Tổng quan về VPN

Chia sẻ: Nguyen Anh Hai | Ngày: | Loại File: DOC | Số trang:36

1
626
lượt xem
300
download

Tổng quan về VPN

Mô tả tài liệu
  Download Vui lòng tải xuống để xem tài liệu đầy đủ

Hiện tại, Internet đã phát triển mạnh mẽ cả về mặt mô hình lẫn tổ chức, đáp ứng khá đầy đủ các nhu cầu của người sử dụng. Internet đã được thiết kế để kết nối nhiều mạng với nhau

Chủ đề:
Lưu

Nội dung Text: Tổng quan về VPN

  1. Chương 1 TỔNG QUAN VỀ VPN 1.1. Mở đầu Hiện tại, Internet đã phát triển mạnh mẽ cả về mặt mô hình lẫn tổ chức, đáp ứng khá đầy đủ các nhu cầu của người sử dụng. Internet đã được thiết kế để kết nối nhiều mạng với nhau và cho phép thông tin chuyển đến người sử dụng một cách tự do và nhanh chóng. Để làm được điều này người ta sử dụng một hệ thống các thiết bị định tuyến (router) để kết nối các LAN và WAN với nhau. Các máy tính được kết nối vào Internet thông qua các nhà cung cấp dịch vụ (ISP – Internet Service Provider). Điều mà kỹ thuật còn tiếp tục phải giải quyết là năng lực truyền thông của các mạng viễn thông công cộng. Với Internet, những dịch vụ như đào tạo từ xa, mua hàng trực tuyến, tư vấn các lĩnh vực và rất nhiều điều khác đã trở thành hiện thực. Tuy nhiên do Internet có phạm vi toàn cầu và không một tổ chức, chính phủ cụ thể nào quản lý nên rất khó khăn trong việc bảo mật và an toàn dữ liệu cũng như trong việc quản lý các dịch vụ. Từ đó người ta đã đưa ra một mô hình mạng mới nhằm thoã mãn những yêu cầu trên mà vẫn có thể tận dụng lại những cơ sở hạ tầng hiện có của Internet, đó chính là mô hình mạng riêng ảo (Virtual Private Network – VPN). Với mô hình mới này, người ta không phải đầu tư thêm nhiều về cơ sở hạ tầng mà các tính năng như bảo mật và độ tin cậy vẫn được đảm bảo, đồng thời có thể quản lý riêng được sự hoạt động của mạng này. VPN cho phép người sử dụng làm việc tại nhà riêng, trên đường đi hoặc các văn phòng chi nhánh có thể kết nối an toàn đến máy chủ của tổ chức mình bằng cơ sở hạ tầng được cung cấp bởi mạng công cộng. Nó cũng có thể đảm bảo an toàn thông tin giữa các đại lý, nhà cung cấp và các đối tác kinh doanh với nhau trong môi trường truyền thông rộng lớn. Trong nhiều trường hợp, VPN cũng giống như WAN (Wire Area Network), tuy nhiên đặc tính quyết định của VPN là chúng có thể dùng mạng công cộng như Internet mà vẫn đảm bảo tính riêng tư và tiết kiệm chi phí. 1.1.1. Định nghĩa VPN VPN được hiểu đơn giản như là sự mở rộng của một mạng riêng (Private Network) thông qua các mạng công cộng. Về căn bản, mỗi VPN là một mạng riêng rẽ sử dụng một hạ tầng mạng chung (thường là Internet) để kết nối cùng với các site (các mạng riêng lẻ) hay nhiều người sử dụng từ xa. Thay cho việc sử dụng kết nối thực, chuyên dùng, mỗi VPN sử dụng các kết nối ảo được thiết lập qua Internet từ mạng riêng của các Công ty tới các chi nhánh hay các nhân viên từ xa. Để có thể gửi và nhận dữ liệu thông qua mạng công cộng mà vẫn bảo đảm tính an toàn và bảo mật, VPN cung cấp các cơ chế mã hoá dữ liệu trên đường truyền, tạo ra một đường ống (tunnel) bảo mật giữa nơi gửi và nơi nhận. Để có thể tạo ra một đường ống bảo mật đó, dữ liệu phải được mã hoá, chỉ cung cấp phần đầu gói dữ liệu (header) là thông tin về đường đi cho phép nó có thể đi đến đích thông qua mạng 1
  2. công cộng một cách nhanh chóng. Dữ liệu được mã hoá một cách cẩn thận do đó nếu các packet bị xem lén trên đường truyền công cộng thì cũng không thể đọc được nội dung vì không có khoá để giải mã. Các đường kết nối VPN thường được gọi là đường ống VPN (tunnel). Hình 1.1 – Một mô hình mạng VPN 1.1.2. Lợi ích của VPN VPN cung cấp nhiều đặc tính hơn so với những mạng truyền thông và những mạng leased-line. Những lợi ích đầu tiên bao gồm:  Chi phí thấp hơn những mạng riêng: VPN có thể giảm chi phí từ 20 đến 40% so với những mạng sử dụng leased-line và giảm chi phí trong việc truy cập từ xa từ 40 đến 60%  Tính linh hoạt trong kết nối.  Tăng tính bảo mật: Các dữ liệu quan trọng sẽ được che giấu đối với những người không có quyền truy cập.  Hỗ trợ các giao thức mạng thông dụng nhất hiện nay là TCP/IP.  Bảo mật địa chỉ IP: Bởi vì thông tin được gửi đi trên VPN đã được mã hoá, do đó các địa chỉ bên trong mạng riêng được che giấu và chỉ sử dụng các địa chỉ bên ngoài Internet. 1.1.3. Các chức năng cơ bản của VPN: VPN cung cấp 4 chức năng chính:  Sự tin cậy và bảo mật (confidentiality): Người gửi có thể mã hoá các gói dữ liệu trước khi truyền chúng ngang qua mạng. Bằng cách này, không một ai có thể truy nhập thông tin mà không được phép, mà nếu như có lấy được thông tin thì cũng không thể đọc được vì thông tin đã được mã hoá. 2
