Előnyei. Helyi hálózatok tervezése és üzemeltetése 2

HTML
DOWNLOAD

Méret: px

Mutatás kezdődik a ... oldaltól:

Download "Előnyei. Helyi hálózatok tervezése és üzemeltetése 2"

Tivadar Mészáros
9 évvel ezelőtt
Látták:

1 VPN Virtual Private Network A virtuális magánhálózat az Interneten keresztül kiépített titkosított csatorna. Helyi hálózatok tervezése és üzemeltetése 1

2 Előnyei Kiterjeszti a földrajzi kapcsolódást Növeli a biztonságot Csökkenti a távoli kapcsolódás költségét Egyszerűsíti a hálózati topológiát Tunneling: egy bizonyos protokollba beágyazunk egy másik protokollt Helyi hálózatok tervezése és üzemeltetése 2

Egyszerűsíti a hálózati topológiát Tunneling: egy bizonyos

3 VPN protokollok Point-to-Point Tunneling Protocol (PPTP): Az RFC 2637-ben definiált alagútprotokoll, amely MPPE (Microsoft Point-to-Point Encryption) titkosítással működik. Layer 2 Tunneling Protocol (L2TP): Az L2TP protokoll specifikációját az RFC 2661-ben találjuk. Maga az L2TP protokoll saját titkosítást nem tartalmaz, ezért a virtuális magánhálózatot az L2TP over IPSec, azaz az IPSec titkosítással segített L2TP kapcsolat valósítja meg. Helyi hálózatok tervezése és üzemeltetése 3

Layer 2 Tunneling Protocol (L2TP): Az L2TP protokoll specifikációját az RFC 2661-ben találjuk.

4 A titkosított csatorna felépítése előtt egyeztetni kell A titkosítási algoritmust (DES, 3DES) Az integritást biztosító (hash) algoritmust (SHA1, MD5) Az authentikáció módját (Kerberos, PKI Certificate, szöveges) Az első közös kulcs létrehozásához szükséges Diffie- Hellman (DH) biztonsági üzemmódot (DH group) A kulcsok automatikus cseréinek szabályait (Eltelt idő vagy átvitt forgalom alapján) Helyi hálózatok tervezése és üzemeltetése 4

első közös kulcs létrehozásához szükséges Diffie- Hellman (DH) biztonsági üzemmódot (DH group) A kulcsok

5 PPTP Előnye A könnyű kliensoldali telepíthetőség, rugalmasság. A kapcsolat NAT-olhatósága, vagyis egy címfordítást végző tűzfalon is átvihető a tunnel. Az első VPN protokoll, amit támogatott a MS. Hátránya Az összeköttetés biztonságának alacsony szintjét - akár 128 bites titkosítást is képes kezelni Helyi hálózatok tervezése és üzemeltetése 5

tunnel. Az első VPN protokoll, amit támogatott a MS.

6 IPSec A Hitelesítési fejléc (Authentication Header, AH) használatával megakadályozzuk, hogy az illetéktelenek meghamisítsák az IP csomagok fejlécét. A hasznos adat biztonságos becsomagolása (Encapsulated Security Payload, ESP) Windows-on beállítani rémálom Helyi hálózatok tervezése és üzemeltetése 6

A hasznos adat biztonságos becsomagolása (Encapsulated Security Payload, ESP)

7 IPSec üzemmódok AH: Authenticated Header NEM titkosított forgalom Digitális aláírás biztosítja a csomagok módosíthatatlanságát IP Protocol ID: 51 ESP: Encapsulated Security Payload (Transport) Titkosított forgalom Önmagában is biztosítja az integritást, de kombinálható az AH-val is IP Protocol ID: 50 IPSec Tunneling (Tunnel) Nem ez a "hivatalos" W2K VPN protokoll Ebben a módban a csomagok új IP fejlécet kapnak (ezért tunneling) Használatához mindkét irányhoz definiálnunk kell a házirendeket, és megadni (a kimenő szabályban) a csatorna túloldali, valamint (a bejövő szabályban) a csatorna helyi IP címét Helyi hálózatok tervezése és üzemeltetése 7

