Himoyalangan virtual xususiy tarmoqlar - Информатика и ИТ - Презентации

Himoyalangan virtual xususiy tarmoqlar

Загружено в:

16.12.2024

Скачано:

0

Размер:

627.365234375 KB

Himoyalangan virtual xususiy tarmoqlar 1. Himoyalangan virtual xususiy tarmoqlarni qurish konseptsiyasi 2. Himoyalangan virtual xususiy tarmoqlarning turkumlanishi 3. Himoyalangan korporativ tarmoqlarni kurish uchun VPN echimlar 4. Kanal va seans sathlarda himoyalangan virtual kanallarni qurish

1.Химояланган виртуал хусусий тармокларни куриш концепцияси Internet нинг гуриллаб ривожланиши натижасида дунёда ахборотни таркатиш ва фойдаланишда сифатий ўзгариш содир бўлди. Internet фойда- ланувчилари арзон ва кулай коммуникацияга эга бўлдилар. Корхоналар In ternet каналларидан жиддий тижорат ва бошкарув ахборотларини узатиш имкониятларига кизикиб колдилар. Аммо Internetнинг курилиши принципи нияти бузуқ одамларга ахборотни ўғирлаш ёки атайин бузиш имкониятини яратди. Одатда TCP/IP протоколлар ва стандарт Internet-иловалар (e-mail, Web, FTP) асосида қурилган корпоратив ва идора тармоклари суқилиб киришдан кафолатланмаганлар.

Internetнинг хамма ерда таркалишидан манфаат кўриш мақсадида тармоқ хужумларига самарали қаршилик кўрсатувчи ва бизнесда очиқ тармоқлардан фаол ва хавфсиз фойдаланишга имкон берувчи виртуал хусу сий тармок VPN яратиш устида ишлар олиб борилди. Натижада 1990 йилнинг бошида виртуал хусусий тармок VPN концепцияси яратилди. "Вирту ал" ибораси VPN атамасига иккита узел ўртасидаги уланишни вақтинча деб қурилишини таъкидлаш мақсадида киритилган. Хақиқатан, бу уланиш доимий, қатъий бўлмай, фақат очиқ тармоқ бўйича трафик ўтганида мавжуд бўлади.

Виртуал тармоқ VPNларни қуриш концепцияси асосида етарлича од дий ғоя ётади: агар глобал тармоқда ахборот алмашинувчи иккита узел бўлса, бу узеллар орасида очиқ тармоқ орқали узатилаётган ахборотнинг конфиденциаллигини ва яхлитлигини таъминловчи виртуал химояланган туннел қуриш зарур ва бу виртуал туннелдан барча мумкин бўлган ташқи фаол ва пассив кузатувчиларнинг фойдаланиши хаддан ташқари қийин бўлиши лозим. Шундай қилиб, VPN туннели очиқ тармоқ орқали ўтказилган уланиш бўлиб, у орқали виртуал тармоқнинг криптографик химояланган ахборот пакетлари узатилади.

Ахборотни VPN туннели бўйича узатилиши жараёнидаги химоялаш қуйидаги вазифаларни бажаришга асосланган: • ўзаро алоқадаги тарафларни аутентификациялаш; • узатилувчи маълумотларни криптографик беркитиш (шифрлаш); • етказиладиган ахборотнинг хакикийлигини ва яхлитлигини текши риш.

Бу вазифалар бир бирига боғлиқ бўлиб, уларни амалга оширишда ах боротни криптографик химоялаш усулларидан фойдаланилади. Бундай химоялашнинг самарадорлиги симметрик ва асимметрик криптографик тизимларнинг биргаликда ишлатилиши эвазига таъминланади. VPN қурилмалари томонидан шакллантирилувчи VPN туннели химояланган ажратилган линия хусусиятларига эга бўлиб, бу химояланган ажратилган линиялар умумфойдаланувчи тармоқ, масалан Internet доирасида, сафланади. VPN қурилмалари виртуал хусусий тармокларда VPN-мижоз, VPN-сервер ёки VPN хавфсизлиги шлюзи вазифасини ўташи мумкин.

VPN-мижоз одатда шахсий компьютер асосидаги дастурий ёки дастурий-аппарат комплекси бўлиб, унинг тармоқ дастурий таъминоти у бошқа VPN-мижоз, VPN-сервер ёки VPN хавфсизлиги шлюзлари билан алмашинадиган трафикни шифрлаш ва аутентификациялаш учун модификацияла- нади. Одатда VPN-мижознинг амалга оширилиши стандарт операцион ти зим - Windows NT/2000 ёки Unixни тўлдирувчи дастурий ечимдан иборат бўлади.

VPN-сервер сервер вазифасини ўтовчи, компьютерга ўрнатилувчи дас турий ёки дастурий-аппарат комплексидан иборат. VPN-сервер ташқи тармоқларнинг рухсатсиз фойдаланишидан серверларни химоялашни хамда алохида компьютерлар ва мос VPN-махсулотлари оркали химояланган ло кал тармок сегментларидаги компьютерлар билан химояланган уланишларни ташкил этишни таъминлайди. VPN-сервер VPN-мижознинг сервер платформалари учун функционал аналог хисобланади. У аввало VPN-мижозлар билан кўпгина уланишларни мададловчи кенгайтирилган ресурслари билан ажралиб туради. VPN-сервер мобил фойдаланувчилар билан уланишларни хам мададлаши мумкин.

