Sanal özel ağ

Kapsülleme

VPN teknolojisinde özel veriler, geçiş ağını çapraz geçmelerine izin verecek yönlendirme bilgilerini içeren bir üst bilgiyle kapsüllenir.
Tünel oluşturma, bir protokol türündeki paketin başka bir protokol datagramı içinde kapsüllenmesini sağlar. Örneğin, VPN, IP paketlerini Internet gibi ortak bir ağ üzerinden kapsüllemek için PPTP'yi kullanır. Noktadan Noktaya Tünel Protokolü (PPTP), Katman İki Tünel Protokolü (L2TP) veya Güvenli Yuva Tünel Protokolü'ne (SSTP) dayalı bir VPN çözümü yapılandırılabilir.
PPTP, L2TP ve SSTP protokolleri büyük ölçüde, orijinal olarak Noktadan Noktaya Protokolü (PPP) için belirlenen özellikleri esas alır. PPP çevirmeli veya adanmış noktadan noktaya bağlantılar üzerinden veri göndermek için tasarlanmıştır. IP kullanımında, PPP, IP paketlerini PPP çerçeveleri içinde kapsüller ve ardından kapsüllenen PPP paketlerini noktadan noktaya bir bağlantı üzerinden aktarır. PPP orijinal olarak çevirmeli istemci ve ağ erişimi sunucusu arasında kullanılacak protokol olarak tanımlanmıştır.

Kimlik doğrulama

VPN bağlantılarında kimlik doğrulama üç farklı biçimde yapılır:

PPP kimlik doğrulama kullanılarak kullanıcı düzeyinde kimlik doğrulama

VPN bağlantısı oluşturmak için, VPN sunucusu bağlanmayı deneyen VPN istemcisinin kimliğini, Noktadan Noktaya Protokolü (PPP) kullanıcı düzeyinde kimlik doğrulama yöntemi kullanarak doğrular ve VPN istemcisinin uygun yetkilendirmeye sahip olduğunu onaylar. Karşılıklı kimlik doğrulama kullanılırsa, VPN istemcisi de VPN sunucusunun kimliğini doğrular; bu şekilde kendilerini VPN sunucuları gibi tanıtan bilgisayarlara karşı koruma sağlanır.

Internet Anahtar Değişimi (IKE) kullanarak bilgisayar düzeyinde kimlik doğrulama

Internet Protokolü güvenliği (IPsec) güvenlik ilişkisi oluşturmak üzere VPN istemcisi ve VPN sunucusu, bilgisayar sertifikaları veya önceden paylaşılan bir anahtar değişimi için IKE protokolünü kullanır. Her iki durumda da VPN istemcisi ve sunucusu, birbirlerinin kimliklerini bilgisayar düzeyinde doğrular. Bilgisayar sertifikası kimlik doğrulaması çok daha güçlü bir kimlik doğrulama yöntemi olduğundan daha fazla önerilir. Bilgisayar düzeyinde kimlik doğrulama yalnızca L2TP/IPsec bağlantıları için uygulanır.

Veri kaynağı için kimlik doğrulama ve veri bütünlüğü

VPN bağlantısı üzerinden gönderilen verinin, bağlantının diğer ucundan gönderilmiş olduğunu ve aktarım sırasında değiştirilmediğini onaylamak için, veride yalnızca gönderenin ve alanın bildiği bir şifreleme anahtarına dayalı şifreleme sağlama toplamı bulunur. Veri kaynağı için kimlik doğrulama ve veri bütünlüğü yalnızca L2TP/IPsec bağlantılarında kullanılabilir.

