شبکه خصوصی مجازی

تاریخچه و شکل‌گیری

با تحولات عظیم در عرصه ارتباطات، اغلب سازمان‌ها و موسسات ارائه‌دهندهٔ کالا و خدمات که در گذشته بسیار محدود و منطقه‌ای مسائل را دنبال می‌کردند، امروزه بیش از گذشته نیازمند تفکر در سطح جهانی برای ارائه خدمات و کالای تولیده شده را دارند. به عبارت دیگر، تفکرات منطقه‌ای و محلی حاکم بر فعالیت‌های تجاری جای خود را به تفکرات جهانی و سراسری داده‌اند. امروزه سازمان‌های زیادی وجود دارند که در سطح یک کشور دارای دفاتر فعال و حتی در سطح دنیا دارای دفاتر متفاوتی می‌باشند. تمام سازمان‌های فوق به‌دنبال یک روش سریع، ایمن و قابل اعتماد به منظور برقراری ارتباط با دفاتر و نمایندگی‌های خود در اقصی نقاط یک کشور یا در سطح دنیا هستند.
اکثر سازمان‌ها و موسسات به منظور ایجاد یک شبکه گسترده (به انگلیسی: WAN) از خطوط اختصاصی استفاده می‌نمایند. خطوط فوق دارای انواع متفاوتی می‌باشند، از جمله آی‌اس‌دی‌ان (به انگلیسی: ISDN) (با سرعت ۱۲۸کیلوبیت در ثانیه) و OC3 Optical Carrier-۳ (با سرعت ۱۵۵ مگابیت در ثانیه). یک شبکهٔ گسترده دارای مزایای عمده‌ای نسبت به یک شبکه عمومی نظیر اینترنت از بعد امنیت و کارایی است. اما پشتیبانی و نگهداری یک شبکهٔ گسترده در عمل و زمانی‌که از خطوط اختصاصی استفاده می‌گردد، مستلزم صرف هزینه بالائی است.
همزمان با عمومیت یافتن اینترنت، اغلب سازمان‌ها و موسسات ضرورت توسعه اختصاصی خود را به درستی احساس کردند. درابتدا شبکه‌های اینترانت مطرح گردیدند. این نوع شبکه‌ها به صورت کاملاً اختصاصی بوده و کارمندان یک سازمان بااستفاده از گذر واژه تعریف شده، قادر به ورود به شبکه و استفاده از منابع موجود می‌شوند؛ ولی به تازگی، موسسات و سازمان‌ها با توجه به مطرح شدن خواسته‌های جدید (کارمندان و ادارات از راه دور) اقدام به ایجاد شبکه‌های اختصاصی مجازی نموده‌اند.
یک وی‌پی‌ان شبکه‌ای اختصاصی است که از یک شبکه برای ارتباط با شبکه‌ای دیگر از راه دور و ارتباط کاربران با شبکهٔ سازمان خود استفاده می‌نماید. این نوع شبکه‌ها به جای استفاده از خطوط واقعی نظیر خطوط Leased، از یک ارتباط مجازی به اینترنت برای ایجاد شبکه اختصاصی استفاده می‌کنند.