VPN хавфсизлик шлюзи. (Security gateway) иккита тармоққа уланувчи тармоқ қурилмаси бўлиб, ўзидан кейин жойлашган кўп сонли хостлар учун шифрлаш ва аутентификациялаш вазифаларини бажаради. VPN хавфсизли ги шлюзи шундай жойлаштириладики, ички корпоратив тармокка аталган барча трафик у орқали ўтади. VPN хавфсизлиги шлюзининг адреси кирувчи туннелланувчи пакетнинг ташқи адреси сифатида кўрсатилади, пакетнинг ички адреси эса шлюз орқасидаги муайян хост адреси ҳисобланади. VPN хавфсизлиги шлюзи алохида дастурий ечим, алохида аппарат қурилмаси, хамда VPN вазифалари билан тўлдирилган маршрутизаторлар ёки тармоқлараро экран кўринишида амалга оширилиши мумкин.

Ахборот узатишнинг очик ташки мухити маълумот узатишнинг тезкор каналларини (Internet мухити) ва алоканинг секин ишлайдиган умумфойдаланувчи каналларини (масалан, телефон тармоги каналларини) уз ичига олади. Виртуал хусусий тармок VPNнинг самарадорлиги алоканинг очик каналлари буйича айланувчи ахборотнинг химояланиш даражасига боглик. Очик тармок оркали маълумотларни хавфсиз узатиш учун инкапсуляциялаш ва туннеллаш кенг ишлатилади. Туннеллаш усули буйича маълумотлар пакети умумфойдаланувчи тармок оркали худди оддий икки нуктали ула- ниш буйича узатилганидек узатилади. Хар бир "жунатувчи-кабул килувчи" жуфтлиги орасига бир протокол маълумотларини бошкасининг пакетига инкапсуляциялашга имкон берувчи узига хос туннел-мантикий уланиш урнатилади.

Туннеллашга биноан, узатилувчи маълумотлар порцияси хизматчи хошиялар билан бирга янги "конверт"га "жойлаш" амалга оширилади. Бунда пастрок сатх протоколи пакети юкорирок ёки худи шундай сатх протоколи пакети маълумотлари майдонига жойлаштирилади. Таъкидлаш лозимки, туннелашнинг узи маълумотларни рухсатсиз фойдаланишдан ёки бузишдан химояламайди, аммо туннеллаш туфайли инкапсуляцияланувчи дастлабки пакетларни тула криптографик химоялаш имконияти пайдо булади. Узатилувчи маълумотлар конфиденциаллигини таъминлаш максадида жунатувчи дастлабки пакетларни шифрлайди, уларни, янги IP- сарлавха билан ташки пакетга жойлайди ва транзит тармок буйича жунатади (8.1-расм).

Туннеллашдан пакет таркибини нафакат конфиденциаллигини, балки унинг яхлитлигини ва аутентилигини таъминлашда фойдаланилади. Бунда электрон ракамли имзони пакетнинг барча хошияларига таркатиш мумкин. Internet билан богланмаган локал тармок яратилганда компания узининг тармок курилмалари ва компьютерлари учун хохлаган IP-адресдан фойдаланиши мумкин. Олдин яккаланган тармокларни бирлаштиришда бу адреслар бир-бирлари ва Interne^ ишлатилаётган адреслар билан тукнашишлари мумкин. Пакетларни инкапсуляциялаш бу муаммони ечади, чунки у дастлабки адресларни беркитишга ва Internet IP адреслари макони- даги ноёб адресларни кушишга имкон беради. Бу адреслар кейин маълу- мотларни ажратилувчи тармоклар буйича узатишда ишлатилади. Бунга ло кал тармокка уланувчи мобил фойдаланувчиларнинг IP-адресларини ва бошка параметрларини созлаш масаласи хам киради.

Тунеллаш механизми химояланувчи канални шакллантирувчи турли протоколларда кенг кулланилади. Одатда туннел факат маълумотларнинг конфиденциаллиги ва яхлитлигининг бузилиши хавфи мавжуд булган очик тармок кисмида, масалан, очик Internet ва корпоратив тармок кириттт нукталари орасида, яратилади. Бунда ташки пакетлар учун ушбу икки нуктада урнатилган чегара маршрутизаторларининг адресларидан фойдала- нилса, охирги узелларнинг ички адреслари ички дастлабки пакетларда химояланган холда сакданади. Таъкидлаш лозимки, тунеллаш механизми- нинг узи кандай максадларда туннеллаш кулланилаётганига боглик эмас.

Туннеллаш нафакат узатилаётган барча маълумотларнинг конфиденциалли ги ва яхлитлигини таъминлашда, балки турли протоколли (масалан IPv4 ва IPv6) тармокдар орасида утишни ташкил этишда хам кулланилади. Туннел лаш бир протокол пакетини бошка протоколдан фойдаланувчи мантикий мухитда узатишни ташкил этишга имкон беради. Натижада бир неча турли хил тармокларнинг узаро алокалари муаммосини хал этиш имконияти пай- до булади.

Туннеллаш механизмини амалга оширилишига уч хил протоколлар: протокол- " йуловчи", протокол элтувчи ва туннеллаш протоколи ишлаши натижаси деб караш мумкин. Масалан, протокол - "йуловчи" сифатида битта корхона филиалларининг локал тармокдарида маълумотларни ташув- чи транспорт протоколи IPX ишлатилиши мумкин. Элтувчи протоколнинг энг куп таркалган варианти Internet тармогининг IP протоколи хисобланади. Туннеллаш протоколи сифатида канал сатхи протоколари PPTP ва L2TP, хамда тармок сатхи протоколи IPSec итттлатилиттти мумкин. Туннеллаш туфайли Internet инфратузилмасини VPN-иловалардан беркитиш мумкин булади.