Tunneling (Tunnel) Nem ez a "hivatalos" W2K VPN protokoll Ebben a módban a csomagok új IP fejlécet kapnak (ezért tunneling) Használatához mindkét irányhoz

8 IPSec AH Transport Mode Helyi hálózatok tervezése és üzemeltetése 8

9 IPSec AH Tunnel Mode Helyi hálózatok tervezése és üzemeltetése 9

10 IPSec ESP Transport Mode Helyi hálózatok tervezése és üzemeltetése 10

11 IPSec ESP Tunnel Mode Helyi hálózatok tervezése és üzemeltetése 11

12 OpenVPN Virtuális hálókártyák (TUN/TAP device) TAP Layer 2, network bridge TUN Layer 3, routing Egyetlen TCP vagy UDP portot használ, az UDP a preferált NAT / Proxy / firewall LZO compression OpenSSL támogatás Helyi hálózatok tervezése és üzemeltetése 12

UDP a preferált NAT / Proxy / firewall LZO compression OpenSSL

13 Kulcs generálás A VPN tunnel-ünk egy ún. statikus kulcsú (preshared key- előre megosztott kulcs) tunnel lesz. Ehhez létre kell hoznunk egy kulcsot, amellyel a tunnel két végpontja azonosítja egymást. openvpn --genkey --secret static.key Helyi hálózatok tervezése és üzemeltetése 13

Ehhez létre kell hoznunk egy kulcsot, amellyel a tunnel két végpontja

14 A szerver beállítása # Use a dynamic tun device. dev tun0 # is our local VPN endpoint (office). # is our remote VPN endpoint (home). ifconfig # Our pre-shared static key secret static.key Helyi hálózatok tervezése és üzemeltetése 14

ifconfig 10.1.0.17 10.1.0.18 # Our pre-shared static key secret static.

15 A szerver beállítása # OpenVPN uses UDP port 1194 by default. port 1194 # LZO compression comp-lzo Helyi hálózatok tervezése és üzemeltetése 15

16 A kliens beállítása # Change 'myremote' to be your remote host, # or comment out to enter a listening # server mode. remote # Uncomment this line to use a different # port number than the default of port 1194 Helyi hálózatok tervezése és üzemeltetése 16

34 # Uncomment this line to use a different # port number than the

17 A kliens beállítása # Choose one of three protocols supported by # OpenVPN. If left commented out, defaults # to udp. ; proto [tcp-server tcp-client udp] # Enable 'dev tap' or 'dev tun' but not both! dev tun Helyi hálózatok tervezése és üzemeltetése 17

; proto [tcp-server tcp-client udp] # Enable 'dev tap' or 'dev

18 A kliens beállítása # This is a 'dev tun' ifconfig that creates # a point-to-point IP link. tun-mtu 1500 ifconfig secret static.key # enable LZO compression comp-lzo Helyi hálózatok tervezése és üzemeltetése 18

tun-mtu 1500 ifconfig 10.1.0.18 10.1.0.17 secret static.

19 A kliens indítása openvpn --config client.ovpn route add mask p Helyi hálózatok tervezése és üzemeltetése 19

20 Ötletek rossz ötlet engedélyezni olyan kliensek csatlakozását, amelyeket nem védi legalább szoftveres tűzfal és vírusvédelmi program rossz ötlet a tanusítványokban client1..client2..client3..stb nevezni a klienseket rossz ötlet mindenkinek engedélyezni a VPN használatát jó ötlet a felhasználókat nyilvántartani ( , hányas kliens, mettől-meddig érvényes a kulcsa, melyik részlegben dolgozik, mit csinál, mit használ, hálózati eszköz MAC címe) jó ötlet az iptablessel a MAC címeket szűrni Helyi hálózatok tervezése és üzemeltetése 20

.stb nevezni a klienseket rossz ötlet mindenkinek engedélyezni a VPN használatát jó ötlet a felhasználókat nyilvántartani (e-mail,

Hasonló dokumentumok

Virtuális magánházlózatok / VPN

Virtuális magánházlózatok / VPN Hálózatok összekapcsolása - tunneling Virtuális magánhálózatok / Virtual Private Network (VPN) Iroda Nem tekintjük biztonságosnak WAN Internet Gyár Távmunkások 2 Virtuális