  3.  Tính toàn vẹn dữ liệu (Data Integrity): Người nhận có thể kiểm tra rằng dữ liệu được truyền qua mạng Internet mà không có sự thay đổi nào.  Xác thực nguồn gốc (Origin Authentication): Người nhận có thể xác thực nguồn gốc của gói dữ liệu, đảm bảo và công nhận nguồn thông tin.  Điều khiển truy nhập (Access Control): VPN có thể phân biệt giữa những người dùng hợp lệ và trái phép bằng nhiều cách như dựa vào chính sách bảo mật, sự chứng thực... 1.2. VPN và các vấn đề an toàn bảo mật trên Internet Như chúng ta đã biết, sự phát triển bùng nổ và mở rộng mạng toàn cầu Internet ngày càng tăng, hàng tháng có khoảng 10.000 mạng mới kết nối vào Internet kèm theo đó là vấn đề làm sao để có thể trao đổi thông tin dữ liệu một cách an toàn qua mạng công cộng như Internet. Hàng năm sự rò rỉ và mất cắp thông tin, dữ liệu đã gây thiệt hại rất lớn về kinh tế trên toàn thế giới. Các tin tặc luôn tìm mọi cách để nghe trộm, đánh cắp thông tin và dữ liệu nhạy cảm như: mã thẻ tín dụng, tài khoản người dùng, các thông tin kinh tế nhạy cảm... của các tổ chức hay cá nhân. Vậy giải pháp sử dụng mạng riêng ảo VPN sẽ giải quyết vấn đề an toàn và bảo mật thông tin trên Internet như thế nào? Câu trả lời là để các tổ chức, doanh nghiệp, cá nhân cảm thấy yên tâm khi trao đổi thông tin dữ liệu qua mạng Internet là sử dụng công nghệ mạng riêng ảo VPN. Thực chất, công nghệ chính được sử dụng trong mạng riêng ảo VPN là tạo ra một đường hầm (tunnel), mã hoá và chứng thực dữ liệu giữa hai đầu kết nối. Các thông tin dữ liệu sẽ được mã hoá và chứng thực trước khi được lưu chuyển trong một đường hầm riêng biệt, qua đó sẽ tránh được những cặp mắt tò mò muốn đánh cắp thông tin. 1.2.1. An toàn và tin cậy Sự an toàn của một hệ thống mạng là một phần trong các tiêu chí đánh giá một hệ thống đáng tin cậy. Có 4 yếu tố ảnh hưởng đến một hệ thống đáng tin cậy:  Tính sẵn sàng: Khả năng sẵn sàng phục vụ, đáp ứng yêu cầu trong khoảng thời gian ngắn. Tính sẵn sàng thường được thực hiện thông qua những hệ thống phần cứng dự phòng.  Sự tin cậy: Định nghĩa năng lực của hệ thống khi thực hiện các chức năng của nó trong một chu kỳ thời gian. Sự tin cậy khác với tính sẵn sàng, sự tin cậy tương ứng tới tính liên tục của một dịch vụ nào đó.  Sự an toàn: Khái niệm an toàn chỉ ra tính vững chắc của một hệ thống trước các nguy cơ tiềm ẩn, ví dụ các cuộc tấn công từ chối dịch vụ, sự xâm nhập trái phép vào hệ thống thông qua các lỗ hổng bảo mật...  Sự an ninh: Trong trường hợp này sự an ninh có nghĩa như một sự bảo vệ tất cả các tài nguyên hệ thống. 3
  4. Một hệ thống mạng đáng tin cậy ở mức cao nhất nghĩa là hệ thống luôn đảm bảo được sự an toàn tại bất kỳ thời điểm nào. 1.2.2. Các hình thức an toàn Sự an toàn của hệ thống mạng phụ thuộc vào tất cả những thành phần của nó. Có ba kiểu khác nhau của sự an toàn: An toàn phần cứng, An toàn thông tin và An toàn quản trị.  An toàn phần cứng: Sự an toàn về mặt vật lý, bảo vệ phần cứng của hệ thống khỏi những mối đe doạ vật lý bên ngoài như sự phá họa làm mất mát thông tin, các sự cố liên quan đến nguồn cung cấp, các yếu tố môi trường có thể làm hỏng phần cứng... Tất cả những yếu tố trên cần phải được tính đến và thực hiện các biện pháp phòng ngừa.  An toàn thông tin: An toàn thông tin nghĩa là thông tin được bảo vệ, các hệ thống và những dịch vụ có khả năng chống lại những tai hoạ, các lỗi và sự tác động không mong đợi, các thay đổi tác động đến độ an toàn của hệ thống là nhỏ nhất. Hệ thống có một trong các đặc điểm sau là không an toàn: - Các thông tin dữ liệu trong hệ thống bị người không được quyền truy nhập tìm cách lấy và sử dụng (thông tin bị rò rỉ). - Các thông tin trong hệ thống bị thay thế hoặc sửa đổi làm sai lệch nội dung (thông tin bị xáo trộn hoặc mất mát).  An toàn quản trị: An toàn quản trị liên quan đến tất cả các mối đe doạ mà con người làm tổn hại đến một hệ thống mạng. Những mối đe doạ này có thể xuất phát cả từ bên ngoài lẫn bên trong của một tổ chức, doanh nghiệp. 1.3. Định nghĩa “đường hầm” và “mã hoá” Chức năng chính của một mạng riêng ảo (VPN) là cung cấp sự bảo mật thông tin bằng cách mã hoá và chứng thực qua một đường hầm (tunnel). 1.3.1. Đường hầm và cấu trúc gói tin Cung cấp các kết nối logic, vận chuyển các gói dữ liệu đã được mã hoá bằng một đường hầm riêng biệt qua mạng IP, điều đó làm tăng tính bảo mật thông tin vì dữ liệu sau khi mã hoá sẽ lưu chuyển trong một đường hầm được thiết lập giữa người gửi và người nhận, do đó sẽ tránh được sự nhòm ngó, xem trộm thông tin. Các giao thức định đường hầm được sử dụng trong VPN như sau:  L2F (Layer 2 Forwarding): Được Cisco phát triển.  PPTP (Point-to-Point Tunneling Protocol): Được PPTP Forum phát triển, giao thức này hỗ trợ mã hóa 40 bit và 128 bit.  L2TP (Layer 2 Tunneling Protocol): Là sản phẩm của sự hợp tác giữa các thành viên PPTP Forum, Cisco và IETF. L2TP kết hợp các tính năng của cả PPTP và L2F. 4
