Развертывание VPN-сети
Интернет прочно вошел в нашу жизнь, и если ранее, в годы господства аналоговых модемов, для выхода в Интернет приходилось учитывать и объем трафика, и время соединения, то сегодня нормой стало безлимитное подключение к Интернету. То есть если Интернета нет в любое время и в любом «объеме», то это уже что-то из ряда вон выходящее. Причем если раньше наличие безлимитного Интернета считалось стандартом де-факто для корпоративных сетей, то сегодня это уже стало нормой для конечных пользователей. Вместе с развитием Интернета меняется и концептуальная модель его использования. Появляются все новые сервисы, например видео по запросу и VoIP, развиваются пиринговые файлообменные сети (BitTorrent) и пр. В последнее время очень популярной стала организация виртуальных частных сетей (VPN) через Интернет с возможностью организации удаленного доступа к любому компьютеру в составе этой сети. О том, как это можно сделать, и пойдет речь в настоящей статье.
Зачем это нужно
Организация VPN-сетей через Интернет или внутри локальной сети имеет много сценариев использования: сетевые игры в Интернете в обход игровых серверов (точно так же, как игры по локальной сети), создание закрытой от посторонних сети для передачи конфиденциальной информации, возможность удаленного и безопасного управления компьютерами (полный контроль над удаленным ПК), организация защищенного доступа для сотрудников, находящихся в командировке, к ресурсам корпоративной сети, связь по виртуальной сети отдельных офисов (локальных сетей).
Традиционный подход к развертыванию такой виртуальной частной сети заключается в том, что в корпоративной сети поднимается и конфигурируется VPN-сервер (обычно на базе ОС Linux) и удаленные пользователи заходят в корпоративную сеть по VPN-соединениям.
Однако такой подход неприменим в случае, когда пользователю необходимо получить удаленный доступ к своему домашнему компьютеру. Вряд ли ситуацию, когда дома поднимается отдельный VPN-сервер, можно считать обычной. Впрочем, не стоит отчаиваться. Задача создания VPN-сети решаема и под силу даже начинающему пользователю. Для этой цели существует специальная программа Hamachi, которую можно свободно скачать из Интернета (http://www.hamachi.cc/download/list.php). Что особенно радует, так это наличие ее русифицированной версии, так что освоить программу сможет любой пользователь.
Hamachi 1.0.2.2
Итак, Hamachi (текущая версия — 1.0.2.2) — это программа, позволяющая создать виртуальную частную сеть (VPN) через Интернет и объединить в ней несколько компьютеров. После создания такой сети пользователи могут устанавливать VPN-сессии между собой и работать в этой сети точно так же, как в обычной локальной (LAN) сети с возможностью обмена файлами, удаленного администрирования компьютеров и т.д. Преимущество VPN-сети заключается в том, что она полностью защищена от несанкционированного вмешательства и невидима из Интернета, хотя и существует в нем.
Программа Hamachi должна быть установлена на всех компьютерах, которые предполагается объединить в виртуальную частную сеть.
Виртуальная сеть создается с помощью специализированного сервера Hamachi в Интернете. Для соединения с этим сервером используются порты 12975 и 32976. Первый порт (12975) применяется только для установки соединения, а второй — во время работы. Впрочем, обычным пользователям вряд ли потребуется столь подробная информация.
После того как с помощью сервера Hamachi создается виртуальная сеть между выбранными компьютерами, обмен информацией между клиентами VPN-сети происходит уже напрямую, то есть без участия сервера Hamachi. Для обмена данными между клиентами VPN-сети используется протокол UDP.
Установка программы
Программа Hamachi устанавливается на компьютеры с операционной системой Windows 2000/XP/2003/Vista. Существуют также консольные версии программы для Linux и Mac OS X. Далее мы рассмотрим установку и настройку программы на примере операционной системы Windows XP.
Установка программы Hamachi достаточно проста и не вызывает проблем (особенно учитывая, что интерфейс запускаемого мастера установки русский). После начала установки программы на компьютере запускается мастер установки, который предложит согласиться с лицензионным соглашением, выбрать папку для установки программы (рис. 1), создать иконку на рабочем столе и т.д.
Среди полезных опциональных возможностей, которые можно активировать в процессе установки программы, — автоматический запуск Hamachi при загрузке компьютера и блокирование уязвимых служб для соединений Hamachi (рис. 2). В последнем случае будет заблокирована служба Windows File Sharing для виртуального сетевого адаптера Hamachi. В результате другие пользователи VPN-сети не получат доступа к имеющимся в вашем компьютере файлам и папкам, открытым для совместного использования. При этом данные файлы и папки останутся доступными для обычных пользователей локальной сети, для соединения с которыми не применяется VPN-соединение.
Рис. 1. Мастер установки программы Hamachi позволяет указать папку
для размещения программы, создать иконку на рабочем столе
и выбрать опциональную возможность автоматического запуска программы
при загрузке компьютера
Кроме блокирования службы Windows File Sharing, блокирование уязвимых служб для соединений Hamachi также приводит к блокированию удаленного доступа к определенным службам Windows, которые часто подвергаются атакам. Соответственно если вы используете программу Hamachi для соединения с надежными клиентами, которым вы доверяете, то опцию блокирования уязвимых служб лучше отключить.
