VPN-i läbipääs: mis see on, kuidas see töötab ja millal seda kasutada

Alfa juhend » mängud » VPN-i läbipääs: mis see on, kuidas see töötab ja millal seda kasutada

Kui sul on kunagi olnud probleeme ruuteri sätetega, et kodust töövõrguga ühendust luua, oled ilmselt kohanud terminit „VPN-i läbipääs” ja polnud päris kindel, mida see tähendab . See on üks neist ruuteri juhtpaneeli peidetud valikutest, mida peaaegu keegi hästi ei selgita, aga see teebki suure vahe, kas VPN töötab või mitte.

Selles artiklis selgitame rahulikult, mis VPN-i läbipääs täpselt on, miks see olemas on, selle seost NAT-iga ning selle lubamise või keelamise turvalisuse ja jõudluse mõjusid. Samuti näete, kuidas see erineb VPN-ruuterist, milliseid protokolle see toetab (IPsec, PPTP, L2TP) ja kuidas seda tavaliselt kodu- ja väikekontori ruuterites konfigureeritakse.

Mis on VPN ja miks mõned protokollid ruuteritega probleeme tekitavad?

Enne üksikasjadesse süvenemist tasub lühidalt üle vaadata, mis on virtuaalne privaatvõrk (VPN) ärikeskkonnas . VPN loob krüpteeritud tunneli teie seadme ja kaugvõrgu (tavaliselt ettevõtte võrgu) vahele, võimaldades teil pääseda juurde sisemistele ressurssidele nii, nagu oleksite füüsiliselt kontoris, aga interneti kaudu.

Paljud organisatsioonid kasutavad endiselt tundlike andmete, näiteks meditsiiniliste andmete, finantsteabe või sisemiste dokumentide kaitsmiseks "klassikalisi" VPN-protokolle nagu IPsec ja PPTP. IPsec (Internet Protocol Security) on protokollide kogum, mis lisab autentimise ja krüptimise võrgu tasandil, samas kui PPTP (Point-to-Point Tunneling Protocol) määratleb lihtsa meetodi punkt-punkti tunnelite loomiseks.

Probleem tekib siis, kui need protokollid puutuvad kokku ruuteritega, mis kasutavad NAT-i või NAPT-i ühe avaliku IP-aadressi jagamiseks mitme seadme vahel . Võrguaadressi teisendamine nõuab IP-paketi päiste teatud väljade lugemist ja muutmist, kuid mõnede vanemate VPN-protokollide krüptimine takistab ruuteril seda normaalselt teha.

Seetõttu, kui mingeid erimeetmeid ei võeta, võib VPN-liiklus olla blokeeritud või tunnel ei pruugi korralikult loodud olla . Siin tulebki mängu populaarne VPN-i läbipääsu funktsioon.

Mis täpselt on VPN-i läbipääs?

Kui näete oma ruuteril valikut „VPN-i läbipääs”, viitab see konkreetsele funktsioonile, mis lubab teatud VPN-protokollide liiklusel ruuterist läbi minna ilma NAT-i või tulemüüri blokeerimiseta . Teisisõnu, ruuter „laseb selle spetsiaalse liikluse läbi”, et selle taga olevad VPN-kliendid saaksid luua väljaminevaid ühendusi kaugvõrguga.

Praktikas tähendab see seda, et teie kohtvõrgus olev seade (arvuti, sülearvuti, mobiiltelefon jne) saab ruuteri kaudu luua VPN-tunneli internetti , isegi kui ruuter ise ei ole VPN-i lõpp-punkt ega käita VPN-klienti. Ruuter lihtsalt tuvastab ja haldab IPsec-, PPTP- või L2TP-liiklust nii, et aadresside teisendamine seda ei rikuks.

Oluline on rõhutada, et VPN-i läbipääs ei muuda ruuterit VPN-serveriks ega -kliendiks . See ei loo tunnelit ega autenti kasutajaid; see lihtsalt laseb teiste seadmete genereeritud liiklusel sujuvalt läbi minna. Paljud tootjad selgitavad seda selgelt: "VPN-i läbipääs ei tähenda, et ruuter saab luua VPN-i lõpp-punkti."

