Сурков Л.В. - Построение виртуальных частных сетей VPN в сетевой среде Windows Server 2008 или 2003 (1075631), страница 2
Текст из файла (страница 2)
Установив физическое соединение с местным ISP, клиент удаленного доступаинициирует VPN-соединение через Интернет с VPN-сервером своей организации. Послесоздания VPN-соединения клиент удаленного доступа может обращаться к ресурсамчастной интрасети. Схема удаленного доступа через Интернет показана на рисунке 3.туннельVPN-соединениеIntenetИнтрасетьISPРисунок 3Соединение сетей через ИнтернетМГТУ им. БауманаКафедра ИУ-65Сурков Л.В.Корпоративные сетиПрактикум «Построение виртуальных частных сетей VPNв сетевой среде Windows Server 2008/2003» Rev. 2010Когда сети соединяются через Интернет (рисунок 4) один маршрутизаторпересылает пакеты другому по VPN-соединению. С точки зрения маршрутизаторов, VPNдействует как канальный уровень сети.Соединение сетей с использованием выделенных WAN-каналов.Маршрутизаторы офисов подключаются не через дорогостоящий междугородныйвыделенный WAN-канал, а через Интернет с использованием локальных выделенныхWAN-каналов связи с местными ISP.
VPN-соединение инициируется одним измаршрутизаторов. После соединения маршрутизаторы могут пересылать друг другулюбой трафик.Соединение сетей с использованием коммутируемых WAN-каналов.Маршрутизатор филиала — вместо того чтобы связываться с корпоративным илиаутсорсинговым сервером доступа в сеть (NAS) по междугородной или международнойтелефонной линии — звонит местному ISP.
Используя соединение с местным ISP,маршрутизатор филиала инициирует межмаршрутизаторное VPN-соединение скорпоративным маршрутизатором-концентратором черен Интернет. Корпоративныймаршрутизатор-концентратор, выступающий в роли VPN-сервера, должен бытьподключен к местному ISP по выделенному WAN-каналу. Подробнее о настройке VPNсоединений, создаваемых на коммутируемом подключении с местным ISP, см. раздел«Адресация и маршрутизация при использовании виртуальных частных сетей» далее вэтой главе. Оба офиса можно подключить к Интернету по коммутируемым WAN-каналам,Но это реально, только если ISP поддерживает для своих заказчиков маршрутизацию ссоединением по требованию; в этом случае ISP, получив IP-дейтаграмму, которую нужнодоставить заказчику, вызывает его маршрутизатор. Такой сервис предоставляют лишьотдельные ISP.Рисунок 4VPN-соединения через интрасетиТакое VPN-соединение использует преимущества поддержки IP-соединений винтрасети организации.Удаленный доступ через интрасетьВ некоторых интрасетях информация, принадлежащая какому-либо отделу,например отделу кадров, настолько конфиденциальна, что соответствующий сегмент сетифизически отключается от остальной части интрасети организации.
Хотя этот способнадежно защищает конфиденциальную информацию, он создает проблемы с доступом кней для пользователей, не подключенных к отделенному сегменту сети. Применение VPNМГТУ им. БауманаКафедра ИУ-66Сурков Л.В.Корпоративные сетиПрактикум «Построение виртуальных частных сетей VPNв сетевой среде Windows Server 2008/2003» Rev. 2010соединений позволяет физически подключить сегмент сети отдела, имеющего дело сконфиденциальной информацией, к интрасети организации, но отделить его VPNсервером, который не обеспечивает прямое маршрутизируемое соединение междукорпоративной интрасетью и отделенным сегментом сети. Пользователи корпоративнойинтрасети с соответствующими разрешениями могут устанавливать с VPN-сервером VPNсоединения удаленного доступа и обращаться к защищенным ресурсам. Кроме того, вседанные, передаваемые по VPN-соединению, зашифровываются для обеспечения ихконфиденциальности.