Рис. 2. Мастер установки программы Hamachi позволяет заблокировать
уязвимые службы для соединений Hamachi
На последнем этапе мастер установки предложит выбрать, какой вариант программы установить: базовую версию или Premium. Программа Hamachi существует в двух версиях. Базовая версия является бесплатной, а версия Premium, обладающая более широкими возможностями, — платной. Отметим, что для большинства пользователей вполне достаточно бесплатной базовой версии программы (о детальных отличиях базовой версии от версии Premium мы расскажем чуть позже), но стандартный поход следующий: сначала устанавливается Premium-версия на 45 дней (бесплатно), а по истечении этого периода автоматически происходит переход к базовой версии.
После установки и запуска программы Hamachi на компьютере в том случае, если программа устанавливалась впервые, запустится краткий путеводитель по Hamachi, в котором описывается, как работать с программой.
Первый запуск программы
При первом запуске программы будет создана ваша учетная запись. На этом этапе необходимо задать имя компьютера, под которым он будет виден другим пользователям VPN-сети (рис. 3).
Рис. 3. Задание имени компьютера, под которым
он будет виден другим пользователям VPN-сети
Когда имя компьютера задано, программа устанавливает соединение с сервером базы данных Hamachi и запрашивает IP-адрес, который будет присвоен виртуальному сетевому адаптеру Hamachi и будет использоваться в дальнейшем для установления VPN-соединения. Каждому клиенту Hamachi присваивается IP-адрес из диапазона 5.0.0.0/8 (маска подсети 255.0.0.0), который в принципе не относится к зарезервированным для применения в Интернете диапазонам адресов. К таким зарезервированным для частного использования в локальных сетях относятся следующие диапазоны: 10.0.0.0/8 (диапазон от 10.0.0.0 до 10.255.255.254), 172.16.0.0/12 (диапазон от 172.16.0.0 до 172.31.255.254) и 192.168.0.0/16 (диапазон от 192.168.0.0 до 192.168.255.254). Однако диапазон 5.0.0.0/8 на протяжении уже более 10 лет зарезервирован организацией IANA (Internet Assigned Numbers Authority — американская организация, управляющая пространствами IP-адресов) и не используется в качестве публичных (внешних) адресов Интернета. Таким образом, диапазон 5.0.0.0/8, с одной стороны, относится к диапазону внешних (публичных) адресов Интернета, то есть исключена вероятность, что присвоенный вам IP-адрес уже применяется в вашей локальной сети (в локальных сетях используются только зарезервированные для частного применения IP-адреса), а с другой — эти адреса еще никем не заняты.
После присвоения вам IP-адреса из диапазона 5.0.0.0/8 он становится своеобразным идентификатором вашего компьютера в виртуальной частной сети. Этот IP-адрес присваивается виртуальному сетевому адаптеру Hamachi. Так, если набрать в командной строке команду ipconfig/all, то кроме настроек сетевого интерфейса реального сетевого адаптера (который физически присутствует в вашем ПК) можно обнаружить, что появился еще один виртуальный Ethernet-адаптер Hamachi с присвоенными ему MAC-адресом, IP-адресом, маской подсети, IP-адресом шлюза и т.д. (рис. 4).
Рис. 4. После первого запуска программы виртуальному сетевому адаптеру
Hamachi присваивается IP-адрес из диапазона 5.0.0.0/8 и производится настройка
сетевого интерфейса
Итак, после того как программа Hamachi сконфигурировала виртуальный сетевой адаптер, можно приступать к работе с программой.
На этом этапе ваш компьютер еще не является членом какой-либо виртуальной частной сети, поэтому первым делом нужно подключиться к уже существующей виртуальной частной сети или создать новую VPN-сеть.
Работа с программой
Интерфейс программы очень прост (рис. 5). Имеется всего три функциональных кнопки: «включить/выключить», кнопка сетевого меню и кнопка системного меню.
Рис. 5. Интерфейс программы
Hamachi очень простой —
всего три функциональные кнопки
Для создания новой VPN-сети или присоединения компьютера к уже существующей нажмите на кнопку сетевого меню и выберите соответствующий пункт (рис. 6).
Рис. 6. Кнопка сетевого меню позволяет
создать новую VPN-сеть или присоединить
компьютер к уже существующей
Присоединение ПК к существующей виртуальной сети и выход из нее
Если требуется подсоединить компьютер к уже существующей виртуальной сети и известно ее название и пароль (в случае, если он используется), то в сетевом меню выберите пункт Войти в существующую сеть… Далее откроется окно, в котором необходимо задать имя сети и пароль (рис. 7).
Рис. 7. Добавление компьютера
в существующую виртуальную сеть
После этого в окне программы появятся название сети и список присоединенных к ней компьютеров (кроме вашего) — рис. 8.
Рис. 8. После присоединения компьютера
к виртуальной сети в окне программы
отображается список присоединенных
к ней компьютеров
Если рядом с названием компьютера стоит зеленая точка или звезда, то это означает, что связь с компьютером установлена. Мигание зеленой точки свидетельствует о том, что связь находится в процессе установки. Светлый круг вокруг зеленой точки указывает на то, что с данным компьютером идет обмен информацией.
Хуже всего, когда рядом с названием компьютера стоит желтая точка — это означает, что прямое соединение с ним по каким-то причинам установить не удалось. Если желтым цветом отображается название компьютера, то это означает, что связь с ним потеряна.