  5.  IPSec (IP Security): Được phát triển bởi IETF. Mục đích chính của việc phát triển IPSec là cung cấp một cơ cấu bảo mật ở lớp 3 (network layer) trong mô hình OSI.  GRE (Generic Routing Encapsulation): Đây là giao thức truyền thông đóng gói IP và các dạng gói dữ liệu khác bên trong đường ống. Giống như IPSec, GRE hoạt động ở tầng 3 của mô hình tham chiếu OSI, tuy nhiên GRE không mã hóa thông tin. 1.3.2. Mã hoá và giải mã (Encryption/Decryption): Mã hóa là quá trình biến đổi nội dung thông tin nguyên bản ở dạng đọc được (clear text hay plain text) thành một dạng văn bản mật mã vô nghĩa không đọc được (cyphertex), vì vậy nó không có khả năng đọc được hay khả năng sử dụng bởi những người dùng không được phép. Giải mã là quá trình ngược lại của mã hoá, tức là biến đổi văn bản đã mã hoá thành dạng đọc được bởi những người dùng được phép. 1.3.3. Một số thuật ngữ sử dụng trong VPN: - Hệ thống mã hoá (CryptoSystem): Là một hệ thống để thực hiện mã hoá hay giải mã, xác thực người dùng, băm (hashing) và các quá trình trao đổi khoá, một hệ thống mã hoá có thể sử dụng một hay nhiều phương thức khác nhau tuỳ thuộc vào yêu cầu cho một vài loại traffic cụ thể. - Hàm băm (hashing): Là một kỹ thuật đảm bảo tính toàn vẹn dữ liệu, nó sử dụng một công thức hoặc một thuật toán để biến đổi một bản tin có chiều dài thay đổi và một khoá mật mã công cộng vào trong một chuỗi đơn các số liệu có chiều dài cố định. Bản tin hay khoá và hash di chuyển trên mạng từ nguồn tới đích. Ở nơi nhận, việc tính toán lại hash được sử dụng để kiểm tra rằng bản tin và khoá không bị thay đổi trong khi truyền trên mạng. - Xác thực (Authentication): Là quá trình của việc nhận biết một người sử dụng hay quá trình truy cập hệ thống máy tính hoặc kết nối mạng. Xác thực đảm bảo chắc chắn rằng cá nhân hay một tiến trình là hợp lệ. - Cho phép (Authorization): Là hoạt động kiểm tra thực thể nào đó có được phép thực hiện những quyền hạn cụ thể nào. - Quản lý khoá (Key management): Một khoá thông tin, thường là một dãy ngẫu nhiên hoặc trông giống như các số nhị phân ngẫu nhiên, được sử dụng ban đầu để thiết lập và thay đổi một cách định kỳ sự hoạt động trong một hệ thống mật mã. Quản lý khoá là sự giám sát và điều khiển tiến trình nhờ các khoá được tạo ra. Các công việc chính có thể là cất giữ, bảo vệ, biến đổi, tải lên, sử dụng hay loại bỏ. - Dịch vụ chứng thực CA (Certificate of Authority): Một dịch vụ được tin tưởng để bảo mật quá trình truyền tin giữa các thực thể mạng hoặc người dùng bằng cách tạo ra và gán các chứng nhận số như các chứng nhận khoá công cộng cho mục đích mã hoá. Một CA đảm bảo cho sự liên kết giữa các thành phần bảo mật trong chứng nhận. 5
  6. - IKE (Internet Key Exchange): Là giao thức chịu trách nhiệm trao đổi khóa giữa hai điểm kết nối VPN. IKE hỗ trợ ba kiểu xác thực là dùng khóa biết trước (pre-share key), RSA và RSA signature. IKE lại dùng hai giao thức là Oakley Key Exchange (mô tả kiểu trao đổi chìa khoá) và Skeme Key Exchange (định nghĩa kỹ thuật trao đổi chìa khoá), mỗi giao thức định nghĩa một cách thức để thiết lập sự trao đổi khoá xác thực, bao gồm cấu trúc tải tin, thông tin mà các tải tin mang, thứ tự các khoá được xử lý và các khoá được sử dụng như thế nào. - AH (Authentication Header): Là giao thức bảo mật giúp xác thực dữ liệu, bảo đảm tính toàn vẹn dữ liệu và các dịch vụ “anti-replay” (dịch vụ bảo đảm tính duy nhất của gói tin). AH được nhúng vào trong dữ liệu để bảo vệ. - ESP (Encapsulation Security Payload): Là một giao thức bảo mật cung cấp sự tin cậy của dữ liệu, đảm bảo tính toàn vẹn dữ liệu và xác thực nguồn gốc dữ liệu. ESP đóng gói dữ liệu để bảo vệ. 1.4. Các dạng kết nối mạng riêng ảo 1.4.1. Truy cập VPN từ xa (Remote Access VPN) Remote Access VPN cho phép các người dùng ở xa sử dụng VPN client để truy cập vào mạng Intranet của Công ty thông qua Gateway hoặc VPN concentrator (bản chất là một server). Vì vậy, giải pháp này thường được gọi là client/server. Trong giải pháp này, người dùng thường sử dụng các công nghệ WAN truyền thống để tạo ra các tunnel về mạng trung tâm của họ. 1.4.1.1. Một số thành phần chính của Remote Access VPN  Remote Access Server (RAS): Thiết bị này được đặt tại trung tâm và có nhiệm vụ xác thực và chứng nhận các yêu cầu gửi tới sau đó thiết lập kết nối. 6
  7. Hình 1.3 – Mô hình non-VPN Remote Access  Remote Access Client: Bằng việc triển khai Remote Access VPN qua Internet, những người dùng từ xa hoặc các văn phòng chi nhánh chỉ cần thiết lập một kết nối cục bộ đến nhà cung cấp dịch vụ Internet, sau đó có thể kết nối đến tài nguyên của doanh nghiệp thông qua Remote Access VPN. Mô hình Remote Access VPN được mô tả như hình dưới đây: Hình 1.4 – Mô hình Remote Access VPN 7
