Tunneloimis- ja salausprotokollat

VPN-tunneli muodostetaan erityisillä protokollilla, jotka määrittävät, miten liikenne kapseloidaan, salataan ja todennetaan. Eri protokollat sopivat eri tarpeisiin, ja niiden välillä tasapainoillaan tietoturvan, nopeuden ja yhteensopivuuden suhteen.

VPN-teknologian kaksi merkittävää kokonaisuutta ovat IPsec ja SSL/TLS. Niiden roolien ymmärtäminen auttaa hahmottamaan, miten lähes kaikki käyttämänne VPN:t todellisuudessa rakennetaan.

IPsec (Internet Protocol Security) on protokollaperhe, joka suojaa liikennettä verkkokerroksella (Layer 3). Se voi salata ja todentaa jokaisen paketin kahden päätepisteen välillä, ja se muodostaa useimpien site-to-site VPN:ien perustan.

Koska IPsec toimii Layer 3 -tasolla, se suojaa kaiken liikenteen läpinäkyvästi lähettävästä sovelluksesta riippumatta, joten se sopii erinomaisesti kokonaisten verkkojen yhdistämiseen.

IPsec käyttää useita osia:

• AH (Authentication Header): tarjoaa eheyden ja todennuksen, mutta ei salausta.
• ESP (Encapsulating Security Payload): tarjoaa salauksen ja eheyden; tätä osaa käytetään eniten.
• IKE (Internet Key Exchange): neuvottelee avaimet ja muodostaa suojatun yhteyden.

ESP:n ja IKE:n yhdistelmä on yleinen ratkaisu, joka tarjoaa kattavan luottamuksellisuuden ja eheyden.

IPsec toimii kahdessa tilassa. Transport mode salaa vain paketin hyötykuorman ja jättää alkuperäisen IP-otsakkeen näkyviin. Sitä käytetään host-to-host-yhteyksissä. Tunnel mode salaa koko alkuperäisen paketin ja käärii sen uuteen pakettiin.

Tunnel modea käyttävät site-to-site VPN:t, koska se piilottaa sisäiset osoitteet ja suojaa koko alkuperäisen paketin yhdyskäytävien välillä.

SSL/TLS (Secure Sockets Layer / Transport Layer Security) -VPN:t suojaavat liikennettä korkeammalla tasolla ja toimivat usein suoraan verkkoselaimessa tai kevyessä asiakasohjelmassa. TLS on sama protokolla, joka suojaa HTTPS-verkkosivustoja.

SSL VPN:t ovat suosittuja client-etäkäytössä, koska ne on helppo ottaa käyttöön, ne toimivat vaivattomasti palomuurien ja NAT:n läpi eivätkä välttämättä tarvitse selaimen lisäksi mitään erityistä ohjelmistoa.

Kumpikin soveltuu parhaiten eri tehtäviin:

• IPsec: sopii erinomaisesti site-to-site-yhteyksiin ja koko verkon käyttöön, mutta NAT ja palomuurit voivat vaikeuttaa sen toimintaa, ja se edellyttää enemmän määrityksiä.
• SSL/TLS: sopii erinomaisesti client-yhteyksiin tiettyihin sovelluksiin ja toimii hyvin selaimissa sekä palomuurien kanssa.

Monet organisaatiot käyttävät IPseciä toimistojen välillä ja SSL/TLS:ää etäkäyttäjille.

Uudemmat protokollat kehittävät perinteisiä ratkaisuja eteenpäin. WireGuard on nykyaikainen, nopea ja kevyt protokolla, jonka pieni koodikanta on helpompi auditoida ja joka on erittäin tehokas.

OpenVPN on joustava ja laajasti käytetty avoimen lähdekoodin vaihtoehto, joka perustuu TLS:ään. IKEv2/IPsec on suosittu mobiililaitteissa, koska se muodostaa yhteyden nopeasti uudelleen verkon vaihtuessa esimerkiksi Wi-Fi:stä mobiiliverkkoon siirryttäessä.

Jotkin vanhemmat VPN-protokollat ovat nykyään turvattomia, eikä niitä pitäisi käyttää. PPTP:ssä (Point-to-Point Tunneling Protocol) on tunnettuja heikkouksia ja rikkinäinen salaus. Tavallinen L2TP (Layer 2 Tunneling Protocol) ei itsessään tarjoa salausta, vaan se on yhdistettävä IPseciin.

Vanhentuneiden protokollien tunnistaminen on tärkeää: niiden käyttäminen luo väärän turvallisuuden tunteen ja jättää liikenteen alttiiksi.

Kaikki nämä protokollat perustuvat kryptografiaan. Ne käyttävät symmetristä salausta (yksi yhteinen avain) suurten tietomäärien käsittelyyn, koska se on nopeaa, sekä epäsymmetristä salausta (avainpareja) ja avaintenvaihtoalgoritmeja yhteisen avaimen turvalliseen sopimiseen.

Vahvat, nykyaikaiset salausmenetelmät ja asianmukainen avaintenvaihto tekevät tunnelista todella turvallisen. Heikko tai vanhentunut kryptografia heikentää myös hyvin suunniteltua VPN:ää.

VPN:n määritykset keskittyvät päätepisteisiin, avaimiin ja sallittuun liikenteeseen. Tämä yksinkertaistettu katkelma näyttää, millaisia asetuksia WireGuard-peer käyttää.

IPsec suojaa liikennettä Layer 3 -tasolla ESP- ja IKE-komponenttien avulla ja käyttää tunnel modea site-to-site-yhteyksissä. SSL/TLS VPN:t suojaavat client-käyttöä ja toimivat hyvin selainten sekä palomuurien kanssa. Nykyaikaiset vaihtoehdot, kuten WireGuard, OpenVPN ja IKEv2, parantavat nopeutta ja liikkuvuutta, kun taas vanhentunutta PPTP-protokollaa tulee välttää.

IPsec suojaa liikennettä verkkokerroksella AH-, ESP- ja IKE-komponenttien avulla ja käyttää tunnel modea site-to-site VPN:issä. SSL/TLS VPN:t sopivat selainpohjaiseen client-käyttöön. Nykyaikaisia protokollia ovat WireGuard, OpenVPN ja IKEv2, kun taas turvattomista vanhoista vaihtoehdoista, kuten PPTP:stä, tulisi luopua.