Появление голубой точки указывает на то, что прямое соединение с компьютером установить не удалось и связь осуществляется через сервер Hamachi. Проблема заключается в том, что в этом случае канал связи с компьютером имеет очень низкую пропускную способность и большие задержки.
Если название компьютера и точка около его имени отображаются серым цветом, то это означает, что компьютер хотя и присоединен к данной виртуальной сети, но недоступен (например, ПК выключен, нет соединения с Интернетом или не запущена программа Hamachi).
Для того чтобы выйти из сети, достаточно щелкнуть правой кнопкой мыши на ее названии и в ниспадающем списке выбрать пункт Отключиться или Покинуть сеть. В первом случае вы лишь временно покидаете сеть и список присоединенных к ней компьютеров остается для вас видимым. Во втором случае для входа в сеть придется заново повторить всю процедуру присоединения компьютера к существующей сети.
Создание новой сети и удаление созданной сети
Если требуется создать новую виртуальную сеть, то в сетевом меню выберите пункт Создать новую сеть… Откроется окно, в котором необходимо задать имя создаваемой сети и пароль, который будут использовать другие пользователи для присоединения к этой сети (рис. 9).
Рис. 9. Создание новой VPN-сети
После создания новой сети к ней можно присоединять компьютеры пользователей. Если сеть создана вами, то вы являетесь ее администратором и получаете полный контроль над нею, которого лишены другие пользователи. При этом важно помнить, что управлять созданной сетью можно только с того компьютера, на котором она была создана. Если точнее, то управлять сетью можно только с компьютера, которому присвоен точно такой же виртуальный IP-адрес, как тот, что использовался при создании виртуальной сети. Почему это замечание так важно? Представьте себе ситуацию: вы установили программу Hamachi и создали новую VPN-сеть. Потом вы полностью удалили (включая все конфигурационные файлы) программу Hamachi и через некоторое время установили ее вновь. Вам будет присвоен новый виртуальный IP-адрес, но, используя его, вы уже не сможете контролировать созданную вами ранее VPN-сеть.
Если вы являетесь администратором сети, то можете удалить ее. Для этого щелкните правой кнопкой мыши по названию сети и в ниспадающем списке выберите пункт Удалить. Отметим, что при удалении сети полностью уничтожаются все связи между другими ее пользователями.
Другие действия с компьютерами сети
Если вы присоединились к сети, то можете совершать над присоединенными к ней компьютерами следующие действия:
- проверка доступности;
- просмотр папок;
- отправка сообщения;
- копирование адреса;
- блокирование;
- установка метки.
Для того чтобы выполнить одно из них, щелкните на имени компьютера правой кнопкой мыши и в ниспадающем меню выберите соответствующий пункт (рис. 10).
Рис. 10. Список возможных действий
с выбранным компьютером сети
При выборе пункта Проверить доступность будет выполнена обычная команда ping по адресу соответствующего компьютера.
Пункт Просмотреть папки позволяет получить доступ к открытым для совместного доступа (Sharing) папкам на компьютере.
Пункт Отправить сообщение дает возможность обмениваться сообщениями между отдельными компьютерами сети наподобие тому, как это делается в ICQ.
Пункт Копировать адрес вставляет в буфер обмена IP-адрес выбранного компьютера, что удобно, если требуется использовать этот адрес в других программах (например, удаленного администрирования).
Пункт Блокировать позволяет временно заблокировать выбранный компьютер, то есть ваш с ним VPN-канал окажется заблокированным и обмен информацией будет невозможен.
Пункт Установить метку позволяет выбрать формат отображения атрибутов компьютера в сети. По умолчанию отображается IP-адрес компьютера и его название. Можно задать отображение только имени компьютера или только IP-адреса.
Настройка программы
Для того чтобы получить доступ к настройке программы, необходимо нажать на кнопку системного меню и выбрать пункт Установки… (рис. 11).
Рис. 11. Получение доступа к настройкам
программы
После этого откроется окно Статус и конфигурация, позволяющее произвести детальную настройку программы (рис. 12).
Рис. 12. Окно детальной конфигурации программы
Собственно, здесь все достаточно просто, и вряд ли нужны подробные комментарии, поэтому просто перечислим возможности, которые можно реализовать в окне конфигурации. Итак, в этом окне можно изменить имя компьютера, произвести детальную настройку соединения, задать тип запуска программы, заблокировать или разблокировать уязвимые службы Windows, заблокировать новых членов сети и реализовать другие, менее значимые опции. Среди важных возможностей отметим отключение шифрования при передаче данных между отдельными компьютерами сети. Для того чтобы сделать это, необходимо нажать на иконку Окно и в группе Внешний вид отметить пункт Show «Advanced…» per menu item (рис. 13).
Рис. 13. Добавление пункта Advanced…
в ниспадающее меню
После этого, если на имени компьютера, присоединенного к сети, щелкнуть правой кнопкой мыши, в ниспадающем меню появится пункт Advanced… Если выбрать его, то откроется окно Tunnel Configuration, позволяющее изменить настройки VPN-туннеля. Для отключения шифрования в пункте Encryption необходимо выбрать значение Оff. В этом случае данные с вашего компьютера будут передаваться на выбранный ПК в незашифрованном виде. Однако в обратном направлении данные будут передаваться зашифрованными. Для того чтобы полностью отключить шифрование для VPN-туннеля между двумя компьютерами, его нужно отключить на обоих компьютерах.