Veri şifreleme

Veriler, paylaşılan veya ortak geçiş ağından çapraz geçer ve gizliliğin sağlanması için gönderici tarafından şifrelenir. Daha sonra bu şifreler, alan tarafından çözümlenir. Şifreleme ve alan tarafından şifre çözme işlemi, göndericinin ve alanın kullandığı şifreleme anahtarına bağlıdır.
VPN bağlantısı üzerinden veri transferi yapıldığında şifreleme anahtarı olduğu için bilgiler ele geçirilse bile dışarıdaki için bir anlam ifade etmez. Ayrıca şifreleme anahtarının uzunluğu da güvenlik anlamında önemli bir faktördür. Çünkü şifreleme anahtarını belirlemek adına hesaplama işlemleri yapıldığında bu tür metotlar, şifreleme anahtarı büyüdüğünde daha uzun hesaplama zamanı alır. Bu yüzden güvenliği sağlamak adına, yani veriyi mümkün olduğu kadar gizli tutmak amacıyla şifreleme anahtarını mümkün olan en büyük boyutta seçmek veya kullanmak önemli bir faktördür.

VPN tünel protokolleri

Tünel oluşturma, bir protokol türündeki paketin başka bir protokol datagramı içinde kapsüllenmesini sağlar. Örneğin, VPN, IP paketlerini Internet gibi ortak bir ağ üzerinden kapsüllemek için PPTP'yi kullanır. Noktadan Noktaya Tünel Protokolü (PPTP), Katman İki Tünel Protokolü (L2TP) veya Güvenli Yuva Tünel Protokolü'ne (SSTP) dayalı bir VPN çözümü yapılandırılabilir.
PPTP, L2TP ve SSTP protokolleri büyük ölçüde, orijinal olarak Noktadan Noktaya Protokolü (PPP) için belirlenen özellikleri esas alır. PPP çevirmeli veya adanmış noktadan noktaya bağlantılar üzerinden veri göndermek için tasarlanmıştır. IP kullanımında, PPP, IP paketlerini PPP çerçeveleri içinde kapsüller ve ardından kapsüllenen PPP paketlerini noktadan noktaya bir bağlantı üzerinden aktarır. PPP orijinal olarak çevirmeli istemci ve ağ erişimi sunucusu arasında kullanılacak protokol olarak tanımlanmıştır.

PPTP

PPTP, birden çok protokol trafiğinin şifrelenmesini ve ardından IP ağı veya Internet gibi ortak IP ağı üzerinden gönderilmek üzere bir IP üst bilgisi ile kapsüllenmesini sağlar. PPTP uzaktan erişim ve siteden siteye VPN bağlantıları için kullanılabilir. Internet, VPN için ortak ağ olarak kullanıldığında, PPTP sunucusu, biri Internet üzerinde diğeri de intranet'te bulunan iki arabirime sahip PPTP etkin bir VPN sunucusudur.
PPTP, ağ üzerinden aktarım yaptığında PPP çerçevelerini IP datagramları içerisinde kapsüller. PPTP, tünel yönetimi için Genel Yönlendirme Kapsüllemesi‘nin (GRE) değiştirilmiş bir sürümünü kullanır. Ayrıca kapsüllenen PPP çerçeveleri şifrelenebilir veya sıkıştırılabilir.
PPP çerçevesi, MS-CHAPv2 veya EAP-TLS kimlik doğrulama işlemiyle oluşturulan şifreleme anahtarları kullanılarak, Microsoft Noktadan Noktaya Şifreleme (MPPE) ile şifrelenir. PPP çerçeve yüklerinin şifrelenebilmesi için, sanal özel ağ istemcilerinin MS-CHAP v2 veya EAP-TLS kimlik doğrulama protokolünü kullanması gerekir. PPTP, temeldeki PPP şifrelemesinden ve önceden şifrelenen PPP çerçevesinin kapsüllenmesinden yararlanır.

