VPN

Модель TCP/IP (RFC 1122)
Прикладний рівень
BGP DHCP DNS FTP Gopher GTP HTTP HTTPS IMAP IRC LDAP MGCP MQTT NNTP NTP POP3 RIP RPC RTCP RTP RTSP SDP SIP SMTP SNMP SOAP SSH STUN Telnet TLS/SSL VNC XMPP докладніше
Транспортний рівень
TCP UDP DCCP SCTP RSVP ECN докладніше
Мережевий рівень
IP IPv4 IPv6 ICMP ICMPv6 IGMP IPsec докладніше
Канальний рівень
ARP RARP NDP MPLS OSPF Tunnels (L2TP) MAC-адреса Ethernet DSL ISDN FDDI Драйвер докладніше

VPN (скорочення від англ. virtual private network — віртуальна приватна мережа) — узагальнена назва клієнт-серверних технологій, які дають змогу створювати віртуальні захищені мережі поверх інших мереж із нижчим рівнем довіри. VPN-тунель, який створюється між двома вузлами, дозволяє приєднаному пристрою чи користувачу бути повноцінним учасником віддаленої мережі і користуватись її сервісами — внутрішніми сайтами, базами, принтерами, політиками виходу в інтернет. Безпеку передавання інформації через загальнодоступні мережі реалізовано за допомогою шифрування, внаслідок чого створюється закритий для сторонніх канал обміну інформацією. Технологія дозволяє об'єднати декілька географічно віддалених мереж (або окремих клієнтів) у єдину мережу з використанням для зв'язку між ними непідконтрольних каналів. Багато провайдерів пропонують свої послуги як з організації VPN-мереж для бізнес-клієнтів, так і для виходу в інтернет.

Прикладом створення віртуальної мережі є інкапсуляція протоколу PPP в будь-який інший протокол — IP (цю реалізацію називають також PPTP — Point-to-Point Tunneling Protocol) або Ethernet (PPPoE). Деякі інші протоколи також надають можливість формування захищених каналів (SSH).

Коли використовують архітектуру VPN

Мета віртуальних приватних мереж полягає в тому, щоб дозволити мережевим хостам (ПК, серверам тощо) обмінюватися мережевими повідомленнями з приватним вмістом через іншу мережу, ніби вони є частиною тієї ж мережі, так, щоб зробити перетин із мережею-носієм повністю прозорим, починаючи з певного рівня і вище.

Користувачі, які є клієнтами постачальника послуг підключення до мережі, вважають таку мережу ненадійною, оскільки вона контролюється третьою стороною, і, як правило, хочуть створювати VPN із застосуванням протоколів, які забезпечують захист конфіденційності їхнього спілкування.

У протилежному випадку VPN надає постачальник, завдяки чому в ненадійній мережі частина власної мережевої інфраструктури ізолюється у віртуальних сегментах так, щоб вміст кожного сегмента був закритим відносно інших. Це робить придатними для побудови PPVPN багато інших протоколів тунелювання, навіть зі слабкими функціями безпеки або без них (наприклад, у VLAN).

Структура VPN

Класифікація VPN

VPN складається з двох частин: «внутрішня» (підконтрольна) мережа, яких може бути кілька, і «зовнішня» мережа, через яку проходять інкапсульовані з'єднання (зазвичай використовують інтернет).

Можливе також під'єднання до віртуальної мережі окремого комп'ютера.

Віддалений користувач з'єднується з VPN за допомогою сервера доступу, підключеного як до внутрішньої, так і до зовнішньої (загальнодоступної) мережі. При підключенні віддаленого користувача (або при встановленні з'єднання з іншою захищеною мережею) сервер доступу вимагає проходження процесу ідентифікації, а потім процесу автентифікації. Після успішного завершення обох процесів, віддалений користувач (віддалена мережа) отримує повноваження для роботи в мережі, тобто відбувається процес авторизації.

Принцип роботи VPN

Фактична робота VPN залежить від того, на яких технологіях і протоколах вона побудована. Для передавання мережевих повідомлень з одного боку на інший використовують протоколи тунелювання. Їхня мета — отримувати мережеві повідомлення від застосунків (які працюють на рівні 7 OSI) на одному боці тунелю та відтворювати їх на іншому боці, вони фактично замінюють нижчі рівні мережі або зв'язку. Щоб повідомлення програм проходили через VPN, немає потреби змінювати пограми, оскільки віртуальна мережа або посилання доступні для ОС.