  8. 1.4.1.2. Ưu và nhược điểm của Remote Access VPN  Ưu điểm Remote Access VPN: - VPN truy nhập từ xa không cần đến sự hỗ trợ của quản trị mạng bởi các kết nối từ xa do các nhà cung cấp dịch vụ Internet đảm nhiệm. - Giảm giá thành chi phí kết nối với khoảng cách xa vì các kết nối của VPN truy nhập từ xa chính là các kết nối Internet. - VPN cung cấp khả năng truy cập đến trung tâm tốt hơn bởi vì nó hỗ trợ dịch vụ truy cập ở mức độ tối thiểu.  Nhược điểm của Remote Access VPN: - Remote Access VPN cũng không đảm bảo được chất lượng dịch vụ (QoS). - Khả năng mất dữ liệu là rất cao, thêm nữa là các phân đoạn của gói dữ liệu có thể bị thất thoát. - Do độ phức tạp của thuật toán mã hoá nên gây khó khăn cho quá trình xác nhận. 1.4.2. Site-to-Site VPN (LAN-to-LAN) Site-to-Site VPN là giải pháp kết nối các hệ thống mạng ở những địa điểm khác nhau với mạng trung tâm thông qua VPN. Trong trường hợp này, quá trình xác thực ban đầu cho người sử dụng là quá trình xác thực giữa các thiết bị. Các thiết bị này hoạt động như cổng an ninh (security gateway), truyền dẫn lưu lượng một cách an toàn từ site này tới site kia. Các bộ định tuyến hay tường lửa hỗ trợ VPN đều có khả năng thực hiện kết nối này. Sự khác nhau giữa Site-to-Site VPN và Remote Access VPN chỉ mang tính tượng trưng. Nhiều thiết bị VPN mới có thể hoạt động theo cả hai cách này. Hình 1.5 – Mô hình Site–to–Site VPN Site-to-Site VPN có thể được xem như là Intranet VPN hoặc Extranet VPN xét theo quan điểm chính sách quản lý. Nếu hạ tầng mạng có chung một nguồn quản lý, nó có thể được xem như Intranet VPN, ngược lại, nó có thể được coi là Extranet VPN. Việc truy nhập giữa các điểm phải được kiểm soát chặt chẽ bởi các thiết bị tương ứng. 8
  9. 1.4.2.1. Intranet VPN Hình 1.6 – Mô hình Intranet VPN Intranet VPN hay còn gọi là VPN cục bộ là một mô hình tiêu biểu của Site-to-Site VPN, dạng kết nối này được sử dụng để bảo mật các kết nối giữa địa điểm khác nhau của một công ty hay doanh nghiệp. Nó liên kết trụ sở chính và các văn phòng chi nhánh trên một cơ sở hạ tầng chung sử dụng các kết nối luôn được mã hóa bảo mật. Điều này cho phép tất cả các điểm có thể truy nhập an toàn các nguồn dữ liệu được phép trong toàn công ty. Intranet VPN cung cấp những đặc tính của mạng WAN như khả năng mở rộng, tính tin cậy và hỗ trợ nhiều kiểu giao thức khác nhau với chi phí thấp nhưng vẫn đảm bảo tính mềm dẻo.  Những ưu điểm chính của giải pháp này bao gồm: ­ Các mạng cục bộ hoặc diện rộng có thể được thiết lập thông qua một hay nhiều nhà cung cấp dịch vụ Internet. ­ Giảm được nhân lực hỗ trợ kỹ thuật mạng đối với các chi nhánh ở xa. ­ Do kết nối trung gian được thực hiện thông qua Internet nên nó có thể dễ dàng thiết lập thêm một liên kết ngang hàng mới. ­ Tiết kiệm chi phí từ việc sử dụng đường hầm VPN thông qua Internet kết hợp với các công nghệ chuyển mạch tốc độ cao.  Tuy nhiên, giải pháp Intranet VPN cũng có những nhược điểm nhất định như: ­ Do dữ liệu được truyền qua mạng công cộng (mặc dù đã được mã hóa) nên vẫn còn những mối đe dọa về mức độ bảo mật dữ liệu và chất lượng dịch vụ (QoS). ­ Khả năng các gói dữ liệu bị thất thoát trong khi truyền là khá cao. ­ Trong trường hợp cần truyền khối lượng lớn dữ liệu như đa phương tiện với yêu cầu tốc độ cao và đảm bảo thời gian thực là một thách thức lớn trong môi trường Internet. 9
  10. 1.4.2.2. Extranet VPN (VPN mở rộng) Giải pháp VPN mở rộng cung cấp khả năng điều khiển truy nhập tới những nguồn tài nguyên mạng cần thiết để mở rộng tới những đối tượng kinh doanh. Sự khác nhau giữa VPN nội bộ và VPN mở rộng là sự truy nhập mạng được công nhận ở một trong hai đầu cuối của VPN. Hình 1.7 – Mô hình Extranet VPN  Những ưu điểm chính của VPN mở rộng bao gồm: - Chi phí cho VPN mở rộng thấp hơn nhiều so với các giải pháp kết nối khác để cùng đạt được một mục đích như vậy. - Dễ dàng thiết lập, bảo trì và thay đổi với mạng đang hoạt động. - Do VPN mở rộng được xây dựng dựa trên Internet nên có nhiều cơ hội trong việc cung cấp dịch vụ và lựa chọn giải pháp phù hợp với nhu cầu cụ thể của từng công ty. - Các kết nối Internet được các ISP bảo trì nên có thể giảm số lượng nhân viên kỹ thuật hỗ trợ mạng, do đó sẽ giảm được chi phí vận hành của toàn mạng.  Bên cạnh những ưu điểm trên, giải pháp VPN mở rộng cũng có những nhược điểm nhất định như: - Vấn đề bảo mật thông tin gặp khó khăn hơn trong môi trường mở rộng như vậy, điều này làm tăng nguy cơ rủi ro đối với mạng cục bộ của công ty. - Khả năng thất thoát dữ liệu trong khi truyền qua mạng công cộng vẫn tồn tại. - Việc truyền khối lượng lớn dữ liệu với yêu cầu tốc độ cao và thời gian thực vẫn còn là một thách thức lớn cần giải quyết. Tóm tắt chương 1 10
