سایت سازان

VPN چیست؟

VPN در یک تعریف کوتاه شبکه ای از مدارهای مجازی برای انتقال ترافیک شخصی است. در واقع پیاده سازی شبکه خصوصی یک شرکت یا سازمان را روی یک شبکه عمومی، VPN گویند.

شبکه های کامپیوتری به شکل گسترده ای در سازمان ها و شرکت های اداری و تجاری مورد استفاده قرار می گیرند. اگر یک شرکت از نظر جغرافیایی در یک نقطه متمرکز باشد، ارتباطات بین بخش های مختلف آن را می توان با یک شبکه محلی برقرار کرد. اما برای یک شرکت بزرگ که دارای شعب مختلف در نقاط مختلف یک کشور و یا در نقاط مختلف دنیا است و این شعب نیاز دارند که با هم ارتباطات اطلاعاتی امن داشته باشند، باید یک شبکه گسترده خصوصی بین شعب این شرکت ایجاد گردد. شبکه های اینترانت که فقط محدود به یک سازمان یا یک شرکت می باشند، به دلیل محدودیت های گسترشی نمی توانند چندین سازمان یا شرکت را تحت پوشش قرار دهند. شبکه های گسترده نیز که با خطوط استیجاری راه اندازی می شوند، در واقع شبکه های گسترده امنی هستند که بین مراکز سازمان ها ایجاد می شوند. پیاده سازی این شبکه علی رغم درصد پایین بهره وری، نیاز به هزینه زیادی دارد، زیرا، این شبکه ها به دلیل عدم اشتراک منابع با دیگران، هزینه مواقع عدم استفاده از منابع را نیز باید پرداخت کنند. راه حل غلبه بر این مشکلات، راه اندازی یک VPN است.

فرستادن حجم زیادی از داده از یک کامپیوتر به کامپیوتر دیگر مثلاً در بروزرسانی بانک اطلاعاتی یک مشکل شناخته شده و قدیمی است. انجام این کار از طریق ایمیل به دلیل محدودیت گنجایش سرویس دهنده Mail نشدنی است. استفاده از FTP هم به سرویس دهنده مربوطه و همچنین ذخیره سازی موقت روی فضای اینترنت نیاز دارد که اصلاً قابل اطمینان نیست.

یکی از راه حل های اتصال مستقیم به کامپیوتر مقصد به کمک مودم است که در اینجا هم علاوه بر مودم، پیکربندی کامپیوتر به عنوان سرویس دهنده RAS لازم خواهد بود. از این گذشته، هزینه ارتباط تلفنی راه دور برای مودم هم قابل تامل است. اما اگر دو کامپیوتر در دو جای مختلف به اینترنت متصل باشند می توان از طریق سرویس به اشتراک گذاری فایل در ویندوز به سادگی فایل ها را رد و بدل کرد. در این حالت، کاربران می توانند به هارد دیسک کامپیوترهای دیگر همچون هارد دیسک کامپیوتر خود دسترسی داشته باشند. به این ترتیب بسیاری از راه های نفوذ برای هکرها بسته می شود.

شبکه های شخصی مجازی یا VPNها (مخفف Virtual Private Network) این گونه مشکلات را حل می کند. VPN به کمک رمزگذاری روی داده ها، یک شبکه کوچک می سازد و تنها کسی که آدرس های لازم و رمز عبور را در اختیار داشته باشد می تواند به این شبکه وارد شود. مدیران شبکه ای که بیش از اندازه وسواس داشته و محتاط هستند می توانند VPN را حتی روی شبکه محلی هم پیاده کنند. اگرچه نفوذکنندگان می توانند به کمک برنامه های Packet Snifter جریان داده ها را دنبال کنند اما بدون داشتن کلید رمز نمی توانند آنها را بخوانند.

یک شبکه اختصاصی مجازی (VPN) از رمزنگاری سطح بالا برای ایجاد ارتباط امن بین ابزار دور از یکدیگر، مانند لپ تاپ ها و شبکه مقصد استفاده می کند. VPN اساساً یک تونل رمز شده تقریباً با امنیت و محرمانگی یک شبکه اختصاصی اما از میان اینترنت ایجاد می کند. این تونل VPN می تواند در یک مسیریاب بر پایه VPN، فایروال یا یک سرور در ناحیه DMZ پایان پذیرد. برقراری ارتباطات VPN برای تمام بخش های دور و بی سیم شبکه یک عامل مهم است که نسبتاً آسان و ارزان پیاده سازی می شود.

