Построение защиты нескольких локальных сетей, связанных через Internet без Proxy-серверов

Классификация виртуальной частной сети (VPN) и требования к ее реализации. Угрозы безопасности при передаче информации, способы их исключения технологией VPN. Построение защищенного туннеля между двумя маршрутизаторами с использованием протокола IPSec.
Краткое сожержание материала:

Размещено на

Размещено на

1. ТЕОРЕТИЧЕСКАЯ ЧАСТЬ

1.1 Постановка задачи. Построение структуры незащищенной автоматизированной системы. Разработка требований к защите

Построим и рассмотрим схему незащищенной автоматизированной системы, которую в рамках курсового проекта нам предстоит обезопасить (рисунок 1).

Рисунок 1 - Схема незащищенной автоматизированной системы

Имеются две локальных сети (LAN 1 - главный офис и LAN 2 - филиал), принадлежащие одной организации. Локальные сети объединены при помощи сети Интернет. Очевидно, что использование публичных сетей как транспорта для передачи информации между локальными сетями не может быть безопасным, если информация передается в открытом виде. Используя Интернет, мы не в состоянии контролировать ни маршрут, ни количество лиц, которые могли иметь доступ к нашим данным, ни их намерения или действия. Вопросы защиты информации при работе с публичными сетями выходят на первый план.

С точки зрения пользователей соединения могут устанавливаться между любыми узлами этих локальных сетей. На самом же деле реальные соединения устанавливаются через маршрутизаторы, своего рода «черные ящики», которые выступают в качестве посредников. Их задача - обработать идущий между ними сетевой трафик таким образом, чтобы злоумышленник или просто внешний наблюдатель не мог совершить с передаваемой информацией какого-либо действия, приводящего к ущербу (нарушение конфиденциальности, целостности и подлинности). Значит, передаваемая информация, включая адреса ее получателя и отправителя, должна быть зашифрована и криптографически подписана. Еще одна задача маршрутизаторов - защита самих локальных сетей от несанкционированного доступа к ним из глобальной сети. Из этого следует, что внешний наблюдатель должен увидеть в сети лишь зашифрованный обмен информацией между двумя «черными ящиками» и ничего более.

Кроме того, весь информационный обмен внутри каждой сети также должен быть безопасным - т. е. шифроваться и подписываться.

Так же следует предусмотреть возможность масштабирования - выбранное решение для реализации VPN должно гибко и легко распространяться на подключаемые локальные сети.

В качестве дополнительного требования можно ввести ограничение на доступ к ресурсам открытого Интернета, за исключением ресурсов данной виртуальной защищенной сети.

1.2 Понятие виртуальной частной сети, решаемые задачи и требования к реализации

Перечисленным выше требованиям к организации защиты описанной системы (рисунок 2) как раз и удовлетворяют технологии построения виртуальных частных сетей.

Существует множество определений виртуальной частной сети [1,2,5,6], однако в рамках поставленной курсовым проектом задачи под виртуальной частной сетью (VPN - Virtual Private Network, Virtual Protected Network - виртуальная защищенная сеть) будем понимать технологию, объединяющую доверенные сети, узлы и пользователей через открытые сети, к которым нет доверия [1]. Основная идея данного определения заключается в удовлетворении указанных требований и отражена на рисунке 2.

Требования, предъявляемые к реализующим VPN программно-аппаратным комплексам, можно сформулировать следующим образом [1]:

? масштабируемость - возможность со временем подключать новые локальные сети без необходимости изменения структуры имеющейся VPN;

? интегрируемость - возможность внедрения VPN-системы в имеющуюся технологию обмена информацией;

? легальность и стойкость используемых криптоалгоритмов - система должна иметь соответствующий сертификат, позволяющий ее использовать на территории Российской Федерации с целью защиты информации ограниченного доступа;

? высокая пропускная способность сети - система не должна существенно увеличивать объем передаваемого трафика, а также уменьшать скорость его передачи;



Рисунок 2 - Требования к защите автоматизированной системы

? унифицируемость - возможность устанавливать защищенные соединения с коллегами по бизнесу, у которых уже установлена иная VPN-система;

? низкая общая совокупная стоимость - затраты на приобретение, развертывание и обслуживание системы не должны превосходить стоимость самой информации.