  11. Trong chương này, chúng ta đã giới thiệu qua về các khái niệm cũng như định nghĩa về VPN, các chức năng chính, các mô hình kết nối và lợi ích của VPN, tiếp theo là khái niệm an toàn và bảo mật trên Internet. Chương này cũng định nghĩa sơ bộ về khái niệm “đường hầm - tunnel” và “mã hóa - encrypt” đồng thời nêu ra một số thuật ngữ thường dùng trong VPN. Phần 4 của chương đã giới thiệu một số mô hình kết nối mạng riêng ảo, đồng thời đánh giá ưu và nhược điểm của từng mô hình kết nối. Trong chương tiếp theo, chúng ta sẽ tìm hiểu kỹ hơn các giao thức chủ yếu được sử dụng trong VPN đồng thời so sánh ưu và nhược nhược điểm của từng giao thức, qua đó có thể căn cứ vào từng yêu cầu cụ thể để lựa chọn giải pháp xây dựng một mạng VPN thích hợp. 11
  12. Chương 2 CÁC GIAO THỨC TRONG VPN Trong VPN có 4 giao thức chính để thiết lập một “mạng riêng ảo” hoàn chỉnh đó là:  L2F - Layer 2 Forwarding Protocol  PPTP - Point-to-Point Tunneling Protocol  L2TP - Layer 2 Tunneling Protocol  IPSec - IP Security Ngoài ra còn một số giao thức khác, tuy nhiên những giao thức này ít được sử dụng bởi sự bất cập của nó đã được phát hiện trong quá trình triển khai. Tuỳ theo từng lớp ứng dụng cụ thể mà mỗi giao thức đều có ưu và nhược điểm khác nhau khi triển khai vào mạng VPN, việc quan trọng là người thiết kế phải kết hợp các giao thức một cách mềm dẻo. 2.1. Các giao thức đường hầm Các giao thức đường hầm là nền tảng của công nghệ VPN, có nhiều giao thức đường hầm khác nhau, việc sử dụng giao thức nào liên quan đến các phương pháp xác thực và mã hóa đi kèm. Như đã giới thiệu ở trên, các giao thức đường hầm phổ biến hiện nay là:  L2F - Layer 2 Forwarding Protocol  PPTP - Point-to-Point Tunneling Protocol  L2TP - Layer 2 Tunneling Protocol 2.1.1. Giao thức chuyển tiếp lớp 2 (L2F - Layer 2 Forwarding Protocol) Giao thức L2F là một kỹ thuật được nghiên cứu và phát triển trong các hệ thống mạng của Cisco dựa trên giao thức PPP - Point to Point Protocol (là một giao thức truyền thông nối tiếp lớp 2), L2F cho phép máy tính của người dùng truy nhập vào mạng Intranet của một tổ chức xuyên qua cơ sở hạ tầng mạng công cộng Internet với sự an toàn cao. Tương tự như giao thức định đường hầm điểm tới điểm PPTP, giao thức L2F cho phép truy nhập mạng riêng ảo một cách an toàn xuyên qua cơ sở hạ tầng mạng công cộng bằng cách tạo ra một đường hầm giữa hai điểm kết nối. Sự khác nhau cơ bản giữa hai giao thức PPTP và L2F là PPTP chỉ hỗ trợ IP, IPX, NetBIOS và NetBEUI, còn L2F định đường hầm không tuỳ thuộc vào mạng IP, L2F có thể làm việc với nhiều công nghệ mạng khác nhau như: Frame Relay, ATM, FDDI... L2F hỗ trợ việc định đường hầm cho hơn một kết nối. L2F có thể làm được điều này trong khi nó định nghĩa những kết nối bên trong đường hầm, đây là một đặc điểm hữu ích của L2F trong trường hợp ở nơi có nhiều người sử dụng truy nhập từ xa mà chỉ có duy nhất một kết nối được thoả mãn yêu cầu. 12
  13. Laptop L 2F Tunnel Laptop PSTN Eterprise Internet Customer Service Provider Laptop Access VPN Hình 2.1 – Mô hình kết nối VPN sử dụng L2F L2F sử dụng giao thức PPP để chứng thực giống như giao thức PPTP, tuy nhiên L2F còn hỗ trợ chứng thực người dùng quay số từ xa RADIUS (Remote Authentication Dial-up User Service) và hệ thống điều khiển giám sát đầu cuối TACACS+ (Terminal Access Controller Access Control System). Với giao thức L2F, một sự an toàn đầy đủ giữa hai điểm kết nối VPN có thể được tạo ra và sử dụng, nó là một giải pháp khá mềm dẻo và đáng tin cậy. Cấu trúc gói L2F 1bit 1bit 1bit 1bit 8bit 1bit 3 bit 8 bit 8bit F K P S Reserved C Version Protocol Sequence Multiplex IP Client ID Length Offset Key Data Checksum Hình 2.2 – Khuôn dạng gói của L2F Ý nghĩa các trường trong gói L2F như sau: - F : chỉ định trường Offset có mặt - K : chỉ định trường Key có mặt - P : thiết lập độ ưu tiên (Priority) cho gói - S : chỉ định trường Sequence có mặt - Reserved : luôn được đặt là 00000000 - Version : phiên bản của L2F - Protocol : xác định giao thức đóng gói L2F - Sequence : số chuỗi được đưa ra nếu trong tiêu đề L2F có bit S = 1 - Multiplex ID : nhận dạng một kết nối riêng trong một đường hầm - Client ID : giúp tách đường hầm tại những điểm cuối - Length : chiều dài của gói (tính bằng byte) không bao gồm phần Checksum 13
