Et virtuelt privat nettverk ( VPN ) er en datanettverksteknologi som tillater en sikker utvidelse av lokalnettverket ( LAN ) over et offentlig eller ukontrollert nettverk som Internett . Den lar datamaskinen på nettverket sende og motta data over delte eller offentlige nettverk som om det var et privat nettverk, med all funksjonalitet, sikkerhet og administrasjonspolicyer til et privat nettverk. [ 1 ] Dette gjøres ved å etablere en virtuell punkt-til-punkt- forbindelse ved bruk av dedikerte tilkoblinger, kryptering eller en kombinasjon av begge metodene. [ 2 ]
Vanlige eksempler er muligheten for å koble sammen to eller flere filialer av et selskap ved å bruke Internett som en lenke, slik at medlemmer av det tekniske supportteamet kan koble seg fra hjemmet til datasenteret eller at en bruker kan få tilgang til hjemmedatamaskinen fra en datamaskin. eksternt sted, for eksempel et hotell. Alt dette ved hjelp av Internett - infrastrukturen . [ 2 ]
VPN-tilkoblingen over Internett er teknisk sett en WAN- kobling mellom nettstedene, men det ser ut for brukeren som om det var en privat kobling: derav betegnelsen virtuelt privat nettverk . [ 3 ]
For å gjøre dette mulig på en sikker måte er det nødvendig å sørge for midler for å garantere autentisering .
Det er i utgangspunktet fire VPN-tilkoblingsarkitekturer:
Det er kanskje den mest brukte modellen i dag, og består av brukere som kobler seg til selskapet fra eksterne nettsteder (kommersielle kontorer, boliger, hoteller , klargjorte fly osv.) som bruker Internett som tilgangslink. Når de er autentisert, har de et tilgangsnivå som er veldig likt det de har i selskapets lokale nettverk . Mange selskaper har erstattet sin oppringte infrastruktur ( modem og telefonlinjer) med denne teknologien ...
Denne ordningen brukes til å koble eksterne kontorer til organisasjonens hovedkvarter. VPN- serveren , som har en permanent kobling til Internett, aksepterer Internett-tilkoblinger fra sidene og etablerer VPN-tunnelen. Filialservere kobler til Internett ved hjelp av tjenestene til din lokale Internett-leverandør, vanligvis ved hjelp av bredbåndstilkoblinger . Dette gjør det mulig å eliminere kostbare tradisjonelle punkt-til-punkt-forbindelser (vanligvis laget gjennom fysiske kabelforbindelser mellom noder), spesielt i internasjonal kommunikasjon. Følgende punkt er mer vanlig, også kalt tunnelteknologi eller tunnelering .
TunneleringTunnelteknikken består i å kapsle inn en nettverksprotokoll over en annen (innkapsling av nettverksprotokoll) og skaper en tunnel i et datanettverk. Etableringen av nevnte tunnel implementeres ved å inkludere en bestemt PDU (protokolldataenhet) i en annen PDU for å overføre den fra en ende av tunnelen til den andre uten å kreve en mellomliggende tolkning av den innkapslede PDU. På denne måten blir datapakkene rutet over mellomnoder som ikke er i stand til å tydelig se innholdet i nevnte pakker. Tunnelen er definert av endepunktene og kommunikasjonsprotokollen som brukes, som blant annet kan være SSH .
Bruken av denne teknikken forfølger forskjellige mål, avhengig av problemet som behandles, for eksempel kommunikasjon av øyer i multicast -scenarier , trafikkomdirigering, etc.
Et av de tydeligste eksemplene på bruken av denne teknikken er omdirigering av trafikk i mobile IP-scenarier. I mobile IP-scenarier, når en mobilnode ikke er i basisnettverket, trenger den sin hjemmeagent for å utføre visse funksjoner på sine vegne, blant annet å fange opp trafikken adressert til mobilnoden og omdirigere den til. Denne trafikkomdirigeringen gjøres ved hjelp av en tunnelmekanisme , siden det er nødvendig for pakkene å beholde sin opprinnelige struktur og innhold (kilde- og destinasjons-IP-adresse, porter, etc.) når de mottas av mobilnoden. Det administreres eksternt.
