CHƯƠNG 3: CÔNG NGHỆ VPN MỤC TIÊU Học xong chương này sinh viên có thể: o Trình bày được khái niệm, lợi ích của công nghệ VPN o Trình bày được nguyên lý hoạt động của VPN o Triển khai, cài đặt, cấu hình được công nghệ VPN cho doanh nghiệp o Tư vấn cho khách hàng triển khai công nghệ VPN. o Rèn luyện khả năng tư duy logic. Tổng quan về VPN 3.1 Khái niệm Mạng riêng ảo hay còn được gọi với từ viết tắt VPN, đây không phải là một khái niệm mới trong công nghệ mạng. VPN có thể được định nghĩa như là một dịch vụ mạng ảo được triển khai trên cơ sở hạ tầng của hệ thống mạng công cộng với mục đích tiết kiệm chi phí cho các kết nối điểm - điểm.
Hai đặc điểm quan trọng của công nghệ VPN là “riêng” và “ảo” tương ứng với hai thuật ngữ tiếng anh (Virtual and Private). VPN có thể xuất hiện tại bất cứ lớp nào trong mô hình OSI, VPN là sự cải tiến cơ sở hạ tầng mạng WAN, làm thay đổi và làm tăng tính chất của mạng cục bộ cho mạng WAN.1: Mô hình VPN 3.2 Lợi ích của VPN - VPN làm giảm chi phí thường xuyên: VPN cho phép tiết kiệm chi phí thuê đường truyền và giảm chi phí phát sinh cho nhân viên ở xa nhờ vào việc họ truy cập vào hệ thống mạng nội bộ thông qua các điểm cung cấp dịch vụ ở địa phương POP (Point of Presence), hạn chế thuê đường truy cập của nhà cung cấp đến giá thành cho việc kết nối Lan – to – Lan giảm đi đáng kể so với việc thuê đường Leased - line. - Giảm chi phí quản lý và hỗ trợ: Với việc sử dụng dịch vụ của nhà cung cấp, chúng ta chỉ phải quản lý các kết nối đầu cuối tại các chi nhánh mạng, đồng thời tận dụng cơ sở hạ tầng của mạng Internet và đội ngũ kỹ thuật của nhà cung cấp dịch vụ. - VPN đảm bảo an toàn thông tin, tính toàn vẹn và xác thực: Dữ liệu truyền trên mạng được mã hóa bằng các thuật toán và được truyền trong các đường hầm (Tunnel) nên thông tin có độ an toàn cao.
- VPN dễ dàng kết nối các chi nhánh thành mạng nội bộ: VPN có thể dễ dàng kết nối hệ thống mạng giữa các chi nhánh của một công ty và văn phòng trung tâm thành một mạng LAN với chi phí thấp. - VPN hỗ trợ các giao thức mạng thông dụng nhất hiện nay như TCP/IP: thông tin được gửi đi trên VPN đã được mã hóa do đó các địa chỉ trên mạng riêng được che giấu và chỉ sử dụng các địa chỉ bên ngoài Internet.3 Chức năng của VPN VPN cung cấp 3 chức năng chính: - Sự tin cậy (Confidentiality) : Người gửi có thể mã hóa các gói dữ liệu trước khi truyền chúng ngang qua mạng nên không ai có thể truy nhập thông tin mà không được phép. - Tính toàn vẹn dữ liệu (Data Integrity) : Người nhận có thể kiểm tra rằng dữ liệu đã được truyền qua mạng internet mà không có sự thay đổi nào. - Xác thực nguồn gốc (Origin authentication) : Người nhận có thể xác thực nguồn gốc của gói dữ liệu, đảm bảo và công nhận nguồn thông tin.4 Các thành phần cần thiết tạo nên kết nối VPN - User authentication: cung cấp cơ chế chứng thực người dùng, cho phép người dùng hợp lệ kết nối vào hệ thống VPN - Address management : cung cấp địa chỉ IP hợp lệ cho người dùng sau khi gia nhập hệ thống VPN để có thể truy cập tài nguyên trên mạng nội bộ.