VPN туннеллари турли фойдаланувчилар учун яратилиши мумкин. булар хавфсизлик шлюзи булган локал тармоц LAN ёки масофадаги ва мобил фойдаланувчиларнинг алохида компьютерлари булиши мумкин. Йи- рик корхонанинг виртуал хусусий тармогини яратиш учун VPN-шлюзлар, VPN- серверлар ва VPN-мижозлар керак булади. VPN- шлюзларни корхона локал тармокдарини химоялаш учун ишлатиш максадга мувофик булса, VPN- серверлар ва VPN-мижозлардан масофадаги ва мобил фойдаланувчи- ларни Internet оркали корпоратив тармок билан химояланган уланишини ташкил этишда фойдаланилади.

Уланишнинг биринчи схемаси алохида офислар орасидаги кимматли ажратилган линиялар урнига утади ва улар орасида доимо фойдаланувчан, химояланган каналларни яратади. Бу холда хавфсизлик шлюзи туннел ва локал тармок орасида интерфейс вазифасини утайди ва локал тармок фой- даланувчилари бир- бирлари билан мул окот килишда туннелдан фойдалана- дилар. Аксарият компаниялар VPNнинг бу хилидан глобал тармокнинг мавжуд Frame Relay каби уланишларни алмаштириш учун ёки уларга кушимча сифатида фойдаланадилар.

VPN химояланган каналнинг иккинчи схемаси масофадаги ёки мобил фойдаланувчилар билан уланишни урнатишга аталган. Туннелни яратишни мижоз (масофадан фойдаланувчи) бошлаб беради. Масофадаги тармокни химояловчи шлюз билан богланиш учун у узининг компьютерида махсус мижоз дастурий таъминотини ишга туширади. VPNнинг бу тури коммута- цияланувчи уланишларни урнига утади ва масофадан фойдаланишнинг анъ- анавий усуллари билан бир каторда ишлатилиши мумкин.

2,Химояланган виртуал хусусий тармокларнинг туркумланиши Химояланган виртуал хусусий тармоклар VPNни туркумлашни турли вариантлари мавжуд. Кўпинча туркумлашнинг қуйидаги учта аломати ишлатилади: • OSI моделининг иш сатхи; • VPN техник ечимининг архитектураси; • VPNни техник амалга ошириш усули.

• OSI моделининг иш сатуи буйича VPNHUHZ туркумланиши. Ушбу туркумлаш анчагина кизикиш тугдиради, чунки амалга оширилувчи VPNнинг функционаллиги ва унинг корпоратив ахборот тизимлари иловалари хамда химоянинг бошка воситалари билан биргаликда ишлатилиши кўп холларда танланган OSI сатхига боғлиқ бўлади.

OSI моделининг иш сатх аломати буйича канал сатхидаги VPN, тармок сатхидаги VPN ва сеанс сатхидаги VPN фаркданади. Демак, VPNлар одатда OSI моделининг пастки сатхларида курилади. Бунинг сабаби шуки, химояланган канал воситалари канчалик пастки сатхда амалга оширилса, уларни иловаларга ва татбикий протоколларга шунчалик шаф фоф килиш соддалашади. Тармок ва канал сатхларида иловаларнинг химоя протоколларига богликлиги умуман йўқолади. Шу сабабли, фойдаланувчи лар учун универсал ва шаффоф химояни факат OSI моделининг пастки сатхларида куриш мумкин. Аммо, бунда биз бошка муаммога химоя протоколининг муайян тармок технологиясига боғлиқлиги муаммосига дуч келамиз.

Каналь сатхидаги VPN. OSI моделининг канал сатхида ишлатилувчи VPN воситалари учинчи (ва юкорирок) сатхнинг турли хил трафигини инкапсулациялашни таъминлашга ва "нукта-нукта" тилидаги виртуал туннелларни (маршрутизатордан маршрутизаторга ёки шахсий компьтердан локал хисоблаш тармогининг шлюзигача) куришга имкон беради. Бу гурухга L2F (Layer 2 Forwarding) ва PPTP (Point-to-Point Tunneling Protocol) протокол лари хамда Cisco Systems и MicroSoft фирмаларининг бирга ишлаб чиккан L2TP(Layer 2 Tunneling Protocol) стандартидан фойдаланувчи VPN- махсулотлар тааллукди.

Химояланган каналнинг протоколи PPTP "нукта-нукта" уланишларида, масалан, ажратилган линияларда ишлаганда кенг кулланилувчи PPP протоколига асосланган. PPTP протоколи иловалари ва татбикий сатх хизматлари учун химоя воситаларининг шаффофлигини таъминлайди ва тармок сатхида ишлатилувчи протоколга боглик эмас. Хусусан, PPTP про токоли хам IP тармокдарида, хам IPX, DECnet ёки NetBEUL протоколлари асосида ишловчи тармокдарда пакетларни ташиши мумкин. Аммо, PPP протоколи хамма тармокдарда хам ишлатилмаслиги сабабли (аксарият ло кал тармокдарида канал сатхида Ethernet протоколи ишласа, глобал тармокдарда ATM, Frame Relay тармокдари ишлайди), уни универсал восита деб беулмайди. Йирик бирикма тармокнинг турли кисмларида, умуман айтганда, турли канал протоколлари ишлатилади. Шу сабабли бу гетероген мухит оркали канал сатхининг ягона протоколи ёрдамида химояланган канални утказиш мумкин эмас.

