Protokoły tunelowania i szyfrowania

Tunel VPN jest tworzony przez określone protokoły, które definiują sposób enkapsulacji, szyfrowania i uwierzytelniania ruchu. Różne protokoły odpowiadają różnym potrzebom, zapewniając równowagę między bezpieczeństwem, szybkością i zgodnością.

Dwa najważniejsze filary technologii VPN to IPsec i SSL/TLS. Zrozumienie ich roli pomaga rozpoznać, jak zbudowana jest niemal każda napotkana sieć VPN.

IPsec (Internet Protocol Security) to zestaw protokołów zabezpieczających ruch w warstwie sieciowej (warstwa 3). Może szyfrować i uwierzytelniać każdy pakiet między dwoma punktami końcowymi; stanowi podstawę większości sieci VPN typu site-to-site.

Ponieważ IPsec działa w warstwie 3, przejrzyście chroni cały ruch, niezależnie od aplikacji, która go wysyła, dzięki czemu idealnie nadaje się do łączenia całych sieci.

IPsec wykorzystuje kilka elementów:

• AH (Authentication Header): zapewnia integralność i uwierzytelnianie, ale nie szyfruje.
• ESP (Encapsulating Security Payload): zapewnia szyfrowanie oraz integralność; jest najczęściej używanym elementem.
• IKE (Internet Key Exchange): negocjuje klucze i ustanawia bezpieczne skojarzenie.

ESP w połączeniu z IKE to powszechnie stosowany zestaw zapewniający pełną poufność i integralność.

IPsec działa w dwóch trybach. Tryb transportowy szyfruje tylko dane pakietu, pozostawiając oryginalny nagłówek IP; jest używany w połączeniach host–host. Tryb tunelowy szyfruje cały oryginalny pakiet i opakowuje go w nowy pakiet.

Sieci VPN typu site-to-site korzystają z trybu tunelowego, ponieważ ukrywa on adresację wewnętrzną i chroni cały oryginalny pakiet między dwiema bramami.

Sieci VPN SSL/TLS (Secure Sockets Layer / Transport Layer Security) zabezpieczają ruch w wyższej warstwie i często działają bezpośrednio w przeglądarce internetowej lub za pomocą lekkiego klienta. TLS to ten sam protokół, który zabezpiecza witryny HTTPS.

VPN-y SSL są popularne w przypadku zdalnego dostępu klienta, ponieważ łatwo je wdrożyć, bez problemu działają przez zapory sieciowe i NAT, a czasem nie wymagają specjalnego oprogramowania poza przeglądarką.

Oba rozwiązania najlepiej sprawdzają się w innych zadaniach:

• IPsec: doskonale nadaje się do połączeń site-to-site i dostępu do całej sieci, ale może mieć problemy z NAT-em i zaporami oraz wymaga większej konfiguracji.
• SSL/TLS: świetnie sprawdza się przy dostępie klienta do określonych aplikacji, jest przyjazny dla przeglądarek i zapór sieciowych.

Wiele organizacji używa IPsec między biurami, a SSL/TLS w przypadku użytkowników zdalnych.

Nowsze protokoły rozwijają klasyczne rozwiązania. WireGuard to nowoczesny, szybki i lekki protokół z niewielką bazą kodu, którą łatwiej audytować, oraz bardzo wysoką wydajnością.

OpenVPN to elastyczne i powszechnie używane rozwiązanie open source oparte na TLS. IKEv2/IPsec jest chętnie stosowany na urządzeniach mobilnych, ponieważ szybko nawiązuje połączenie ponownie po zmianie sieci, na przykład podczas przełączania z Wi-Fi na sieć komórkową.

Niektóre starsze protokoły VPN są obecnie niezabezpieczone i nie należy ich używać. Protokół PPTP (Point-to-Point Tunneling Protocol) ma znane słabości i złamane mechanizmy szyfrowania. Czysty L2TP (Layer 2 Tunneling Protocol) sam w sobie nie zapewnia szyfrowania i musi być połączony z IPsec.

Rozpoznawanie przestarzałych protokołów ma znaczenie: ich używanie daje fałszywe poczucie bezpieczeństwa, pozostawiając ruch narażony na przechwycenie.

Wszystkie te protokoły opierają się na kryptografii. Wykorzystują szyfrowanie symetryczne (jeden wspólny klucz) do szyfrowania dużych ilości danych, ponieważ jest szybkie, oraz szyfrowanie asymetryczne (pary kluczy) i algorytmy wymiany kluczy, aby bezpiecznie uzgodnić ten wspólny klucz.

To silne, nowoczesne szyfry i prawidłowa wymiana kluczy zapewniają rzeczywiste bezpieczeństwo tunelu; słaba lub przestarzała kryptografia podważa bezpieczeństwo nawet dobrze zaprojektowanej sieci VPN.

Konfiguracja VPN koncentruje się na punktach końcowych, kluczach i dozwolonym ruchu. Ten uproszczony fragment pokazuje rodzaj ustawień używanych przez element WireGuard typu peer.

IPsec zabezpiecza ruch w warstwie 3 za pomocą ESP i IKE, wykorzystując tryb tunelowy do połączeń site-to-site. Sieci VPN SSL/TLS zabezpieczają dostęp klienta i dobrze współpracują z przeglądarkami oraz zaporami sieciowymi. Nowoczesne rozwiązania, takie jak WireGuard, OpenVPN i IKEv2, zwiększają szybkość i mobilność, natomiast przestarzałego PPTP należy unikać.

Sprawdź swoją wiedzę o protokołach VPN.

IPsec zabezpiecza ruch w warstwie sieciowej za pomocą AH, ESP i IKE, wykorzystując tryb tunelowy w sieciach VPN typu site-to-site. Sieci VPN SSL/TLS nadają się do dostępu klienta za pośrednictwem przeglądarki. Do nowoczesnych protokołów należą WireGuard, OpenVPN i IKEv2, natomiast z niezabezpieczonych, przestarzałych rozwiązań, takich jak PPTP, należy zrezygnować.