Przegląd rozwiązań programowych budowy sieci VPN

SSL definiuje bezpieczny mechanizm wymiany zaszyfrowanych danych pomiędzy aplikacjami, na trasie od zdalnego użytkownika do bramy SSL. Protokół SSL niezależny jest od protokołów niższych warstw, np. IP. W rozwiązaniach SSL VPN wykorzystuje się protokół SSLv3 lub nowszy TLSv1. Podczas zestawiania połączenia SSL VPN następuje:

• ustalenie parametrów sesji pomiędzy stronami: rodzaj szyfru, długość klucza, wybór kompresji,
  
• wzajemna autoryzacja serwera i klienta oraz ustanawianie klucza sesyjnego (SSL/TLS Handhake Protocol),
  
• transmisja szyfrowana SSL/TLS.
  

2.1. SSL - Explorer
SSL - Explorer jest jednym z najłatwiejszych do skonfigurowania rozwiązań VPN. Do tworzenia bezpiecznych połączeń wykorzystywany jest protokół SSL. Wszystkie połączenia szyfrowane się kluczem o długości 128 bitów. Zasoby intranetowe udostępniane są metodą przekazywania stron (ang. Web Forwarding) lub przez bezpłatne oprogramowanie do zdalnego dostępu, np. Microsoft RDP Client, Virtual Network Computing lub Citrix ICA. Do programu dołączona jest baza, która przechowuje informacje o użytkownikach. Bazę tą można zintegrować z bazą użytkowników Active Directory. Dostęp do zasobów zależy od konfiguracji profilu, właściwego dla danej lokalizacji klienta. Wszystkie połączenia są uwierzytelniane i mogą być przekazywane przez serwer proxy. SSL - Explorer oferowany jest w wersjach do Windows XP/2000 oraz Red Hat. Nie posiada żadnych ograniczeń co do liczby użytkowników. Ponadto nie jest wymagana instalacja oprogramowania klienckiego - wystarczy zwykła przeglądarka. Do poprawnego działania SSL – Explorer wymaga otwarcia na zewnątrz tylko jednego portu, definiowanego podczas konfiguracji. GUI służące do zarządzania oferowane jest także do Linuksa. Wadą programu jest brak obsługi polskich liter. Konta utworzone dla użytkowników sieci VPN, których nazwiska wpisano z użyciem polskich liter, nie działają i nie można ich usunąć.

2.2. Yavipin
Kolejnym oprogramowaniem wykorzystywanym do budowy sieci VPN jest Yavipin (ang. Yet another VPN). Służy ono do połączeń między dwoma węzłami. W środowisku linuksowym funkcjonuje w przestrzeni użytkownika - nie ma potrzeby rekompilacji jądra ani instalacji dodatkowych łat. Cechą charakterystyczną tego rozwiązania jest to, wprowadza do pakietów niewiele dodatkowych danych (26 bajtów), np. w IPSec VPN dane wtrącane (ESP z DES i MD5) zajmują 32 bajty. Ruch przez węzły przeprowadzające translację adresów NAT przesyłany jest za pomocą pakietów UDP w IPv4. Pakiety przesyłane pomiędzy węzłami są szyfrowane za pomocą algorytmów Blowfish i uwierzytelniane poprzez HMAC-MD5. Yavipin zawiera mechanizm zapobiegający retransmisji i powtórnej akceptacji tego samego pakietu. Dodatkowo chroni przed atakami typu DoS typu TCP SYN. Klucze prywatne i klucze sesyjne są często zmieniane i usuwane z pamięci.

2.3. OpenVPN
OpenVPN to program działający w oparciu o protokół SSL służący do zestawiania wirtualnych sieci prywatnych. Jest jednym z najpopularniejszych rozwiązań SSL VPN. Posiada rozbudowane możliwości konfiguracyjne, których często brak w innych implementacjach VPN. Spośród najważniejszych cech można wymienić:
- prosta instalacja i konfiguracja, która wymaga ustawienia kilku parametrów,
- wykorzystuje dobrze znany, sprawdzony i powszechnie stosowany protokół SSL,
- działa w warstwie użytkownika,
- dostępny jest na licencji GPL w wersji 2,
- jest stale i dynamicznie rozwijany,
- działa bezproblemowo w sieciach za NAT-em.
Istnieją wersje tego programu do kilku systemów operacyjnych, m.in. do Linuksa, Windows, OpenBSD, FreeBSD, NetBSD i Solarisa. W wersji pierwszej tego programu należało otworzyć oddzielny port, co było bardzo uciążliwe i w przypadku większej liczby użytkowników trzeba było zrobić sporą „dziurę” w firewallu. Wersja druga potrafiła już obsługiwać wielu klientów na tym samym porcie. OpenVPN może funkcjonować również w sieciach, w których komunikacja ze światem zewnętrznym odbywa się poprzez serwer proxy.
Konfiguracja programu OpenVPN polega na utworzeniu pliku konfiguracyjnego oraz przygotowaniu kluczy i certyfikatów SSL dla serwera i klientów.
OpenVPN może działać w następujących trybach:
- tryb routera - używany w przypadku konfiguracji typu brama + wielu klientów lub brama – brama. Przykładem wykorzystania tego trybu może być chociażby zdalny dostęp do zasobów firmy przez mobilnych pracowników.
- tryb bridża - wykorzystywany w sytuacji łączenia dwóch lub większej liczby sieci. W trybie tym przekazywany jest cały ruch, łącznie z broadcastami. Przykładem zastosowania tego trybu jest utworzenie tunelu VPN pomiędzy oddziałem firmy i centralą w taki sposób, aby pomiędzy nimi działał protokół IPX.