1.3 Угрозы безопасности при передаче конфиденциальной информации по открытым каналам и способы их исключения технологией VPN

При подключении корпоративной локальной сети к открытой сети возникают угрозы безопасности двух основных типов [2]:

? несанкционированный доступ к корпоративным данным в процессе их передачи по открытой сети;

? несанкционированный доступ к внутренним ресурсам корпоративной локальной сети, получаемый злоумышленником в результате несанкционированного входа в эту сеть.

Защита информации в процессе передачи по открытым каналам связи основана на выполнении следующих основных функций:

? аутентификации взаимодействующих сторон;

? криптографическом закрытии (шифровании) передаваемых данных;

? проверке подлинности и целостности доставленной информации.

Для этих функций характерна взаимосвязь друг с другом. Их реализация основана на использовании криптографических методов защиты информации.

Для защиты локальных сетей и отдельных компьютеров от несанкционированных действий со стороны внешней среды обычно используют межсетевые экраны, поддерживающие безопасность информационного взаимодействия путем фильтрации двустороннего потока сообщений, а также выполнения функций посредничества при обмене информацией. Межсетевой экран располагают на стыке между локальной и открытой сетью.

Защита информации в процессе ее передачи по открытым каналам основана на построении защищенных виртуальных каналов связи, называемых криптозащищенными туннелями. Каждый такой туннель представляет собой соединение, проведенное через открытую сеть, по которому передаются криптографически защищенные пакеты сообщений. Создание защищенного туннеля выполняют компоненты виртуальной сети, функционирующие на узлах, между которыми формируется туннель. Эти компоненты принято называть инициатором и терминатором туннеля. Инициатор туннеля инкапсулирует (встраивает) пакеты в новый пакет, содержащий наряду с исходными данными новый заголовок с информацией об отправителе и получателе. Хотя все передаваемые по туннелю пакеты являются пакетами IP, инкапсулируемые пакеты могут принадлежать к протоколу любого типа, включая пакеты немаршрутизируемых протоколов. Маршрут между инициатором и терминатором туннеля определяет обычная маршрутизируемая сеть IP, которая может быть и сетью, отличной от Интернет. Терминатор туннеля выполняет процесс обратный инкапсуляции - он удаляет новые заголовки и направляет каждый исходный пакет в локальный стек протоколов или адресату в локальной сети [2,4].

Сама по себе инкапсуляция никак не влияет на защищенность пакетов сообщений, передаваемых по туннелю. Но благодаря инкапсуляции появляется возможность полной криптографической защиты инкапсулируемых пакетов. Конфиденциальность инкапсулируемых пакетов обеспечивается путем их криптографического закрытия, то есть зашифровывания, а целостность и подлинность - путем формирования цифровой подписи. Поскольку существует большое множество методов криптозащиты данных, очень важно, чтобы инициатор и терминатор туннеля использовали одни и те же методы и могли согласовывать друг с другом эту информацию. Кроме того, для возможности расшифровывания данных и проверки цифровой подписи при приеме инициатор и терминатор туннеля должны поддерживать функции безопасного обмена ключами. Ну и наконец, чтобы туннели создавались только между уполномоченными пользователями, конечные стороны взаимодействия требуется аутентифицировать.

Таким образом, технология VPN позволяет реализовать защиту от угроз, связанных с передачей информации по открытым каналам, решая тем самым пункты первый и третий поставленной курсовым проектом задачи.

1.4 Классификации частных виртуальных сетей

Наиболее часто используются следующие три признака классификации VPN [4]:

* конфигурация структурно-технического решения;

* способ технической реализации;

* рабочий уровень модели OSI.

1.4.1 Классификация VPN по архитектуре технического решения

По архитектуре технического решения принято выделять три основных вида виртуальных частных сетей [4]:

? VPN с удаленным доступом;

? внутрикорпоративные VPN;

? межкорпоративные VPN.

Виртуальные частные сети VPN с удаленным доступом (Remote Access) предназначены для обеспечения защищенного удаленного доступа к корпоративным информационным ресурсам мобильным и/или удаленным (home-office) сотрудникам компании.

...