قرار داد SOCKS :
قرارداد SOCKS در مدل لايهبندي شبكه OSI درلايه‌ي پنجم بصورت كارفرما و كارگزار پياده‌سازي شده است اين قرارداد داراي امكان رمزنگاري اطلاعات نيست ولي بدليل داشتن امكان هويت‌شناسي چند سطحي و امكان مذاكره بين كارفرما وكارگزار SOCKS(Negotiate Capability)، مي‌توان از آن براي پياده‌سازي قراردادهاي رمزنگاري موجود، از آن استفاده نمود. SOCKS، به صورت Circuit-Level Proxy پياده سازی شده است. يعني، كارفرما و كارگزار SOCKS در دروازههاي دو شبكه محلي، اعمال هويت‌شناسي و مذاكرههاي لازم را انجام ميدهند و سپس ارتباطات ميزبانهاي دو شبكه محلي با يكديگر انجام مي‌شود. چون كارفرماي SOCKS مثل يك Proxy عمل مينمايد، مي‌توان براي امنيت بيشتر، به ميزبانهاي شبكه‌ي محلي، آدرس‌هاي نامعتبر اختصاص داد و با ترجمه آدرس شبكه (NAT) كه در كارگزار SOCKS انجام مي‌شود، اين آدرس‌هاي نامعتبر را به آدرس معتبر و بالعكس تبديل نمود. با اين روش مي‌توان شبكه محلي را از يك شبكه عمومي مخفي نمود.
قراردادهای موجود در پياده‌سازي VPN
o ردهي بستهگرا Packet Oriented
لفافهبندي روي بستهها اِعمال مي‌شود. اكثر پيادهسازيهاي تجاري و غيرتجاري VPN، بستهگرا ميباشند. اين قرارداد از قرارداد PPP براي بستهبندي اطلاعات استفاده مينمايد. اين نوع قراردادها در مدل استاندارد لايهبندي شبكه‌ي OSI، در سطح لايههاي دوم و سوم قرار دارند. بنابراين، امكان تونلكشي براي دسترسي راه دور وجود دارد.
o ردهي كاربردگرا Application Oriented
در قراردادهای كاربردگرا، اعمال رمزنگاري اطلاعات و هويت‌شناسي كاربران انجام مي‌شود. اين نوع قراردادها در مدل پشتهاي شبكه‌ي OSI در لايههاي چهارم به بالا قرار دارند و چون آدرسدهي شبكهها و ميزبانها در لايه‌ي سومِ مدلِ پشتهاي شبكه‌ي OSI امكانپذير است، اين نوع قراردادها امكان تونلكشي بين ميزبان و شبكه‌ي محلي يا بين دو شبكه‌ي محلي را فراهم نمیکنند. با توجه به عدم امكان تونلكشي در قراردادهای اين رده، توانايي ايجاد شبكه‌هاي مجازي در قراردادهای اين رده وجود ندارد و از اين قراردادها براي ايجاد شبكه‌هاي خصوصي استفاده مي‌شود.
البته مي‌توان براي مخفيسازي آدرس‌هاي شبكه‌ي محلي، از امكان ترجمهي آدرس شبكه(NAT) که در اكثر ديواره‌هاي آتش وجود دارد، استفاده نمود. با اين روش مي‌توان بعضي از قابليتهاي تونلكشي را براي قراردادهای VPN كاربردگرا ايجاد كرد.
تكنولوژي هاي VPN
با توجه به نوع) VPN "دستيابي از راه دور " و يا " سايت به سايت " ) ، بمنظور ايجاد شبكه از عناصر خاصي استفاده مي گردد:
- نرم افزارهاي مربوط به كاربران از راه دور
- سخت افزارهاي اختصاصي نظير يك " كانكتور VPN" و يا يك فايروال PIX
- سرويس دهنده اختصاصي VPN بمنظور سرويُس هاي Dial-up
- سرويس دهنده NAS كه توسط مركز ارائه خدمات اينترنت بمنظور دستيابي به VPN از نوع "دستيابي از را دور" استفاده مي شود.
- كانكتور VPN . سخت افزار فوق توسط شركت سيسكو طراحي و عرضه شده است. كانكتور فوق در مدل هاي متفاوت و قابليت هاي گوناگون عرضه شده است .
- روتر مختص VPN . روتر فوق توسط شركت سيسكو ارائه شده است . اين روتر داراي قابليت هاي متعدد بمنظور استفاده در محيط هاي گوناگون است . - در طراحي روتر فوق شبكه هاي VPN نيز مورد توجه قرار گرفته و امكانات مربوط در آن بگونه اي بهينه سازي شده اند.
- فايروال PIX . فايروال PIX(Private Internet exchange) قابليت هائي نظيرNAT، سرويس دهنده Proxy ، ----- نمودن بسته اي اطلاعاتي، فايروال وVPN را در يك سخت افزار فراهم نموده است
- با توجه به اينكه تاكنون يك استاندارد قابل قبول و عمومي بمنظور ايجاد شVPN ايجاد نشده است ، شركت هاي متعدد هر يك اقدام به توليد محصولات اختصاصي خود نموده اند.