L2TP протоколи, эхтимол, локал хисоблаш тармокдаридан фойдала нишни ташкил этишда устунлик килувчи ечим булиб колиши мумкин (чун ки у, асосан, Windows операцион тизимига таянади.) Тармоц сатуидаги VPN. Тармок сатхидаги VPN-махсулотлар IPни IPга инкапсуляциялашни бажаради. Бу сатхдаги кенг таркалган протоколлардан бири SKIP протоколидир. Аммо бу протоколни аутентификациялаш, туннеллаш ва IP-пакетларни шифрлаш учун аталган IPSec(IPSecurity) про токоли аста-секин суриб чикармокда.

Тармок сатхида ишловчи IPSec протоколи муросага асосланган вари ант хисобланади. Бир томондан у иловадар учун шаффоф, иккинчи томондан кенг таркалган IP протоколига асосланганлиги сабабли барча тармокдарда ишлаши мумкин. Шу орада эсдан чикармаслик лозимки, IPSecнинг спецификацияси IPга мулжалланганлиги сабабли у тармок сатхининг бошка протоколлари трафиги учун тугри келмайди. IPSec протоколи L2TP протоколи билан биргаликда ишлаши мумкин. Натижада бу икки протокол ишончли идентификациялашни, стандартланган шифрлашни ва маълумотлар яхлитлигини таъминлайди. Иккита локал тармок орасидаги IPSecтуннели маълумотлар узатувчи якка тармоклар тупламини мададлаши мумкин. Натижада бу хилдаги иловалар масштабланиш нуктаи назаридан иккинчи сатх технологияларига нисбатан устунликка эга булади.

IPSec протоколи билан масофадаги курилмалар орасида криптогра фик калитларни хавфсиз бошкариш ва алмашиш масалаларини ечувчи IKE (Internet Key Exchange) протоколи богланган. IKE протоколи калитларни алмашишни автоматлаштиради ва химояланган уланишни уранатади, IPSec эса пакетларни кодлайди ва "имзо чекади”. Ундан ташкари, IKE урнатилган уланиш учун калитни узгартириш имкониятига эга. Бу узатилувчи ахборот нинг конфиденциаллигини оширади. Сеанс сатуидаги VPN. Баъзи VPNлар "канал воситачилари" (circuit proxy) деб аталувчи усулдан фойдаланади. Бу усул транспорт сатхи устида ишлайди ва хар бир сокет учун алохида трафикни химояланган тармокдан умумфойданувчи Internet тармогига ретрансляциялайди. (IP сокети TCP- уланишнинг ва муайян порт ёки берилган порт UDP комбинацияси оркали идентификацияланади. TCP/IP стекида бешинчи-сеанс сатхи булмайди, ам мо сокетларга мулжалланган амалларни купинча сеанс сатхи амаллари деб юритишади.)

Туннелнинг инициатори ва терминатори орасида узатилувчи ахборот ни шифрлаш транспорт сатхи TLS(Transport Layer Security) ёрдамида амал га оширилади. Тармоклараро экран оркали аутентификацияланган утишни стандартлаш учун SOCKS деб аталувчи протокол аникланган ва хозирда SOCKS протоколининг 5-версияси канал воситачиларини стандарт амалга оширилишида ишлатилади. SOCKS протоколининг 5-версиясида мижоз компьютери воситачи (proxy) вазифаларини бажарувчи сервер билан аутентифкацияланган сокет (ёки сеанс) урнатади. Бу воситачи- тармоклараро экран оркали богланишнинг ягона усули. Воситачи, уз навбатида, мижоз томонидан суралган хар кандай амални бажаради. Воситачига сокет сатхидаги трафик маълумлиги сабабли, у синчиклаб назорат килиттти, масалан, муайян иловаларни, агар улар зарурий ваколатларга эга булмаса, блокировка килиттти мумкин.

Агар IPSec протоколи мохияти буйича, IP тармокни химояланган туннелга таркатса, SOCKS протоколи асосидаги махсулотлар уни алохида хар бир илова ва хар бир сокетга кенгайтиради. Иккинчи ва учинчи сатхнинг яратилган туннеллари иккала йуналишда бирдай ишласа, 5 сатхнинг VPN тармоги хар бир йуналишда узатишни мустакил бошкаришга рухсат беради. IPSec протоколга ва иккинчи сатх протоколларига ухшаб 5 сатхнинг VPN тармогини виртуал хусусий тармокларнинг бошка турлари билан бирга ишлатилиши мумкин, чунки бу технологиялар бир-бирини инкор килмайди.

Техник ечимининг архитектураси буйича VPNHU нг туркумлани ши. Ушбу туркумлаш буйича виртуал хусусий тармокдар куйидаги уч турга булинади: корпорация ичидаги VPN тармок; масофадан фойдаланилувчи VPN тармок; корпорациялараро VPN тармок. Корпорация ичидаги VPN тармоц. Корпорация ичидаги VPN тармокдар (Intranet VPN) корхона ичидаги булинмалар ёки алоканинг кор порация тармокдари (шу жумладан, ажратилган линиялар) ёрдамида бир- лаштирилган корхоналар гурухи орасида химояланган алокани ташкил этиш учун ишлатилади.

