Virtuaalne privaatvõrk

 
Virtuaalne privaatvõrk (inglise keeles "virtual private network", VPN) on privaatne ja turvaline arvutivõrk, mille loomiseks kasutatakse avalikku telekommunikatsiooni infrastruktuuri.
Selliseid võrke luuakse näiteks X.25, Switched 56, kaadriretranslaatori, ATM- ja IP-tehnoloogiate abil. Internetiprotokolli kasutatakse nii sageli, et virtuaalse privaatvõrguga peetakse samatähenduslikuks "krüpteeritud ühendust interneti kaudu".
Virtuaalne privaatvõrk (VPN) laiendab privaatvõrku üle avaliku võrgu ja seeläbi võimaldab kasutajatel kas saata ja/või vastu võtta informatsiooni otsekui kõikide VPN kasutajate arvutid oleksid ühendatud otse privaatvõrku. Erinevad programmid, mis töötavad VPN-idel, saavad seetõttu ka lisaks privaatvõrkude kasutegurid – funktsionaalsuse, turvalisuse ning ka haldamisvõimaluse.
VPN-id võimaldavad töötajatel turvaliselt ühenduda firma intraneti, parasjagu ise viibides kontorist eemal. Neid kasutatakse tüüpiliselt selleks, et turvaliselt ühendada geograafiliselt eri kohtades asuvaid kontoreid, seeläbi luues ühisvõrgu.
Internetikasutajad võivad muuta oma internetikasutust turvalisemaks, kasutades VPN-i, ning eemaldada takistusi interneti kasutamisel – mööda saada geograafilistest asukohapiirangutest ning tsensuuri kasutamisest (mingite kindlate uudistekanalite veebiaadressi blokeeringutest). Lisaks võivad kasutajad kasutada VPN-e ka ühendamiseks puhverserveritega, et kaitsta personaalset identiteeti ning asukohta, et jääda internetis võimalikult anonüümseks. Kuid samas mõned veebilehed blokeerivad tuntud VPN-ide ühendusi läbi puhverserverite, et ära hoida just kindlatest asukohtadest ühendused ning seetõttu paljud VPN-ide pakkujad arendavad tehnoloogiaid, mis saaksid mööda puhverserverite blokeeringutest.
Virtuaalne privaatvõrk luuakse punkt-punkti ühenduse teel, kasutades virtuaalse tunneli protokolli või internetiliiklust krüpteerides. VPN-id, mis on saadaval tasuta avalikust internetist, võivad rakendada mõnda WAN-i (laivõrgu) kasulike omadusi (Turvaliselt info vahetamine võrkude vahel, info sünkroonne uuendamine mitmes võrgus jne). Kasutaja perspektiivis on need vahendid saadaval VPN sees ning neile vahenditele on kaugelt juurdepääs.
Virtuaalse privaatvõrgu erivormid.
Esmased andmevõrgud võimaldasid VPN stiilis ühendusi kasutades sissehelistavaid modemeid või rendiliini ühendusi kasutades kaadriretranslaatoreid ja asünkroonülekande virtuaalseid võrke, mida haldasid ja omasid telekommunikatsiooni pakkujad. Kuigi neid võrke ei peeta tõelisteks VPN-ideks, sest nad muutsid informatsiooni turvaliseks, luues loogilisi informatsioonijugasid – seeläbi passiivselt muutes saadetavat informatsiooni turvaliseks, mitte aktiivselt läbi krüpteerimise. Järgmiseks asendati need VPN-idega, mis põhinevad IP-l ja "IP/Multiprotocol Label Switching" (MPLS on informatsiooni saatmise tüüp, mis juhatab informatsiooni ühelt võrgu sõlmelt teisele lühikeste rajaviitadega, mitte pikkade võrgu aadressidega) võrkudel märkimisväärselt odavama lahenduse tõttu ning suurema ribalaiuse tõttu, mis saavutati uute tehnoloogiatega – digitaalse abonendiliini ja valguskaablivõrkudega.
Kiht 2 ja kiht 3 võimalused.
Avatud süsteemide sidumise arhitektuuri teine kiht (OSI "Layer" 2).