معماري‌هاي VPN
شبكه‌ي محلي-به-شبكه‌ي محلي: تبادل اطلاعات به صورت امن، بين دو شعبهي مختلف از يك سازمان ميتواند از طريق شبكه عمومي و به صورت مجازي، به فرم شبكه‌ي محلي-به-شبكه‌ي محلي صورت گيرد. هدف از اين نوع معماري، اين است كه تمامي رايانههاي متصل به شبكه‌هاي محليِ مختلفِ موجود در يك سازمان، كه ممكن است از نظر مسافت بسيار از هم دور باشند، به صورت مجازي، به صورت يك شبكه محلي ديده شوند و تمامي رايانههاي موجود در اين شبكه‌ي محلي مجازي بتوانند به تمامي اطلاعات و كارگزارها دسترسي داشته باشند و از امكانات يكديگر استفاده نمايند. در اين معماري، هر رايانه تمامي رايانههاي موجود در شبكه‌ي محلي مجازي را به صورت شفاف مشاهده مينمايد و قادر است از آنها استفادهي عملياتي و اطلاعاتي نمايد. تمامي ميزبانهاي اين شبكه‌ي مجازي داراي آدرسي مشابه ميزبانهاي يك شبكه‌ي محلي واقعي هستند.
شبكه‌ي محلي-به-شبكه‌ي محلي مبتني بر اينترانت : در صورتيكه سازماني داراي يك و يا بيش از يك محل ( راه دور) بوده و تمايل به الحاق آنها در يك شبكه اختصاصي باشد ، مي توان يك اينترانت VPN را بمنظور برقراي ارتباط هر يك از شبكه هاي محلي با يكديگر ايجاد نمود.
شبكه‌ي محلي-به-شبكه‌ي محلي مبتني بر اكسترانت : در موارديكه سازماني در تعامل اطلاعاتي بسيار نزديك با سازمان ديگر باشد ، مي توان يك اكسترانت VPN را بمنظور ارتباط شبكه هاي محلي هر يك از سازمانها ايجاد كرد. در چنين حالتي سازمانهاي متعدد قادر به فعاليت در يك محيط اشتراكي خواهند بود.
● ميزبان-به-شبكه‌ي محلي: حالت خاص معماري شبكه‌ي محلي-به-شبكه‌ي محلي، ساختار ميزبان-به-شبكه‌ي محلي است كه در آن، يك كاربر مجاز (مانند مدير شركت كه از راه دور كارهاي اداري و مديريتي را كنترل مي كند و يا نمايندهي فروش شركت كه با شركت ارتباط برقرار كرده و معاملات را انجام ميدهد) ميخواهد از راه دور با يك شبكه محلي كه پردازشگر اطلاعات خصوصي يك شركت است و با پايگاه داده‌ي شركت در تماس مستقيم است، ارتباط امن برقرار نمايد. در اين ارتباط در واقع ميزبان راه دور به عنوان عضوي از شبكه‌ي محلي شركت محسوب مي‌شود كه قادر است از اطلاعات و كارگزارهاي موجود در آن شبكه محلي استفاده نمايد. از آنجا كه اين يك ارتباط دوطرفه نيست، پس ميزبانهاي آن شبكه محلي، نيازي به برقراري ارتباط با ميزبان راه دور ندارند. در صورت نياز به برقراري ارتباط شبكه‌ي محلي با ميزبان راه دور، بايد همان حالت معماري شبكه‌ي محلي-به-شبكه‌ي محلي پياده‌سازي شود. در اين معماري برقراري ارتباط همواره از سوي ميزبان راه دور انجام مي‌شود.
سازمانهائي كه تمايل به برپاسازي يك شبكه بزرگ " دستيابي از راه دور " مي باشند ، مي بايست از امكانات يك مركز ارائه دهنده خدمات اينترنت جهاني ISP(Internet service provider) استفاده نمايند. سرويس دهنده ISP ، بمنظور نصب و پيكربنديVPN ، يك NAS(Network access server) را پيكربندي و نرم افزاري را در اختيار كاربران از راه دور بمنظور ارتباط با سايت قرار خواهد داد. كاربران در ادامه با برقراري ارتباط قادر به دستيابي به NAS و استفاده از نرم افزار مربوطه بمنظور دستيابي به شبكه سازمان خود خواهند بود.
امنيت در Vpn
خصوصي بودن يك Vpn بدين معناست كه بستهها به صورت امن از يك شبكه‌ي عمومي مثل اينترنت عبور نمايند. براي محقق شدن اين امر در محيط واقعي از:
هويت‌شناسي بستهها، براي اطمينان از ارسال بستهها به وسيله يك فرستنده‌ي مجاز استفاده مي‌شود.