Програми, які реалізують функції тунелювання або проксі-сервера для себе, не роблячи такі функції доступними як мережевий інтерфейс, не вважаються реалізаціями VPN, але можуть частково відповідати тій самій або подібній меті кінцевого користувача щодо обміну приватним вмістом із віддаленою мережею (наприклад, перегляд інтранету через автентифікований проксі).

Класифікація

За типом використовуваного середовища VPN поділяють на захищені та довірчі.

Захищені

Найпоширеніший варіант віртуальних приватних мереж. З його допомогою можна створити надійну та захищену підмережу на основі ненадійної мережі, зазвичай, інтернету. Прикладом захищених протоколів VPN є: IPsec, SSL та PPTP. Прикладом використання протоколу SSL є програмне забезпечення OpenVPN.

Довірчі

Використовують у випадках, коли середовище, яким передають дані, можна вважати надійним і потрібно розв'язати лише завдання створення віртуальної підмережі в рамках більшої мережі. Питання безпеки стають у цьому разі неактуальними. Прикладами подібних VPN-рішень є: MPLS і L2TP. (Коректніше сказати, що ці протоколи перекладають завдання забезпечення безпеки на інших, наприклад L2TP, як правило, використовують разом з IPsec).

Конфігурації топології VPN

Дерево класифікації VPN спочатку за топологією, а потім — за використовуваною технологією

Схема з'єднаннь VPN, де показано одночасне використання конфігурації інтранету «місце-місце» і конфігурації віддаленої роботи

Конфігурації віртуальних приватних мереж можна класифікувати залежно від призначення віртуального розширення, що робить різні стратегії тунелювання відповідними для різних топологій:

Віддалений доступ

Конфігурація «хост-мережа» аналогічна приєднанню одного чи кількох комп'ютерів до мережі, до якої неможливо підключитися безпосередньо. Цей тип розширення забезпечує доступ комп'ютера до віддаленої локальної мережі або будь-якої ширшої корпоративної мережі, наприклад інтранету. Кожен комп'ютер відповідає за активацію власного тунелю до мережі, до якої він хоче приєднатися. Приєднана мережа знає лише про один віддалений хост для кожного тунелю. Це може бути використано для віддалених працівників або для надання людям доступу до їхніх приватних домашніх чи корпоративних ресурсів без доступу до загальнодоступного інтернету. Тунелі віддаленого доступу можуть працювати як на вимогу, так і постійно. Правильна реалізація цієї конфігурації вимагає, щоб віддалений хост ініціював зв'язок із центральною мережею, до якої він має доступ, оскільки місцезнаходження віддаленого хоста зазвичай невідоме центральній мережі, доки він не спробує до неї приєднатися.

Місце-місце

Конфігурація «місце-місце» з'єднує дві мережі. Ця конфігурація розширює мережу в географічно розрізнених місцях. Тунелювання здійснюється лише між двома пристроями (наприклад, маршрутизаторами, брандмауерами, шлюзами VPN, серверами тощо), розташованими в обох мережевих розташуваннях. Потім ці пристрої роблять тунель доступним для інших хостів локальної мережі, яким потрібно досягти будь-якого хоста з іншого боку. Це корисно, щоб підтримувати стабільний зв'язок місць між собою, наприклад, мережі офісу з головним офісом або центром обробки даних. У цьому випадку будь-яку сторону можна налаштувати на ініціювання зв'язку, якщо вона знає, як зв'язатися з іншою стороною всередні мережі. Якщо обидві сторони відомі одна одній, а вибраний протокол VPN не прив'язаний до дизайну клієнт-сервер, зв'язок може ініціювати будь-хто з двох, щойно вони побачать, що VPN неактивний або якийсь локальний хост намагається зв'язатися з іншим один, про який відомо, що він розташований на іншому боці.

У контексті конфігурацій типу «місце-місце» терміни інтранет і екстранет описують два різні випадки використання. VPN типу «місце-місце» в інтранеті описує конфігурацію, в якій місця, з'єднані через VPN, належать одній організації, тоді як VPN типу «місце-місце» в екстрамережі об'єднує місця, що належать кільком організаціям.

Як правило, окремі особи взаємодіють із мережами VPN віддаленого доступу, тоді як компанії використовують з'єднання «місце-місце» для сценаріїв «бізнес до бізнесу», хмарних обчислень і філій. Однак ці технології не є взаємовиключними, і в дуже складній бізнес-мережі їх можна поєднувати, щоб забезпечити віддалений доступ до ресурсів, розташованих на будь-якому конкретному місці, наприклад, система замовлення, розміщена в центрі обробки даних.