L2TP

L2TP birden çok protokol trafiğinin şifrelenmesini ve ardından IP veya zaman uyumsuz aktarım modu (ATM) gibi noktadan noktaya datagram teslimini destekleyen herhangi bir medya üzerinden gönderilmesini sağlar. L2TP, Cisco Systems, Inc. tarafından geliştirilen, PPTP ve Katman İki İletme (L2F) protokollerinin birleşiminden oluşan bir teknolojidir. L2TP, PPTP ve L2F'nin en iyi özelliklerini alır.
PPTP'nin aksine, Microsoft'un L2TP uygulaması, PPP datagramlarının şifrelenmesinde MPPE'yi kullanmaz. L2TP, şifreleme hizmetleri için Aktarım Modunda Internet Protokolü güvenliğine (IPsec) dayanır. L2TP ve IPsec'in birleşimi L2TP/IPsec olarak bilinir.
L2TP/IPsec paketlerinin kapsüllenmesi iki katmandan oluşmaktadır. Birinci katman, PPP çerçevesi L2TP ve UDP üst bilgisiyle sarılmaktadır. İkinci katman ise Ipsec güvenlik yükü dediğimiz (ESP) üst bilgi ve alt bilgi olmak üzere iletiyi ve kimlik doğrulamayı destekleyen Ipsec kimlik doğrulama alt bilgisi ve IP üst bilgisiyle sarılır. IP üst bilgisinde VPN sunucusuna karşılık gelen IP adresi yer almaktadır.

SSTP

Güvenli Yuva Tüneli Protokolü (SSTP), 443 numaralı TCP bağlantı noktası üzerinden HTTPS protokolünü kullanan yeni bir tünel protokolüdür ve trafiğin güvenlik duvarlarından ve PPTP ile L2TP/IPsec trafiğini engelleyebilen Web proxy'lerden geçirilmesini sağlar. SSTP, PPP trafiğini HTTPS protokolünün Güvenli Yuva Katmanı (SSL) kanalı üzerinde kapsüllemek için bir mekanizma sağlar. PPP'nin kullanılması, EAP-TLS gibi etkili kimlik doğrulama yöntemlerinin desteklenmesine olanak sağlar. SSL, gelişmiş anahtar anlaşması, şifreleme ve bütünlük denetimi kullanarak aktarma düzeyinde güvenlik sağlar.
Bir istemci SSTP tabanlı VPN bağlantısı oluşturmaya çalışırsa, SSPT ilk olarak, SSTP sunucusunda çift yönlü bir HTTPS katmanı oluşturur. Protokol paketleri bu HTTPS katmanı üzerinden veri yükü olarak geçer.

VPN ile güvenli dolaşım ve kısıtlar

Türkçeye Sanal Özel Ağ olarak çevrilen Sanal Özel Ağlar (VPN), tünelleme protokolü üzerinden transferi gerçekleştiren her veriyi şifreler ve oldukça güvenilidirler.
VPN ile veri transferleri sırasında transferi gerçekleştirilecek veri paketleri güvenli olmayan ve herkes tarafından kullanılıp ayrıca görülebilen çalışma ağlarından transfer edilmeden hemen önce şifrelenmektedir.
Ayrıca bu durumda transferlerin gerçekleştiği ağlar da şifrelenmektedir. Çok düşük bir olasılıkla veri transferi sağlanan paketlerin üçüncü kişilerce ele geçirildiğinde sistem tarafından önceden şifrelendiği için verilerin görüntülenmesi, paylaşılması veya kullanılması mümkün olmamaktadır. Ayrıca Sanal Özel Ağ, oluşturduğu bu yüksek güvenlik duvarının yanında özel ağlara göre (özel ağ satın almak yerine kiralama imkânı sunduğu için) çok düşük maliyette olan VPN ağları, özel çalışma ağına ihtiyacı olan tüm kurumsal şirket ve kuruluşların öncelikli tercihi olmuştur.
Sanal Özel Ağ, tüm Web siteler üzerindeki engeli kaldırır.
VPN ile yönetici, iş verenin veya ülke içinde hükümet tarafından bloke edilmiş olan herhangi bir web sitesine ulaşabilir ve o engelleri kaldırabilir. Fakat VPN’ler Türkiye'de son yıllarda İnternet sitelerine uygulanan erişime kapatılma kararları ile gündeme gelmiştir. Sanal Özel Ağ ile İnternet'te kişisel bilgilerin saklanabilmesi, ayrıca kullanıcıların casus yazılımlardan ve bilgisayar korsanlarından korumasına da yardımcı olur.
Sanal Özel Ağ, özellikle günümüzde çok sık kullanılan İnternet erişimi sağlayan bilgisayar, tabletler, oyun konsolları ve akıllı telefon gibi cihazlar üzerinde güvenli bir şekilde dolaşmayı sağlar. Bu cihazlara örnek olarak Windows PC, Mac PC, Linux PC, iPad, iPhone, Android tablet, Android telefonlar, Play station 3, Wii gibi birçok cihazla birlikte çalışır.
Ayrıca VPN ile kısıtlı ve kilitli olan dünya kanalları izlenebilir. Mesela ABD merkezli yayınlar, Alman kanalları ve Netflix, Hulu, CWTV, Pandora, Fox ve daha birçok kanalların hizmetinden VPN sistemi sayesinde faydalanılabilir.

