Đặt vấn đề Cùng với xu hướng phát triển mạng viễn thông hiện nay, vấn đề đảm bảo an ninh cho dữ liệu khi truyền qua mạng là vấn đề mang tính chất tất yếu. Đối với các tổ chức có phạm vi hoạt động rộng khắp, nhân viên luôn di chuyển trong quá trình làm việc thì việc truyền thông dữ liệu một cách an toàn với chi phí thấp, giảm nhẹ các công việc quản lý hoạt động của mạng luôn được đặt ra, và VPN là một giải pháp hiệu quả. Hình 1-1:Tổng quan mô hình mạng của một công ty sử dụng kết nối bảo mật VPN Có rất nhiều giao thức VPN được ứng dụng trên thực tế như: Bảo mật giao thức VPN thực hiện trên lớp 2( lớp data-link) như giao thức PPTP, L2TP: Lợi ích của dịch vụ bảo mật lớp 2 này là: có độ trễ thấp, có khả năng bảo mật khá nhiều giao thức như IP, IPX,NetBEUI, hỗ trợ xác thực người dùng. Tuy nhiên, giao thức IPSec thực hiện trên lớp 2 có những nhược điểm như khả năng bảo mật kém, không có khả năng cung cấp mã đầu cuối đến đầu cuối cũng như không xác thực được gói tin.
Bảo mật giao thức VPN thực hiện trên lớp 3 (lớp mạng) như giao thức IPSec:Tiến hành bảo mật VPN trên lớp mạng mang lại các ưu điểm sau: Cung cấp bảo mật liên tục đến ứng dụng cho phép bảo vệ trên mỗi luồng dữ liệu hoặc kết nối an ninh do đó quá trình bảo mật tương đối an toàn, có khả năng tích hợp linh hoạt các thuật toán mã hóa, thuật toán xác thực cũng như chia sẻ key trên mỗi liên kết bảo mật. Tuy nhiên, bảo mật VPN trên lớp mạng gặp khó khăn Trang 1 trong việc thực hiện bảo mật dữ liệu một người dùng trên cơ sở các máy đa người dùng. Bảo mật giao thức thực hiện trên lớp ứng dụng như giao thức PGP, Kerberos, SSH: Tiến hành bảo mật trên lớp ứng dụng, thiết bị VPN có khả năng mở rộng bảo mật các ứng dụng mà không cần quan tâm đến hệ điều hành, các chương trình ứng dụng có thể phân tích dữ liệu từ đó lựa chọn cách bảo mật phù hợp với từng dữ liệu. Bên cạnh những ưu điểm, bảo mật VPN trên lớp ứng dụng tồn tại nhược điểm: Cơ chế bảo mật phải được thiết kế phụ thuộc vào loại ứng dụng ví dụ như VoiceIP,mail hay bảo mật thông tin ngân hàng… Trong các giao thức trên, IPSec tỏ rõ ưu việt nhờ tính linh hoạt cũng như khả năng ứng dụng rộng rãi của nó.
Trên thị trường hiện nay cũng đã có nhiều thiết bị router ứng dụng công nghệ IPSec trong bảo mật thông tin. Việc ứng dụng này mang lại hiệu quả bảo mật cao bằng cách chèn thêm một lớp IPSec vào giữa lớp mạng và lớp transport. Tuy nhiên, cách này đòi hỏi chi phí cao do phải thay đổi tất cả các thiết bị router muốn giao tiếp với nhau trong mạng, làm tăng quá trình xử lý của router cũng như đặt ra yêu cầu phải thay đổi thiết lập mạng. Để giải quyết vấn đề này, nhóm đã tiến hành thiết lập quá trình xử lý IPSec trên một thiết bị nhúng có nhiệm vụ xử lý tất cả các gói cần mã hóa IPSec và cho qua tất cả các gói không cần mã hóa IPSec.
