VPN

6.1 VPN bilan tanishuv

Virtual Private Network yoki VPN — bu so‘zma-so‘z virtual xususiy tarmoq. Ehtimol, sen VPN so‘zini tez-tez eshitgansan, agar telefon yoki kompyuterda mamlakatni o‘zgartirmoqchi bo‘lganingizda. VPN ni yoqding, mamlakatni tanlading va tayyor.

VPN mamlakatlar bilan bog'liq emas, asosan. Vaziyat biroz boshqacha.

Tasavvur qil, sen ofisda kompyuterda ishlayapsan va bu ofisda tarmoq orqali kiriladigan turli kompyuter uskunalari mavjud: kompyuterlar, serverlar, printerlar, videokonferensiya uskunalari.

Vaziyat 1: sening ofising kengaydi, sen qo‘shni qavatga ko‘chishga qaror qilding. Kompyuteringni olding, boshqa xonaga olib o‘tding, boshqa tarmoq rozetkasiga ulading va kompaniyaning barcha server va kompyuterlariga kirish imkoniyatingiz saqlanib qoldi.

Ehtimol, hozirda kompyuteringiz boshqa routerga ulanayotgan, lekin sizning kompaniyangizdagi barcha routerlar bir-biri bilan qanday muloqot qilishni biladi va sizga bir lokal tarmoqda bo'lishning barcha afzalliklarini ta'minlaydi. Korporativ tarmoqdagi istalgan uskunaga kirish bilan muammolaringiz yo'q.

Vaziyat 2: pandemiya boshlandi va siz uydan ishlashga qaror qildingiz. Ishchi kompyuterni uyga olib ketdingiz, lekin ofis serverlariga kirish imkoniyati yo'q. Bu mantiqan to'g'ri, axir ular ofisda, shaharning boshqa qismida qolib ketgan. Boshqa tomondan, savol tug'iladi: siz birinchi holatda kompyuterni olib o'tgandek, ofis kompyuterlariga kirish imkoniyatingiz saqlanib qoldi. Ikkinchi holatda esa kirish mumkin emas. Nima o'zgardi?

Birinchi holatda ofisingizdagi barcha kompyuterlar (hatto turli qavatlarda joylashganlar) bitta lokal tarmoqqa ulangan. Ikkinchi holatda esa yo'q. Uydagi kompyuteringiz ofis lokal tarmog'iga ulangan emas. Shuning uchun sizda ofis tarmog'ining ichki resurslariga kirish imkoniyatingiz yo'q.

Bu muammoni bartaraf etish uchun virtual lokal tarmoq (VPN) yechimi taklif etildi. Sizning ofisingizda har bir qavatda routerlar mavjud bo'lib, ular bir-biri bilan ma'lumot almashadilar va lokal tarmoqni ishga tushiradilar.

Biz ikkita virtual router yaratishimiz kerak (dasturiy ko'rinishda), biri ofisingizda, ikkinchisi uyda, ular internet orqali ma'lumotlarni shifrlangan tarzda o'zaro ulashishadi. Va bunday dasturlar mavjud: ulardan biri VPN-server, ikkinchisi esa VPN-klient deb ataladi.

VPN-serverni ofisda tizim administratori sozlaydi, VPN-klient esa hozir har bir kompyuteringizda va/yoki telefoningizda mavjud.

Kompyuteringizda VPN-klientni ishga tushirasiz va uning yordamida VPN-serverga ulanasiz, shunda kompyuter endi VPN-server joylashgan lokal tarmoq ichida ekanligini o'ylaydi.

Agar endi o'zingizda brauzerni ishga tushirsangiz, brauzeringizdan barcha ma'lumotlar sizning lokal virtual routeringizga (VPN-klient) ketadi, undan kompaniya virtual routeriga (VPN-server), keyin esa dunyo bo'ylab kompaniyangizning ofis internet-shlyuzi orqali o'tadi.