Yönlendirme ve Uzaktan Erişim Hizmeti (RRAS)

Yönlendirme ve Uzaktan Erişim Hizmeti (Routing and Remote Access Service ) (RRAS), Windows Server 2003, Windows Server 2008, Windows Server 2012 ile uzaktan erişim durumuyla Windows sunucuları üzerinden VPN oluşturabilir.
İlk olarak sistemdeki RRAS servisi çalıştırılmalıdır. Kurulu gelen Windows paketlerinde bu sistem kapalı olarak kullanıcılara verilir.
Bu sebepten dolayı yönetimsel araçlar bölümünün hemen altında “yönlendirme ve uzaktan erişim” konumuna girip uzaktan erişim kısmını açmak gerekebilir.
Bu uzakta bulunan kullanıcıların o sunucu üzerinden VPN ağları ile İnternet yoluyla bağlanmaları amaçladığı için ortaya çıkan ilk durum kabul edilmelidir. Çünkü VPN bağlantısını kullanıcılar onaylayıp girmek isterlerse tekrar ilk durum kabul edilmelidir.
Bunun için en az iki adet NIC (Network Interface Card) arayüze (interface) ihtiyaç vardır. Arayüzlerden birini dış ağ kullanıp kullanıcı ile iletişime geçerken bir diğeri ise kullanıcın iç ağ ile birebir iletişimde olmasını sağlamaktadır.
Kullanıcılara gerekli olan PPTP, VPN sistemine başladıktan sonra bağlantı oluşturacak hesap için izinlerin ve yetkilerin tamamen verilmiş olması gerekmektedir.
Bu izinler ve yetkilendirmeleri kullanıcıların kullanması içi sistemin kullanıcı hesaplarından kullanıcı özelliklerine girerek “Dial-in” kısmının altında bulunan “Allow Access” ("erişime izin ver") opsiyon sekmesinin seçili bir durumda olması gerekmektedir.
Aslında bu yetkilendirme ve izinler kullanıcının sisteminde bulunmayan bir alıtta (domain) ve bir sunucu üzerinden yapılmaktadır.
RRAS kurulumunda yapılması planlanan ve olağan durumlar için bazı gereksinimler üzerinden sunucu, kendi alıtının içinde ve gayet tabii olmayabilir.
Bu durum, kullanıcıların kendi ihtiyaçlarına göre oluşan bir durumdur. Bu genel izin ve yetkilendirme ayarlarından sonra “RRAS” konsolunu açmak gerekmektedir. Kullanıcılar, PPTP VPN tanımlaması oluşturmak için de “Configure and Enable Routing and Remote Access” kısmına girmelidirler.
Kullanıcılar PPTP VPN yapılandırması yapacağından dolayı sistem tarafından otomatik olarak seçili olan ilk durumu olan “Next” ile ilerlemelidirler.
Kurulumun ilk aşamasında birçok ağ kurulum sistemi gösterilecektir. Fakat dikkatli bakılığında "a secure virtual private network (VPN) Internet connection" kısmı görülür ve sisteme ilk adım buradan atılabilir.
Kullanıcılar VPN'i seçtikten sonra ekranlara arayüzlerin bir listesi gelir. Bunun için dış ağlardan gelen bağlantıları tanımlamak için “External” adlı Ethernet kartı seçilerek “Next” ile bir sonraki duruma geçilir. Burada oluşturulan IP numaraları tamamen sistem tarafından yapılabilir. Ayrıca kullanıcılarda manuel olarak elle giriş yapılabilir.
Eğer sistemimizde DHCP oluşturulmuş ise VPN ile kullanıcın dışarıdan bağlantı kuracağı bilgisayarlara otomatik bir şekilde IP verilebilir. Fakat bazı kullanıcıların sisteminde DHCP olmadığından böyle durumlarda dışarıdan bağlantılara manuel olarak IP ataması yapılmalı ve bunun için ekrandaki ”From a specified range of addresses” kısmını seçilerek “Next” ile bir sonraki duruma ilerlemelidir. "Address Range Assignment" kısmı, bağlantı yapılmak istenilen bilgisayara verilecek olan IP aralığını belirlemek için oluşturulmuştur ve bunu gerçekleştirmek