Điều này làm cho quá trình trao đổi thông tin trên mạng vẫn thông suốt đồng thởi vẫn đảm bảo được việc bảo mật thông tin trên mạng công cộng.2 Mục tiêu đề tài Tiến hành tìm hiểu các vấn đề cơ bản liên quan đến việc thực hiện VPN, trọng tâm là giao thức IPSec. Từ những hiểu biết về IPSec tiến hành lập trình xử lý IPSec trên thiết bị nhúng với mục tiêu đảm bảo quá trình hoạt động mạng được tiến hành bình thường mà không cần phải thay đổi cấu hình mạng 2.3 Phạm vị đề tài Tiến hành thiết kế/ xây dựng thiết bị bảo mật VPN trong suốt trên mạng, có khả năng kết nối đa điểm.4 Giới hạn đề tài Tiến hành quá trình xử lý IPSec sử dụng: Trang 2 Thuật toán mã hóa 3DES, DES. Thuật toán xác thực MD5, SHA-1. Sử dụng khóa IKEv1 với thuật toán xác thực Pre-share key.
Thực hiện nhúng giải thuật xử lý IPSec trên thiết bị thực sử dụng Linux kernel. Trang 3 Chương 3 TỔNG QUAN VỀ VPN 3.1 Giới thiệu về VPN 1. Khái niệm VPN được hiểu đơn giản như là sự mở rộng của một mạng riêng ( Private Network) thông qua các mạng công cộng. Về căn bản, mỗi VPN là một mạng riêng rẽ sử dụng một mạng chung (thường là Internet) để kết nối cùng với các site (các mạng riêng lẻ) hay nhiều người sử dụng từ xa.
Thay cho việc sử dụng kết nối thực, chuyên dùng như đường leased-line, mỗi VPN sử dụng các kết nối ảo được dẫn đường qua Internet từ mạng riêng của các công ty tới các site hay các nhân viên từ xa. Để có thể gửi và nhận dữ liệu thông qua mạng công cộng mà vẫn bảo đảm tính an toàn và bảo mật VPN cung cấp các cơ chế mã hoá dữ liệu trên đường truyền tạo ra một đường ống bảo mật giữa nơi nhận và nơi gửi (Tunnel) giống như một kết nối point-to-point trên mạng riêng. Để có thể tạo ra một đường ống bảo mật đó, dữ liệu phải được mã hoá hay cơ chế giấu đi, chỉ cung cấp phần đầu gói dữ liệu (header) là thông tin về đường đi cho phép nó có thể đi đến đích thông qua mạng công cộng một cách nhanh chóng. Dữ liệu được mã hoá một cách cẩn thận do đó nếu các packet bị bắt lại trên đường truyền công cộng cũng không thể đọc được nội dùng vì không có khoá để giải mã.
Liên kết với dữ liệu được mã hoá và đóng gói được gọi là kết nối VPN. Các đường kết nối VPN thường được gọi là đường ống VPN (Tunnel). Hình 2-2:Tổng quan mạng VPN Trang 4 1. Chức năng của VPN VPN cung cấp ba chức năng chính: Sự tin cậy (Confidentiality): Người gửi có thể mã hóa các gói dữ liệu trước khi truyền chúng ngang qua mạng.
Bằng cách làm như vậy, không một ai có thể truy cập thông tin mà không được phép. Và nếu có lấy được thì cũng không đọc được. Tính toàn vẹn (Data Integrity): Người nhận có thể kiểm tra rằng dữ liệu đã được truyền qua mạng Internet mà không có sự thay đổi nào. Xác thực nguồn gốc (Origin Authentication): Người nhận có thể xác thực nguồn gốc của gói dữ liệu, đảm bảo và công nhận nguồn thông tin.
Ưu điểm của VPN VPN có nhiều ưu điểm hơn so với các mạng leased line truyền thống. Các ưu điểm cơ bản đó là: VPN làm giảm chi phí hơn so với mạng cục bộ: Tổng giá thành của việc sở hữu một mạng VPN sẽ được thu nhỏ, do chỉ phải trả ít hơn cho việc thuê băng thông đường truyền, các thiết bị mạng đường trục và hoạt động của hệ thống. Giá thành cho việc kết nối LAN to LAN giảm từ 20-30% so với việc sử dụng đường truyền leased line truyền thống. Việc truy cập từ xa thì giảm từ 60-80%.