Отметим, что отключать шифрование следует только в исключительных случаях, поскольку сама процедура шифрования вряд ли отразится на трафике. Дело в том, что трафик будет определяться пропускной способностью вашего интернет-канала, а отнюдь не применением или отсутствием шифрования. Только в том случае, если VPN-туннель образуется между компьютерами в пределах одной локальной сети и его пропускная способность составляет порядка 100 Мбит/с, использование шифрования может немного снизить максимальную скорость передачи (до 70-80 Мбит/с).
Заключение
Программа Hamachi — это мощный инструмент, позволяющий очень быстро создавать VPN-сети. Отметим, что изначально она была создана для того, чтобы пользователи могли играть в сетевые игры в обход игровых серверов. Однако возможные сценарии применения этой программы значительно шире. Так, создав виртуальную сеть и присоединив к ней компьютеры, можно, воспользовавшись стандартными программами удаленного администрирования, получить удаленный доступ к любому компьютеру виртуальной сети, поскольку каждый компьютер такой сети имеет свой выделенный IP-адрес.
В то же время нужно отметить, что далеко не всегда удается установить прямое соединение между отдельными компьютерами. И несмотря на то, что на сайте производителя утверждается, что программа легко «пробивает» маршрутизаторы и NAT-устройства, на самом деле все не столь оптимистично. В документации к программе утверждается, что в 5% случаев прямое соединение между отдельными компьютерами установить не удается, однако, как нам кажется, эта цифра явно занижена. Реальная ситуация такова: если речь идет о соединении двух компьютеров, которым присваивается динамический или статический публичный IP-адрес, то проблем не возникает. То есть если у вас дома имеется всего один компьютер с выходом в Интернет и вам нужно соединиться с пользователем, у которого также один компьютер с выходом в Интернет, то никаких проблем не будет. Как показывает практика, не возникает проблем установления соединения и между компьютером пользователя с присвоенным ему динамическим или статическим публичным IP-адресом и компьютером в составе локальной сети, защищенной маршрутизатором. Однако если связь устанавливается между двумя компьютерами, принадлежащими разным локальным сетям, защищенным маршрутизаторами, то возможны проблемы и не факт, что прямое соединение будет установлено. То есть соединение может быть установлено, но с большой вероятностью оно будет не прямое, а через сервер Hamachi. Соответственно скорость такого канала связи окажется очень низкой и проку от такого соединения будет не много. К примеру, у вас дома выход в Интернет реализован с использованием беспроводного маршрутизатора, то есть ваш компьютер находится в составе домашней локальной сети и ему присваивается IP-адрес из диапазона зарезервированных для частного применения адресов, а публичный адрес присваивается WAN-порту маршрутизатора, через который вы выходите в Интернет. Если вы пытаетесь установить соединение с другим компьютером, который также находится в составе локальной сети (например, с рабочим компьютером в офисе или с компьютером пользователя, у которого дома развернута локальная сеть и используется маршрутизатор), то в большинстве случаев появляются проблемы.
В руководстве пользователя программы Hamachi описывается, каким образом можно избежать подобных проблем. Для этого предлагается использовать фиксированный (а не динамический) UDP-порт и реализовать функцию перенаправления портов на маршрутизаторе. Однако, как показывает практика, перенаправление портов или применение демилитаризованной зоны в маршрутизаторе далеко не всегда помогает.
- ПК и комплектующие
- Настольные ПК и моноблоки
- Портативные ПК
- Серверы
- Материнские платы
- Корпуса
- Блоки питания
- Оперативная память
- Процессоры
- Графические адаптеры
- Жесткие диски и SSD
- Оптические приводы и носители
- Звуковые карты
- ТВ-тюнеры
- Контроллеры
- Системы охлаждения ПК
- Моддинг
- Аксессуары для ноутбуков
- Принтеры, сканеры, МФУ
- Мониторы и проекторы
- Устройства ввода
- Внешние накопители
- Акустические системы, гарнитуры, наушники
- ИБП
- Веб-камеры
- KVM-оборудование
- Сетевые медиаплееры
- HTPC и мини-компьютеры
- ТВ и системы домашнего кинотеатра
- Технология DLNA
- Средства управления домашней техникой
- Планшеты
- Смартфоны
- Портативные накопители
- Электронные ридеры
- Портативные медиаплееры
- GPS-навигаторы и трекеры
- Носимые гаджеты
- Автомобильные информационно-развлекательные системы
- Зарядные устройства
- Аксессуары для мобильных устройств
- Цифровые фотоаппараты и оптика
- Видеокамеры
- Фотоаксессуары
- Обработка фотографий
- Монтаж видео
- Операционные системы
- Средства разработки
- Офисные программы
- Средства тестирования, мониторинга и диагностики
- Полезные утилиты
- Графические редакторы
- Средства 3D-моделирования
- Веб-браузеры
- Поисковые системы
- Социальные сети
- «Облачные» сервисы
- Сервисы для обмена сообщениями и конференц-связи
- Разработка веб-сайтов
- Мобильный интернет
- Полезные инструменты
- Средства защиты от вредоносного ПО
- Средства управления доступом
- Защита данных
- Проводные сети
- Беспроводные сети
- Сетевая инфраструктура
- Сотовая связь
- IP-телефония
- NAS-накопители
- Средства управления сетями
- Средства удаленного доступа
- Системная интеграция
- Проекты в области образования
- Электронный документооборот
- «Облачные» сервисы для бизнеса
- Технологии виртуализации
Настройка ВПН: идеальное решение для связи между филиалами
Если структурные подразделения и филиалы вашей компании разделены территориально или вам нужен защищенный мобильный доступ — настройка VPN становится идеальным решением для вашего бизнеса.