için “New” kısmı seçilmelidir. Bu kısımda belirlenen IP aralığı, ağın iç bacağında olmalıdır. Çünkü kullanıcı tarafından dış bacağa gelen istekler, zaten iç bacağa iletilerek nadir bir şekilde iletişim sağlanmaktadır ve dışarıdan bağlantı yapan bilgisayarlarda iç ağda çalışma gibi hareket etmektedir. Bu kısımda "Start IP Address" ve "End IP Address" aralığının yanında "Number of address" aralığı bulunur. "Number of address", gerekli olan aralıktır ve IP adresinin gerekli olarak nasıl dağıtılacağını belirtir. Start IP Address, End IP Address ve Number of address bölümlerine IP numaralarını yazdıktan sonra IP numaralarını alarak IP sistemine bağlantıyı kurmuş olacaktır. "Address Range Assignment" bölümünün son kısmında kullanıcılara oluşturulacak bağlantı esnasında herhangi bir "Authencation" yapılıp yapılmayacağı sorulur. Bir diğer seçenekte ise "Radius" kısmı bulunmaktadır. Kullanıcılar bu kısmı seçmeleri durumunda Radius üzerinden oluşturulacak bir kimlik doğrulama işlemine girmiş olacaklardır. Fakat sistemin daha hızlı ve otomatik bir şekilde ilerlemesi için kullanıcılar "Authencation connection request" kısmını seçmeleri daha uygundur.
Gerekli lisans koşullarını onayladıktan sonra "Finish" kısmı ile bu bölümü tamamlanır.
Bu kısım ile gerekli olan PPTP VPN bağlantısını oluşturulup bu yapılandırma tamamlanmış olur. Fakat dışarıdan yapılması planlanan bağlantılar için sunucu üzerinden ve ağ sisteminin içinde yer alan "Firewall" kısmından da gerekli kapılar (port) için izinlerin açık olması gerekmektedir. PPTP VPN üzerinden herhangi bir özelleştirme yapılmamışsa genellikle sistemler, 1723 ve 47 numaralı kapıyı kullanmaktadırlar. Bu kısım ile birlikte loopback, dâhilî ve haricî kısımları oluşturulur.
Gerekli yapılandırmalar yapıldıktan sonra bağlantı denenmesi, daha sonra problem yaşanmaması için tavsiye edilir. Bunun için bilgisayarlarda VPN tanımlaması yapılmalıdır. Bu test işlemini kullanıcılar, tüm Windows işletim sistemlerinde yapabilirler. Windows 7 işletim sistemin de “Network and Sharing Center” ekranına girdikten sonra çıkacak olan “Setup a new connection or network” kısmı seçilerek başlanır. Daha sonra oluşturulmak istenen VPN bağlantısının tanımlanmasını için “Connect to a workplace” kısmı seçilerek “Next” ile bir diğer adıma geçilir. Connect to a workplace kısmı, çalışmaya başladıktan sonra bu bilgisayardan yapılacağı için "Use my Internet connection VPN" ile "Setup an Internet connection” kısımlarını seçerek gerekli olan bağlantı bilgileri tanımlanmalıdır.
Burada VPN ile kurulmak istenen sunucunun dış IP adresinin eklenerek giriş yapılması ve VPN bağlantısı etkin olarak kullanmak için tüm hesap bilgilerinin tanımlanması şarttır. Kullanıcılardan istenen User name, password ve seçenek olan bir alıttır (domain). Bu bilgiler girildikten sonra create kısmından oluşturmaya başlanabilir.
Bu adımlarla birlikte VPN bağlantısı kurulmuş olur ve Windows bağlantılar kısmında bulunan diğer bağlantıların hemen yanında oluşturulur. RRAS ekranına bakıldığında “Remote Access clients” kısmından bağlantı sağlanan kullanıcının bilgisayarına ait bütün bilgiler görülebilmektedir.
Tabii ki bunun yanında sunucunun iç bacağına sorunsuzca ping (bir bilgisayarın ağ içinde olup olmamasını tespit) durumunda olduğunu görülebilir.