Узининг филиаллари ва булимлари учун ахборот нинг марказлаштирилган омборидан фойдаланишга эхтиёж сезган компаниялар масофадаги узелларни ажратилган линиялар ёки frame relay технологияси ёрдамида улайдилар. Аммо ажратилган линияларнинг ишлатилиши эгалланадиган утказиш полосасининг ва объектлар орасидаги масофанинг катталашгани сари жорий сарф-харажатларнинг ошишига сабаб булади. Буларни камайтириш учун компания узелларини виртуал хусусий тармок ёрдамида улаши мумкин (8.4-расм).

VPN intranet технологияси ёрдамида тармоц узелларини улаш.

Intranet VPN тармокдар Interne^H ёки сервис-провайдерлар томони дан такдим этилувчи булинувчи тармок инфратузилмаларидан фойдаланган холда курилади. Компания нархи киммат ажратилган линиялардан воз кечиб, уларни арзонрок Internet оркали алока билан алмаштиради. Бу утказиш полосасидан фойдаланишдаги сарф-харажатни жиддий камайтиради, чунки Internetда масофа уланиш нархига хеч таъсир этмайди.

Intranet VPN учун куйидаги афзалликлар характерли: • конфиденциал ахборотни химоялаш учун шифрлашнинг кучли криптографик протоколларцдан фойдаланиш; • автоматлаштирилган савдо тизими ва маълумотлар базасини бошкариш тизими каби жиддий иловаларни бажаришда ишлашининг ишончлилиги; • сони тез усаётган фойдаланувчилар, янги офислар ва янги дастурий иловаларни самаралирок жойлаштириш учун бошкаришнинг мослашувчанлиги.

Internetдан фойдаланиб Intranet VPNни курит VPN- технологияни амалга оширувчи энг рентабел усули хисобланади. Аммо Internet сервис даражаси умуман кафолатланмайди. Кафолатланган сервис даражасини хохловчи компаниялар узларининг VPNларини сервер- провайдерлари томонидан такдим этилувчи булинувчи тармок инфтузилмаларидан фойдаланиб сафлаш имкониятларини куришлари шарт. Масофадан фойдаланилувчи VPN тармоц. Масофадан фойдаланилув- чи виртуал хусусий тармоклар VPN (Remote Access VPN) корпорациянинг мобил ёки масофадаги ходимларига (компания рахбарияти, мехнат сафаридаги ходимлар, касаначилар ва х.) корхона ахборот ресурсларидан химояланган масофадан фойдаланишни таъминлайди.

Масофадан фойдаланувчи виртуал хусусий тармокларнинг (8.5-расм) коммутацияланувчи ва ажратилган линиялардан фойдаланишнинг хар ойда- ги сарф-харажатларини анчагина камайтиришга имкон бериши, уларнинг умумий эътироф этилишига сабаб булди. Уларнинг ишлаш принципи од дий: фойдаланувчилар глобал тармокдан фойдаланишнинг махаллий нуктаси билан уланишларни урнатади. Сунгра уларнинг суровлари Internet оркали туннелланади. Бу шахарлараро ва халкаро алока учун туловдан кутилишга имкон беради. Ундан кейин барча суровлар мос узелларда тупланади ва корпорация тармокларига узатилади.

Масофадаги Фойдаланувчилар Марказий офис Масофадан фойдаланишли виртуаль хусусий тармоц.

Хусусий бошкарилувчи тармоклардан (dial networks) масофадан фой даланилувчи VPN тармокларга (Remote Acces VPN) утиш куйидаги афзалликларни беради: • шахарлараро номерлар урнига махаллий номерлардан фойдаланиш имконияти шахарлараро телекоммуникацияга сарф-харажатларни анчагина камайтиради; • аутентификациялаш жараёнини ишончли утказишни таъминловчи масофадаги ва мобил фойдаланувчилар хакикийлигини аниклаш тизимининг самарадорлиги; • масштабланишнинг янада юкорилиги ва тармокка кушилувчи янги фойдаланувчилар сафланишининг оддийлиги; • компания эътиборини тармок ишлаши муаммолари урнига асосий корпорация бизнес-максадларига каратиш.

Таъкидлаш лозимки, сезувчан корпорация трафигини ташишда очик тармок Шегпе^инг бирлаштирувчи магистрал сифатида ишлатилишининг масштаби ошиб бормокда. Бу ахборот хдмояси механизмини ушбу техноло- гиянинг энг мухим элементига айлантиради. Корпорациллараро VPN тармоц. Корпорациялараро VPN тармоклардан (Extranet VPN) бизнес буйича стратегик шериклар, хусусан чет эл асосий таъминотчилар, йирик буюртмачилар, мижозлар ва х. билан самарали алокани ва ахборотни химояланган алмашинувини ташкил этишда фойдаланилади (8.6- расм). Extranet - бир компания тармогидан иккинчи компания тармогининг тугридан-тугри фойдаланишини таъминлаш оркали иш юзасидан хамкорлик жараёнида алока ишончлилигини оширишга имкон берувчи технологиядир.

Extranet VPN тармокдари умуман корпорация ичидаги виртуал хусу сий тармокдарга ухшаш, фарки шундаки, корпорациялараро виртуал хусу сий тармоклар учун ахборот химояси муаммоси кескинрокдир. Extranet VPN учун ишбилармон шериклар узларининг тармокдарида куллашлари мумкин булган турли VPN- ечимлар билан алока килиш имкониятларини кафолатловчи стандартлаштирилган VPN-махсулотлардан фойдаланиш характерлидир. Бир неча компаниялар бирга ишлашга келишиб, бир- бирларига тармокларини очишганида, улар янги шерикларининг факат маълум ахборотдан фойдаланишларига йул куйишлари лозим. Бунда конфиденциал ах борот рухсатсиз фойдаланишдан ишончли химояланиши зарур. Айнан, шу сабабли корпорациялараро тармокларда очик тармок томонидан тармоклараро экран (брандмауэр) ёрдамида назоратга катта ахамият берилади. Ахборотдан хакикий фойдаланувчининг фойдаланишини кафолатловчи аутентификациялаш хам мухим хисобланади. Шу билан бир каторда рухсатсиз фойдаланишдан химоялашнинг сафланган тизими узига эътиборни жалб килмаслиги шарт.