Очень часто построение структурированной кабельной системы (СКС) не решает всех потребностей предприятия. Сотрудникам необходим доступ к важным данным с мобильных устройств, из дому, во время деловых командировок, и т.д. Кроме того, очень часто возникает необходимость обеспечить надежную связь между филиалами бизнеса — это очень актуально для логистики, торговых сетей, банковских организаций и так далее.
Настройка ВПН (от англ. VPN – Virtual Private Network) — настройка виртуальной частной сети, позволяет успешно решить весь описанный выше комплекс задач. Пошаговая инструкция по настройке ВПН для любой операционной системы доступна по простому запросу в браузере, поэтому мы не будем изобретать велосипед. Вместо этого, мы остановимся на базовых принципах работы системы и 2 важных моментах, которым нужно уделить внимание при конфигурации ВПН.
Базовые принципы ВПН
VPN-подключение позволяет создать защищенный канал связи между двумя физическими подсетями (как в случае с объединением локальных сетей между филиалами компании), путем объединения их в виртуальную сеть, или защищенный доступ к корпоративным ресурсам с отдельного устройства (для работы из дому или в командировке).
Наиболее часто используется аналогия с платным шоссе, где пакеты данных (машины) проходят через пункты контроля и регистрации (роутеры). В случае с публичной сетью, любой человек со стороны может наблюдать за движением пакетов и перехватывать нужные ему для взлома ваших ресурсов. Подключение ВПН-соединения создает как бы тоннель, защищающий движение ваших пакетов данных (трафик) от посторонних глаз. Данная процедура часто также описывается как туннелирование, или проброс туннеля.
Однако, создание виртуальной сети поверх физической локальной сети требует внимания к важным проблемам: оплате трафика и выбору правильной схемы маршрутизации
Правильная настройка ВПН-соединения для минимизации трафика
При создании ВПН-соединения основной DNS-шлюз на компьютере, подключающемся к корпоративному серверу, будет по умолчанию указан для ВПН-сети. Само собой, это приведет к тому, что доступ и в локальную сеть и в Интернет будет осуществляться через ВПН-соединение, и клиент будет оплачивать внутрисетевой трафик как передачу данных через Интернет.
Хоть это и может показаться несущественным моментом в эпоху безлимитных пакетов широкополосного Интернета, но поверьте — счета от провайдера Интернета могут вас неприятно удивить, если вы не уделите должное внимание данному вопросу.
Решение этой проблемы очень простое — нужно зайти в настройки ВПН-подключения и на вкладке Сеть зайти в свойства Протокола Интернета версии 4, там нажать Дополнительно и во вкладке Параметры IP снять галочку с пункта Использовать основной шлюз в удаленной сети.
Выбор правильной схемы маршрутизации при настройке ВПН-сервера
Второй (и намного более важный) момент, на который нужно обратить внимание при построении ВПН-сети, это правильный выбор схемы маршрутизации для VPN-сервера.
“Маршрутизация — набор правил, определяющих права доступа ВПН-клиентов из разных подсетей и правила направления пакетов данных в ВПН-соединении.”
Выбор правильной схемы маршрутизации позволяет гарантировать, что доступ к важным данным и ресурсам будет только у тех, кто должен его иметь, и что пересылаемая по ВПН-сети информация окажется именно у нужного получателя. Существуют такие варианты схем маршрутизации ВПН-сервера:
- ВПН-клиенты получают IP-адреса из диапазона локальной сети
Это самое простое в реализации решение, гарантирующее легкий доступ к ресурсам сети. К недостаткам данного подхода можно отнести невозможность разграничения прав доступа клиентов, что означает крайне низкий уровень защищенности данных.
- ВПН-клиенты получают IP-адреса из диапазона, не входящего в состав локальной сети, но управляемого из нее
Путем прописывания статических маршрутов для ВПН-клиентов, данная схема позволяет гибко настраивать доступ к ресурсам сети, не подвергая риску доступ к ценным данным.
- ВПН-клиентам назначаются IP-адреса из диапазона вне сети, который не маршрутизируется из нее.
Данная схема маршрутизации подходит для предоставления доступа к корпоративной сети клиентам с низким уровнем доверия (субподрядчики, дилеры, агенты-представители и т.д.) В этом случае, они будут иметь доступ только к размещенным на ВПН-сервере ресурсам и только под специфическим IP-адресом. Например, на схеме выше терминальный сервер 10.0.0.2 доступен клиентам через ВПН-соединение под IP-адресом 172.16.0.2
- Объединение подсетей филиалов и центрального офиса.
Это наиболее сложная схема маршрутизации, но она идеальна для создания надежной связи между филиалами. ВПН-сервер головного офиса распределяет трафик, маршрутизаторы в филиалах выступают как ВПН-клиенты. Для обеспечения работы системы используются статические маршруты для каждого из клиентов, прописываемые единоразово.