Tänapäeval on peaaegu kõigil kodu- ja väikekontori ruuteritel VPN-läbipääs vaikimisi lubatud IPsec, PPTP ja L2TP jaoks , just selleks, et vältida peavalu kasutajatel, kes kodust ettevõtte võrguga ühenduse loovad.

VPN-i läbipääsu ja VPN-ruuteri erinevus

Väga levinud eksiarvamus on, et VPN-läbilaskega ruuter on sama mis "päris" VPN-ruuter, mis integreerib VPN-kliendi või -serveri . Tegelikkuses on need väga erinevad mõisted ja neid tuleks eraldi hoida.

Ühelt poolt on VPN-i läbipääs lihtsalt läbipääsufunktsioon : ruuter tunneb ära teatud tüüpi tunnelliikluse (näiteks IPsec, PPTP või L2TP) ja võimaldab neil NAT-i õigesti läbida, et arvutisse või mobiilseadmesse installitud VPN-klient saaks luua ühenduse kaugserveriga.

Teisest küljest on VPN-ruuter seade, mis sisaldab natiivset VPN-funktsionaalsust . See saab käivitada VPN-kliendi VPN-pakkuja või serveri suunas, nii et paljud selle taga olevad seadmed ühenduvad automaatselt tunneliga, ilma et peaksite VPN-i iga seadme jaoks eraldi konfigureerima.

VPN-ruuteris saab kogu kohaliku võrguliikluse kapseldada ja krüpteerida ühe tunneli kaudu , hoides kõik ühendatud seadmed anonüümsetena või kaitstuna. Lisaks pakub selle püsivara tavaliselt täiustatud haldusvõimalusi, liikluse prioriseerimist ja erinevaid tunnelitüüpe.

Põhiidee kokkuvõtteks: VPN-i läbipääs "avab tee" ainult seadmete VPN-idele; VPN-ruuter loob ja haldab neid tunneleid otse . Need on erinevad funktsionaalsuse kihid, kuigi mõnikord võib üks ruuter pakkuda mõlemat.

Kuidas NAT sekkub ja miks on läbilaskmine vajalik?

VPN-i läbipääsu olemasolu täielikuks mõistmiseks peate uurima NAT-i (võrguaadressi teisendamine) ja NAPT-i või PAT-i (pordiaadressi teisendamine) . SOHO (väikekontori/kodukontori) ruuterites on see standardne viis, kuidas mitu seadet jagavad ühte internetiühendust avaliku IP-aadressiga.

NAT-i puhul teisendab ruuter sisevõrgu privaatsed IP-aadressid avalikuks IP-aadressiks, kaardistades iga ühenduse kindla pordiga . NAPT-i või PAT-i puhul tehakse see teisendus samuti pordinumbrite abil, nii et mitu seadet saavad kasutada sama avalikku IP-aadressi, kuid erinevate portidega.

Probleem tekib siis, kui vanemad VPN-protokollid krüpteerivad lisaks andmetele ka osa teabest, mida NAT peab korrektseks teisenduseks "nägema". Kui ruuteril puuduvad spetsiifilised mehhanismid, ei saa see neid välju krüptimist rikkumata muuta, mille tulemuseks on VPN-tunneli rike või selle loomine lakkab.

VPN-i läbipääs lisab ruuterile vajaliku loogika nende VPN-pakettide korrektseks käsitlemiseks vaatamata NAT-ile . Mõnel juhul tugineb see sellistele tehnikatele nagu NAT-T (NAT Traversal), mis kapseldavad IPsec-paketid UDP-sse, et need saaksid NAT-seadmetest läbi minna ilma tunnelit häirimata.