Окрім загальної конфігурації топології, VPN також характеризують:

• протокол тунелювання, який використовується для тунелювання трафіку;
• розташування кінцевої точки тунелю, наприклад, на межі клієнта або межі постачальника мережі;
• надані функції безпеки;
• рівень OSI, який вони надають для з'єднувальної мережі, наприклад зв'язок/пристрій рівня 2 або підключення до мережі рівня 3;
• кількість одночасно дозволених тунелів;
• відносини між суб'єктом, який реалізує VPN, і власником/провайдером мережевої інфраструктури, і чи довіряє перший середовищу другого, чи ні.

Для адаптації до наведених вище характеристик існує багато технологій VPN, кожна з яких забезпечує різні можливості мережевого тунелювання та різне покриття або інтерпретацію моделі безпеки.

VPN-міст

VPN-міст, показаний на різних рівнях реалізації OSI

Зазвичай, при створенні VPN використовують приєднання типу «точка-точка» до певного сервера, або встановлення ethernet-тунелю з певним сервером, при якому тунелю призначають певну підмережу. Сервер VPN при цьому виконує функції маршрутизації та фільтрування трафіку для доступу до локальної мережі через VPN.

За використання такого підходу все ще є можливість фільтрувати трафік через спосіб під'єднання (наприклад, використовувати для локальної мережі та для віддалених користувачів різні фільтри), але усунуто потребу налаштування маршрутизації, а віддалені машини включаються прямо в локальну мережу, бачать ресурси, навіть спроможні використовувати широкосмугові посилки взагалі без додаткового налаштування. Через таку VPN у них відображаються всі комп'ютери локальної мережі Windows, усі доступні XDMCP-сервери при XDMCP broadcast.

Реалізація

Існують реалізації віртуальних приватних мереж під TCP/IP, IPX і AppleTalk. Нині^[коли?] спостерігається тенденція до загального переходу на протокол TCP/IP, і абсолютна більшість VPN рішень підтримує саме його. Адресація в ньому найчастіше вибирається згідно зі стандартом RFC 5735, з діапазону приватних мереж TCP/IP^{[уточнити]}.

Зазвичай VPN утворюють на рівнях не вище мережевого, бо застосування криптографії на цих рівнях дозволяє використовувати в незмінному вигляді транспортні протоколи (такі як TCP, UDP). Користувачі Microsoft Windows позначають терміном VPN одну з реалізацій віртуальної мережі — PPTP, причому її частіше використовують не для створення приватних мереж.

Найчастіше для створення віртуальної мережі використовують інкапсуляцію протоколу PPP в який-небудь інший протокол — IP (такий спосіб використовує реалізація PPTP — англ. Point-to-Point Tunneling Protocol) або Ethernet (PPPoE) (хоча і вони мають відмінності). Технологію VPN останнім часом^[коли?] використовують не тільки для створення приватних мереж: деякі провайдери на пострадянському просторі надають за її допомогою вихід у інтернет.

Протоколи VPN

Фази життєвого циклу тунелю IPSec у віртуальній приватній мережі

Віртуальна приватна мережа заснована на протоколі тунелювання та може бути поєднана з іншими мережевими або програмними протоколами, що забезпечує додаткові можливості та реалізації іншої моделі безпеки.