Extranet VPN уланишлари intranet VPN ва remote access VPN лар амалга оширилишидаги ишлатилган архитектура ва протоколлардан фойда ланиб сафланади. Асосий фарк шундан иборатки, extranet VPN фойдала- нувчиларига бериладиган фойдаланишга рухсат улар шеригининг тармоги билан боглик. Баъзида VPN тармогининг локал варианти (Localnet VPN) алохида гурухга ажратилади. Localnet VPN локал тармоги компания локал тармоги ичида (одатда, марказий офис) айланувчи ахборотлар окимидан компаниядан ишловчи "ортикча кизикувчи" ходимларнинг рухсатсиз фойдаланишидан химоялашни таъминлайди. Таъкидлаш лозимки, хозирда VPNни амалга оширувчи турли усулларнинг конвергенцияси гояси кузга ташланмокда.

Техник амалга ошириш буйича УРМнинг туркумланиши. Виртуал хусусий тармокнинг конфигурацияси ва характеристикалари куп жихатдан ишлатиладиган VPN- курилмаларининг турига боглик. Техник амалга ошириш буйича VPNнинг куйидаги гурухлари фаркланади: • маршрутизаторлар асосидаги VPN; • тармоклараро экранлар асосидаги VPN; • дастурий таъминот асосидаги VPN; • ихтисослаштирилган аппарат воситалари асосидаги VPN.

Маршрутизаторлар асосидаги VPN. VPN куришнинг ушбу усулига биноан химояланган каналларни яратишда маршрутизаторлардан фойдаланилади. Локал тармокдан чикувчи барча ахборот маршрутизатор оркали утганлиги сабабли, унга шифрлаш вазифасини юклаш табиий. Маршрутиза тор асосидаги VPN асбоб-ускуналарига мисол тарикасида Cisco- Systems компаниясининг курилмаларини курсатиш мумкин.

Тармоқлараро экранлар асосидаги VPN. Аксарият ишлаб чикарувчиларнинг тармоклараро экрани туннеллаш ва маълумотларни шифрлаш вазифаларини мададлайди. Тармоклараро экранлар асосидаги ечимга мисол тарикасида Check Point Software Technologies компаниясининг Fire Wall-1 махсулотини курсатиш мумкин. Шахсий компьютер асо сидаги тармоклараро экранлар факат узатилувчи ахборот хажми нисбатан кичик булган тармокдарда кулланилади. Ушбу усулнинг камчилиги бита ишчи урнига хисобланганда ечим нархининг юкорилиги ва унумдорликнинг тармоклараро экран ишлайдиган аппарат таъминотига богликлиги.

Дастурий таъминот асосидаги VPN. Дастурий усул буйича амалга оширилган VPN махсулотлар унумдорлик нуктаи назаридан ихтисослашти- рилган курилмадан колишсада, VPN-тармокларни амалга оширилишида етарли кувватга эга. Таъкидлаш лозимки, масофадан фойдаланишда зарурий утказиш полосасига талаблар катта эмас. Шу сабабли, дастурий махсулотларнинг узи масофадан фойдаланиш учун етарли унумдорликни таъминлайди. Дастурий махсулотларнинг шубхасиз афзаллиги- кулланилишининг мосланувчанлиги ва кулайлиги, хамда нархининг нисба тан юкори эмаслиги.

Ихтисослаштирилган аппарат воситалари асосидаги VPN. Ихтисос- лаштирилган аппарат воситалари асосидаги VPNларнинг энг мухим афзаллиги унумдорлигининг юкорилигидир. Ихтисослаштирилган VPN тизимларда шифрлашнинг микросхемаларда амалга оширилиши тезкорликнинг таъминланишига сабаб булади. Ихтисослаштирилган VPN- курилмалар хавфсизликнинг юкори даражасини таъминлайди, аммо уларнинг нархи анчагина юкори.

3,Химояланган корпоратив тармокларни куриш учун VPN ечимлар Маршрутизаторлар асосидаги VPN. Ташки дунё билан локал тармок алмашадиган барча ахборот машрутизатор оркали утади. Бу мар- шрутизаторларни чикувчи пакетларни шифрловчи ва кирувчи пакетларни расшифровка килувчи табиий платформага айлантиради. Бошкача айтганда, маршрутизатор, умуман, маршрутлаш вазифасини VPN вазифасини мадад- лаш билан бирга олиб бориши мумкин. Бундай ечим узининг афзалликлари ва камчиликларига эга

Афзаллиги - маршрутлаш ва VPN вазифаларини биргаликда маъмурлаш кулайлигидир. Корхона тармоклараро экранни иш- латмасдан корпоратив тармок химоясини факат хам тармокдан фойдаланиш буйича, хам узатиладиган трафикни шифрлаш буйича химоялаш вазифала рини биргаликда хал этувчи маршрутизатор ёрдамида ташкил этган холларда машрутизаторларни VPNни мададлашда ишлатилиши айникса фойдалидур. Ушбу ечимнинг камчилиги маршрутлаш буйича асосий амалларнинг трафикни куп мехнат сарфини талаб этувчи шифрлаш ва аутенти фикациялаш амаллари билан бирга олиб борилиши натижасида маршрути затор унумдорлигига куйиладиган талабларнинг ошиши билан боглик.