Avatud süsteemide sidumise arhitektuuri (ASSA) L2 on kanalikiht, mis tegeleb andmepakettide jagamisega kaadriteks enne, kui nad jõuavad füüsilisse kihti ning samuti võtab vastu kaaderkihist/füüsilisest kihist kinnituskaadreid veakontrolliks ning edastab kaadri uuesti, kui leidub viga. Kanalikiht jaguneb edasi veel kaheks alamkihiks:
1. VLAN e virtuaalne kohtvõrk
Virtuaalne kohtvõrk (VK) on teise kihi tehnika, mis lubab mitmel kohtvõrgul samaaegselt eksisteerida, mis on seotud omavahel magistraalidega (mis kasutavad IEEE 802.1Q magistraali protokolli). Teisi magistraali protokolle on ka kasutatud, kuid need on kõik iganenud. Näiteks sellised protokollis olid ISL, IEEE 802.10 ning LANE ("ATM LAN Emulation"). IEEE 802.10 oli küll alguses turvalisuse protokoll, kuid alamrühm loodi magistraalimiseks.
2. VPLS e virtuaalne privaatne kohtvõrk
Virtuaalne privaatne kohtvõrk (VPK) loodi IEEE poolt – VPK-d võimaldavad mitmel sildistatud kohtvõrgul jagada ühist magistraali. VPK-d koosnevad tihti ainult kasutajate poolsetest (omatud ja loodud) seadmestikest. VPK-d võimaldavad nii punkt-punkti kui ka punkt-punktide topoloogia emulatsiooni (L1), siis meetod siin laieneb L2 tehnoloogiatele nagu 802.1d ja 802.1q kohtvõrgu magistraalide jaoks ning võimaldab ühenduvust üle MAN-ide (linnavõrkude).
Ühesõnaga, VPK on L2 teenuse pakkuja VPN, mitte privaatne ühendus. VPK emuleerib traditsioonilise kohtvõrgu võimalusi ning lubab kasutajatel luua virtuaalseid privaatseid kohtvõrke ning neid omavahel ühendada üle näiteks optilisekaabli, luues nii geograafiliselt erinevates kohtades asuvatest privaat kohtvõrkudest justkui ühe lokaalse kohtvõrgu.
3. PW e pseudojuhe
Pseudojuhe (PJ) on sarnane VPK'dega, aga võimaldab kasutada teisi L2 protokolle mõlemas ühenduse otsas. Tüüpiliselt PJ liides on laivõrgu mõni protokoll nagu näiteks "Frame Relay".
4. EoIP e Ethernet internetiprotokolli kaudu.
Ethernet internetiprotokolli kaudu (EoIP) üks spetsifikatsioon oleks näiteks EtherIP. Sellel protokollil on ainult paketi kapselduse funktsioon. Sellel puudub paketi konfidentsiaalsuse ja õigsuse kaitse.
5. IPLS e Internetiprotokolli baasil kohtvõrgu sarnane teenus
Internetiprotokolli baasil kohtvõrgu sarnane teenus (IPKV) on Virtuaalse privaatse kohtvõrgu alamhulk. Siin kohal peab CE (kasutaja "edge" seadeldis – täpsustus marsruutimise all) seadmetel olema L3 võimalused – IPKV esitleb pakett mitte kaadreid. See toetab nii IPv4 kui ka IPv6.
Avatud süsteemide sidumise arhitektuuri kolmas kiht (OSI kiht 3).
Avatud süsteemide sidumise arhitektuuri kolmas kiht (L3) tegeleb sõnumite marsruutimisega võrgus, mille kõige levinumaks protokolliks on IP (Internetiprotokoll).
Internetiporotokoll (IP) on peamine sideprotokoll, mida järgitakse pakettide saatmisel internetis kasutatavate võrguseadmete vahel (peamisteks ülesanneteks marsruutimine ning loogiline adresseerimine) – see defineerib viisi, kuidas grupp eraldiseisvaid võrke saavad töötada üksteisega, luues globaalse võrgu.
Peamiseid väljakutseid, mis siin esinevad VPN-ide pakkujatele on kui erinevad kasutajad kasutavad sama aadressi ruumi, eriti kui tegemist on IPv4 privaatsete aadressiruumidega. Teenuse pakkuja peab arusaama ning eristama kattuvaid aadresse mitmete kasutajate võrkudes.
Klassifitseerimine.
Virtuaalseid privaatvõrke võib klassifitseerida järgmiselt:
1) Teostuse järgi
a) punkt-punkti
b) eemalasuv VPN
2) OSI taseme järgi (avatud süsteemide sidumise arhitektuuri taseme põhjal)
a) kihid 4/7 VPN – "WebVPN" (võrguseadme kihid)
b) kiht 3 VPN – "IPSec. GREIPSec" (võrgukiht, paketi tasemel)
c) kiht 2 VPN – "L2TP, PPTP, MPPE" (kanalikiht, kaadri tasemel)
IPSec – on internetiprotokolli turvalisuse parandamiseks loodud protokollide kogu, mis tegeleb autentimise, krüpteerimise ja algoritmide kooskõlastamisega.