• Internet Protocol Security (IPSec) група Internet Engineering Task Force (IETF) розробила для IPv6, він був обов'язковим у всіх реалізаціях IPv6, що відповідають стандартам, доти, RFC 6434 зробив його лише рекомендованим. Цей протокол безпеки також широко використовується з IPv4. Його дизайн відповідає більшості вимог безпеки: доступність, цілісність та конфіденційність. IPSec використовує шифрування, інкапсулюючи IP-пакунок у пакунку IPSec. Деінкапсулювання відбувається в кінці тунелю, де початковий IP-пакунок розшифровується і пересилається за призначенням. Тунелі IPSec налаштовуються за протоколом Internet Key Exchange (IKE). Тунелі IPSec, створені за допомогою IKE версії 1 (також відомі як тунелі IKEv1 або часто просто «тунелі IPSec»), можуть самостійно забезпечувати VPN, але часто їх поєднують із протоколом тунелювання рівня 2 (L2TP). Їх комбінація дала змогу повторно використовувати наявні реалізації, пов'язані з L2TP, для гнучкіших функцій автентифікації (наприклад, Xauth), що бажано для конфігурацій віддаленого доступу. Ike версії 2, який створили Microsoft і Cisco, може використовуватися окремо для забезпечення функціональності IPSec VPN. Його основними перевагами є вбудована підтримка автентифікації за протоколом розширюваної автентифікації (EAP) і те, що тунель можна легко відновити після зміни IP-адреси відповідного хоста, що типово для мобільних пристроїв у роумінгу, або в мережах 3G чи 4G LTE. IPSec також підтримують багато мережевих апаратних прискорювачів, що робить IPSec VPN бажаним для сценаріїв з низьким енергоспоживанням, таких як конфігурації VPN з постійним віддаленим доступом.
• Transport Layer Security (SSL/TLS) може тунелювати трафік усієї мережі (як це робиться в проєктах OpenVPN і SoftEther VPN) або забезпечувати безпеку окремого з'єднання. Низка постачальників надають можливості віддаленого доступу до VPN через TLS. До VPN на основі TLS можна без додаткових налаштувань підключатися з місць, де підтримується звичайна веб-навігація за протоколом TLS (HTTPS).
• Datagram Transport Layer Security (DTLS) — використовується в Cisco AnyConnect VPN і OpenConnect VPN для розв'язння проблем, пов'язаних з тунелюванням TLS за протоколом TCP (SSL/TLS засновані на протоколі TCP, і тунелювання TCP через протокол TCP може призвести до значних затримок і переривання з'єднання).
• Microsoft Point-to-Point Encryption (MPPE) працює з протоколом тунелювання «точка-точка» і в декількох сумісних реалізаціях на інших платформах.
• Microsoft Secure Socket Tunneling Protocol (SSTP) тунелює трафік за протоколом «точка-точка» (PPP) або протоколом тунелювання рівня 2 через канал SSL/TLS (SSTP представлено у Windows Server 2008 і Windows Vista з пакунком оновлень 1).
• Багатопроменева віртуальна приватна мережа (англ. Multi Path Virtual Private Network; MPVPN). Зареєстрована торговельна марка «MPVPN» належить компанії-розробнику Ragula Systems^[коли?]
• Secure Shell (SSH) VPN — OpenSSH пропонує тунелювання VPN (на відміну від переадресування портів) для забезпечення безпеки віддалених підключень до мережі, міжмережевих з'єднань і віддалених систем. Сервер OpenSSH забезпечує обмежену кількість паралельних тунелів. Сама функція VPN не підтримує особистої автентифікації. SSH частіше використовують, замість VPN-з'єднання між місцями, для віддаленого підключення до комп'ютерів або мереж.
• Протокол WireGuard. 2020 року його підтримку додано в ядра як Linux, так і Android, що відкрило можливість його впровадження VPN-провайдерами. Типово WireGuard використовує протокол Curve25519 для обміну ключами і ChaCha20-Poly1305 для шифрування та автентифікації повідомлень, але також включає можливість попереднього обміну симетричним ключем між клієнтом та сервером.
• OpenVPN — безкоштовний протокол VPN з відкритим кодом, заснований на протоколі TLS. Підтримує ідеальну пряму секретність і більшість сучасних захищених наборів шифрів, таких як AES, Serpent, TwoFish тощо. Нині його розробляє та оновлює OpenVPN Inc., неприбуткова організація, що надає безпечні технології VPN.
• Crypto IP Encapsulation (CIPE) — безкоштовна реалізація VPN із відкритим кодом для тунелювання пакцнуів IPv4 в UDP за допомогою інкапсулювання. Для операційних систем Linux CIPE розробив Олаф Тітц, а порт для Windows реалізував Даміон К. Вілсон. Розробку CIPE завершено 2002 року.
• PPTP (англ. Point-to-point tunneling protocol) — розроблено спільними зусиллями декількох компаній, включно з Microsoft.
• PPPoE або PPP (англ. Point-to-Point Protocol over Ethernet)

Мережі з надійною доставкою

Довірені VPN не використовують криптографічного тунелювання, оскільки покладаються щодо захисту трафіку на безпеку мережі одного провайдера.