  14. - Offset : xác định số byte cách tiêu đề L2F, tại đó dữ liệu tải tin được bắt đầu. - Key : là một phần của quá trình xác thực (có mặt khi bit K = 1) - Checksum : tổng kiểm tra của gói (có mặt khi bit C = 1) Hoạt động của L2F L2F đóng gói những gói tin lớp 2 (trong trường hợp này là PPP), sau đó truyền chúng xuyên qua mạng. Hệ thống sử dụng L2F gồm các thành phần sau: Hình 2.3 – Mô hình hệ thống sử dụng L2F - Máy chủ truy nhập mạng (NAS – Network Access Server): hướng lưu lượng đến và đi giữa máy khách ở xa (Remote client) và Home Gateway. - Đường hầm (Tunnel): định hướng đường đi giữa NAS và Home Gateway. Một đường hầm có thể bao gồm một số kết nối. - Home Gateway: ngang hàng với NAS, là phần tử cửa ngõ thuộc mạng riêng. - Kết nối (Connection): là một kết nối PPP trong đường hầm. - Điểm đích (Destination): là điểm kết thúc ở đầu xa của đường hầm, trong trường hợp này thì Home Gateway chính là điểm đích. Các hoạt động của L2F bao gồm: thiết lập kết nối, định đường hầm và phiên làm việc. Các bước cụ thể như sau: - Người sử dụng ở xa dial-up tới hệ thống NAS và khởi đầu một kết nối PPP tới ISP. - Hệ thống NAS và máy khách trao đổi các gói giao thức điều khiển liên kết LCP (Link Control Protocol). - NAS sử dụng cơ sử dữ liệu cục bộ liên quan tới tên miền hay xác thực RADIUS để quyết định xem người sử dụng có hay không yêu cầu dịch vụ L2F. - Nếu người sử dụng yêu cầu L2F thì quá trình tiếp tục, NAS thu nhận địa chỉ của Gateway đích. 14
  15. - Một đường hầm được thiết lập từ NAS tới Gateway đích nếu giữa chúng chưa có đường hầm nào. Việc thành lập đường hầm bao gồm giai đoạn xác thực từ ISP tới Gateway đích để chống lại tấn công bởi kẻ thứ 3. - Một kết nối PPP mới được tạo ra trong đường hầm, điều này có tác động kéo dài phiên PPP từ người sử dụng ở xa tới Home Gateway. Kết nối này được thiết lập như sau: Home Gateway tiếp nhận các lựa chọn và tất cả thông tin xác thực PAP/CHAP như đã thỏa thuận bởi đầu cuối người sử dụng và NAS. Home Gateway chấp nhận kết nối hay thỏa thuận lại LCP và xác thực lại người sử dụng. - Khi NAS tiếp nhận lưu lượng dữ liệu từ người sử dụng, nó đóng gói lưu lượng vào trong các khung L2F và hướng chúng vào trong đường hầm. - Tại Home Gateway, khung L2F được tách bỏ và dữ liệu đóng gói được hướng tới mạng công ty. Khi hệ thống đã thiết lập điểm đích, đường hầm và những phiên kết nối, ta phải điều khiển và quản lý lưu lượng L2F như sau: - Ngăn cản tạo những điểm đích, đường hầm và phiên mới. - Đóng và mở lại tất cả hay chọn lựa những điểm đích, đường hầm và phiên. - Có khả năng kiểm tra tổng UDP. - Thiết lập thời gian rỗi cho hệ thống và lưu trữ cơ sở dữ liệu của các đường hầm và kết nối. Ưu và nhược điểm của L2F  Ưu điểm: - Cho phép thiết lập đường hầm đa giao thức - Được hỗ trợ bởi nhiều nhà cung cấp  Nhược điểm: - Không có mã hóa - Hạn chế trong việc xác thực người dùng - Không có điều khiển luồng cho đường hầm 2.1.2. Giao thức PPTP (Point-to-Point Tunneling Protocol) PPTP là kết quả của sự nỗ lực chung giữa Microsoft và một loạt các nhà cung cấp thiết bị mạng như 3Com, Ascend Communications, ECI Telematics và U.S Robotics. Ban đầu, những công ty này thành lập PPTP Forum và đưa ra các thông số kỹ thuật mô tả PPTP và sau đó được gửi đến IETF để được xem xét như là một tiêu chuẩn Internet vào năm 1996. Ý tưởng cơ sở của giao thức này là tách các chức năng chung và riêng của truy nhập từ xa, lợi dung cơ sở hạ tầng Internet sẵn có để tạo kết nối bảo mật giữa người dùng ở xa và mạng riêng mà họ được phép truy nhập. Người dùng ở xa chỉ việc kết nối tới nhà cung cấp dịch vụ Internet ở địa phương là có thể tạo đường hầm bảo mật tới mạng riêng của họ. Tương tự giao thức L2F, giao thức PPTP (Point-to-Point Tunneling Protocol) ban đầu được phát triển và được thiết kế để giải quyết vấn đề tạo và duy trì các đường hầm VPN 15
  16. trên các mạng công cộng dựa vào TCP/IP bằng cách sử dụng PPP. PPTP sử dụng giao thức đóng gói định tuyến chung (GRE) được mô tả lại để đóng và tách gói PPP. Giao thức này cho phép PPTP xử lý các giao thức khác không phải IP như IPX, NetBEUI một cách mềm dẻo. Network Access Server (ISP POP) PPTP Server Internet ` Server Server PPP Connection PPTP Connection (VPN) Hình 2.4 – Mô hình kết nối PPTP 2.1.2.1. Khái quát hoạt động của PPTP PPP đã trở thành giao thức truy nhập Internet và các mạng IP rất phổ biến hiện nay, nó làm việc ở lớp liên kết dữ liệu (Datalink Layer) trong mô hình OSI, PPP bao gồm các phương thức đóng, tách gói cho các loại gói dữ liệu khác nhau để truyền nối tiếp, PPP có thể đóng các gói tin IP, IPX và NetBEUI để truyền đi trên kết nối điểm – điểm từ máy gửi đến máy nhận. PPTP đóng gói các khung dữ liệu của giao thức PPP và các IP datagram để truyền qua mạng IP (Internet hoặc Intranet). PPTP dùng một kết nối TCP (gọi là kết nối điều khiển PPTP) để khởi tạo, duy trì, kết thúc đường hầm và một phiên bản của giao thức GRE để đóng gói các khung PPP. Phần tải tin của khung PPP có thể được mật mã hóa và/hoặc nén. PPTP sử dụng PPP để thực hiện các chức năng: - Thiết lập và kết thúc kết nối vật lý - Xác thực người sử dụng - Tạo các gói dữ liệu PPP PPTP giả định tồn tại một mạng IP giữa PPTP client và PPTP server. PPTP client có thể được kết nối trực tiếp thông qua việc dial-up tới máy chủ truy nhập mạng NAS để thiết lập kết nối IP. Khi một kết nối PPP được thiết lập thì người dùng thường đã được xác thực, đây là giai đoạn tùy chọn trong PPP, tuy nhiên nó luôn được cung cấp bởi các ISP. Việc xác thực trong quá trình thiết lập kết nối dựa trên PPTP sử dụng các cơ chế xác thực của kết nối PPP. Các cơ chế xác thực có thể là: - EAP (Extensible Authentication Protocol): giao thức xác thực mở rộng 16