Пользователям, не имеющим прав на установление такого VPNсоединения, отделенный сегмент сети просто не виден.Схема удаленного доступа через интрасеть показана на рисунке 5.Рисунок 5Соединение сетей через интрасетьИспользуя VPN-соединение между маршрутизаторами, Вы можете связать две сетичерез интрасеть. VPN-соединение этого типа очень удобно для организациикоммуникационного взаимодействия между двумя отделами, которые находятся в разныхгеографических точках и имеют дело с конфиденциальной информацией, например, чтобыбухгалтерия могла обмениваться с отделом кадров сведениями о заработной платесотрудников организации.Бухгалтерия и отдел кадров подключаются к общей интрасети через компьютеры,работающие в качестве VPN-клиентов или серверов. Как только VPN-соединениеустановлено, пользователи любой из двух сетей могут обмениваться конфиденциальнойинформацией через корпоративную интрасеть.Рисунок 6МГТУ им.
БауманаКафедра ИУ-67Сурков Л.В.Корпоративные сетиПрактикум «Построение виртуальных частных сетей VPNв сетевой среде Windows Server 2008/2003» Rev. 2010Комбинированные VPN-соединения через Интернет и интрасетиVPN-соединения — гибкое средство для создания защищенных подключений типа«точка-точка». Менее распространены комбинированные VPN-соединения, такженазываемые сквозными (pass-through VPN connection) (рисунок 7). Такое соединениепозволяет удаленному клиенту, подключенному к интрасети одной компании, получитьдоступ через Интернет к ресурсам интрасети другой компании.
В этом варианте VPNсоединение удаленного доступа достигает интрасети назначения через другую интрасеть иИнтернет. Подробнее о сквозных VPN-соединениях см. раздел «Сквозные VPNсоединения» далее в этой главе.Рисунок 7МГТУ им. БауманаКафедра ИУ-68Сурков Л.В.Корпоративные сетиПрактикум «Построение виртуальных частных сетей VPNв сетевой среде Windows Server 2008/2003» Rev. 2010Управление виртуальными частными сетямиУправление виртуальными частными сетями ничем не отличается от управлениялюбыми другими сетевыми ресурсами, и при использовании VPN-соединений (особенночерез Интернет) следует тщательно продумать систему безопасности.
Ответьте себе наследующие вопросы.1. Где должны храниться учетные данные пользователей?Первичном контроллере доменаНа сервере RADIUS2. Как будут назначаться адреса VPN-клиентам?DHCPЗаданный пул IP-адресов, DNS, WINS3. Кому разрешено создавать VPN-соединения?Для управления удаленным доступом следует настроить параметры входящихзвонков в свойствах пользовательских учетных записей и в соответствующих политикахудаленного доступа.Доступ по пользовательской учетной записиДоступ по принадлежности к группам4. Как VPN-сервер будет аутентифицировать пользователя, пытающегося установитьVPN-соединение?Windows-аутентификацияRADIUS-аутентификация5.
Как VPN-сервер будет регистрировать активность, связанную с VPN?Средства WindowsСредства RADIUS (файл/БД)6. Как добиться того, чтобы VPN-сервером можно было управлять на основестандартных протоколов и инфраструктуры сетевого администрирования?Если на компьютер с Windows 2008, работающий в качестве VPN-сервера,установить службу SNMP, он сможет действовать в среде SNMP (Simple NetworkManagement Protocol) как агент SNMP. VPN-сервер регистрирует управляющуюинформанию в различных идентификаторах объектов MIB II (Management InformationBase), которые устанавливаются со службой SNMP.МГТУ им.
БауманаКафедра ИУ-69Сурков Л.В.Корпоративные сетиПрактикум «Построение виртуальных частных сетей VPNв сетевой среде Windows Server 2008/2003» Rev. 2010Туннельные протоколыPPTPРРТР (Point-to-Point Tunneling Protocol) инкапсулирует кадры РРР (Point-to-PointProtocol) в IP-дейтаграммы для передачи через межсетевую IP-среду, например Интернетили частную интрасеть. РРТР документирован в RFC 2637. Для создания, поддержания изакрытия туннеля протокол РРТР использует TCP-соединение, известное под названием«управляющее РРТР-соединение» (РРТР control connection), а для инкапсуляции РРРкадров как туннелированных данных — модифицированную версию GRE (Generic RoutingEncapsulation). Собственно данные инкапсулированных РРР-кадров можно шифроватьи/или сжимать. РРТР требует наличия межсетевой IP-среды между РРТР-клиентом иРРТР-сервером.