• Multiprotocol Label Switching (MPLS) часто накладає VPN, часто з контролем якості обслуговування, через надійну мережу доставки.
• L2TP, який є заміною на основі стандартів і компромісом, який бере хороші характеристики від кожного з двох власницьких протоколів VPN: Cisco Layer 2 Forwarding (L2F) (не рекомендований від 2009 року) і PPTP від Microso ft.

Щодо безпеки, VPN має або довіряти базовій мережі доставки, або забезпечувати захист за допомогою механізму в самій VPN. Крім випадків, коли надійна мережа доставки працює лише між фізично захищеними місцями, і надійним, і безпечним моделям потрібен механізм автентифікації, щоб користувачі могли отримати доступ до VPN^{[джерело?]}.

VPN у мобільних середовищах

Мобільні віртуальні приватні мережі використовують тоді, коли кінцева точка VPN не прив'язана до однієї IP-адреси, а переміщується між мережами, такими як мережі передавання даних від операторів стільникового зв'язку, або між кількома точками доступу Wi-Fi, не припиняючи захищеного сеансу VPN або втрати сеансів. Мобільні VPN широко використовують у громадській безпеці, де вони дають співробітникам правоохоронних органів доступ до комп’ютерної диспетчерської служби та кримінальних баз даних, а також у інших організаціях із подібними вимогами, наприклад, керуванні польовими службами та охороні здоров'я.

Мережеві обмеження

Обмеження традиційних VPN полягає в тому, що вони є з'єднаннями «точка-точка» і не мають тенденції підтримувати широкомовні домени; отже зв'язок, програмне забезпечення та мережа, які ґрунтуються на рівні 2 і широкомовних пакунках, наприклад NetBIOS, що використовується в мережах Windows, можуть не підтримуватися повністю, як у локальній мережі. Для подолання цього обмеження призначені такі варіанти VPN, як VPLS і протоколи тунелювання рівня 2.

Приховані функції та можливості

У червні 2023 року з'явилося повідомлення, що версія популярного застосунку Swing VPN — Fast VPN Proxy для Android є ботнетом і виконує DDoS-атаки. За словами експерта, програма, розроблена Limestone Software Solutions, автоматично перетворює смартфон на хакерський інструмент. Незвичну активність помітив дослідник мережі Lecromee — його телефон постійно надсилав запити на певний вебсайт кожні 10 секунд. Програма нібито використовувала різні тактики, щоб приховати свої шкідливі дії і щоб атака залишалася непоміченою. З'ясувалося, що всі запити надсилалися з програми Swing VPN, встановленої на телефон. Експерт дізнався, що застосунок визначає справжню IP-адресу користувача відразу після встановлення, вибору мови та прийняття «Політики конфіденційності».

Блокування

РФ входить до трійки світових лідерів за кількістю завантажень застосунків, що дають змогу обходити блокування. Відповідно, Роскомнадзор від 1 березня 2024^{[уточнити]} року планує блокувати всі VPN-сервіси в країні.

Див. також

• VLAN

Література

• Иванов М. А. Криптографические методы защиты информации в компьютерных системах и сетях. — М. : КУДИЦ-ОБРАЗ, 2001. — 368 с.
• Кульгин М. Технологии корпоративных сетей. Энциклопедия. — СПб. : Питер, 2000. — 704 с.
• Олифер В. Г., Олифер Н. А. Компьютерные сети. Принципы, технологии, протоколы : учебник для вузов. — СПб. : Питер, 2001. — 672 с.
• Романец Ю. В., Тимофеев П. А., Шаньгин В. Ф. Защита информации в компьютерных системах и сетях. — 2-е изд. — М. : Радио и связь, 2002. — 328 с.
• Столлингс В. Основы защиты сетей. Приложения и стандарты = Network Security Essentials. Applications and Standards. — М. : «Вильямс», 2002. — 432 с. — ISBN 0-13-016093-8.

Посилання

• B. Gleeson, A. Lin, J. Heinanen (02.2000). A Framework for IP Based Virtual Private Networks (RFC 2764). ietf.org (англ.). Архів оригіналу за 28 квітня 2010. Процитовано 30 грудня 2010.
• Dru Lavigne. VPN и IPSec на пальцах. nestor.minsk.by (рос.). Архів оригіналу за 19 лютого 2011. Процитовано 30 грудня 2010.
• Dr. Moritz Meyer. Was ist VPN. vpnwelt.com (нім.). Архів оригіналу за 7 серпня 2021. Процитовано 7 серпня 2021.
• Як працює VPN — відео Tokar.ua