Kui ruuteril see funktsioon puudub, võidakse sisevõrgust tulevad IPsec- või PPTP-põhised VPN-ühendused vaikimisi blokeerida isegi ilma rangelt piirava tulemüürita. Seetõttu pakuvad tootjad oma liidestel tavaliselt NAT-i või VPN-i läbipääsu eraldiseisva valikuna.

IPsec läbipääs: mis see on ja mida see endaga kaasa toob

VPN-i läbipääsu üks olulisemaid funktsioone on IPseci läbipääs, mida kasutavad ettevõtted, kes vajavad kõrgetasemelist turvalisust . IPsec pakub krüptimist, terviklikkust ja autentimist võrgu tasandil, võimaldades turvalisi otsast lõpuni ühendusi lüüside vahel või kliendi ja serveri vahel.

Probleem on selles, et IPsec ei tööta NAT-iga natiivselt hästi . Selle lahendamiseks kasutatakse NAT-T-d (Network Address Translation-Traversal), mis kapseldab IPsec-paketid UDP-sse, nii et ruuter saab neid käsitleda "tavalise" UDP-liiklusena ja rakendada aadresside teisendamist turvalisust ohustamata.

Kui lubate oma ruuteril IPsec-läbipääsu, lubate IPsec-tunnelitel NAT-ist ja tulemüürist mööda minna, et kaugserverini jõuda . Paljud kodu- ja äriruuterid sisaldavad juba IPsec-läbipääsu ja mõnikord ka L2TP-läbipääsu, mis on vaikimisi lubatud.

IPseci läbipääsu peamine eelis on selge: see võimaldab NAT-iga ruuteri taga asuvatel seadmetel luua turvalisi IPsec-ühendusi ilma, et oleks vaja muuta kogu infrastruktuuri või kasutada iga kliendi jaoks spetsiaalseid avalikke IP-aadresse.

Puudusena on oluline märkida, et kõik tunnelit läbivad paketid vajavad krüpteerimist ja dekrüpteerimist , mis suurendab kaasatud seadmete protsessori koormust ja võib lisada latentsust. Lisaks võib iga kaugvõrgu IP-kihi haavatavus teoreetiliselt läbi tunneli liikuda ja ettevõtte võrku mõjutada.

PPTP läbipääs: klassika, mis muutub üha vananenumatuks

Teine pusletükk on PPTP läbipääs, mis võimaldab PPTP-ühendustel läbida NAT-i kasutavaid ruutereid . Aastaid oli PPTP tänu oma lihtsusele üks enimkasutatavaid VPN-protokolle virtuaalsete privaatvõrkude ühendamiseks interneti kaudu, kuna seda toetasid vaikimisi paljud operatsioonisüsteemid.

NAT-i kasutav ruuter saab seda tüüpi liiklust blokeerida, kuna see ei tuvasta seda korralikult, seega vastutab PPTP läbilaskmine nende ühenduste lubamise eest , et ruuteri taga olevad kliendid saaksid luua tunnelid kaugserveritega.

PPTP läbilaske eeliste hulgas pakub see tavaliselt üsna suuri VPN-kiirusi ja väga lihtsat seadistamist ning säilitab laialdase ühilduvuse selliste süsteemidega nagu Windows, macOS ja Linux. See selgitab, miks see on endiselt paljudes ruuterites, kuigi selle kasutamist üha enam ei soovitata.

PPTP peamine probleem on see, et selle turva- ja krüpteerimismehhanismid on täiesti aegunud . See kasutab 128-bitist krüpteeringut, mida saab nüüd murda jõhkra jõu rünnakute või teadaolevate haavatavuste ärakasutamise abil, muutes selle tundliku teabe kaitsmiseks ebaturvaliseks protokolliks.

Sel põhjusel, isegi kui PPTP läbipääsu valik on ruuteril saadaval, ei ole hea mõte organisatsiooni turvalisust PPTP-le rajada ning eelistatav on minna üle tugevamatele protokollidele, näiteks IPsec koos IKEv2-ga või moodsatele lahendustele, nagu WireGuard ja nullusalduspõhimõtted.