Подводим итоги: настройка ВПН как решения для связи между филиалами
Как видите, правильная настройка ВПН позволяет организовать удобную и защищенную корпоративную сеть для вашего бизнеса, обеспечить гибкую настройку прав доступа и удобство работы с данными из любой точки земного шара. Основная сфера применения данной технологии — объединение сетей филиалов с сетью головного офиса для обеспечения непрерывности и безопасности бизнес-процессов.
Не забывайте, что оптимальное функционирование вашего бизнеса во многом зависит от правильности работы ИТ-инфраструктуры в целом и ВПН-сети в частности. Специалисты компании IT Svit помогут вам подобрать оптимальную схему маршрутизации для ваших задач, а также быстро и надежно развернут ВПН-сеть для вашего бизнеса. Если у вас есть вопросы — свяжитесь с нами, мы будем рады помочь!
Як налаштувати локальну мережу через VPN
Абревіатура VPN розшифровується як Virtual Private Network, тобто «віртуальна приватна мережа». Поняття «віртуальна» означає, що створитися віртуальна локальна або іншими словами приватна мережа на основі існуючої інфраструктури глобальної мережі Інтернет. Що таке «мережа» в контексті ІТ сьогодні зрозуміло багатьом. Спрощено, це об’єднання двох і більше ПК по лініях зв’язку для обміну інформацією.
У чому полягає робота VPN? Якщо коротко, то всередині робочої мережі створитися нова мережа, при підключенні до якої IP-адреса користувача замінюється на адресу VPN мережі. Таким чином формується штучне захищене з’єднання між ПК і VPN-сервером, передача даних по якому повністю зашифрована динамічно змінними ключами. Захист інформації в новій мережі здійснюється комплексно: шифрування неможливо зламати, несанкціоноване підключення сторонніх користувачів повністю виключено, а всі вхідні та вихідні пакети постійно перевіряються на цілісність.
З якою метою створюється мережа через VPN
На практиці локальна мережа через VPN являє собою лінію зв’язку між комп’ютерами на основі звичайного з’єднання через Інтернет. При цьому неважливо, через які саме вузли Глобальної Мережі буде встановлено це з’єднання, але можна не сумніватися — трафік піде по захищеній мережі. Таке виділене VPN-з’єднання прийнято називати тунелем.
Подібні тунелі будуються, наприклад, в тих випадках, коли співробітникам підприємства необхідно мати віддалений доступ до корпоративної мережі (з дому, у відрядженні, поза офісом з мобільних пристроїв). І мова тут не просто про підключення, а про безпечний канал зв’язку, який може виявитися дуже корисний в тому випадку, коли співробітники раптово перейшли на «удаленку», а їм необхідно підключитися до корпоративного ресурсу. Чи це не ідеальний сценарій офісної роботи в ракурсі обмежень, пов’язаних з COVID-19.
Тому у великих організаціях, співробітників при приєднанні робочого ноутбука до будь-яких дротових або бездротових мереж, що знаходяться за межами стін компанії, завжди змушують задіяти VPN-підключення до офісної мережі. Крім того, з’єднання через VPN також дозволяє налаштувати зв’язок між віддаленими філіями підприємств зв’язавши їх в одну надійну мережу.
Плюси і мінуси VPN
Будь-яка загальнодоступна точка доступу Wi-Fi-рай для зловмисників. У більшості випадків бездротові канали дуже вразливі бо будь-яка інформація яка передається у відкритому вигляді доступна всім користувачам в цій мережі. Також слід знати, що, здійснюючи покупки і вбиваючи дані карти через безкоштовну мережу Wi-Fi, ви сильно ризикуєте. Зловмисники вельми хитрі, винахідливі і користуються слабкими місцями в протоколах безпеки, використовуючи апаратні або програмні уразливості.
Причому хакером може бути фізична особа, конкурентна компанія або уряд. У будь-якому випадку злом становить велику загрозу для власника ПК або смартфона. Тому настійно радимо відвідувачам кав’ярень використовувати мережу VPN при Інтернет-серфінгу і перегляді Веб-сторінок. Якщо ви читаєте важливі листи, переглядаєте соціальні мережі або завантажуєте відео та інший контент, VPN захистить вас від більшості загроз при використанні загальнодоступних і приватних мереж Wi-Fi.
Іншою перевагою VPN є захист VoIP. Такі сервіси як Skype мало схильні до злому, але цілком доступні цензорам і гео-обмежувачів. Причому в Інтернеті нескладно знайти потрібні інструкції по «прослуховування», щоб впровадитися в одне з VoIP з’єднань. У разі застосування VPN проблема уразливості аудіо — та відеозв’язку вирішується легко і швидко.
Таким чином, перевагами VPN є:
- безпечне підключення до мережі
- обхід географічних обмежень
- обхід законодавчих заборон
- захист дзвінків по Skype і IP-телефонії
- Анонімність в мережі
Основні недоліки VPN-з’єднання-деяка складність в налаштуванні (необхідні знання конфігурації мереж на рівні сисадміна), падіння швидкості (в ряді випадків) і платна підписка. Звичайно, існують і безкоштовні VPN, але вони не завжди можуть забезпечити клієнтам належний рівень захисту. Деякі безкоштовні VPN навіть передають персональну інформацію на сторону. При організації великої кількості одночасних VPN з’єднань потрібен досить продуктивний сервер.
