access VPN‌ یا Virtual Private Dial-up Netowrk اشاره کرد. VPDN برای سازمان‌هایی که کاربران زیادی در مکان‌های متعدد دارند، مناسب است. به این ترتیب از یک مرکز برای ایجاد سرور شبکه دسترسی (NAS) استفاده می‌شود. هر کاربر ابزاری برای اتصال به این سرور دریافت می‌کند و به VPN متصل می‌شود. [چطور سرورهای اینترنت کار می‌کنند؟]

نوع دیگر Site-to-Site نام دارد. در این روش با استفاده از اینترانت و اکسترانت می‌توان دو سایت مشخص را به هم متصل کرد. این کار برای شرکت‌هایی مناسب است که قصد به اشتراک گذاشتن یک دسته اطلاعات خاص با شرکت دیگری را دارند. در این روش VPN تنها بین دو سایت مشخص شده ایجاد می‌شود.

تونلینگ (Tunneling)

VPN معمولاً برای ایجاد شبکه اختصاصی از تونلینگ استفاده می‌کند. در این روش یک تونل ارتباطی، بسته دیتایی که در درون یک بسته دیگر قرار گرفته را به مقصد می‌رساند.

تونلینگ از سه پروتکل ارتباطی استفاده می‌کند:

• پروتکل حامل (Carrier Protocol): اطلاعات شامل حمل اطلاعات به مقصد
• پروتکل کپسوله کردن (Encapsulating Protocol): پروتکلی است که بسته دیتا اصلی درون آن قرار می‌گیرد
• پروتکل عابر (Passenger Protocol): پروتکل مربوط به دیتا اصلی

استفاده از تونلینگ ارسال و دریافت هر نوع اطلاعاتی را ممکن می‌سازد. برای مثال می‌توان داده‌ای که پروتکلی غیر از IP‌ (مانند NetBeui) دارد را در درون بسته IP قرار داد و به راحتی به مقصد رساند.

امنیت : فایروال

متخصصان شبکه از ابزار‌های مختلفی برای ایمن ساختن VPN استفاده می‌کنند.

استفاده از فایروال تقریباً یکی از مرسوم‌ترین روش‌های ایمن سازی شبکه‌ها است. فایروال می‌تواند پورت‌های مختلف و همچنین نوع بسته‌های دیتا را کنترل و محدود کند.

امنیت: کدگذاری

کدگذاری شامل ترجمه اطلاعات به رمز‌هایی خاص و ارسال آن‌ها به یک دستگاه دیگر است به طوری که دستگاه گیرنده هم ابزار ترجمه این رمز خاص را دارا باشد.

در VPN از دو نوع کدگذاری استفاده می‌شود. روش متفارن (Symmetric-key encryption) نوع رمز به کار رفته را همراه با اطلاعات ارسال می‌کند. به این ترتیب کامپیوتر فرستنده اطلاعات را به رمز‌ خاصی ترجمه می‌کند و اطلاعات این رمز را همراه با داده‌ها به کامپیوتر گیرنده ارسال می‌کند. کامپیوتر گیرنده نیز با دریافت داده‌ها و مشاهده اطلاعات کدگذاری، رمز‌ها را ترجمه می‌کند.

روش دیگر از دو کلید برای کدگذاری و بازخوانی رمز‌ها استفاده می‌کند. اطلاعات کدگذاری شده یک کلید عمومی دریافت می‌کنند در حالی که هر کامپیوتر گیرنده باید از قبل کلید مخصوصی را نیز دارا باشد. به این ترتیب برای بازخوانی اطلاعات کدگذاری شده، باید هر دو کلید را در دست داشت.