اصول کار وی‌پی‌ان

شبکه‌های رایانه‌ای به شکل گسترده‌ای در سازمان‌ها و شرکت‌های اداری و تجاری مورد استفاده قرار می‌گیرند. اگر یک شرکت از نظر جغرافیایی و در فضای کوچک متمرکز باشد، ارتباطات بین بخش‌های مختلف آن را می‌توان با یک شبکهٔ محلی برقرار کرد. اما برای یک شرکت بزرگ که دارای فضای گسترده جغرافیایی و شعب مختلف در نقاط مختلف یک کشور یا در نقاط مختلف دنیا است و این بخش‌ها یا شعب نیاز دارند که با هم ارتباطاتِ اطلاعاتیِ امن داشته باشند، بایستی یک شبکهٔ گستردهٔ خصوصی بین نقاط آن ایجاد گردد. شبکه‌های اینترانت که فقط محدود به یک سازمان یا یک شرکت می‌باشند، به دلیل محدودیت‌های گسترشی نمی‌توانند چندین سازمان یا شرکت را تحت پوشش قرار دهند. شبکه‌های گسترده نیز که با خطوط استیجاری راه‌اندازی می‌شوند، در واقع شبکه‌های گستردهٔ امنی هستند که بین مراکز سازمان‌ها ایجاد شده‌اند. پیاده‌سازی این شبکه‌ها علی‌رغم درصد پایین بهره‌وری، نیاز به هزینه زیادی دارد زیرا این شبکه‌ها به دلیل عدم اشتراک منابع با دیگران، هزینه مواقع عدم استفاده از منابع را نیز بایستی پرداخت کنند. راه‌حل غلبه بر این مشکلات، راه‌اندازی یک وی‌پی‌ان است.
فرستادن حجم زیادی از داده از یک رایانه به رایانه دیگر مثلاً در به‌هنگام‌رسانی بانک اطلاعاتی یک مشکل شناخته‌شده و قدیمی است. انجام این کار از طریق ایمیل به دلیل محدودیت گنجایش سرویس‌دهندگان ایمیل نشدنی است.
استفاده از اف‌تی‌پی هم به سرویس‌دهنده مربوطه و همچنین ذخیره‌سازی موقت روی فضای اینترنت نیاز دارد که قابل اطمینان نیست.
یکی از راه حل‌ها، اتصال مستقیم به کامپیوتر مقصد به کمک مودم است که در اینجا هم علاوه بر مودم، پیکربندی کامپیوتر به عنوان سرویس‌دهندهٔ Remote Access Service لازم خواهد بود. از این گذشته، هزینه ارتباط تلفنی راه دور برای مودم هم قابل تأمل است.
اما اگر دو کامپیوتر در دو جای مختلف به اینترنت متصل باشند می‌توان از طریق سرویس به اشتراک‌گذاری فایل در ویندوز به سادگی فایل‌ها را رد و بدل نمود. در این حالت، کاربران می‌توانند به دیسک سخت کامپیوترهای دیگر همچون دیسک سخت کامپیوتر خودشان دسترسی داشته باشند. به این ترتیب بسیاری از راه‌های خرابکاری برای نفوذکنندگان بسته می‌شود.
شبکه‌های شخصی مجازی یا وی‌پی‌ان‌ها برای حل این‌گونه مشکلات مناسب هستند. وی‌پی‌ان به کمک رمزگذاری روی داده‌ها، درون اینترنت یک شبکه کوچک می‌سازد و تنها کسانی که آدرس‌های لازم و گذر واژه را در اختیار داشته باشد می‌توانند به این شبکه وارد شوند.
مدیران شبکه‌ای که بیش از اندازه وسواس داشته و محتاط هستند می‌توانند وی‌پی‌ان را حتی روی شبکه محلی هم پیاده کنند. اگر چه نفوذ کنندگان می‌توانند به کمک برنامه‌های Packet sniffer جریان داده‌ها را دنبال کنند اما بدون داشتن کلید رمزنگاری نمی‌توانند آن‌ها را بخوانند.

دیوار آتش

دیوار آتش یا فایروال یک دیواره مجازی بین شبکه اختصاصی یک سازمان و اینترنت ایجاد می‌نماید. با استفاده از دیوار آتش می‌توان عملیات متفاوتی را در جهت اعمال سیاست‌های امنیتی یک سازمان انجام داد. ایجاد محدودیت در تعداد پورت‌های فعال، ایجاد محدودیت در رابطه به پروتکل‌های خاص، ایجاد محدودیت در نوع بسته‌های اطلاعاتی و… نمونه هائی از عملیاتی است که می‌توان با استفاده از یک دیوارآتش انجام داد.

رمزنگاری کلید متقارن

در رمز نگاری کلید متقارن هر یک از کامپیوترها دارای یک کلید رمزنگاری (کد) بوده که بااستفاده ازآن قادر به رمزنگاری یک بسته اطلاعاتی قبل از ارسال در شبکه برای کامپیوتر دیگر می‌باشند. در روش فوق می‌بایست در ابتدا نسبت به کامپیوترهایی که قصد برقراری و ارسال اطلاعات برای یکدیگر را دارند، آگاهی کامل وجود داشته باشد. هر یک از کامپیوترهای شرکت‌کننده در مبادله اطلاعاتی می‌بایست دارای کلید رمزنگاری مشابه به منظور رمزگشایی اطلاعات باشند. به منظور رمزنگاری اطلاعات ارسالی نیز از کلید فوق استفاده خواهد شد.
برای مثال فرض کنید قصد ارسال یک پیام رمز شده برای یکی از دوستان خود را داشته باشید. بدین منظور از یک الگوریتم خاص برای رمزنگاری استفاده می‌شود. در الگوریتم فوق هر حرف به دوحرف بعد از خود تبدیل می‌گردد. (حرف A به حرف C، حرف B به حرف D و…). پس از رمزنمودن پیام و ارسال آن، می‌بایست دریافت‌کننده پیام به این حقیقت واقف باشد که برای رمزگشایی پیام ارسال شده، هر حرف باید به دو حرف قبل از خود تبدیل گردد. در چنین حالتی می‌بایست به دوست امین خود، واقعیت فوق (کلید رمزنگاری) گفته شود. در صورتی‌که پیام فوق توسط افراد دیگری دریافت گردد، به دلیل عدم آگاهی از کلید، آنان قادر به رمزگشایی و استفاده از پیام ارسال شده نخواهند بود.

