Tổng quan về VPN và các thức triển khai

GIỚI THIỆU Trước khi xuất hiện mạng riêng ảo Virtual Private Network – VPN, khi những nhân viên làm việc ở xa muốn truy cập vào mạng công ty hoặc là những văn phòng ở xa có thể dùng đườn

BÀI 1:

TỔNG QUAN VỀ VPN

1 GIỚI THIỆU MẠNG RIÊNG ẢO VPN

1.1 GIỚI THIỆU

Trước khi xuất hiện mạng riêng ảo (Virtual Private Network – VPN), khi những

nhân viên làm việc ở xa muốn truy cập vào mạng công ty hoặc là những văn

phòng ở xa có thể dùng đường dây thuê bao, hoặc là những người làm việc ở

xa hầu như phải sử dụng việc kết nối quay số Cả hai cách này đều tốn kém về

chi phí và không bảo mật về thông tin.

Sự xuất hiện của mạng riêng ảo không những đã giúp cho những người làm

việc ở xa có thể truy cập tài nguyên của công ty như thể họ đang ngồi trước

màn hình máy tính ở bàn làm việc tại công ty họ, mà còn tiết kiệm hơn về chi

phí

1.1.1 Mạng riêng ảo là gì ?

Mạng riêng ảo – Virtual Private Network, gọi tắt là VPN

VPN được hiểu đơn giản như là sự mở rộng của một mạng riêng (private network) thông qua các mạng công cộng Về căn bản, mỗi VPN là một

mạng

riêng rẽ sử dụng một mạng chung (thường là internet) để kết nối cùng

với các

site (các mạng riêng lẻ) hay nhiều người sử dụng từ xa

Thay cho việc sử dụng bởi một kết nối thực, chuyên dụng như đường

leased

line, mỗi VPN sử dụng các kết nối ảo được dẫn đường qua Internet từ

mạng

riêng của các công ty tới các site hay các nhân viên từ xa Để có thể gửi

và

nhận dữ liệu thông qua mạng công cộng mà vẫn bảo đảm tính an tòan và

bảo

mật

4

Một số các thành phần chính của Remote Access :

• Remote Access Server (RAS) : được đặt tại trung tâm có nhiệm vụ xác nhận và chứng nhận các yêu cầu gửi tới

•Quay số kết nối đến trung tâm, điều này sẽ làm giảm chi phí cho một số yêu

cầu ở khá xa so với trung tâm

•Hỗ trợ cho những người có nhiệm vụ cấu hình, bảo trì và quản lý RAS

và hổ trợ truy cập từ xa bởi người dùng

Bằng việc triển khai Remote Access VPN, những người dùng từ xa hoặc các

chi nhánh văn phòng chỉ cần cài đặt một kết nối cục bộ đến nhà cung cấp dịch

vụ ISP hoặc ISP’s POP và kết nối đến tài nguyên thông qua Internet

Thông tin

Remote Access Setup được mô tả bởi hình vẽ sau :

Những thuận lợi chính của Remote Access VPN:

• Sự cần thiết của RAS và việc kết hợp với modem được loại trừ

• Sự cần thiết hổ trợ cho người dung cá nhân được loại trừ bởi vì kết

nối từ xa đã được tạo điều kiện thuận lợi bời ISP

• Sự cần thiết hổ trợ cho người dung cá nhân được loại trừ bởi vì kết nối từ xa đã được tạo điều kiện thuận lợi bời ISP

• Giảm giá thành chi phí cho các kết nối với khoảng cách xa

• Do đây là một kết nối mang tính cục bộ, do vậy tốc độ nối kết sẽ cao hơn so với kết nối trực tiếp đến những khoảng cách xa

Một số bất lợi của Remote Access VPN:

• Remote Access VPNs cũng không bảo đảm được chất lượng phục

vụ.

• Khả năng mất dữ liệu là rất cao, thêm nữa là các phân đoạn của gói

dữ liệu có thễ đi ra ngoài và bị thất thoát.

• Do độ phức tạp của thuật toán mã hoá, protocol overhead tăng

đáng kể, điều này gây khó khăn cho quá trình xác nhận Thêm vào

đó, việc nén dữ liệu IP và PPP-based diễn ra vô cùng chậm chạp và tồi tệ.

• Do phải truyền dữ liệu thông qua Internet, nên khi trao đổi các dữ

liệu lớn như các gói dữ liệu truyền thông, phim ảnh, âm thanh sẽ rất chậm.