Denne ordningen er den minst utbredte, men en av de kraftigste å bruke i selskapet. Det er en variant av typen "remote access", men i stedet for å bruke Internett som tilkoblingsmiddel, bruker den selskapets eget lokalnettverk ( LAN ). Den brukes til å isolere soner og tjenester fra det interne nettverket. Denne egenskapen gjør det veldig praktisk å forbedre sikkerhetsfunksjonene til trådløse nettverk ( WiFi ).
Et klassisk eksempel er en server med sensitiv informasjon, for eksempel lønn, plassert bak et VPN-team, som gir ekstra autentisering pluss tillegg av kryptering, noe som gjør det mulig for kun autorisert personalpersonell å få tilgang til informasjonen.
Et annet eksempel er tilkoblingen til Wi-Fi-nettverk ved hjelp av IPSec- eller SSL-krypterte tunneler som, i tillegg til å gå gjennom tradisjonelle autentiseringsmetoder (WEP, WPA, MAC-adresser, etc.) legger til sikkerhetslegitimasjonen til VPN-tunnelen opprettet i Intern eller eksternt LAN.
De facto standardprotokollen er IPSEC , men det finnes også PPTP , L2F , L2TP , SSL/TLS , SSH , etc. Hver og en med sine fordeler og ulemper når det gjelder sikkerhet, brukervennlighet, vedlikehold og typer klienter som støttes.
For tiden er det en voksende linje med produkter relatert til SSL/TLS-protokollen , som prøver å gjøre konfigurasjonen og driften av disse løsningene mer brukervennlige.
I begge tilfeller kan brannmurløsninger («brannmurer» eller «brannmurer») brukes, som oppnår et høyt sikkerhetsnivå på grunn av beskyttelsen den gir, på bekostning av ytelsen .
En fjerntilgangstilkobling lages av en klient eller bruker av en datamaskin som kobler til et privat nettverk, pakker som sendes over VPN-tilkoblingen kommer fra fjerntilgangsklienten, og fjerntilgangsklienten er autentisert til fjerntilgangsserveren. , og serveren autentiserer seg til klienten.
En ruter-til- ruter VPN-tilkobling lages av en ruter , som igjen kobles til et privat nettverk . I denne typen tilkoblinger kommer ikke pakkene som sendes fra en ruter fra ruterne . Ruteren som ringer autentiserer seg til ruteren som svarer og denne autentiserer seg igjen overfor ruteren som ringer og også tjener for intranettet .
En brannmur VPN-tilkobling lages av en av dem, og denne kobles igjen til et privat nettverk. I denne typen tilkobling sendes pakker fra enhver bruker på Internett. Den anropende brannmuren autentiserer seg selv overfor den som ringer, og den som ringer autentiserer seg selv overfor den som ringer.
Mobil VPN etableres når VPN-termineringspunktet [ 6 ] ikke er festet til en enkelt IP-adresse , men beveger seg mellom flere nettverk som mobiloperatørdatanettverk eller forskjellige tilgangspunkter i et nettverk.Wi-Fi-nettverk. [ 7 ] Mobile VPN-er har blitt brukt i offentlig sikkerhet som gir rettshåndhevelse tilgang til kritiske applikasjoner som databaser med kriminelle identifiseringsdata, mens forbindelsen beveger seg mellom ulike undernett i et mobilnettverk. [ 8 ] De brukes også i ledelsen av tekniske team og i helseorganisasjoner [ 9 ] blant andre bransjer.
I økende grad blir mobile VPN-er tilpasset av fagfolk som trenger pålitelige tilkoblinger. De brukes til å flytte mellom nettverk uten å miste applikasjonsøkten eller miste den sikre økten i VPN. I en tradisjonell VPN kan ikke slike situasjoner støttes fordi det fører til programavbrudd, tidsavbrudd [ 7 ] eller krasjer, eller til og med forårsake enhetskrasj. [ 9 ]