بروتوكولات إنشاء الأنفاق والتشفير

يُنشأ نفق VPN باستخدام بروتوكولات محددة تحدد كيفية تغليف حركة المرور وتشفيرها والمصادقة عليها. وتناسب البروتوكولات المختلفة احتياجات مختلفة، إذ توازن بين الأمان والسرعة والتوافق.

العملاقان في تقنية VPN هما IPsec وSSL/TLS. ويساعد فهم دوريهما على إدراك كيفية بناء معظم شبكات VPN التي ستتعامل معها فعليًا.

إن IPsec (أمان بروتوكول الإنترنت) مجموعة من البروتوكولات التي تؤمّن حركة المرور على طبقة الشبكة (الطبقة 3). ويمكنها تشفير كل حزمة والمصادقة عليها بين نقطتي نهاية، وهي العمود الفقري لمعظم شبكات VPN بين المواقع.

وبما أنه يعمل على الطبقة 3، يحمي IPsec حركة المرور كلها بشفافية، بصرف النظر عن التطبيق الذي يرسلها، مما يجعله مثاليًا لربط الشبكات الكاملة.

يستخدم IPsec عدة مكوّنات:

• AH (رأس المصادقة): يوفّر السلامة والمصادقة، لكنه لا يوفّر التشفير.
• ESP (حمولة أمان التغليف): يوفّر التشفير بالإضافة إلى السلامة، وهو المكوّن الأكثر استخدامًا.
• IKE (تبادل مفاتيح الإنترنت): يتفاوض على المفاتيح وينشئ الارتباط الآمن.

ويُعد ESP مع IKE التركيبة الشائعة التي توفّر السرية والسلامة الكاملتين.

يعمل IPsec في وضعين. إذ يشفّر وضع النقل حمولة الحزمة فقط، ويترك رأس IP الأصلي، ويُستخدم للروابط بين المضيفين. أما وضع النفق فيشفّر الحزمة الأصلية بالكامل ويغلفها داخل حزمة جديدة.

وهذا هو الوضع الذي تستخدمه شبكات VPN بين المواقع، لأنه يخفي العنونة الداخلية ويحمي الحزمة الأصلية الكاملة بين البوابتين.

تؤمّن شبكات VPN باستخدام SSL/TLS (طبقة المقابس الآمنة / أمان طبقة النقل) حركة المرور على طبقة أعلى، وغالبًا ما تعمل مباشرة داخل متصفح ويب أو عبر عميل خفيف. وTLS هو البروتوكول نفسه الذي يؤمّن مواقع HTTPS.

وتنتشر شبكات SSL VPN في الوصول عن بُعد للعميل، لأنها سهلة النشر، وتعمل بسهولة عبر جدران الحماية وNAT، وقد لا تحتاج إلى برامج خاصة تتجاوز المتصفح.

يتفوق كل منهما في مهام مختلفة:

• IPsec: ممتاز للوصول بين المواقع وإلى الشبكة بالكامل، لكنه قد يواجه صعوبات مع NAT وجدران الحماية، ويحتاج إلى إعدادات أكثر.
• SSL/TLS: ممتاز لوصول العميل إلى تطبيقات محددة، ومتوافق مع المتصفحات وجدران الحماية.

تستخدم مؤسسات كثيرة IPsec بين المكاتب وSSL/TLS للمستخدمين عن بُعد.

تتفوّق البروتوكولات الأحدث على البروتوكولات التقليدية. فـWireGuard بروتوكول حديث وسريع وخفيف، يتميز بقاعدة شيفرة صغيرة تسهّل تدقيقها، وبكفاءة عالية جدًا.

أما OpenVPN فهو خيار مرن ومفتوح المصدر واسع الاستخدام، مبني على TLS. ويُفضّل استخدام IKEv2/IPsec على الأجهزة المحمولة لأنه يعيد الاتصال بسرعة عند تغيّر الشبكة، مثل الانتقال من Wi-Fi إلى شبكة الهاتف المحمول.

أصبحت بعض بروتوكولات VPN القديمة غير آمنة، ولا ينبغي استخدامها. إذ يحتوي PPTP (بروتوكول نفق من نقطة إلى نقطة) على نقاط ضعف معروفة وتشفير مكسور. أما L2TP (بروتوكول نفق الطبقة 2) المجرد فلا يوفّر تشفيرًا بمفرده، ويجب إقرانه بـ IPsec.

ومن المهم التعرّف على البروتوكولات القديمة؛ فاستخدامها يمنح إحساسًا زائفًا بالأمان، مع إبقاء حركة المرور مكشوفة.

تعتمد كل هذه البروتوكولات على علم التشفير. فهي تستخدم التشفير المتماثل (مفتاح مشترك واحد) للبيانات الكبيرة لأنه سريع، وتستخدم التشفير غير المتماثل (أزواج المفاتيح) بالإضافة إلى خوارزميات تبادل المفاتيح للاتفاق بأمان على ذلك المفتاح المشترك.

إن الشفرات القوية والحديثة، إلى جانب تبادل المفاتيح بالشكل الصحيح، هي ما يجعل النفق آمنًا حقًا؛ أما التشفير الضعيف أو القديم فيقوّض أمان VPN حتى لو كان مصممًا جيدًا.

تتمحور إعدادات VPN حول نقاط النهاية والمفاتيح وحركة المرور المسموح بها. يوضّح هذا المقتطف المبسّط نوع الإعدادات التي يستخدمها طرف WireGuard.

يؤمّن IPsec حركة المرور على الطبقة 3 باستخدام ESP وIKE، مع استخدام وضع النفق للروابط بين المواقع. وتؤمّن شبكات VPN باستخدام SSL/TLS وصول العملاء، كما أنها متوافقة مع المتصفحات وجدران الحماية. وتحسّن الخيارات الحديثة مثل WireGuard وOpenVPN وIKEv2 السرعة والتنقل، بينما ينبغي تجنب PPTP القديم.

اختبر معرفتك ببروتوكولات VPN.

يؤمّن IPsec حركة المرور على طبقة الشبكة باستخدام AH وESP وIKE، مع استخدام وضع النفق لشبكات VPN بين المواقع. وتناسب شبكات VPN باستخدام SSL/TLS وصول العملاء القائم على المتصفح. وتشمل البروتوكولات الحديثة WireGuard وOpenVPN وIKEv2، بينما ينبغي إيقاف استخدام الخيارات القديمة غير الآمنة مثل PPTP.