VPN servis sağlayıcıları

İnternet bağlantısı açık iken VPN, tüm sitelere yüzde yüz erişme imkânı sağlar. Ekstra bir ayarlama veya başka bir İnternet tarayıcısıne ihtiyaç duymaz. Hiç kimse VPN trafiği sayesinde hangi sitelerde gezinildiğini göremez. Ayrıca bütün işler güvenle yapılır. Yani VPN, güvenliği ve gizliliği sağlar. VPN traffic’in esas amacı İnternet sansürünü çözümlemektir. Ayrıca bilgiler 128 bit ile şifrelenmektedir ancak şifreleme algoritmasının güçlü olması verilerinizin şifreleme anahtarlarının sahibi dışında hiç kimsenin okuyamamasını sağlar, ancak bu şimdilik böyledir. Bu sayede her kullanıcıya ait özel kullanıcı adı ve şifre sağlanmaktadır. Önceden de belirtildiği üzere bilgisayarda hiçbir değişiklik yapmaya gerek kalmaz.
VPN, Türkçe entegreli bir VPN projesidir. VPN, Mayıs 2011 îtibariyle kullanıma açılmakla birlikte 40 farklı konumdan (location) 52 adet sunucusuyla hizmet vermektedir. Ayrıca kullanıcı tercihine göre kotalı ve kotasız olmak üzere iki adet paket sunulmakta, bu iki pakette konum kısıtlaması yapılmamaktadır. En önemli noktalardan biri de İnternet hızını azaltmaz ve ekstra kota oluşturmaz. Sunulan 40 konum sayesinde istenen bir yerden başka bir yere çok kolay bir şekilde bağlanılabilir. Tek tuşla Amerika veya tek tuşla Singapur gibi. Ayrıca bu yazılım, 3G modemler, iPhone, Windows Mobile ve Nokia cep telefonlarıyla da desteklenmekte ve kullanılmaktadır. Ek olarak, istediğinde VPN bağlantısını keserek normal İnternet bağlantısı da kullanılabilir.
VPN, bütün yasakları kaldırır ve rahat bir şekilde Skype, VoIP, televizyon kanalları, Hulu, Netfix, BBC iPlayer gibi videoları izleyebilmeyi sağlar. Ayrıca GizlenVPZ, PPTP ve L2TP/Ipsec protokollerini desteklemektedir.

Sanal özel ağların çalışma prensipleri

Sanal özel ağ (VPN), komşu ağlar arasında gizli bir bilgi akışını sağlamaya yönelik olarak kurulur. Veriler, İnternet üzerinden gitse de kullanılan güvenlik yazılımları sayesinde özel ve gizli verilere ulaşmak isteyen yabancı kişiler, elde ettikleri verileri anlayamayacaktır.
VPN özelliği sağlayan programlar Wippien, OpenVPN, Hamachi, Tomato, OpenWRT'dir.