Відмінність між звичайним інтернет-з’єднанням і VPN
Основна відмінність між звичайним інтернет-з’єднанням і VPN полягає в тому, що в першому випадків шифрування не застосовується, а в другому – дані передаються по захищеному каналу зв’язку з шифруванням. Існує кілька видів тунельних протоколів, і рівень захисту безпосередньо залежить від використовуваного протоколу. Кожен з них має свої особливості і можливості захисту.
Можна виділити п’ять найбільш відомих VPN-протоколів:
PPTP (Point-to-Point Tunneling Protocol, тунельний протокол » точка-точка»). PPTP використовує протокол шифрування Microsoft Point-to-Point Encryption, але він має уразливості. Протокол часто використовується за замовчуванням на різних пристроях і може бути створений між двома локальними мережами. Перевагами є висока швидкість і можливість застосування на будь-яких платформах.
L2TP (Layer 2 Tunneling Protocol – тунельний протокол другого (канального) рівня) – симбіоз двох протоколів: PPTP від Microsoft і L2F, створеного компанією Cisco. Протокол L2TP дозволяє створювати VPN-тунель не тільки в мережах IP, але і в інших (наприклад, ATM, X. 25 і Frame Relay). Сам протокол не має шифрування, тому його часто використовують в зв’язці з IPSec. При такій інтеграції з IPsec використовується подвійний захист даних, тому користувачі можуть зіткнутися з проблемами продуктивності.
IPSec (IP Security — захищений міжмережевий протокол)- протокол третього мережевого рівня, що забезпечує захист при обміні ключами в Інтернеті і передачі IP-пакетів. IPSec найбільш часто використовується при створенні VPN-мереж для комерційного користування. Він одночасно економічний, ефективний і простий в налаштуванні конфігурацій.
SSTP (Secure Socket Tunneling Protocol — тунельний протокол захищених сокетів) — протокол захищеної передачі даних клієнт-серверної архітектури тільки по мережі Інтернет. Спочатку SSTP був створений для Windows, але зараз доступний і в інших середовищах. У нього хороше співвідношення швидкості і захисту передачі даних. Він легко проходить через фаєрволи, але має вразливість до деяких типів атак.
OpenVPN – протокол з відкритим вихідним кодом, який використовується більшістю VPN-сервісів. Протокол OpenVPN, використовуючи стороннє ПЗ, може бути реалізований на будь-якій платформі. Для створення зашифрованого підключення до Інтернету використовує SSL (Secure Socket Layer-протокол захищених сокетів) і проводить перевірку автентичності пристрою. OpenVPN має кращу комбінацію швидкості, надійності та захисту. Завдяки використанню SSL цей протокол застосовує різні алгоритми захисту даних (RC4, MD5, RSA і т.д.). Незважаючи на те, що OpenVPN має складну настройку для рядового користувача, існують сторонні сервіси, які роблять це автоматично і швидко.
Найпоширенішим протоколом для настройки VPN через роутер є PPTP. Цей протокол застосовується для забезпечення віддаленого доступу до корпоративних мереж і для інших цілей. Доступ через VPN можна налаштувати за допомогою різних маршрутизаторів.
Алгоритм отримання доступу через VPN
Щоб налаштувати доступ в VPN мережу через Інтернет, необхідно виконати три основні кроки:
- створити PPTP-сервер на маршрутизаторі зі статичною IP адресою
- створити акаунти користувачів
- додати виключення в файрвол роутера (щоб не виникало перешкод для підключення)
Алгоритм даної операції для роутера докладно описаний в статті «Налаштування VPN через MikroTik».
Для підключення до VPN по протоколу L2TP в Windows 10 необхідно виконати кілька кроків. Важливо, щоб віддалена локальна мережа відрізнялася адресацією від локальної мережі, в якій знаходиться ПК, смартфон або планшет. Тобто, вони повинні бути різними.
Попередньо, щоб налаштувати VPN, вам будуть потрібні наступні дані:
- Адреса сервера VPN
- Тип підключення
- ім’я користувача та пароль
- загальний ключ шифрування для підключення
1 крок Натисніть на значок сповіщень у нижньому правому куті екрана
2 крок Вибрати Віртуальна мережа (VPN)
3 крок У новому вікні Параметр вибрати Додати VPN-підключення
Постачальник послуг VPN — Windows (вбудований)
Ім’я підключення — зручне для вас ім’я підключення, наприклад My Connect
Ім’я або Адреса сервера — Адреса сервера VPN (причому, в якості адреси сервера VPN може бути як доменне ім’я, так і IP-адреса).
Тип VPN — L2TP/IPsec з попереднім ключем.
Загальний ключ — загальний ключ шифрування для підключення.
Тип даних для входу — Ім’я користувача та пароль.
Ім’я користувача — Ім’я користувача для підключення.
Пароль — Пароль для підключення.
Поставте галочку навпроти Запам’ятати мої дані для входу. Після чого натиснітьЗберегти.
5 крок Вибрати Підключитись
6 крок Дочекайтеся закінчення підключення і закрийте вікно Параметри
Після того, як ви закінчили працювати з підключенням, рекомендується відключитися від VPN. Ця процедура виконується ще простіше.