1.1.2.b Site-to-site VPN (Lan-to-Lan VPN):

Site-to-site VPN :

• Được áp dụng để cài đặt mạng từ một vị trí này kết nốI tới mạng

của một vị trí khác thông qua VPN Trong hoàn cảnh này thì việc chứng thực ban đầu giữa các thiết bị mạng được giao cho người

sử dụng Nơi mà có một kết nốI VPN được thiết lập giữa chúng.

• Khi đó các thiết bị này đóng vai trò như là một gateway, và đảm

bảo rằng việc lưu thông đã được dự tính trước cho các site khác Các router và Firewall tương thích vớI VPN, và các bộ tập trung VPN chuyên dụng đều cung cấp chức năng này.

12

1.2.1 Tính Bảo Mật

Bảo mật là những gì làm cho VPN có tính “ảo” và tính “riêng” Để cạnh tranh và nhiều lý do khác , việc bảo mật thông tin và các quá trình trao đổi thông tin của công ty trở nên có tính chất sống còn ,đó

là các nguyên nhân mà các giái pháp WAN và các đường truyền kênh thuê riêng được sử dụng một cách phổ biến như hiện nay

Như vậy yêu cấu của VPN là phải bảo mật đường dây thuê riêng đồng thời mang lại những ưu điểm về chi phí mà không cần phải bỏ những tính riêng tư của mạng

Do đó : cần kết hợp các sản phẩm và công nghệ với nhau để đảm bảo tính bảo mật cho kết nối VPN

1.2.2 Đường Hầm (Tunnel )

Các đường hầm (Tunnel) chính là đặc tính ảo của VPN , nó làm cho một kết nối dường như một dòng lưu lượmg duy nhất trên đường dây Đồng thời còn tạo cho VPN khả năng duy trì những yêu cầu về bảo mật và quyền ưu tiên như đã được áp dụng trong mạng nội bộ , bảo đảm cho vai trò kiểm soát dòng lưu chuyền dữ liệu Đường hầmcũng làm cho VPN có tính riêng tư

Các loại công nghệ đường hầm được dùng phổ biến cho truy cập VPN gồm có các giao thức định đường hầm :

• Điểm – Điểm PPTP ( Point to Point

Tunneling Protocol )

• Định đường hầm lớp 2 – L2TP

( Layer 2 Tunneling Protocol )

• Công nghệ bảo mật IP – IPSec ( IP

security )

• Bọc gói định tuyến GRE ( Generic

Route Encapsulation )

1.2.3 Mã Hóa

Mã hóa (encryption ) là tính năng tùy chọn nó cũng đóng góp vào đặ điểm riêng tư của VPN Chỉ nên sử dụng mã hóa cho những dòng dữ liệu quan trọng đặc biệt Còn bình thường thì không cần mã hóa có thể ảnh hưởng xấu đến tốc độ , tăng gánh nặng cho bộ xử lý

1.2.4 Tường Lửa

Chúng ta sử dụng tường lửa (Firewall ) để bảo mật mạng nội bộ của mình chống lại những cuộc tấn công vào lưu lượng trên mạng và những kẻ phá hoại , giải pháp bức tường lửa tốt là công cụ có khả năng phân biệt các lưu lượng dựa trên cơ sở người dùng , trình ứng dụng ay nguồn gốc Tường lửa sẽ được nói kỹ hơn trong phần II “ Xây dựng các khối của một VPN “

1.2.5 Định danh người dùng

Mọi người dùng đều phải chịu sự kiểm tra xác thực để báo cho mạng biết thông tin về họ ( quyền truy cập , mật khẩu … ) và phải chịu sự ủy quyền để báo cho biết về những gì mà họ được phép làm

Một hệ thống tốt còn thực hiện tính toán để theo dõi những việc mà người dùng đã làm nhằm mục đích tính cước và bảo mật

Xác thực : Authentication

Trao quyền : Athorization

Tính Cước : Accounting

Được gọi là các dịch vụ AAA

1.2.6 Tính ưu tiên

Ưu tiên quá trình gán thẻ cho dòng lưu lượng của một ứng dụng nào

đó đối với các dịch vụ được xúc tiến thông qua mạng

Ví dụ như lưu thông các trình ứng dụng nghiệp vụ quan trọng có thể nhận được sự ưu tiên hàng đầu để chuyển nhanh , phù hợp với xu thế cạnh tranh trên thương trường , trong khi các dịch vụ như gửi mail hay truyền tập tin thì có ưu tiên thấp hơn

Khả năng gán quyền ưu tiên sẽ phải độc lập với dữ liệu truyền để đảm bảo tính hoàn hảo thực sự của dịch vụ