Маршрутизаторларнинг унумдорлигини оширишга шифрлаш вазифаларини аппарат мададлаш оркали эришилади. Хрзирда барча маршрутизатор ва бошка тармок курилмаларини етакчи ишлаб чикарувчилар узларининг махсулотларида турли VPN-протоколларини мададлайдилар. Бу сохада Cis co Systems ва 3Com компаниялари лидер хисобланадилар. Cisco Systems компанияси узлари ишлаб чиккан маршрутизаторларга энг кенг таркалган стандартлар асосида VPNларни куришга имкон берувчи канал сатхи прото колини мададловчи IOS 11.3(Internetwork Operation System 11.3) ва тармок сатхи протоколи IPSecни киритди. L2F протоколи аввалрок IOS операцион тизимнинг компонентига айланди ва Cisco ишлаб чикарадиган барча тармокдараро алока ва масофадан фойдаланиш курилмаларида мададланади.

Cisco маршрутизиторларида VPN вазифалари бутунлай дастурий йул билан ёки шифрлаш сопроцессори булган махсус кенгайтириш платасидан фойдаланилган холда амалга оширилиши мумкин. Охирги вариант VPN амалларида маршрутизатор унумдорлигини анчагина оширади. Cisco Sys tems компанияси томонидан ишлаб чикилган VPN куриш технологияси юкори унумдорлиги ва мосланувчанлиги билан ажралиб туради. Унда "тоза" ёки инкапсуляция килинган куринишда узатилувчи хар кандай IP-оким учун шифрлаш билан туннеллаш таъминланади. Cisco компаниясининг маршрутизаторлари асосида VPN-каналларини куриш операционтизимининг воситалари ёрдамида Cisco IOS 12.x. версиясидан бошлаб амалга оширила ди.

• Агар мазкур операцион тизим компаниянинг бошка булимларидаги Cis co чегара маршрутизаторларида урнатилган булса, бир маршрутизатордан иккинчисига "нукта-нукта" туридаги виртуал химояланган туннеллар маж- муасидан иборат булган корпоратив VPN тармокни шакллантириш имко нияти булади (8.7- расм).

Cisco маршрутизаторлари асосида корпоратив VPN тармогини цуришнинг намунавий схемаси.

Маршрутизаторлар асосида VPNларни куришда эсда тутиш лозимки, бундай ёндашишнинг узи компаниянинг умумий ахборот хавфсизлигини таъминлаш муаммосини хал этмайди, чунки барча ички ахборот ресурслар барибир ташкаридан хужум килиш учун очик колади. Бу ресурсларни химоялаш учун, одатда, чегара маршрутизаторларидан кейин жойлашган тармоклараро экранлардан фойдаланилади. Cisco 1720 VPN Access Router маршрутизатори катта булмаган ва уртача корхоналарда химояланган фойдаланишини ташкил этишга аталган.

Cisco 1720 маршрутизатори маълумотлар химоясининг куйидаги ва зифаларини бажаради: тармоцлараро экранлаш. Cisco IOS Firewall компонента локал тармокдарни хужумлардан химоялайди. Фойдаланишнинг контекстли назо- рати CBAC (Context-based access control) функцияси маълумотларни дина мик ёки холатларга асосланган, иловалар буйича дифференциалланган фильтрлашни бажаради. Бу функция самарали тармоклараро экранлаш учун жуда мухим хисобланади. Cisco IOS Firewall компонента катор бошка фой дали вазифаларни хам, хусусан, "хизмат к.илитттдан воз кечиш" каби хужум- ларни аниклаш ва олдини олиш, Javaни блокировка этиш, аудит ва вактнинг реал масштабида огохлантиришларни таркатиш вазифаларини ба жаради.

шифрлаш. IPSec протоколидаги DES ва Triple DES шифрлаш алго- ритмларини мададлаш маълумотларни конфиденциаллиги ва яхлитлигини ва маълумотлар манбаини аутентификациялашни (маълумотлар глобал тармокдан утганидан сунг) таъминлаш максадида ишончли ва стандарт шифрлайди. туннеллаш. Туннеллашнинг IPSec, GRE (Generic Routing Encapsula tion), L2F ва L2TP стандартлари ишлатилади. L2F ва L2TP стандартлари масофадаги фойдаланувчиларнинг корхона локал тармогида урнатилган Cis co 1720 маршрутизаторгача виртуал туннел утказганларида ишлатилади. Бундай кулланишда корхонада масофадан фойдаланиш серверига эхтиёж колмайди ва шахарлараро ёки халкаро кунгирокдар учун тулови тежалади.

қурилмаларни аутентификациялаш ва калитларни бошцариш. IPSec катта тармокларда маълумотлар ва курилмаларни масштабланувчи аутенти фикациялашни таъминловчи калитларни бошкариш протоколи IKE, ракамли сертификатлар X.509 версия 3, сертификатларни бошкарувчи про токол CEP, хамда Verisign ва Entrust компания сертификат серверлари ма- дадланади. VPNrnm мижоз дастурий таъминоти. IPSec ва L2TP протоколла- рининг стандарт версиялари билан ишловчи харкандай мижоз Cisco IOSбилан узаро алока к.илити мумкин. фойдаланувчиларни аутентификациллаш. Бунинг учун PAP, CHAP протокллари, TACACS+ ва RADIUS тизимлари, фойдаланиш токенлари ка би воситалардан фойдаланилида.