رمزنگاری کلید عمومی

در رمزنگاری عمومی از ترکیب یک کلید خصوصی و یک کلید عمومی استفاده می‌شود. کلید خصوصی صرفاً برای کامپیوتر شما (ارسال‌کننده) قابل شناسایی و استفاده‌است. کلید عمومی توسط کامپیوتر شما در اختیار تمام کامپیوترهای دیگری که قصد ارتباط با آن را داشته باشند گذاشته می‌شود. به منظور رمزگشایی یک پیام رمز شده، یک کامپیوتر می‌بایست با استفاده از کلید عمومی (ارائه شده توسط کامپیوتر ارسال‌کننده) و کلید خصوصی مربوط به خود اقدام به رمزگشایی پیام ارسالی نماید. یکی از متداول‌ترین ابزارهای رمزنگاری کلید عمومی، روشی با نام پی‌جی‌پی است. با استفاده از این روش می‌توان اقدام به رمزنگاری اطلاعات دلخواه خود نمود.

VPN-Ipsec فقط برای اینترنت

Ipsec برخلافPPTP و L2TPروی لایه شبکه یعنی لایه سوم کار می‌کند. این پروتکل داده‌هایی که باید فرستاده شود را همراه با همه اطلاعات جانبی مانند گیرنده و پیغام‌های وضعیت رمزگذاری کرده و به آن یک IP Header معمولی اضافه کرده و به آن سوی تونل می‌فرستد.

کامپیوتری که در آن سو قرار دارد IP Headerرا جدا کرده، داده‌ها را رمز گشایی کرده و آن را به کامپیوتر مقصد می‌فرستد.Ipsec را می‌توان با دو شیوه Tunneling پیکر بندی کرد. در این شیوه انتخاب اختیاری تونل، سرویس گیرنده نخست یک ارتباط معمولی با اینترنت برقرار می‌کند و سپس از این مسیر برای ایجاد اتصال مجازی به کامپیوتر مقصد استفاده می‌کند. برای این منظور، باید روی کامپیوتر سرویس گیرنده پروتکل تونل نصب شده باشد. معمولاً کاربر اینترنت است که به اینترنت وصل می‌شود. اما کامپیوترهای درون LAN هم می‌توانند یک ارتباط VPN برقرا کنند. از آنجا که ارتباط IPاز پیش موجود است تنها برقرار کردن ارتباط VPN کافی است.

در شیوه تونل اجباری، سرویس گیرنده نباید تونل را ایجاد کند بلکه این کار به عهده فراهم ساز است. سرویس گیرنده تنها باید به ISP وصل شود. تونل به‌طور خودکار از فراهم ساز تا ایستگاه مقصد وجود دارد. البته برای این کار باید هماهنگی‌های لازم با ISPانجام بگیرد.

Ipsec بدون تونل

Ipsec در مقایسه با دیگر روش‌ها یک برتری دیگر هم دارد و آن اینست که می‌تواند همچون یک پروتکل انتقال معمولی به کار برود.

در این حالت برخلاف حالت Tunneling همه IP packet رمزگذاری و دوباره بسته‌بندی نمی‌شود. به جای آن، تنها داده‌های اصلی رمزگذاری می‌شوند و Header همراه با آدرس‌های فرستنده و گیرنده باقی می‌ماند. این باعث می‌شود که داده‌های سرباز (Overhead) کمتری جابجا شوند و بخشی از پهنای باند آزاد شود. اما روشن است که در این وضعیت، خرابکاران می‌توانند به مبدأ و مقصد داده‌ها پی ببرند. از آنجا که در مدل OSI داده‌ها از لایه ۳ به بالا رمزگذاری می‌شوند خرابکاران متوجه نمی‌شوند که این داده‌ها به ارتباط با سرویس دهنده Mail مربوط می‌شود یا به چیز دیگر.

پروتکل ike

پروتکلی که امروزه استفاده از آن رایج است مبادله کلید اینترنت (به انگلیسی: Internet Key Exchange، به اختصار IKE) نام دارد. نسخه اول آن در سال ۱۹۹۸ به بازار آمد و اسم رایج آن IKEv1 است. به دلیل این که اولین نسخه از IKE توسط IPsec به‌عنوان پیش‌فرض استفاده شد. خصوصیات IKEv1 بخش‌های پنهان آن را ارتقا داد. برای ارتقای آن در ۲۰۰۵، IKEv2 ایجاد شد. با این به‌روزرسانی، این پروتکل قابل‌اعتمادتر شد و در مقابل حملات DOS منعطف‌تر شد.