Tashqi IP-manzilingiz endi ofisingizning umumiy IP-manziliga mos keladi. Va agar bu ofis, masalan, Germaniyada joylashgan bo'lsa, brauzeringiz murojaat qilayotgan server sizni Germaniyadagi ofisda ekanligingizga ishonadi.

6.2 VPN turlari

VPN tarmoqlari ularning maqsadli funksiyasiga ko'ra bo'linadi. Ko‘plab turli turlarni ajratib ko‘rsatish mumkin, ammo VPN yechimlarining odatiy variantlarining ro‘yxati:

Intranet VPN

Bir tashkilotning bir nechta tarqalgan filiallarini bir butun himoyalangan tarmoqqa birlashtirish uchun foydalaniladi, ularda ma'lumotlar ochiq aloqa kanallari bo'yicha almashinadi. Bu birinchi variant edi, hammasi shundan boshlandi.

Remote-access VPN

Korxona tarmog'i segmenti (markaziy ofis yoki filial) va uyda ishlayotgan foydalanuvchi o'rtasida himoyalangan kanalni yaratish uchun foydalaniladi, u uydan korporativ resurslarga uydan, korporativ noutbukdan, smartfondan yoki internet-kiosklardan kirish qiladi. Agar siz uydan ishlayotgan bo'lsangiz va ofisga VPN orqali ulanadigan bo‘lsangiz, bu variant sizda mavjud.

Extranet VPN

Tarmoqlar uchun ishlatiladi, ularga "tashqi" foydalanuvchilar (masalan, buyurtmachilar yoki mijozlar) ulanadi. Unga bo'lgan ishonch darajasi kompaniya xodimlariga nisbatan ancha pastroqdir, shuning uchun oxirgi foydalanuvchilarni juda qimmatli, maxfiy ma'lumotlarga kirishni oldini olish yoki cheklash uchun maxsus himoya chegaralarini ta'minlash kerak.

Internet VPN

Odatda bitta jismoniy aloqa kanali orqali bir nechta foydalanuvchilar ulanayotganida, internetga kirish uchun provayderlar tomonidan ishlatiladi. PPPoE protokoli ADSL ulanishlarida standartga aylandi.

2000-yillarning o'rtalarida L2TP uy tarmoqlarida keng tarqalgan edi: o'sha paytda ichki tarmoq trafigi to‘lanmas edi, va tashqi katta xarajatlarda edi. Bu xarajatlarni nazorat qilish imkonini berdi: VPN-aloqa o‘chirilganida, foydalanuvchi hech narsa to‘lamaydi.

Hozirgi vaqtda simli internet arzon yoki cheksiz, va foydalanuvchi tomonda ko'pincha router mavjud, unda internetni yoqish-o‘chirish kompyuterda bo‘lgandek qulay emas. Shuning uchun L2TP-ga kirish o'tmishga ketmoqda.

Client/server VPN

Hamda mashhur variant. U korporativ tarmog'ining ikki tuguni (tarmoqlar emas) o'rtasida uzatilayotgan ma'lumotlarni himoyalashni ta'minlaydi. Ushbu varianti o'ziga xosligi shundaki, VPN tarmoq segmentida joylashgan tugunlar o'rtasida quriladi, masalan, ish stantsiyasi va server o'rtasida. Bunday zarurat juda tez-tez rivojlanadi, bir jismoniy tarmoqda bir nechta mantiqiy tarmoqlarni yaratish zarurati paydo bo'ladi.

Masalan, moliyaviy bo'lim va kadrlar bo'limi o'rtasida serverlarga murojaat qilinadigan tarmoqning bir segmentida tarmoq trafigi ajratish lozim bo'lsa. Bu variant VLAN texnologiyasiga o'xshaydi, lekin trafik ajratish o'rniga uning shifrlanishi ishlatiladi.

6.3 OpenVPN

Eslab qoling, biz ofis tomonidagi virtual router haqida gaplashdik, unga VPN-klientlar yordamida kirish mumkin? Shunday bo‘lsa, siz bilishingiz foydali bo‘ladi, mavjud bo‘lgan juda mashhur yechim — bu OpenVPN.