VPN tạo ra tính mềm dẻo cho khả năng quản lý Internet: Các VPN đã kế thừa phát huy hơn nữa tính mềm dẻo và khả năng mở rộng kiến trúc mạng hơn là các mạng WAN truyền thống. Điều này giúp các doanh nghiệp có thể nhanh chóng và hiệu quả kinh tế cho việc mở rộng hay hủy bỏ kết nối của các trụ sở ở xa, các người sử dụng di động…,và mở rộng các đối tác kinh doanh khi có nhu cầu. VPN làm đơn giản hóa cho việc quản lý các công việc so với việc sở hữu và vận hành một mạng cục bộ: Các doanh nghiệp có thể cho phếp sử dụng một vài hay tất cả các dịch vụ của mạng WAN, giúp các doanh SPDnghiệp có thể tập trung vaofcacs đối tượng kinh doanh chính thay vì quản lý một mạng WAN hay mạng quay số từ xa. Trang 5 VPN cung cấp các kiểu mạng đường hầm và làm giảm thiểu các công việc quản lý: Một Backbone IP sẽ loại bỏ các PVC (Permanent Virtual Circuit) cố định tương ứng với các giao thức kết nối như là Frame Relay và ATM.
Điều này tạo ra một kiểu mạng lưới hoàn chỉnh trong khi giảm được độ phức tạp và giá thành. Hình 2-3:Ưu điểm của VPN so với mạng truyền thông Một mạng VPN có được những ưu điểm của mạng cục bộ trên cơ sở hạ tầng của mạng IP công cộng. Các ưu điểm này bao gồm tính bảo mật và sử dụng đa giao thức. Một mạng ảo được tạo ra nhờ các giao thức đường hầm trên một kết nối IP chuẩn.
Các loại công nghệ đường hầm được dùng phổ biến cho truy cập VPN gồm Giao thức đường ngầm lớp 2: Giao thức đường ngầm này thực hiện bảo mật trên lớp 2 trong mô hình OSI (lớp data link). Giao thức định đường hầm điểm- điểm PPTP (Point to Point Tunneling Protocol) và giao thức định đường hầm lớp 2 L2TP (Layer 2 Tunneling Protocol) hoạt động trên lớp này, tải dữ liệu được đóng gói theo mô hình giao thức điểm-điểm. Giao thức đường ngầm lớp 3: : Giao thức đường ngầm này thực hiện bảo mật trên lớp 3 trong mô hình OSI (lớp mạng).Giao thức IPSec hoạt động trên lớp này.Trong chế độ này, gói tin được đóng gói với các phần tiêu đề được thêm vào gói IP trước khi gửi ra mạng. Đối với công nghệ đường hầm lớp 2, chẳng hạn như PPTP & L2TP: Trang 6 • Một đường hầm tương tự như một phiên làm việc (phải kết thúc một phiên làm việc phiên khác mới được bắt đầu).
• Cả hai thiết bị đầu cuối đường hầm phải đồng ý với các đường hầm và phải thương lượng các chính sách cấu hình. • Dữ liệu truyền qua các đường hầm được gửi sử dụng giao thức dựa trên gói tin(datagram-based protocol) và giao thức duy trì (maintenance protocol) nhằm quản lý đường hầm. • Ngoài ra, một đường hầm phải được tạo ra, duy trì và sau đó chấm dứt. Đối với công nghệ đường hầm lớp 3, chẳng hạn như IPSec.
• Kết hợp trao đổi IKE nhằm cấu hình mã hóa cho đường ngầm. • Đường ngầm có thể được tạo lại sau một khoảng thời gian sống. Các yêu cầu cơ bản đối với một giải pháp VPN Có 4 yêu cầu cần đạt được khi xây dựng mạng riêng ảo: Tính tương thích (Compatibility): Mỗi công ty, mỗi doanh nghiệp đều được xây dựng các hệ thống mạng nội bộ và diện rộng của mình dựa trên các thủ tục khác nhau và không tuân theo một chuẩn nhất định của nhà cung cấp dịch vụ. Rất nhiều các hệ thống mạng không sử dụng các chuẩn TCP/IP vì vậy không thể kết nối trực tiếp với Internet.