شبکه های خصوصی مجازی (VPN) و پروتکل های موجود در آن

مقاله شبکه های خصوصی مجازی VPN

در این مقاله به معرفی VPN یا شبکه های خصوصی مجازی پرداخته و توضیحاتی در مورد نحوه عمکرد آن را بیان می کنیم و در ادامه انواع پروتکل های VPN را آورده و توضیحاتی در مورد آنها ارائه می دهیم.

مقدمه ای بر شبکه های خصوصی مجازی یا VPN :

در چند ساله اخیر، شرکت های چند ملیتی به مزایای استفاده اشتراکی از داده ها از طریق شبکه های کامپیوتری گسترده پی برده اند. امروزه با استفاده از فن آوری VPN ها (Virual Private Network) امکان استفاده از مزایای استفاده اشتراکی داده ها برای کلیه شرکت ها، حتی شرکت های کوچک فراهم شده است. درحالت عادی، چنانچه شرکتی دارای سایت های کامپیوتری متعدد در نقاط مختلفی از دنیا باشد، امکان استفاده اشتراکی از داده ها بین شعبات مختلف شرکت وجود ندارد. به عنوان مثال در شکل زیر چهار سایت کامپیوتری مختلف یک شرکت که در نقاط گوناگون قرار دارند، نشان داده شده است.

شکل 1: سایت های کامپیوتری مجزا از یکدیگر

به خاطر عدم وجود اتصال های لازم بین سایت های کامپیوتری فوق، امکان استفاده اشتراکی از داده ها برای سایت های کامپیوتری وجود ندارد. با استفاده از خطوط استیجاری، مبادله مستقیم داده ها بین کامپیوتر های مختلف سایت های کامپیوتری فراهم می آید که این مسئله در شکل زیر نشان داده شده.

شکل 2: اتصال سایت های کامپیوتری مجزا از یکدیگر به وسیله خطوط استیجاری

حتی بعد از گسترش اینترنت و امکان استفاده از آن به خاطر قیمت پایین تر نسبت به خطوط استیجاری، به خاطر مشکلات امنیتی موجود در اتصال های اینترنتی، شرکت ها همچنان مایل به استفاده از خطوط گران قیمت استیجاری برای مبادلات داده های خود بودند. اخیراً با استفاده از فن آوری VPN امکان مبادلات تجاری امن بین کامپیوتر های شبکه با استفاده از بستر اینترنت فراهم شده است.

VPN ها قادر به برقراری اتصالات خصوصی تونل بین سایت های کامپیوتری مختلف شرکت ها در بستر اینترنت می باشند. تونل های فوق درست مشابه خطوط استیجاری می باشند با این تفاوت که هزینه تونل های خصوصی VPN به مراتب کمتر از خطوط استیجاری است. طبق آمار موجود VPN ها باعث صرفه جویی 30 تا 70 درصدی هزینه نسبت به خطوط استیجاری می شوند. برخلاف خطوط استیجاری گران قیمت، با استفاده از رمزنگاری های قوی داده های کامپیوتر ها به طور امن از طریق VPN ها مبادله می شود، طوری که نه تنها نفوذگران اینترنت بلکه خود ISP ها نیز قادر به استراق سمع داده ها نخواهند بود.

امروزه سازمان های مختلف با استفاده از دیواره های آتش از دسترسی غیر مجاز افراد خارج از شبکه به منابع کامپیوتری سازمان خود جلوگیری می کنند. البته دیواره های آتشین قادر به تشخیص و جدا سازی افراد خارجی مجاز و همچنین کارمندان و همکاران تجاری شرکت ها از افراد خارجی غیر مجاز نمی باشند.

