Elektrotehnički fakultet Univerziteta u Beogradu Katedra za Telekomunikacije

Transcription

1 Elektrotehnički fakultet Univerziteta u Beogradu Katedra za Telekomunikacije 1

2 Virtuelne privatne mreže Virtual Private Networks (VPN) Berislav Todorović Nenad Krajnović 2

3 virtual (adj.) - Simulated; performing the functions of something that isn t really there. The New Hacker s Dictionary 3

4 Osnovni finansijski aspekti realizacije WAN mreža Cenu korporacijske WAN mreže prvestveno određuju: Cena opreme. Cena zakupa telekomunikacionih resursa. Cena korišćenja telekomunikacionih resursa zavisi od: Izbora telekomunikacionog operatora. Kapaciteta pojedinih telekomunikacionih linkova. Topologije mreže - dužine pojedinih trasa. U domaćim uslovima: Korisnici su ograničeni na jednog operatora - PT Telekom Srbija. Mreža n x 64k nije završena => protoci 64, 128 ili 2048 kbit/s. Zakup digitalnih linkova je izuzetno skupa usluga, pogotovo međumesnih. 4

5 Centralizacija K 128 K 64 K 2 M 128 K 1 M 64 K 64 K 64 K 2 M 5

6 Regionalizacija... Niš 2 M Beograd 2 M Kragujevac Novi Sad 2 M 6

7 Virtuelizacija... Niš Kragujevac Beograd Novi Sad 7

8 Virtuelna privatna Kragujevac mreža (VPN)! Niš Internet Novi Sad Beograd 8

9 VPN van nacionalnih okvira! Company B Company A Company A Company B Vienna Budapest Internet Belgrade Company A 9

10 Opšti pojmovi Virtuelna privatna mreža: Skup uređaja, povezanih korišćenjem Interneta ili tuđe privatne mreže kao transportnog medijuma, koji krajnjem korisniku daje privid potpuno ili delimično izolovane privatne mreže. Prednosti: Za korporacijsku mrežu, Internet predstavlja transportna mreža. Sa stanovišta krajnjeg korisnika mreža se ponaša isto kao i WAN. Privid privatnosti obezbeđuje se različitim mehanizmima Sa stanovišta vlasnika mreže - jevtiniji troškovi eksploatacije. Mreža može da bude potpuno ili delimično izolovana od Interneta. Uzgredne pojave: Bezbednost i zaštite podataka rešava se namenskim rešenjima! 10

11 Klasifikacija VPN Koncepti realizacije: VPN na nivou aplikacije (application-layer VPN) VPN na nivou protokola mrežnog sloja (network-layer VPN) VPN na nivou protokola sloja veze (data-link layer VPN) Način pristupa od strane korisnika: VPN sa permanentnim pristupom. VPN sa semiperm. pristupom (virtual private dial-in net - VPDN) Bezbednost i zaštita podataka: VPN sa minimalnim obezbeđenjem (router access lists, firewall) VPN sa kriptozaštitom. 11

12 VPN na nivou aplikacije Tipičan primer - korišćenje DNS servisa za formiranje VPN. DNS -vezaizmeđu naziva i IP adresa računara: IP adrese (npr ) - zavise od lokacije računara i topologije mreže. Nazivi (npr. su nezavisni od fizičke topologije mreže. DNS - obezbeđuje prevođenje naziva u adrese i obrnuto. Svaka firma na Internetu ima svoj domen - npr. firma.co.yu. Računari registrovani unutar tog domena krajnjem korisniku stvaraju privid pripadnosti istoj korporacijskoj mreži. Za kranjeg korisnika lokacija pojedinih računara nije bitna - on će uvek koristiti nazive za pristup pojedinim računarima u mreži. 12

13 VPN na nivou aplikacije Vienna1.example.com / Bud1.example.com /26 Vienna Budapest Domain: example.com Internet Belgrade /16 DNS 13

14 VPN na nivou aplikacije pro et contra Prednosti: Jednostavna i jevtina implementacija - svodi se na konfigurisanje DNS servera. Nedostaci: Pri promeni provajdera neophodna je renumeracija kompletne mreže, kao i znatne izmene podataka u DNS-u. U toku renumeracije mreža uglavnom nije upotrebljiva. Komplikovana za konfigurisanje i održavanje i upravljanje. Složenost održavanja povećava se kako se povećava broj lokacija. DNS saobraćaj može lako da se lažira od strane zlonamernika. Mreža se nikakvim mehanizmima ne štiti od zlonamernika. 14

15 VPN na mrežnom sloju Metoda kontrolisanog rutiranja Koristi se uglavnom u okruženjima gde korisnici ne pristupaju direktno Internetu. Na ruteru treba: Isključiti default putanju ( ). Ubaciti statičke putanje (static routes) ka mreži provajdera, za sve IP mreže koje se koriste unutar korporacijske mreže. Prednost - rešenje je kranje jednostavno - svodi se na dodatnu konfiguraciju rutera. Dodatni nivo zaštite može da se ostvari korišćenjem firewall servera na pojedinim lokacijama. 15

16 VPN na mrežnom sloju Rešenje enje sa javnim adresama /24 Static route: / /26 Vienna Budapest Static route: /16 Internet Belgrade /16 16

17 VPN na mrežnom sloju Metoda logičkih tunela Logički tuneli - mehanizam prenosa poruka raznih protokola (IP i IPX datagrama, DECnet i SNA paketa itd.) unutar IP datagrama. Omogućavaju formiranje VPN koje koriste kako IP, tako i sve ostale često korišćene protokole: IPX, DECnet, SNA itd. Pakovanje poruka u IP datagrame, kao i njihovo raspakivanje se vrši na dva jasno definisana rutera u mreži (tunnel endpoints). Logički tuneli mogu biti uspostavljeni: Između dve fiksne tačke u mreži (point-to-point) Između jedne i više fiksnih tačaka u mreži (point-to-multipoint). U IP mrežama - omogućavaju transparentno korišćenje privatnih adresa, uz minimalnu rekonfiguraciju pri promeni provajdera. 17