L2TP läbilaskmine: tugevam alternatiiv

Kolmas oluline tegur on L2TP läbipääs, mis on seotud 2. kihi tunneliprotokolliga (L2TP) . L2TP-d kasutatakse sageli koos IPsec-iga krüptimise lisamiseks, kuna see iseenesest konfidentsiaalsust ei taga.

Sarnaselt PPTP-ga võimaldab L2TP läbipääs ruuteri taga asuvatel seadmetel luua L2TP tunneleid väliste serveritega , lisades olemasolevale IP-võrgule uue "tunnelikihi". Seda tüüpi ühendust kasutatakse tavaliselt ettevõttekeskkonnas ja mõnedes kommertslikes VPN-teenustes.

Oma tugevuste hulgas pakub L2TP läbipääs suuremat turvalisust kui PPTP, töötab tavaliselt kuni 256-bitise krüpteeringuga (koos IPsec-iga), on üsna stabiilne ja säilitab hea ühilduvuse peamiste operatsioonisüsteemidega.

Siiski on sellel ka puudusi: NAT-i kaudu loodavad L2TP-ühendused kipuvad olema ühesuunalised , mis võib piirata teatud tüüpi liikluse marsruutimist, ning kapseldamise ja krüpteerimise vajadus lisab üldkulusid, mistõttu efektiivne kiirus võib olla mõnevõrra madalam.

Paljudes ruuterites hõlmab L2TP läbipääsu seadistamine veendumist, et sobivad pordid on avatud või määratletud pordi edastamise tabelis , tavaliselt selliste jaotiste all nagu „pordi edastamine” või „virtuaalserver”, samuti konkreetse L2TP läbipääsu märkeruudu lubamist, kui see on olemas.

NAT-i läbilaskmine ja muud seotud valikud ruuterites

Mõned tootjad, näiteks ASUS, koondavad kõik need funktsioonid ruuteri WAN-sektsioonis menüüsse nimega NAT Passthrough . Sealt saate muuhulgas eraldi lubada või keelata PPTP-läbipääsu, L2TP-läbipääsu ja IPsec-läbipääsu.

Samas jaotises ilmuvad tavaliselt ka muud tüüpi "läbipääsu" või protokolli abivahendid, näiteks RTSP läbipääs reaalajas voogesituse jaoks, H.323 ja SIP läbipääs IP-kõne ja -video edastamiseks või isegi PPPoE relee, mis võimaldab LAN-seadmetel luua ruuteri kaudu oma PPPoE-seansse.

Need valikud ei ole küll rangelt võttes VPN-id, aga järgivad sama filosoofiat: lubada teatud protokollidel NAT-i läbida ilma selle toimimist häirimata. Kõigil juhtudel tuleb pärast konfiguratsiooni muutmist muudatused salvestada ja rakendada, et need jõustuksid.

TP-Linki seadmete puhul on lähenemine sarnane: enamikul selle brändi ruuteritel on VPN-läbipääs PPTP, L2TP ja IPseci (ESP) jaoks vaikimisi lubatud ning see valik asub tavaliselt veebihaldusliideses, sageli turvalisuse või täpsemate sätete jaotises.

Alati on soovitatav kontrollida tootja kasutusjuhendit või ametlikku dokumentatsiooni, kuna iga mudel korraldab oma menüüsid veidi erinevalt ja valiku täpne nimi võib muutuda (VPN-i läbipääs, NAT-i läbipääs, virtuaalne server jne).

Kuidas konfigureerida VPN-i läbipääsu tüüpilisel ruuteril

Kuigi enamikul tänapäevastel ruuteritel on VPN-i läbipääs vaikimisi lubatud, võib mõnel juhul olla vajalik sätteid kohandada . Üldine protseduur on tavaliselt sarnane, olenemata kaubamärgist.

Esimene samm on arvuti ühendamine ruuteriga (kaabli või WiFi kaudu) ja veebiliidese avamine, sisestades brauserisse ruuteri LAN IP-aadressi või konkreetse URL-i, näiteks http://www.asusrouter.com. Seejärel sisestage administraatori kasutajanimi ja parool.