مطابق با شکل بالا دیواره های آتشین مدرن، بدون آن که امنیت داده های سایت های کامپیوتری به خطر بیافتد قادر به برقراری ارتباط های VPN بین سایت های مختلف می باشند. فن آوری های مدرن شبکه های خصوصی مجازی VPN با استفاده از روش های رمز نگاری جدید قادر به اتصال سایت های کوچک و بزرگ به یکدیگر از طریق اینترنت می باشد طوری که کاربران راه دور به همان کیفیت کاربران محلی قادر به استفاده از منابع شبکه می باشند. به عنوان مثال کاربران راه دور مشابه کاربران محلی قادر به استفاده از داده های موجود در سرویس دهنده های وب هستند.

شکل 3: اتصال سایت های کامپیوتری مجزا از یکدیگر به وسیله VPN

با استفاده از رمزنگاری، امکان مخفی سازی اطلاعات محرمانه نظیر رمز عبور و داده های داخل پست های الکترونیکی وجود دارد.

رمز نگاری VPN متشکل از دو بخش زیر است:

1. الگوریتم رمزنگاری
2. کلید رمزنگاری

معمولاً الگوریتم رمزنگاری دانش عمومی بوده و همه از روش آن آشنا هستند، ولی کلید رمزنگاری همواره مخفی می باشد. الگوریتم های رمزنگاری نوین مثل الگوریتم رمزنگاری DES از کلید رمز 112 بیتی یا بیشتر استفاده می کنند.

امنیت داده های رمز شده به امنیت کلید رمز بستگی دارد. هنگامی که دو سایت در مورد پیاده سازی VPN به توافق رسیدند، کلید های رمز خود ارتباط های مطمئن امکان تبادل داده های تجاری و محرمانه وجود دارد VPN های مدرن امروزه نیازی به فن آوری های محرمانه ندارند، بلکه با استفاده از سخت افزار ها و نرم افزار هایی که به راحتی قابل نصب می باشند، امکان استفاده از VPN وجود دارد همچنین نصب VPN نیازی به تغییر در پیکره بندی سرویس دهنده های شبکه ندارد. سربار اضافی عملیات رمز نگاری VPN در شبکه به دیواره های آتش و مسیریاب های شبکه منتقل می شود و به سرویس دهنده شبکه بار اضافی تحمیل نمی شود.

پروتکل امنیتی اینترنت IPSEC

امروزه در اکثر محصولات شبکه های خصوصی مجازی VPN از پروتکل امنیتی IPSEC برای افزایش اطمینان شبکه استفاده می شود. IPSEC از فناوری امنیتی جامعی استفاده می کند. IPSEC برای برنامه های کاربردی موجود امکانات محافظتی شفافی فراهم می آورد، طوری که بدون نیاز به اعمال تغییرات نرم افزاری در برنامه های کار بردی موجود، امکان محافظت پیام های آنها وجود در شکل زیر جایگاه پروتکل IPSEC در معماری TCP/ IP نشان داده شده است.

شکل 4: جایگاه پروتکل IPSEC

 قابلیت های حفاظتی IPSEC برای پیام های ارسالی :

1. رمزنگاری
2. تصدیق هویت
3. حفظ تمامیت و درستی داده ها

همان طور که قبلاً اشاره شد، رمزنگاری باعث پنهان ساختن محتویات پیام می گردد. تصدیق هویت باعث می شود که هویت فرستنده پیام مورد تایید و تصدیق گیرنده قرار گیرد. حفظ تمامیت و درستی داده ها، مانع دست کاری کردن تمام  یا بخشی از پیام توسط افراد غیر مجاز می شود. این سه قابلیت حفاظتی IPSEC مانع از دزدی و سرقت داده ها می شود.

بر اساس میزان گستردگی شبکه، نحوه استفاده از محصولات IPSEC متفاوت می باشد. سایت های بزرگ از پروتکل IPSEC که در داخل دیواره آتش قرار دارد، برای محافظت اتصال های اینترنتی خود استفاده می کنند. سایت های کوچکتر می توانند از پروتکل IPSEC که داخل مسیریاب شبکه مخفی شده است، استفاده نمایند. کاربران انفرادی در ادارات کوچک و یا منازل می توانند از نسخه های رومیزی، پروتکل IPSEC بر روی کامپیوتر های خود استفاده کنند. تنها در صورتی که ترافیک ورودی به شبکه از یک کاربر و یا سایت مورد تأیید تولید شده باشد، IPSEC اجازه ورود آن را به شبکه سازمان می دهد.