انواع وی‌پی‌ان

دو نوع عمده شبکهٔ وی‌پی‌ان وجود دارد:

شبکهٔ وی‌پی‌ان دستیابی از راه دور

به این نوع از شبکه‌ها وی‌پی‌دی‌ان (به انگلیسی: VPDN مخفف عبارت Virtual private dial-up network) نیز گفته می‌شود. در وی‌پی‌دی‌ان از مدل ارتباطی کاربر به یک شبکه محلی (به انگلیسی: User to LAN) استفاده می‌گردد. سازمان‌هایی که از مدل فوق استفاده می‌کنند بدنبال ایجاد تسهیلات لازم برای ارتباط پرسنل یا به‌طور عام کاربران راه دور هستند تا بتوانند از هر مکانی به شبکهٔ سازمان متصل شوند.
سازمانهایی که تمایل به برپاسازی یک شبکهٔ بزرگ دستیابی از راه دور دارند، می‌بایست از امکانات یک مرکز ارائه دهنده خدمات ای‌اس‌پی (به انگلیسی: Encapsulating Security Payload یا به اختصار ESP) استفاده نمایند.
سرویس دهندهٔ ای‌اس‌پی، به منظور نصب و پیکربندی وی‌پی‌ان، یک ان‌ای‌اس (به انگلیسی: Network access server به اختصارNAS) را پیکربندی و نرم‌افزاری را در اختیار کاربران از راه دور به منظور ارتباط با سایت قرار خواهد داد. کاربران در ادامه با برقراری ارتباط قادر به دستیابی به ان‌ای‌اس و استفاده از نرم‌افزار مربوطه به منظور دستیابی به شبکه سازمان خود خواهند بود.

پروتکل‌های درون تونل

تونل‌زنی را می‌توان روی دو لایه از لایه‌های OSI پیاده کرد. PPTP و L2TP از لایه ۲ یعنی پیوند داده استفاده کرده و داده‌ها را در قالب Frameهای پروتکل نقطه به نقطه (PPP) بسته‌بندی می‌کنند. در این حالت می‌توان از ویژگی‌های PPP همچون تعیین اعتبار کاربر، تخصیص آدرس پویا (مانند DHCP)، فشرده سازی داده‌ها یا رمزگذاری داده‌ها بهره برد.
با توجه به اهمیت ایمنی انتقال داده‌ها در وی‌پی‌ان، در این میان تعیین اعتبار کاربر نقش بسیار مهمی دارد. برای این کار معمولاً از CHAP استفاده می‌شود که مشخصات کاربر را در این حالت رمزگذاری شده جابه‌جا می‌کند. Call back هم دسترسی به سطح بعدی ایمنی را ممکن می‌سازد. در این روش پس از تعیین اعتبار موفقیت‌آمیز، ارتباط قطع می‌شود. سپس سرویس دهنده برای برقرار کردن ارتباط جهت انتقال داده‌ها شماره‌گیری می‌کند. هنگام انتقال داده‌ها، Packetهای IP, IP X یا NetBEUI در قالب Frameهای PPP بسته‌بندی شده و فرستاده می‌شوند. PPTP هم Frameهای PPP را پیش از ارسال روی شبکه بر پایه IP به سوی کامپیوتر مقصد، در قالب Packetهای IP بسته‌بندی می‌کند. این پروتکل در سال ۱۹۹۶ از سوی شرکت‌هایی چون مایکروسافت، Ascend، 3 com و Robotics US پایه‌گذاری شد. محدودیت PPTP در کار تنها روی شبکه‌های IP باعث ظهور ایده‌ای در سال ۱۹۹۸ شد. L2TP روی X.25,Frame Relay یا ATM هم کار می‌کند. برتری L2TP در برابر PPTP این است که به‌طور مستقیم روی رسانه‌های گوناگون WAN قابل انتقال است.

Layer 2 Forwarding

پروتکل L2F توسط سیسکو ایجاد شده‌است. در این پروتکل از مدل‌های تعیین اعتبار کاربر که توسط PPP حمایت شده‌اند استفاده شده‌است.

پروتکل تونل‌زنی نقطه به نقطه

پروتکل PPTP توسط کنسرسیومی متشکل از شرکت‌های متفاوت ایجاد شده‌است. این پروتکل امکان رمزنگاری ۴۰ بیتی و ۱۲۸ بیتی را دارا بوده و از مدل‌های تعیین اعتبار کاربر که توسط PPP حمایت شده‌اند، استفاده می‌نماید.

وی‌پی‌ان در ایران

در حدود سال ۱۳۹۱ طرح ایجاد VPN بومی در ایران مطرح شد اما مسئولان بعدها اعلام کردند که این طرح از نظر اقتصادی با شکست مواجه شده‌است.
اگرچه وی‌پی‌ان کاربردهای بسیاری دارد، اما یکی از کاربردهای اصلی وی‌پی‌ان در ایران استفاده از آن به عنوان فیلترشکن است.
برای دسترسی به وی‌پی‌ان در ایران می‌توان از طریق برخی شرکت‌های سرویس‌دهنده اقدام کرد.