Kui olete sees, peate otsima WAN-i konfiguratsiooni, turvalisuse või NAT-i läbipääsu jaotist . Näiteks ASUS-i ruuterites on tüüpiline tee WAN > NAT-i läbipääs, kus kuvatakse mitu valikut: PPTP-läbipääs, L2TP-läbipääs, IPsec-läbipääs jne.

Mõlemal juhul saate valikud lubada või keelata olenevalt kasutatavast VPN-protokollist . Pärast vajalike sätete valimist klõpsake muudatuste salvestamiseks ja ruuteri sisemiste teenuste taaskäivitamiseks nuppu „Rakenda” või „Salvesta”, kui see on vajalik.

Teiste tootjate, näiteks TP-Linki puhul võib see valik ilmuda veidi erineva nime all, kuid loogika on sama: lubada teiste seadmete genereeritud VPN-liikluse läbipääsu välismaailma . Mõned ruuterid võimaldavad teil ka määratleda konkreetsed pordid või valida, millisel seadmel on VPN-i kasutamisel prioriteet.

VPN-i läbipääsu eelised, puudused ja millal on mõistlik seda kasutada

VPN-i läbipääsu peamine eelis on see, et see võimaldab teil jätkata pärand VPN-infrastruktuuride (IPsec, PPTP, L2TP) kasutamist ilma kõiki ruutereid välja vahetamata või võrgu topoloogiat ümber kujundamata. Paljude väikeste ja keskmise suurusega ettevõtete ning suurte organisatsioonide jaoks võib selline muudatus olla väga kulukas.

Keskkondades, kus on vaja kaugjuurdepääsu ettevõtte võrgule, aitab VPN-i läbipääs töötajatel sujuvalt kodust ühendust luua isegi tavaliste koduste ruuteritega. See välistab ka vajaduse määrata igale VPN-kliendile täiendavaid avalikke IP-aadresse.

Teisest küljest tähendab nende protokollide säilitamine nende turvalisuse ja jõudluse piirangute aktsepteerimist, eriti PPTP puhul . Samuti on oluline arvestada, et krüpteeritud ühendused lisavad protsessori koormust ja võivad suurendada latentsust, mis võib olla märgatav tugevalt ülekoormatud võrkudes või vähem võimsa riistvaraga võrkudes.

Teisest küljest võivad teatud tüüpi läbipääsud (näiteks teatud IPsec või L2TP režiimid) olla marsruutimispiirangutega või olla sisuliselt ühesuunalised , mistõttu on keeruline juurde pääseda konkreetsetes kaugserverites majutatud ressurssidele või keerustada täpsemaid konfiguratsioone.

Tänapäeval soovitavad paljud eksperdid järkjärgulist üleminekut traditsioonilistelt VPN-idelt kaasaegsetele turvamudelitele , näiteks nullusaldusega võrgule juurdepääsu (ZTNA) lahendustele, mis välistavad võrgu ja segmentide juurdepääsu suhtes kaudse usalduse. Sellegipoolest, kuigi see üleminek on käimas, jääb VPN-i läbipääs paljudes reaalsetes võrkudes võtmekomponendiks.

Kõik VPN-i läbipääsuga seonduv keerleb ühe eesmärgi ümber: tagada, et vanemad VPN-protokollid toimiksid edasi ka tänapäevaste NAT-iga ruuterite kaudu ilma infrastruktuuri täielikku uuendamist nõudmata. Iga läbipääsutüübi (IPsec, PPTP, L2TP) toimimise, ruuteris seadistamise ja selle piirangute mõistmine aitab teil teha oma võrgu kohta paremaid otsuseid ning hinnata, kas nendele tehnoloogiatele edasine lootmine on mõttekas või on aeg minna üle uuematele lahendustele, nagu tänapäevased VPN-id või nullusaldusmudelid.