OpenVPN — bu virtual xususiy tarmoq (VPN) texnologiyasini amalga oshiruvchi bepul dastur. U ikkita mashhur ish rejimini qo‘llab-quvvatlaydi: klient-server va nuqta-nuqta, agar ikki katta tarmoqni birlashtirish zarur bo‘lsa.

U o‘z ishtirokchilari o‘rtasida trafikka yaxshi shifrlash darajasini qo‘llab-quvvatlaydi, shuningdek, NAT va tarmoq ekrani ortida joylashgan kompyuterlar o‘rtasida ulanishlarni sozlashlarini o‘zgartirmasdan o‘rnatish imkonini beradi.

Boshqaruvchi kanal va ma'lumot oqimini xavfsizligini ta'minlash uchun OpenVPN OpenSSL kutubxonasidan foydalanadi. Bu ushbu kutubxonada mavjud bo‘lgan barcha shifrlash algoritmlar to‘plamini ishga solish imkonini beradi.

Shuningdek, ko‘proq xavfsizlikni ta’minlash uchun HMAC paket avtentifikatsiyasi va apparat tezlashtirishi ishlatilishi mumkin. Ushbu kutubxona OpenSSLdan foydalanadi, ya’ni SSLv3/TLSv1.2 protokollaridan.

Ushbu dasturiy ta’minotning barcha mashhur operatsion tizimlar uchun realizatsiyasi mavjud: Solaris, OpenBSD, FreeBSD, NetBSD, GNU/Linux, Apple Mac OS X, QNX, Microsoft Windows, Android, iOS.

OpenVPN foydalanuvchiga bir nechta avtentifikatsiya turlarini taklif qiladi:

• Oldindan o‘rnatilgan kalit — eng oddiy usul.
• Sertifikat avtentifikatsiyasi — sozlamalarda eng moslashuvchan usul.
• Login va parol bilan — klient sertifikati yaratmasdan ishlatilishi mumkin (server sertifikati baribir zarur).

Texnik ma’lumotlar

OpenVPN barcha tarmoq operatsiyalarini TCP- yoki UDP-transport orqali amalga oshiradi. Umuman olganda, afzal qilingan protokol UDP hisoblanadi, chunki TUN ulanishi ishlatilsa, OSI bo‘yicha tarmoq darajasi va undan yuqori trafik tunel orqali o'tadi, yoki TAP ishlatilsa, kanallar darajasi va undan yuqori trafik o'tadi.

Bu shuni anglatadiki, OpenVPN klient uchun kanallar yoki hatto jismoniy daraja protokoli sifatida xizmat qiladi, shuning uchun ma'lumotlarni ishonchli yetkazishni OSI bo'yicha yuqori darajalar tomonidan ta'minlanishi mumkin, agar bu zarur bo'lsa.

Biz OSI modelini yaxshi tushunib olganimiz tufayli, bu yerda nimani nazarda tutilgani haqida tushunishingiz kerak.

Shuning uchun, UDP protokoli o'z konsept bo'yicha OpenVPN ga eng yaqinroq hisoblanadi, chunki u kanallar va jismoniy daraja protokollari kabi, ulanish ishonchliligini ta'minlamaydi, bu tashabbusni yuqori darajalarga o'tkazadi. Agar tunel TCP ishlash uchun qurilgan bo'lsa, server odatda OpenVPN TCP segmentlarini, klientdan boshqa TCP segmentlarini oladi.

Shuningdek, muhim narsa shundaki, OpenVPN ko'pchilik proksi-serverlar orqali ishlashi mumkin, shu jumladan HTTP, SOCKS, NAT va tarmoq filtrlari orqali. Server klientga tarmoq sozlamalarini tayinlash uchun sozlanishi mumkin. Masalan, IP-manzil, marshrut sozlashlari va ulanish parametrlari.