تبادل داده ها روی اینترنت چندان ایمن نیست. تقریباً هر کسی که در جای مناسب قرار داشته باشد می تواند جریان داده ها را زیر نظر گرفته و از آنها سوء استفاده کند. اگرچه VPN رمزنگاری موثری ارائه می کند و کار نفوذ را برای خرابکاری خیلی سخت می کند، اما کار اجرایی بیشتری را روی کارمندان IT تحمیل می کنند، چرا که کلیدهای رمزنگاری و گروه های کاربری باید به صورت مداوم مدیریت شوند.

معایب و مزایا
VPN به عوامل متفاوتی نظیر امنیت، اعتمادپذیری، مدیریت شبکه و سیاست های سازمان وابسته می باشد. استفاده از VPN برای یک سازمان می تواند دارای مزایای زیر باشد:

  1. گسترش محدوده جغرافیایی ارتباطی
  2. بهبود وضعیت امنیت
  3. کاهش هزینه های عملیاتی در مقایسه با روش های سنتی نظیر WAN
  4. کاهش زمان ارسال و حمل اطلاعات برای کاربران از راه دور
  5. بهبود بهره وری
  6. توپولوژی آسان

برخی از مواردی که می توان به عنوان جوانب منفی VPN برشمرد را در زیر مشاهده می کنید:

  1. شک نسبت به اطلاعات دریافت شده
  2. استفاده از منابع غیر موثق
  3. تفسیر بد از اطلاعات رسیده
  4. سرقت ایده ها
  5. نبود مهارت های حرفه ای در کار با اطلاعات
  6. فروش اطلاعات یا استفاده نابجای از اطلاعات
  7. عدم اطمینان از کارآیی سرویس و تاخیر در ارتباطات

VPN نسبت به شبکه های پیاده سازی شده با خطوط استیجاری، در پیاده سازی و استفاده، هزینه کمتری صرف می کند. اضافه و کم کردن گره ها یا شبکه های محلی به VPN، به خاطر ساختار آن، با هزینه کمتری امکان پذیر است.

تونل کشی
مجازی بودن در VPN به این معنا است که شبکه های محلی و میزبان های متعلق به عناصر اطلاعاتی یک شرکت که در نقاط مختلف از نظر جغرافیایی قرار دارند، همدیگر را ببینند و این فاصله ها را حس نکنند. VPNها برای پیاده سازی این خصوصیت از مفهومی به نام تونل کشی (Tunneling) استفاده می کنند. در تونل کشی، بین تمامی عناصر مختلف یک VPN، تونل زده می شود. از طریق این تونل، عناصر به صورت شفاف همدیگر را می بینند.

در روش فوق تمام بسته اطلاعاتی در یک بسته دیگر قرار گرفته و از طریق شبکه ارسال خواهد شد. پروتکل مربوط به بسته اطلاعاتی خارجی (پوسته) توسط شبکه و دو نقطه (ورود و خروج بسته اطلاعاتی) قابل فهم می باشد. دو نقطه فوق را (اینترفیس های تونل) می گویند. روش فوق مستلزم استفاده از سه پروتکل است:

  1. پروتکل حمل کننده: از پروتکل فوق شبکه حامل اطلاعات استفاده می نماید.
  2. پروتکل کپسوله سازی: از پروتکل هایی نظیر GRE – L2TP – PPTP – L2F – IPSec استفاده می گردد.
  3. پروتکل مسافر: از پروتکل هایی نظیر NetBeui – IP – IPX به منظور انتقال داده های اولیه استفاده شود.

مفهوم تونل کشی در VPN
برای تونل کشی بین عناصر یک VPN از مفهومی به نام (Encapsulation) لفافه بندی بسته های اطلاعاتی استفاده می شود. تمام عناصر یک VPN دارای آدرس های اختصاصی هستند. همه این عناصر از آدرس های اختصاصی یکدیگر مطلع بوده و هنگام ارسال داده بین یکدیگر از این آدرس ها استفاده می کنند. این وظیفه یک VPN است که بسته های اطلاعاتی را در بسته های انتقالی روی شبکه عمومی لفافه بندی کند و پس از انتقال امن از محیط ارتباط عمومی، آن بسته ها را از حالت لفافه بندی خارج نموده و با توجه به آدرس قبل از لفافه بندی، بسته ها را به عنصر گیرنده برساند. به این ترتیب ایجاد VPN روی یک شبکه عمومی، با پیاده سازی دو جنبه خصوصی گری و مجازی گری امکان پذیر است.