РРТР-клиент может быть уже подключен к межсетевой IP-среде, черезкоторую достижим РРТР-сервер, либо он может дозваниваться до сервера доступа в сеть(NAS) и устанавливать IP-соединение — так же, как и пользователь, получающий доступв Интернет по коммутируемой линии. Аутентификация, выполняемая при создании VPNсоединения на основе РРТР, осуществляется с применением тех же механизмов, что и приустановлении РРР-соединений, — например, ЕАР (Extensible Authentication Protocol), MSCHAP (Microsoft Challenge-Handshake Authentication Protocol), CHAP, SPAP (ShivaPassword Authentication Protocol) и PAP (Password Authentication Protocol).
РРТР наследуетметоды шифрования и/или сжатия полезных данных РРР от протокола РРР. В случаеWindows 2008 для шифрования этих данных по методу МРРЕ (Microsoft Point-to-PointEncryption) следует использовать либо EAP-TLS (SAP-Transport Level Security), либо MSCHAP.МРРЕ обеспечивает шифрование не на всем пути передачи данных (междуклиентским приложением и сервером, на котором размещен ресурс или сервис,используемый этим приложением), а лишь при их прохождении по каналу.
Дляшифрования на всем пути передачи данных нужно использовать IPSec, который будетшифровать IP-трафик после создания РРТР-туннеля.РРТР-сервер на основе Интернет-стандартов представляет собой VPN-сервер споддержкой РРТР; при этом один из его интерфейсов подключен к Интернету, а другой —к интрасети.Поддержание туннеля с помощью управляющего РРТР-соединенияУправляющее РРТР-соединение устанавливается между динамически назначаемымTCP-портом РРТР-клиента и зарезервированным ТСР-портом 1723 РРТР-сервера. Поэтому соединению РРТР управляет вызовами и передает управляющие сообщения,используемые для поддержания РРТР-туннеля. К ним относятся РРТР-сообщения EchoRequest и Echo-Reply, позволяющие распознавать обрыв связи между РРТР-клиентом исервером.
Пакет, передаваемый по управляющему РРТР-соединению состоит из IP- иTCP-заголовков, управляющего РРТР-сообщения, а также заголовка и концевой частиканального уровня (рисунок 8).Рисунок 8МГТУ им. БауманаКафедра ИУ-610Сурков Л.В.Корпоративные сетиПрактикум «Построение виртуальных частных сетей VPNв сетевой среде Windows Server 2008/2003» Rev. 2010В таблице 1 перечислены основные управляющие РРТР-сообщения, передаваемыепо управляющему РРТР-соединению. Конкретный РРТР-туннель для всех управляющихРРТР-сообщений идентифицируется но ТСР-соедииению.Таблица 1. Основные управляющие РРТР-сообщенияStart-Control-ConnectionRequestПосылается РРТР-клиентом для установления управляющегосоединения.
До передачи любых других РРТР сообщений для каждогоРРТР-туннеля нужно создать свое управляющее соединение.Start-Control-Connection-Посылается РРТР-сервером в ответ на сообщение Start-ControlConnection-Request.Outgoing-Call-RequestПосылается РРТР-клиентом для создания РРТР-туннеля. В этосообщение включается идентификатор вызова (Call ID), используемыйв GRE-заголовке для определения туннелируемого трафика,передаваемого по конкретному туннелю.Outgoing-Call-ReplyПосылается РРТР-сервером в ответ на сообщение OutgoingCall-Request.Echo-RequestПосылается РРТР-клиентом или сервером для проверкиактивности соединения. Если ответ на это сообщение не поступает,РРТР-туннель через определенное время закрывается.Echo-ReplyОтвет на сообщение Echo-Request.
![](https://s.studizba.com/z.php?f=/templates/si/i/noavatar.png&w=100&h=100&t=1"){kind=avatar}