- Data Encryption : cung cấp giải pháp mã hóa dữ liệu trong quá trình truyền nhằm đảm bảo tính riêng tư và toàn vẹn dữ liệu. - Key Management : cung cấp giải pháp quản lý các khóa dùng cho quá trình mã hóa và giải mã dữ liệu. Phụ thuộc vào kiểu VPN (truy nhập từ xa Remote Access hay kết nối ngang hàng Site-to-Site), một số thành phần nhất định cần thiết để hình thành VPN: - Phần mềm máy trạm cho mỗi người dùng xa. - Các thiết bị phần cứng riêng biệt, ví dụ như: Bộ trung tâm (VPN Concentrator) hoặc tường lửa (Secure PIX Firewall).
- Các máy chủ VPN sử dụng cho dịch vụ quay số. - Máy chủ truy cập NAS (Network Access Server) dùng cho các người dùng VPN ở xa truy nhập. - Trung tâm quản lý mạng và chính sách VPN.5 Phân loại VPN 3.1 VPN Remote Access Hình 3.2: VPN Remote Access 57 VPN Remote Access: Hay cũng được gọi là Virtual Private Dial - up Network (VPDN), đây là dạng kết nối User – to – Lan áp dụng cho các công ty mà các nhân viên có nhu cầu kết nối tới mạng riêng (Private network) từ các địa điểm từ xa. Mỗi công ty có thể cài đặt một mạng kiểu Remote – Access diện rộng theo các tài nguyên từ một nhà cung cấp dịch vụ ESP (Enterprise Service Provider).
ESP cài đặt một công nghệ Network Access Server (NAS) và cung cấp cho các user ở xa với phần mềm client trên mỗi máy của họ. Một đặc điểm quan trọng của VPN Remote Access là: cho phép người dùng di động truy cập từ xa vào hệ thống mạng nội bộ trong công ty để làm việc. Để thực hiện được VPN Remote Access cần : - Có 01 VPN Getway (có 01 IP Public). Đây là điểm tập trung xử lý khi VPN Client quay số truy cập vào hệ thống VPN nội bộ.
- Các VPN Client kết nối vào mạng Internet.2VPN Site-to-Site Hình 3.3: VPN Site - to – Site VPN Site - to – Site: Bằng việc sử dụng một thiết bị chuyên dụng và cơ chế bảo mật diện rộng, mỗi công ty có thể tạo kết nối với rất nhiều các site qua một mạng công cộng như Internet. Các mạng VPN Site – To – Site có thể thuộc hai dạng: 58 - Intranet: Intranet VPN mở rộng các dịch vụ của mạng nội bộ tới các trụ sở ở xa, đây là một mô hình liên mạng hướng phi kết nối qua một mạng WAN dùng chung. Yêu cầu ở đây là phải thực hiện được tất cả các dịch vụ mạng đã được thực hiện ở mạng trung tâm. - Extranet: Liên kết các khách hàng, các nhà cung cấp, hay cộng đồng người sử dụng vào mạng Intranet của một tổ chức trên nền hạ tầng mạng công cộng sử dụng các đường truyền thuê bao.
Giải pháp này cũng cung cấp các chính sách như trong mạng riêng của một tổ chức như đảm bảo tính bảo mật, tính ổn định. Về mặt kiến trúc thì Intranet và Extranet tương tự nhau, tuy nhiên điểm khác biệt giữa chúng là phạm vi các ứng dụng cho phép các đối tác Extranet VPN sử dụng. So với Intranet VPN thì vấn đề tiết kiệm chi phí không rõ bằng nhưng điều quan trọng là khả năng cộng tác với các đối tác, khách hàng hay các nhà cung cấp sản phẩm. Việc để cho khách hàng nhập trực tiếp dữ liệu về các hợp đồng vào hệ thống sẽ tiết kiệm được rất nhiều thời gian cũng như các lỗi không đáng có, tuy nhiên việc này rất khó thực hiện với công nghệ WAN truyền thống.