عملکرد Tunneling مشابه حمل یک نامه توسط یک کیف است. فروشنده، پس از بسته بندی نامه (پروتکل مسافر) درون یک پاکت (پروتکل کپسوله سازی) آن را توسط یک کیف (پروتکل حمل کننده) از پست (Interface ورودی تونل) برای متقاضی ارسال می دارد. کیف (پروتکل حمل کننده) از طریق مامور پست (اینترنت) مسیر خود را طی، تا به منزل شما (Interface خروجی تونل) برسد. شما در منزل پاکت (پروتکل کپسول سازی) را باز و نامه (پروتکل مسافر) را از آن خارج می نمایید.

با استفاده از روش Tunneling می توان عملیات جالبی را انجام داد. مثلاً می توان از بسته ای اطلاعاتی که پروتکل اینترنت را حمایت نمی کند، نظیر NetBeui درون یک بسته اطلاعاتی IP استفاده و آن را از طریق اینترنت ارسال نمود و یا می توان یک بسته اطلاعاتی را که از یک آدرس IP غیر قابل رویت (اختصاصی) استفاده می نماید، درون یک بسته اطلاعاتی که از آدرس های معتبر IP استفاده می کند، مستقر و از طریق اینترنت ارسال نمود.

امنیت در VPN
خصوصی بودن یک VPN بدین معنا است که بسته ها به صورت امن از یک شبکه عمومی مثل اینترنت عبور نمایند. برای محقق شدن این امر در محیط واقعی از:

  • هویت شناسی بسته ها، برای اطمینان از ارسال بسته ها بوسیله یک فرستنده مجاز استفاده می شود.
  • فایروال یک دیواره مجازی بین شبکه اختصاصی یک سازمان و اینترنت ایجاد می نماید. با استفاده از فایروال می توان عملیات متفاوتی را در جهت اعمال سیاست های امنیتی یک سازمان انجام داد. ایجاد محدودیت در تعداد پورت ها فعال، ایجاد محدودیت در رابطه به پروتکل های خاص، ایجاد محدودیت در نوع بسته های اطلاعاتی و… نمونه هایی از عملیاتی است که می توان با استفاده از یک فایروال انجام داد.
  • رمزنگاری فرآیندی است که با استفاده از آن کامپیوتر مبدا اطلاعاتی رمز شده را برای کامپیوتر دیگر ارسال می نماید. سایر کامپیوترهای مجاز قادر به رمزگشایی اطلاعات ارسالی خواهند بود. بدین ترتیب پس از ارسال اطلاعات توسط فرستنده، دریافت کنندگان، قبل از استفاده از اطلاعات باید اقدام به رمزگشایی اطلاعات ارسال شده نمایند. سیستم های رمزنگاری در کامپیوتر به دو گروه عمده تقسیم می گردد:
    • رمزنگاری کلید متقارن
    • رمزنگاری کلید عمومی

در رمزنگاری کلید متقارن هر یک از کامپیوترها دارای یک کلید Secret (کد) بوده که با استفاده از آن قادر به رمزنگاری یک بسته اطلاعاتی قبل از ارسال در شبکه برای کامپیوتر دیگر می باشند. در روش فوق باید در ابتدا نسبت به کامپیوترهایی که قصد برقراری و ارسال اطلاعات برای یکدیگر را دارند، آگاهی کامل وجود داشته باشد. هر یک از کامپیوترهای شرکت کننده در مبادله اطلاعاتی باید دارای کلید رمز مشابه به منظور رمزگشایی اطلاعات باشند.

به منظور رمزنگاری اطلاعات ارسالی نیز از کلید فوق استفاده خواهد شد. فرض کنید قصد ارسال یک پیام رمز شده برای یکی از دوستان خود را داشته باشید. بدین منظور از یک الگوریتم خاص برای رمزنگاری استفاده می شود. در الگوریتم فوق هر حرف به دو حرف بعد از خود تبدیل می گردد. (حرف A به حرف C، حرف B به حرف D) پس از رمز نمودن پیام و ارسال آن، باید دریافت کننده پیام به این حقیقت واقف باشد که برای رمزگشایی پیام ارسال شده، هر حرف به دو حرف قبل از خود باید تبدیل گردد.