GRE – tunneldamise protokoll, mis on loodud Cisco süsteemide poolt, mis kapsuleerib paljusid võrgu taseme protokolle.
L2TP – tunneldamise protokoll, mis toetab VPN-e või kasutatakse teenuse edastamise osana interneti pakkujate poolt.
PPTP – punkt-punkti tunneldamise protokoll, mida varem kasutati VPN-ide jaoks, kuid omab paljusid teadaolevaid turvalisuse vigu.
MPPE – Microsofti punkt-punkti tunneldamise protokoll.
3) Usalduse baasil
a) Intranet VPN – firma sisevõrgul põhinev VPN
b) Extranet VPN – firma sisevõrgu laiendusel väljapoole firmat läbi interneti põhinev VPN
c) Eemalasuv VPN
Turvalisus.
VPN-id ei muuda internetiühendusi täiesti anonüümseteks, aga tavaliselt saab VPN-i kasutades suurendada oma privaatsust ja turvalisust. Privaatse informatsiooni avalikustamise vältimiseks lubavad virtuaalsed privaatvõrgud tavaliselt ainult autenditud kaugühendusi, kasutades tunneldamise protokolle ja krüpteerimistehnikaid.
Virtuaalsete privaatvõrkude turvalisuse mudel tagab:
a) konfidentsiaalsuse selliselt, et kui isegi võrgu liiklust uuritakse paketti tasemel, ei näe inimene, kes uuringut läbi viib, midagi muud kui krüpteeritud informatsiooni.
b) saatja autentsuse, et välistada ilma volituseta kasutajate ligipääs virtuaalsesse privaatvõrku.
c) teabe rikkumatuse, et avastada kõik juhtumid, kus üritati teavet muuta saatmise ajal.
Turvaliste virtuaalsete privaatvõrkude protokoll sisaldab järgmist:
Krüpteerimata tunnelid.
Mõned virtuaalsed võrgud kasutavad tunneldamise protokolle ilma andmevoogu krüpteerimata, et kaitsta informatsiooni privaatsust. Kuigi VPN-id tihti kannavad turvalisuse eest hoolt, ei tähenda see seda, et krüpteerimata tunnelid kategoriseeruksid "Turvaliste ja usaldatud" kategooriase. Selle näiteks võib tuua tunneli, mis on loodud kahe punkti vahel, mis kasutab GRE protokolli on tõesti virtuaalne privaatvõrk, kuid see pole turvaline, ega usaldatav.
Tavaliselt krüpteerimata tunnelid kasutavad siiski tunneldaise protokolli Layer 2 Tunneling Protocol (L2TP), kui tunnelil pole seatud protokolliks IPsec'i ja Punkt-punkti tunneldamise protokolli (PPTP) või Microsofti punkt-punkti krüpteeritud protokolli (MPPE)
Usaldatud tarnevõrgud.
Usaldatud VPN-id ei kasuta krüptograafilist tunneldamist ja selle asemel toetuvad ühe teenuse pakkuja võrgu turvalisusele, et kaitsta andmevoogu.
Turvalisuse aspektist võttes peavad VPN-id kas usaldama tarnevõrku või kehtestama enda turvalisuse viisid, ehitades need VPN-i sisse. Välja arvatud juhul, kui tarnevõrk on seotud füüsiliselt turvaliste lehtede vahel. Mõlemad viisid nii usaldatud kui ka turvaliseks muudetud mudelid vajavad autentimise mehhanismi, et kasutaja saaks VPN-iga ühendust.
Marsruutimine.
Tunneldamise protokollidel on võimalus töötada punkt-punkti võrgu topoloogial, mis teoreetiliselt tähendaks, et neid ei saaks klassifitseerida VPN-idena – VPN definitsiooni põhjal on eeldatud, et VPN toetab omavolilisi ja muutuvaid võrgu sõlmesi – kuid kuna enamik populaarseid ja enim levinud ruutereid soosib ja toetab tarkvaraliselt defineerituid tunneliliideseid, siis tavakasutajate lepingulised VPN-id tihti ongi defineeritud tunnelite kogud, mis töötavad laialdaselt levinud tunneldamise protokollidel.
VPN-i seadeldised pakkujalt kasutajale.