1 крок Натисніть на значок повідомлень в правому нижньому кутку екрану
2 крок Вибрати Віртуальна мережа (VPN)
3 крок Вибрати Відключитися і закрийте вікно Параметри
Налаштування підключення VPN по L2TP/IPsec на Android
Налаштування підключення VPN на телефонах з Android сьогодні також максимально спрощена. Але слід знати, що при використанні протоколу L2TP/IPSEC неможливо встановити більше одного з’єднання.
1 крок Зайдіть в меню «Налаштування». У розділі «Бездротові мережі» вибрати «Ще», потім VPN Натисніть на кнопку «+» — це потрібно для додавання нового підключення.
2 крок Далі, виберіть тип підключення — L2TP/IPSec PSK і вкажіть параметри підключення:
- Назва — вкажіть будь-яку назву з’єднання
- Адреса сервера — вкажіть адресу з особистого кабінету, виду vpn####.fornex.org.
- Загальний ключ IPSec — ввівши FornexVPN.
3 крок Далі виберіть збережене підключення і введіть «Ім’я користувача» та «Пароль», доступні в особистому кабінеті та натисніть «Підключатися».
Налаштування фільтрування в роутері
Перед тим, як підключитися через VPN, необхідно прописати Винятки для фаєрвола. Розглянемо ці дії на прикладі роутера MikroTik. Але перед цим важливо пам’ятати: при налаштуванні фаєрвола на MikroTik, настійно рекомендуємо проводити їх в режимі Safe Mode — в іншому випадку ви ризикуєте втратити доступ до маршрутизатора!
Отже, в меню управління роутером потрібно зайти в розділ IPі в випадаючому списку вибратиFirewall. Відкриється розділ, в якому нас цікавить перша вкладка з назвою Filter Rules. Щоб додати нове правило, натискаємо кнопку «+».
В описі правила буде рядок Chain – тут потрібно вибрати input, у рядку Protocol вказати tcp. Трохи нижче знаходиться поле Dst. Port, в якому потрібно прописати 1723 порт для тунелю VPN.
У цьому ж віконці на вкладці Action у випадаючому списку потрібно вибрати accept, що буде означати, що ми дозволяємо трафік через VPN. Наступний крок-дозвіл протоколу GRE. Здійснюється воно за допомогою аналогічної послідовності дій: створюється нове правило, тільки в полі Protocol потрібно вибрати gre і дозволити трафік у вкладці Action. У списку розділу Firewall нові правила необхідно підняти вгору, щоб над ними не було забороняють правил, інакше вони не будуть працювати.
VPN-каналы связи и корпоративные VPN-сети
VPN – Virtual Private Network (виртуальная частная сеть) это способ построения логического канала связи между двумя и более точками через транспортную среду, например, интернет. Для защиты передаваемых данных в наложенной сети, как правило, применяется шифрование. С его помощью возможно создание доверенного соединения через общедоступные сети. Поддержка туннелей присутствует в операционных системах соответствующих моделей маршрутизаторов крупнейших производителей сетевого оборудования: Dlink, Cisco, Mikrotik, NetGear и других.
Туннельные соединения широко применяются для доступа удалённых пользователей к корпоративным сетям, серверам. Например, к контроллерам домена Active Directory, серверам корпоративной почты, файловым и другим серверам. Также VPN допускает применение совместно с трансляцией IP-адресов NAT и работой в составе автономной системой (AS) организации, что делает технологию востребованной в корпоративной среде.
Корпоративные VPN-сети
Организация туннеля передачи данных между офисами позволяет компании:
- создать локальную сеть через интернет, объединив свои офисы и филиалы;
- защитить передаваемые данные посредством надёжного шифрования;
- обеспечить единую точку доступа в интернет через защищённое соединение.
При организации VPN-туннеля может быть использована любая доступная физическая среда передачи данных: DSL, ADSL, оптические линии, WiFi и другие. Также для туннелирования пригодны скоростные сотовые каналы передачи данных 3G/LTE/5G от Теле2, Мегафона, Билайн, МТС.
Для защиты соединения применяются различные алгоритмы шифрования. Благодаря им виртуальная частная сеть является надёжным способом передачи конфиденциальных данных через не доверенные сети вообще и интернет в частности. Благодаря VPN-подключению стало возможным обеспечить безопасный удалённый доступ сотрудников к корпоративным ресурсам, создав рабочие места на дому.
Другие возможности технологии
Предоставляемые технологией возможности включают, но не исчерпывают:
- маршрутизацию IP-трафика;
- организацию прозрачного канала между филиалами компании;
- защиту трафика надёжными алгоритмами шифрования;
Технические характеристики канала
При организации туннельного соединения в зависимости от используемого оборудования и поставленных задач могут применяться следующие типы виртуальных частных сетей:
- PPTP;
- L2TP;
- OpenVPN;
- IPSec;
- IPIP-туннелирование.
Для организации работы VPN-канала необходим порт 1723 протокола TCP (1723/tcp), а также протокол GRE (идентификатор протокола 47). Если порт 1723 закрыт, то установить PPTP-соединение не удастся. В таком случае следует прибегнуть к настройке другого типа туннеля, например, IPSec.
Эксперт-рецензент: Александр Злобин
При перепубликации статьи установка активной индексируемой гиперссылки на источник — сайт Tendence.ru обязательна!
3971 просмотр