در رمزنگاری عمومی از ترکیب یک کلید خصوصی و یک کلید عمومی استفاده می شود. کلید خصوصی صرفاً برای کامپیوتر شما (ارسال کننده) قابل شناسایی و استفاده است. کلید عمومی توسط کامپیوتر شما در اختیار تمام کامپیوترهای دیگر که قصد ارتباط با آن را داشته باشند، گذاشته می شود. به منظور رمزگشایی یک پیام رمز شده، یک کامپیوتر باید با استفاده از کلید عمومی (ارائه شده توسط کامپیوتر ارسال کننده)، کلید خصوصی مربوط به خود اقدام به رمزگشایی پیام ارسالی نماید. با استفاده از روش فوق می توان اقدام به رمزنگاری اطلاعات دلخواه خود نمود.

قراردادهای کاربردگرای VPN

قراردادهای SSH
کاربرد اصلی قرارداد SSH، امن نمودن خدمت ارتباط از راه دور است. این قرارداد در لایه کاربرد و بالاتر از قرارداد TCP/IP کار می کند. SSH قابلیت هویت شناسی کاربران و رمزنگاری اطلاعات را دارد. قرارداد SSH دارای سه لایه اصلی انتقال، هویت شناسی کاربر و اتصال می باشد. لایه انتقال، وظیفه فراهم آوردن امنیت و هویت شناسی کارگزار را به عهده دارد. به علت قرار گرفتن این لایه روی لایه TCP و همچنین وجود حفره امنیتی در لایه های TCP و IP، امنیت در ارتباط بین دو کامپیوتر از بین خواهد رفت، که می توان با قرار دادن دیواره آتش روی آن، این مشکل را به نوعی حل نمود. لایه ی هویت شناسی کاربر، وظیفه شناساندن کارفرما به کارگزار را به عهده دارد. لایه اتصال وظیفه ی تسهیم و ایجاد کانال های امن لایه های انتقال و هویت شناسی را بر عهده دارد. از قرارداد SSH می توان برای پیاده سازی شبکه های خصوصی که حالت خاصی از VPNها هستند، استفاده نمود.

قرارداد SOCKS
قرارداد SOCKS در مدل لایه بندی شبکه OSI در لایه پنجم به صورت کارفرما و کارگزار پیاده سازی شده است. این قرارداد دارای امکان رمزنگاری اطلاعات نیست، ولی به دلیل داشتن امکان هویت شناسی چند سطحی و امکان مذاکره بین کارفرما و کارگزار SOCKS، می توان از آن برای پیاده سازی قراردادهای رمزنگاری موجود، از آن استفاده نمود. SOCKS، به صورت Circuit-Level Proxy پیاده سازی شده است. یعنی، کارفرما و کارگزار SOCKS، در دروازه های دو شبکه محلی، اعمال هویت شناسی و مذاکره های لازم را انجام می دهند و سپس ارتباطات میزبان های دو شبکه محلی با یکدیگر انجام می شود. چون کارفرمای SOCKS مثل یک Proxy عمل می نماید، می توان برای امنیت بیشتر، به میزبان های شبکه محلی، آدرس های نامعتبر اختصاص داد و با ترجمه آدرس شبکه (NAT) که در کارگزار SOCKS انجام می شود، این آدرس های نامعتبر را به آدرس معتبر و بالعکس تبدیل نمود. با این روش می توان شبکه محلی را از یک شبکه عمومی مخفی نمود.

برای مشاهده منابع اینجا کلیک کنید.

برای مشاهده منابع اینجا کلیک کنید.

مقاله علمی و آموزشی «VPN چیست؟»، نتیجه ی تحقیق و پژوهش، گردآوری و نگارش هیئت تحریریه پورتال یو سی (شما می توانید) می باشد. در این راستا کتاب مدیریت سرور، نوشته ی وحید گودرزی اصفهانی از انتشارات ناقوس، منتشر شده در ۱۳۹۵ با شابک ۵-۸۵۴-۳۷۷-۹۶۴-۹۷۸ به عنوان منبع اصلی مورد استفاده قرار گرفته است.

سایت سازان

دیدگاه خود را بنویسید

آدرس ایمیل شما منتشر نمی شود. بخش های الزامی با * مشخص شده اند. *

*