18 VPN na mrežnom sloju Metoda logičkih tunela /24 Router Internet Router / A B DATA DATA DATA 18

19 VPN sa dial-in in pristupom (VPDN) Vezaizmeđu udaljene i centralne filijale uspostavlja se po potrebi. Idealno rešenje za povezivanje lokacija sa malim brojem zaposlenih. Tipičan primer - off-shore kompanije sa 2-3 službenika. Druga česta primena - trgovački putnici, koji pristupaju korp. mreži. Troškovi - zakup jednog dial-in naloga kod lokalnog provajdera. U odnosu na klasični dial-in pristup, u VPDN moraju da se reše: Kontrola pristupa delovima korporacijske privatne mreže (AAA funkcije). Logički tunel između korisnikovog računara i intranet mreže, radi mogućnosti korišćenja privatnog adresnog prostora. Poznata rešenja: PPTP (Point-to-Point Tunneling Protocol) - Microsoft. L2TP (Layer 2 Tunneling Protocol) - Microsoft. & Cisco 19

20 PPTP - Princip rada Korisnik uspostavlja klasičnu dial-in vezu sa lokalnim provajderom korišćenjem PPP protokola. Korisnikov računar uspostavlja kontrolnu sesiju sa udaljenim PPTP serverom (lociranim na korporacijskoj mreži). Sesija se uspostavlja korišćenjem TCP protokola Korisnikov računar zahteva formiranje tunela sa PPTP serverom. PPTP server proverava korisnikov identitet (AAA funkcije). Ako je korisnik naveo ispravne podatke - korisničko ime i lozinku, između korisnikovog računara i PPTP servera uspostaviće se tunel. Po uspostavljenom tunelu moguće je prenositi kako IP datagrame, tako i pakete drugih protokola (IPX, DECnet, SNA itd.). 20

21 PPTP - Princip rada Router Router Access server Internet Company network PPTP server 21

22 PPTP Neophodna oprema i softver Na korporacijskoj mreži - PPTP server. Na strani korisnika - softver za dial-in pristup koji podržava PPTP. Standardni Windows 95 DialUp Networking, počev od OSR-2, podržava PPTP! Na access serverima lokalnih provajdera, kojima udaljene filijale pristupaju mreži, nisu potrebne nikakve izmene. Sami provajderi neće uočiti nikakvu razliku između normalnog IP saobraćaja i saobraćaja koji se prenosi PPTP tunelima. Uvođenjem dodatnog softvera za kriptozaštitu na nivou pojedinih aplikacija moguće je dodatno obezbediti komunikaciju. 22

23 L2TP - Princip rada Korisnik uspostavlja klasičnu dial-in vezu sa lokalnim provajderom korišćenjem PPP protokola. Access server provajdera uspostavlja logički tunel preko Interneta sa L2TP serverom, lociranim na korporacijskoj mreži. Logički tunel može da bude uspostavljen permanentno ili na zahtev korisnika. Access server provajdera prosleđuje korisničko ime i lozinku L2TP serveru, koji obavi autentifikaciju korisnika. Ako je identitet korisnika ispravan, access server će: Prihvatati PPP pakete od korisnika, skidati im zaglavlje i CRC. Prepakovati tako dobijeni paket u L2TP paket. Proslediti L2TP paket kroz logički tunel ka L2TP serveru. 23

24 L2TP - Princip rada Router Router Access server Internet Company network L2TP server 24

25 L2TP Neophodna oprema i softver Na korporacijskoj mreži - L2TP server. Na strani korisnika - standardan softver za dial-in pristup. Na access serverima lokalnih provajdera, kojima udaljene filijale pristupaju mreži - instalirana i konfigurisana podrška za L2TP. L2TP zahteva intervenciju provajdera, što mu daje mogućnost naplate dodatne usluge. Pogodno za programere, locirane na području jedne tranzitne centrale, koji poslove obavljaju od kuće (telecommuting) Uvođenjem dodatnog softvera za kriptozaštitu na nivou pojedinih aplikacija moguće je dodatno obezbediti komunikaciju. 25

26 Praktični aspekti korišćenja VPN Performanse VPN zavise isključivo ivo od izbora Internet provajdera. Kad god je to moguće, koristiti usluge jednog provajdera. Neophodno je detaljno analizirati mrežu provajdera sa stanovišta ta: Topologije mreže, protoci na okosnici (backbone)) i poprečnim nim linkovima. Interkonekcije (peerings) pojedinih provajdera koji se koriste za VPN. Mogućnost pružanja dodatnih servisa (npr. L2TP tunneling). Cena zakupa linka i usluga provajdera. Kad god je to moguće, primeniti odgovarajuće mere zaštite (access lists, firewall, kriptozaštita tita itd.). 26

27 Mogućnosti korišćenja VPN u Srbiji i SCGS Za sada - tržište te Internet usluga u Srbiji je potpuno liberalno. Pokrivena su skoro sva značajnija ajnija tranzitna područja u Srbiji. U mnogim tranzitnim područjima korisnici imaju mogućnost izbora više provajdera. Interkonekcije među skoro svim većim Internet provajderima (provajderima sa međunarodnim linkovima) postoje - uglavnom u Beogradu. Lokalnih interkonekcija za sada nema. Sličan je i slučaj u Crnoj Gori. 27