سیر تکاملی IPSEC

امروزه IPSEC، به یکی از مهمترین پروتکل های امنیتی رایج مورد استفاده در صنعت تبدیل شده است در سال 1980 آژانس امنیتی ملی آمریکا، به منظور توسعه و ایجاد پروتکل های همه منظوره امنیتی شبکه، شروع به اجرای پروژه ای به نام SDNS نمود. در اوایل سال 1990 چندین شریک اولیه SDNS با همکاری یکدیگر اقدام به توسعه و طراحی پروتکل امنیتی جدیدی برای پروتکل IPV6 نمودند، به خاطر رواج بییشتر پروتکل IPV4 نسبت به IPV6 پروتکل امنیتی طراحی شده برای استفاده در IPV4 وفق داده شد.

در سال 1990 پروتکل IPSEC ارائه گردید. بعد از آن تحقیقات و مطالعات زیادی برای تجدید نظر و توسعه و تکامل بیشتر پروتکل IPSEC انجام شد پروتکل IKE برای مدیریت اتوماتیک کلیدهای رمز نگاری در IPSEC مورد تائید قرار گرفت. تمام باز نگری های اعمال شده بر روی پروتکل IPSEC از طریق کمیته های استاندارد گزاری کنترل و نظارت می شود. IPSEC قادر به استفاده در دیواره های آتشین و مسیریاب های متعدد می باشد. برای بررسی سازگاری محصولات، اکثر تولید کنندگان دیواره آتشین و پروتکل های مسیریابی شبکه اقدام به برگزاری آزمایش های تست سازگاری محصولات خود می نمایند. امروزه از IPSEC در سیستم عامل های ویندوز 2000 استفاده می شود.

پیاده سازی IPSEC VPN

1. سایت به سایت
2. سرویس گیرنده /سرویس دهنده
3. ترکیب هر دو روش

VPN های سایت به سایت از دو یا چند سایت جدا از هم که با استفاده از VPN به یکدیگر متصل شده و از داده های یکدیگر به صورت اشتراکی استفاده می کنند، تشکیل شده است. VPN های مبتنی بر مدل سرویس گیرنده / سرویس دهنده از تعدادی کاربر راه دور که از طریق اینترنت به سایت مرکزی (سرویس دهنده) متصل هستند، تشکیل می شوند. مطابق با شکل زیر در VPN های سایت به سایت هر سایت از طریق یک دیواره آتش به اینترنت اتصال یافته از دیواره آتش به همراه Ipsec برای محافظت داده های مبادله شده بین سایت ها استفاده می شود.

برای برقراری VPN های سایت به سایت، هر سایت نیاز به اتصال اینترنت به همراه دیواره های آتش با قابلیت IPSEC VPN دارد. برای برقراری اتصال های رمز شده مطمئن بین سایت ها، بر اساس پروتکل IKE سایت ها باید اعتبار نامه های رمزنگاری خود را بین یکدیگر مبادله نمایند. در شکل زیر ساختار VPN های مبتنی بر مدل سرویس گیرنده / سرویس دهنده نشان داده شده است. در این ساختار یک سایت VPN با استفاده از پروتکل IPSEC اقدام به برقراری ارتباط های مطمئن با یک یا چند سرویس گیرنده انفرادی می کند. هر دو طرف سرویس دهنده و سرویس گیرنده باید مجهز به نرم افزار انفرادی می کند IPSEC باشند.

شکل 5: اتصال سایت های کامپیوتری مجزا از یکدیگر به وسیله IPSEC VPN مبتنی بر اینترنت

شکل 6: VPN از نوع سرویس گیرنده / سرویس دهنده