Виртуал химояланган тармокдар нафакат маълумотларни химоялаш, балки химоялашнинг юкори савияси QoSни (Quality of Service) таъминла- ши лозим. Cisco 1720 маршрутизатори QoSни куйидаги бошкариш меха- низмларини мададлайди: фойдаланишнинг келишилган тезлиги CAR (Committed Access Rate) иловалар ёки фойдаланувчилар базисида куийдаги учта мухим вазифани бажаради: • трафик турини туркумлайди; • берилган иловага рухсат этилган утказиш кобилиятининг максимал даражасини урнатади; • трафикнинг хар бир тури устиворлигини белгилайди;

• сиёсат асосида маршрутлаш (Policy Routing) хам трафикни тур кумлайди ва устиворлайди хамда трафикнинг кайси турини маршрутизатор- нинг мос чикиш йули портига жунатиш лозимлигини хал этади; • мулощзали одилона навбат WFQ (Weighted Fair Queneing) трафик ни хисобга олган холда макбул жавоб вактини таъминлайди; • протокол RSVP иловаларга йулнинг бошидан охиригача кафолат- ланган утказиш кобилиятини резервлашга имкон беради.

Тармоклараро экранлар асосидаги VPN. Локал тармокнинг тармоклараро экрани оркали, худди маршрутизатордагидек, бутун трафик утади. Шу сабабли, тармоклараро экран хам чикувчи трафикни шифрлаш, кирувчи трафикни расшифровка килиш вазифасини бажариши мумкин. Хозирди катор VPN- ечимлар тармоклараро экранларни VPNнинг кушимча мадад функциялари билан тулдирилишига таянади. Бу Internet оркали бошка тармоклараро экранлар билан шифрланган уланишни урнатишга им кон беради. Ахборот хавфсизлиги буйича катор мутахассисларнинг фикрича VPNни тармоклараро экранлар асосида куриш, корпоратив тармокларни очик тармокдар хужумларидан комплекс химоялаш нуктаи назаридан, тула асосланган ечимдир. Хакикатан, тармоклараро экран ва VPN- шлюз функ циялари бир нуктада, ягона бошкариш ва аудит тизими назоратида бирлаштирилса, корпоратив тармокни химоялаш функциялари битта курилмада тупланади. Натижада химоя воситаларини маъмурлаш сифати ошади.

Check Point Software Technologies компанияси Internet билан ишлаганда ахборот хавфсизлигини комплекс таъминлаш махсулотларини ишлаб чикариш сохасидаги етакчилардан бири хисобланади. Check Point Fire Wall-1 тармоклараро экран корпоратив ахборот ресурслари учун ягона комплекс доирасида химоянинг чукур эшелонланган чегарасини куришга имкон беради. Бундай комплекс таркибига Check Point FW-1 нинг узи ва корпоратив VPN тармок (химояланган туннеларни шакллантирувчи кисм тизим) курит учун махсулотлар туплами Check Point VPN-1, хамда сукилиб киришни пайкаш воситалари Flood Gate ва х. киради. Дастурий таъминотлар Check Point Fire Wall-1/VPN-1 асосида корпо ратив тармок курит мисоли 8.8-расмда келтирилган.

Масофадаги Масофадаги фойдаланувчи фойдаланувчи Check Point FW-1/VPN-1 асосида корпоратив VPN тармогини цуриш схемаси.

Check Point VPN-1 кисм тизим таркибидаги барча махсулотлар хам узаро, хам оммавий брандмауэр Fire Wall-1 билан узвий интеграцияланган. Check Point компанияси "тармок-тармок" (VPN-1 Gateway) ва "тармок- масофадаги фойдаланувчи" (VPN-1 Gateway+VPN-1 Secu Remote) типидаги химояланган тармокларни ташкил этиш учун воситаларни такдим этади. Check Point VPN-1 махсулотлари очик стандартлар (IPSec) асосида амалга оширилган, фойдаланувчиларни аутентификациялашнинг ривожлан- ган тизимига эга, очик калитларни (PKI) таксимлашнинг ташки тизимлари билан узаро алокани мададлайди, бошкариш ва аудитнинг марказлаштирил- ган тизимини куришга имкон беради ва х.

Check Point Fire Wall-1/VPN-1 нафакат очик, балки криптохимояланган трафикни хам назоратлайди. Тармоклараро экран FW- 1га келган маълумотлар VP-1 воситалари ёрдамида расшифровка килинади, сунгра ахборотлар пакети яна шифрланади ва утказиб юборилади. VPN-1 кисм тизими трафикни нафакат криптографик беркитади, балки ахборотлар пакетини аутентификациялайди хам. Check Point Fire Wall-1/VPN-1 каналларида трафикни шифрлашда машхур алгоритмлар DES, 3-Des, CAST, IDEA, FWZ1 ва х. алгоритмлардан фойдаланнлади. FWZ1 криптотизими Check Point компаниясининг ишлан- масидир. Ахборот пакетларини аутентификациялашда MD5, SHA-1, CBC DES ва MAC алгоритмлари ишлатилади.

Похожие

Ijtimoiy tarmoqlar. Myspace

Global tarmoqlar ADPi

Tarmoqlar va tarmoqlararo geografiyasi

Bulutli texnologiyalar

Kompyuterlar tarmog\\'ida iqtisodiy axborotlar xavfsizligi va uni ta\\'minlash usullari