Olenevalt sellest, mis tasemel VPN-i teenuse pakkuja töötab [kas ("L2" – kanalikiht, kaadri tasemel")" või ("L3" – võrgukiht, paketi tasemel")]" on aluskihid, millel kõik töötab, erinevad ning nad kas kehtivad L2 või L3 kohta või siis sisaldavad mõlemat kihti, nii L2 kui ka L3, mida kutsutakse hulgiprotokoll-siltkommutatsiooniks, mis hajutabki piirid L2 ja L3 kihi kuuluvuse vahel.
– seadeldis, mis asub kasutaja enda võrgus ja ei ole otseselt ühendatud teenusepakkuja võrku. C seadeldised ei oma teavet virtuaalse privaatvõrgu kohta.
– seadeldis, mis asub kasutaja võrgu äärepunktis. Selle seadeldise kaudu saab VPN ligipääsu kasutaja võrku (ruuter, kommutaator). Olenevalt teenusepakkujast on need seadeldised modifitseeritavad tarkvaraliselt kasutaja poolt.
– P seadeldis on seadeldis, mis eksisteerib teenuse pakkuja peamises võrgus ning ei ole kuidagi nähtav kasutajale. Selleks võib olla näiteks seadeldis, mis tegeleb marsruutimisega teenuse pakkuja võrgu ja muude võrkude vahel (teiste teenuste pakkujate võrkudega). P seadeldis on küll asendamatu osa teenuse pakkuja võrgus, kuid P seadeldis ise ei oma teadmisi VPN-idest. Lisaks toimib see seadeldis PE seadeldiste ühispunktina.
– seadeldis või seadeldised, mis asuvad teenuse pakkuja võrgu äärseimas punktis, mis ühendub kasutaja võrku läbi CE seadeldise. PE seadeldised on teadlikud VPN olemasolust, mis läbi nende ühendub väljapoole, ning lubavad VPN-idel eksisteerida.
Autentimine.
Tunneli algus- ja lõpupunkt peavad olema autenditud enne, kui turvaline VPN tunnel saadakse luua.
Kasutaja tehtud kaug-VPN-d võivad kasutada selleks salasõnu, biomeetrilist krüpteeringut, kaheastmelist autentimist või muid krüpteerimismeetodeid.
Võrk-Võrgu tunnelid kasutavad tihti salasõnu või digitaalseid sertifikaate. Need sertifikaadid salvestavad võtme jäädavalt, seega on võimalik tunnel luua automaatselt, ilma administraatori abita.
Virtuaalsed privaatvõrgud mobiilses keskkonnas.
Mobiilset virtuaalset privaatvõrku kasutatakse olukorras, kus VPN-i lõpp-punkt pole fikseeritud ühegi kindla IP-aadressiga, vaid selle asemel uitühendab mööda erinevaid võrke, nagu näiteks andmevõrgud mobiilsetelt pakkujatel või mööda erinevaid Wi-Fi pääsupunkte.
Mobiilseid VPN-e kasutatakse sageli seoses avalikkuse turvalisusega seotud situatsioonides, kus näiteks korrakaitse ohvitseridele tagatakse ligipääs missioonikriitiliste rakendustele – näiteks arvuti poolt abistatav dispetšer ja kurjategijate andmebaas, kui nad liiguvad mööda erinevaid mobiilseid alamvõrke.
Aina enam kasutavad mobiilseid VPN-e mobiilsed professionaalid, kes vajavad usaldusväärset ühendust. Mobiilseid VPN-e kasutatakse selleks, et muretult liikuda mööda erinevaid võrke ilma, et kaoks rakenduse ühendus või kaoks turvaline VPN-ühendus. Tavaline VPN ei suuda taluda selliseid sündmusi, sest kui tavalise VPN-võrgu tunnelit häiritakse, mille tõttu rakenduste ühendused katkevad, aeguvad või kaovad täielikult võib tagajärg olla VPN-i seadme enda kokku jooksmine.
Kokkuvõtteks võib öelda, et selle asemel, et loogiliselt "siduda kinni" võrgu üks lõpp-punkt kindla IP-aadressi külge, on iga tunnel "seotud kinni" permanentselt mobiilse VPN-i algataja IP külge antud seadme IP. Mobiilse VPN-i tarkvara tegeleb kõige vajalikuga – võrgu autentimise ja hoiab võrgu seansi üleval ilma, et mobiilse VPN-i kasutaja midagi aru saaks. Selleks, et seda suudetaks saavutada, loodi (HIP) "Host Identity Protocol".