Extranet VPN thường sử dụng các kết nối dành riêng và thêm vào các lớp bảo mật để xác thực và giới hạn truy nhập trên hệ thống. Để thực hiện được VPN Site-to-Site cần: - Có 02 VPN Getway ( Mỗi VPN Getway có 01 IP Public). Đây là điểm tập trung xử lý khi VPN Getway phía bên kia quay số truy cập vào. - Các Client kết nối vào hệ thống mạng nội bộ.
Một số giao thức mã hóa trong VPN Hiện nay có nhiều giải pháp để giải quyết hai vấn đề về đóng gói dữ liệu và an toàn dữ liệu trong VPN, dựa trên nền tảng là các giao thức đường hầm. Một giao thức đường hầm sẽ thực hiện đóng gói dữ liệu với phần Header (và có thể cả Trailer) tương ứng để truyền qua Internet. Giao thức đường hầm là cốt lõi của giải pháp VPN và hiện có 4 giao thức đường hầm được sử dụng trong VPN đó là : - Giao thức định hướng lớp 2 : L2F ( Layer 2 Forwarding) 59 - Giao thức đường hầm điểm – điểm : PPTP (Point to point Tunneling protocol) - Giao thức đường hầm lớp 2 : L2TP (Layer 2 tunneling protocol) - Giao thức bảo mật IP : IPSec (Internet Protocol Security) - Giao thức GRE (Generic Routing Encapsulation) 3.1 Giao thức định hướng lớp 2 : L2F ( Layer 2 Forwarding) Giao thức định hướng lớp 2 L2F do Cisco phát triển độc lập và được phát triển dựa trên giao thức PPP ( Point to Point Protocol). L2F cung cấp giải pháp cho dịch vụ quay số ảo bằng cách thiết lập một đường hầm bảo mật thông qua cơ sở hạ tầng công cộng như Internet.
L2F cho phép đóng gói các PPP trong L2F, định hướng hầm ở lớp liên kết dữ liệu.1 Cấu trúc gói của L2F 1 bit 1 bit 1 bit 1 bit 8 bit 1 bit 3 bit 8 bit 8 bit F K P S Reserved C Version Protocol Sequence Multiplex ID Client ID Length Offset Key Data Checksums Hình 3.4: Khuôn dạng gói của L2F 3.2 Ưu nhược điểm của L2F - Ưu điểm : + Cho phép thiết lập đường hầm đa giao thức + Được cung cấp bởi nhiều nhà cung cấp - Nhược điểm: + Không có mã hóa + Yếu trong việc xác thực người dùng 60 + Không có điều khiển luồng cho đường hầm 3.2 Thực hiện L2F L2F đóng gói những gói ở lớp 2 và trong trường hợp này là đóng gói PPP, truyền qua một mạng. L2F sử dụng các thiết bị: - NAS: Hướng lưu lượng đến và đi từ máy khách ở xa (Remote client) và Gateway home. - Tunnel: Định hướng đường đi giữa NAS và Home Gateway. - Home Gateway: Ngang hàng với NAS.
- Kết nối: Là một kết nối PPP trong đường hầm. Trong CLI, một kết nối L2F được xem như là một phiên. - Điểm đích (Destination): Là điểm kết thúc ở đầu xa của đường hầm. Trong trường hợp này thì Home gateway là điểm đích.5: Mô hình L2F Hoạt động của L2F Hoạt động của L2F bao gồm các hoạt động: thiết lập kết nối, đường hầm và phiên làm việc.
Ví dụ minh họa hoạt động của L2F: - Một người sử dụng ở xa quay số tới hệ thống NAS và khởi đầu một kết nối PPP tới ISP. 61 - Hệ thống NAS và máy khách trao đổi các gói giao thức điều khiển liên kết LCP (Link Control Protocol). - NAS sử dụng cơ sở dữ liệu cục bộ liên quan đến vùng (Domain Name) hay nhận thực Radius để quyết định có hay không người sử dụng yêu cầu dịch vụ L2F. - Nếu có người sử dụng yêu cầu L2F thì quá trình tiếp tục: NAS thu nhận địa chỉ của Gateway đích.