  17. - CHAP (Challenge Handshake Authentication Protocol): giao thức xác thực đòi hỏi bắt tay. - PAP (Password Authentication Protocol): giao thức xác thực mật khẩu. Với PAP, mật khẩu được gửi qua kết nối dưới dạng văn bản đơn giản (clear text), không có bảo mật. CHAP là một giao thức xác thực mạnh hơn sử dụng phương thức bắt tay ba bước. CHAP chống lại các vụ tấn công quay lại bằng cách sử dụng các giá trị thách đố (Challenge Value) duy nhất và không thể đoán trước được. PPTP cũng thừa hưởng vật mật mã và/hoặc nén phần tải tin từ PPP. Để mật mã phần tải tin, PPP có thể sử dụng phương thức mã hóa điểm – tới – điểm MPPE (Microsoft Point to Point Encryption). MPPE chỉ cung cấp mật mã mức truyền dẫn, không cung cấp mật mã đầu cuối đến đầu cuối. Nếu cần sử dụng mật mã đầu cuối đến đầu cuối thì có thể sử dụng IPSec để mật mã lưu lượng IP giữa các đầu cuối sau khi đường hầm PPTP đã được thiết lập. Sau khi PPP thiết lập kết nối, PPTP sử dụng các qui luật đóng gói của PPP để đóng các gói truyền trong đường hầm. Để tận dụng ưu điểm của kết nối tạo ra bởi PPP, PPTP định nghĩa hai loại gói là gói điều khiển và gói dữ liệu, sau đó gán chúng vào hai kênh riêng là kênh điều khiển và kênh dữ liệu. PPTP phân tách các kênh điều khiển và kênh dữ liệu thành luồng điều khiển với giao thức TCP và luồng dữ liệu với giao thức IP. Kết nối TCP tạo giữa máy trạm PPTP và máy chủ PPTP được sử dụng để truyền tải thông báo điều khiển. Các gói dữ liệu là dữ liệu thông thường của người dùng, các gói điều khiển được gửi theo chu kỳ để lấy thông tin về trạng thái kết nối và quản lý báo hiệu giữa ứng dụng khách PPTP và máy chủ PPTP. Các gói điều khiển cũng được dùng để gửi các thông tin quản lý thiết bị, thông tin cấu hình giữa hai đầu đường hầm. 2.1.2.2. Duy trì đường hầm bằng kết nối điều khiển PPTP Kết nối điều khiển PPTP là kết nối giữa địa chỉ IP của máy trạm PPTP (cổng TCP được cấp phát ngẫu nhiên) và địa chỉ IP của máy chủ PPTP (sử dụng cổng mặc định là 1723). Kết nối điều khiển PPTP mang các bản tin điều khiển và quản lý được sử dụng để duy trì đường hầm PPTP. Các bản tin này bao gồm PPTP echo-request và PPTP echo-reply định kỳ để phát hiện các lỗi kết nối giữa máy trạm và máy chủ PPTP. Các gói của kết nối điều khiển PPTP bao gồm tiêu đề IP, tiêu đề TCP, bản tin điều khiển PPTP và tiêu đề, phần đuôi của lớp liên kết dữ liệu. Tiêu đề liên Tiêu đề Bản tin điều Phần đuôi liên Tiêu đề IP kết dữ liệu TCP khiển PPTP kết dữ liệu Hình 2.5 – Gói dữ liệu kết nối điều khiển PPTP 17
  18. 2.1.2.3. Đóng gói dữ liệu đường hầm PPTP Đóng gói khung PPP và GRE Dữ liệu đường hầm PPTP được đóng gói thông qua nhiều mức, hình dưới đây mô tả cấu trúc dữ liệu đã được đóng gói: Tiêu đề liên Tiêu đề Tiêu đề Tiêu đề Tải PPP được mã hóa Phần đuôi liên kết dữ liệu IP GRE PPP (IP, IPX, NetBEUI) kết dữ liệu Hình 2.6 – Gói dữ liệu đường hầm PPTP Phần tải của khung PPP ban đầu được mã hóa và đóng gói với tiêu đề PPP để tạo ra khung PPP. Khung PPP sau đó được đóng gói với phần tiêu đề của phiên bản giao thức GRE sửa đổi. GRE là giao thức đóng gói chung, cung cấp cơ chế đóng gói dữ liệu để định tuyến qua mạng IP. Đối với phần PPTP, phần tiêu đề của GRE được sửa đổi một số điểm như sau: - Một trường xác nhận 32bit được thêm vào. - Một bit xác nhận được sử dụng để chỉ định sự có mặt của trường xác nhận 32bit. - Trường Key được thay thế bằng trường độ dài Payload 16bit và trường chỉ số cuộc gọi 16bit. Trường chỉ số cuộc gọi được thiết lập bởi máy trạm PPTP trong quá trình khởi tạo đường hầm PPTP. Đóng gói IP Phần tải PPP (đã được mật mã) và các tiêu đề GRE sau đó được đóng gói với một tiêu đề IP chứa các thông tin địa chỉ nguồn và đích thích hợp cho máy trạm và máy chủ PPTP. Đóng gói lớp liên kết dữ liệu Để có thể truyền qua mạng LAN hoặc WAN, gói IP cuối cùng sẽ được đóng gói với một tiêu đề và phần đuôi của lớp liên kết dữ liệu ở giao diện vật lý đầu ra. Ví dụ, nếu gói IP được gửi qua giao diện Ethernet, nó sẽ được đóng gói với phần tiêu đề và đuôi Ethernet. Nếu gói được gửi qua đường truyền WAN điểm – tới – điểm, nó sẽ được đóng gói với phần tiêu đề và đuôi của giao thức PPP. Xử lý dữ liệu tại đầu cuối đường hầm PPTP Khi nhận được dữ liệu đầu cuối đường hầm PPTP, máy trạm và máy chủ PPTP sẽ thực hiện các bước sau: - Xử lý loại bỏ phần tiêu đề và đuôi của lớp liên kết dữ liệu - Xử lý và loại bỏ tiêu đề IP 18