فايروال . فايروال يك ديواره مجازي بين شبكه اختصاي يك سازمان و اينترنت ايجاد مي نمايد. با استفاده از فايروال مي توان عمليات متفاوتي را در جهت اعمال سياست هاي امنيتي يك سازمان انجام داد. ايجاد محدوديت در تعداد پورت ها فعال ، ايجاد محدوديت در رابطه به پروتكل هاي خاص ، ايجاد محدوديت در نوع بسته هاي اطلاعاتي و ... نمونه هائي از عملياتي است كه مي توان با استفاده از يك فايروال انجام داد.
تونل کشی
مجازي بودن در VPN به اين معناست كه شبكه‌هاي محلي و ميزبانهاي متعلق به عناصر اطلاعاتي يك شركت كه در نقاط مختلف از نظر جغرافيايي قرار دارند، همديگر را ببينند و اين فاصلهها را حس نكنند. VPNها براي پياده‌سازي اين خصوصيت از مفهومي به نام تونلكشي(tunneling)استفاده ميكنند. در تونلكشي، بين تمامي عناصر مختلف يك VPN، تونل زده مي‌شود. از طريق اين تونل، عناصر به صورت شفاف همديگر را ميبينند
در روش فوق تمام بسته اطلاعاتي در يك بسته ديگر قرار گرفته و از طريق شبكه ارسال خواهد شد. پروتكل مربوط به بسته اطلاعاتي خارجي ( پوسته ) توسط شبكه و دو نفطه (ورود و خروج بسته اطلاعاتي )قابل فهم ميباشد. دو نقطه فوق را "اينترفيس هاي تونل " مي گويند. روش فوق مستلزم استفاده از سه پروتكل است :
● پروتكل حمل كننده : از پروتكل فوق شبكه حامل اطلاعات استفاده مي نمايد.
● پروتكل كپسوله سازي: از پروتكل هائي نظير: IPSec,L2F,PPTP,L2TP,GRE استفاده ميگردد.
پروتكل مسافر: از پروتكل هائي نظير IPX,IP,NetBeui بمنظور انتقال داده هاي اوليه استفاده مي شود.
با توجه به مقايسه انجام شده در مثال فرضي ، مي توان گفت كه با استفاده از Vpn به هريك از ساكنين جزيره يك زيردريائي داده مي شود. زيردريائي فوق داراي خصايص متفاوت نظير :
- داراي سرعت بالا است .
- هدايت آن ساده است .
- قادر به استتار( مخفي نمودن) شما از ساير زيردريا ئيها و كشتي ها است .
- قابل اعتماد است .
- پس از تامين اولين زيردريائي ، افزودن امكانات جانبي و حتي يك زيردريائي ديگرمقرون به صرفه خواهد بود
- در مدل فوق ، با وجود ترافيك در اقيانوس ، هر يك از ساكنين دو جزيره قادر به تردد در طول مسير در زمان دلخواه خود با رعايت مسايل ايمني ميباشند
مثال فوق دقيقا" بيانگر تحوه عملكرد Vpn است . هر يك از كاربران از راه دور شبكه قادربه برقراري ارتباطي امن و مطمئن با استفاده از يك محيط انتقال عمومي ( نظير اينترنت ) با شبكه محلي (lan) موجود در سازمان خود خواهند بود. توسعه يك Vpn افزايش تعداد كاربران از راه دور و يا افزايش مكان هاي مورد نظر ) بمراتب آسانتر از شبكه هائي است كه از خطوط اختصاصي استفاده مي نمايند. قابليت توسعه فراگير از مهمترين ويژگي هاي يك Vpn نسبت به خطوط اختصاصي است .
معایب ومزایا
با توجه به اينكه در يك شبكه Vpn به عوامل متفاوتي نظير : امنيت ، اعتمادپذيري ، مديريت شبكه و سياست ها نياز خواهد بود. استفاده از Vpn براي يك سازمان داراي مزاياي متعددي مانند :
● گسترش محدوه جغرافيائي ارتباطي
● بهبود وضعيت امنيت
● كاهش هزينه هاي عملياتي در مقايسه با روش هاي سنتي نظير Wan
● كاهش زمان ارسال و حمل اطلاعات براي كاربران از راه دور
● بهبود بهره وري
● توپولوژي آسان ،... است .
برخي از جوانب منفي شبكه سازي اينترنتي به اين شرح است :
● شك نسبت به اطلاعات دريافت شده
● استفاده از منابع غيرموثق
● تفسير بد از اطلاعات رسيده
● سرقت ايده ها
● نبود مهارتهاي حرفه اي در كار با اطلاعات
● فروش اطلاعات يا استفاده نابجاي از اطلاعات
● عدم اطمينان از كارايي سرويس و تأخير در ارتباطات
Vpn نسبت به شبكه‌هاي پياده‌سازي شده با خطوط استيجاري، در پياده‌سازي و استفاده، هزينه كمتري صرف ميكند. اضافه وكم كردن گره‌ها يا شبكه‌هاي محلي به Vpn، به خاطر ساختار آن، با هزينه كمتري امكانپذير است. در صورت نياز به تغيير همبندي شبكه‌ي خصوصي، نيازي به راه‌اندازي مجدد فيزيكي شبكه نيست و به صورت نرمافزاري، همبندي شبكه قابل تغيير است.