  19. - Xử lý và loại bỏ tiêu đề GRE và PPP - Giải mã và/hoặc giải nén phần tải PPP (nếu cần thiết) - Xử lý phần tải tin để nhận hoặc chuyển tiếp 2.1.2.4. Ưu và nhược điểm của PPTP Ưu điểm của PPTP là được thiết kế để hoạt động ở lớp 2 trong khi IPSec chạy ở lớp 3 của mô hình OSI. Bằng cách hỗ trợ việc truyền dữ liệu ở lớp 2, PPTP có thể truyền trong đường hầm bằng các giao thức khác IP (ví dụ IPX, NetBEUI...) trong khi IPSec chỉ có thể truyền các gói IP trong đường hầm. Tuy nhiên, PPTP là một giải pháp tạm thời vì hầu hết các nhà cung cấp đều có kế hoạch thay thế PPTP bằng L2TP khi giao thức này đã được chuẩn hóa. PPTP thích hợp cho việc dial-up truy nhập với số lượng người dùng giới hạn hơn là cho VPN kết nối LAN- LAN. Một vấn đề của PPTP là xử lý xác thực người dùng thông qua Windows Server hay thông qua RADIUS. Máy chủ PPTP cũng quá tải với một số lượng lớn người dùng dial-up hay một lượng lớn dữ liệu truyền qua, mà điều này là một yêu cầu của kết nối LAN-LAN. 2.1.3. Giao thức định đường hầm lớp 2 (L2TP - Layer 2 Tunneling Protocol) Để tránh việc hai giao thức định đường hầm không tương thích cùng tồn tại gây khó khăn cho người sử dụng, IETF đã kết hợp 2 giao thức L2F và PPTP và phát triển thành L2TP. L2TP được xây dựng trên cơ sở tận dụng các ưu điểm của PPTP và L2F, đồng thời có thể sử dụng được trong tất cả các trường hợp ứng dụng của hai giao thức này. Một đường hầm L2TP có thể được khởi tạo từ một PC ở xa dial-up về LNS (L2TP Network Server) hay từ LAC (L2TP Access Concentrator) về LNS. Mặc dù L2TP vẫn dùng PPP nhưng L2TP định nghĩa cơ chế tạo đường hầm của riêng nó tùy thuộc vào phương tiện truyền chứ không dùng GRE. Client di động Bộ tập trung truy nhập L 2TP c ủa ISP Host Host Kết nối LAN - LAN Host Host Internet Máy chủ Máy chủ mạng L 2TP mạng L 2TP Kết nối LAN - Client NAS Client di động Hình 2.7 – Mô hình kết nối sử dụng L2TP 19
  20. L2TP đóng gói các khung PPP để truyền qua mạng IP, X25, Frame Relay hoặc ATM, tuy nhiên hiện nay mới chỉ có L2TP trên mạng IP được định nghĩa. Khi truyền qua mạng IP, các khung L2TP được đóng gói như các bản tin UDP. L2TP có thể được sử dụng như một giao thức định đường hầm thông qua Internet hoặc các mạng riêng Intranet. L2TP dùng các bản tin UDP qua mạng IP cho các dữ liệu đường hầm cũng như các dữ liệu duy trì đường hầm. Phần tải của khung PPP đã đóng gói có thể được mã hóa và nén. Mã hóa trong các kết nối L2TP thường được thực hiện bởi IPSec ESP (chứ không phải là MPPE như đối với PPTP). Ta cũng có thể tạo kết nối L2TP không sử dụng mật mã IPSec, tuy nhiên đây không phải là kết nối IP-VPN vì dữ liệu riêng được đóng gói bởi L2TP không được mã hóa. Các kết nối L2TP không mã hóa có thể được sử dụng tạm thời để sửa các lỗi kết nối L2TP dùng IPSec. L2TP giả định tồn tại mạng IP giữa máy trạm (VPN client dùng giao thức đường hầm L2TP và IPSec) và máy chủ L2TP. Máy trạm L2TP có thể được kết nối trực tiếp với mạng IP để truy nhập tới máy chủ L2TP hoặc gián tiếp thông qua việc dial-up tới NAS (máy chủ truy nhập mạng) để thiết lập kết nối IP. Việc xác thực trong quá trình hình thành đường hầm L2TP phải sử dụng các cơ chế xác thực trong kết nối PPP như EAP, MS- CHAP, CHAP, PAP. Máy chủ L2TP là máy chủ IP-VPN sử dụng giao thức L2TP với một giao diện nối với Internet và một giao diện khác nối với mạng Intranet. Giống như PPTP, L2TP cũng dùng hai kiểu bản tin là điều khiển và dữ liệu. Các bản tin điều khiển chịu trách nhiệm thiết lập, duy trì và hủy các đường hầm. Các bản tin dữ liệu đóng gói các khung PPP được truyền trong đường hầm. Các bản tin điều khiển dùng cơ chế điều khiển tin cậy bên trong L2TP để đảm bảo việc phân phối, trong khi các bản tin dữ liệu không được gửi lại khi bị mất trên đường truyền. 2.1.3.1. Duy trì đường hầm bằng bản tin điều khiển L2TP Không giống như PPTP, việc duy trì đường hầm L2TP không được thực hiện thông qua một kết nối TCP riêng biệt. Các lưu lượng điều khiển và duy trì cuộc gọi được gửi đi như các bản tin UDP giữa máy trạm và máy chủ L2TP (đều được sử dụng cổng UDP 1701). Các bản tin điều khiển L2TP qua mạng IP được gửi như các gói UDP, gói UDP lại được mã hóa bởi IPSec ESP như hình dưới đây. Tiêu đề Tiêu Phần đuôi Phần đuôi Tiêu đề Tiêu đề Bản tin Phần đuôi liên kết đề xác thực liên kết IPSec ESP UDP L2TP IPSec ESP dữ liệu IP IPSec ESP dữ liệu Mã hóa bởi IPSec Hình 2.8 – Bản tin điều khiển L2TP Vì không sử dụng kết nối TCP nên L2TP dùng thứ tự bản tin để đảm bảo việc truyền các bản tin L2TP. Trong bản tin điều khiển L2TP, trường Next-Received (tương tự 20
Đồng bộ tài khoản