شبكه خصوصي مجازي يا VPN (Virtual Private Network) در اذهان تصور يك مطلب پيچيده براي استفاده و پياده كنندگان آن به وجود آورده است . اما اين پيچيدگي ، در مطالب بنيادين و مفهومي آن است نه در پياده سازي .
اين نكته را بايد بدانيد كه پياده سازي VPN داراي روش خاصي نبوده و هر سخت افزار و نرم افزاري روش پياده سازي خود را داراست و نمي توان روش استانداردي را براي كليه موارد بيان نمود . اما اصول كار همگي به يك روش است .
مختصري درباره تئوري VPN
مفهوم اصلي VPN چيزي جز برقراري يك كانال ارتباطي خصوصي براي دسترسي كاربران راه دور به منابع شبكه نيست . در اين كانال كه بين دو نقطه برقرار مي شود ، ممكن است كه مسيرهاي مختلفي عبور كند اما كسي قادر به وارد شدن به اين شبكه خصوصي شما نخواهد بود . گرچه مي توان از VPN در هر جايي استفاده نمود اما استفاده آن در خطوط Dialup و Leased كار غير ضروري است (در ادامه به دليل آن پي خواهيد برد).
در يك ارتباط VPN شبكه يا شبكه ها مي توانند به هم متصل شوند و از اين طريق كاربران از راه دور به شبكه به راحتي دسترسي پيدا مي كنند. اگر اين روش از ارائه دسترسي كاربران از راه دور را با روش خطوط اختصاصي فيزيكي (Leased) مقايسه كنيم ، مي بينيد كه ارائه يك ارتباط خصوصي از روي اينترنت به مراتب از هر روش ديگري ارزان تر تمام مي شود .
از اصول ديگري كه در يك شبكه VPN در نظر گرفته شده بحث امنيت انتقال اطلاعات در اين كانال مجازي مي باشد . يك ارتباط VPN مي تواند بين يك ايستگاه كاري و يك شبكه محلي و يا بين دو شبكه محلي صورت گيرد. در بين هر دو نقطه يك تونل ارتباطي برقرار مي گردد و اطلاعات انتقال يافته در اين كانال به صورت كد شده حركت مي كنند ، بنابراين حتي در صورت دسترسي مزاحمان و هكرها به اين شبكه خصوصي نمي توانند به اطلاعات رد و بدل شده در آن دسترسي پيدا كنند.
جهت برقراري يك ارتباط VPN ، مي توان به كمك نرم افزار يا سخت افزار و يا تركيب هر دو ، آن را پياده سازي نمود . به طور مثال اكثر ديواره هاي آتش تجاري و روترها از VPN پشتيباني مي كنند . در زمينه نرم افزاري نيز از زمان ارائه ويندوز NT ويرايش 4 به بعد كليه سيستم عامل ها داراي چنين قابليتي هستند .
در اين مقاله پياده سازي VPN بر مبناي ويندوز 2000 گفته خواهد شد .
پياه سازي VPN
براي پياده سازي VPN بر روي ويندوز 2000 كافيست كه از منوي Program/AdministrativeTools/ ، گزينه Routing and Remote Access را انتخاب كنيد . از اين پنجره گزينه VPN را انتخاب كنيد . پس از زدن دكمه Next وارد پنجره ديگري مي شويد كه در آن كارت هاي شبكه موجود بر روي سيستم ليست مي شوند .
براي راه اندازي يك سرور VPN مي بايست دو كارت شبكه نصب شده بر روي سيستم داشته باشيد .
از يك كارت شبكه براي ارتباط با اينترنت و از كارت ديگر جهت برقراري ارتباط با شبكه محلي استفاده مي شود. در اين جا بر روي هر كارت به طور ثابت IP قرار داده شده اما مي توان اين IPها را به صورت پويا بر روي كارت هاي شبكه قرار داد .
در پنجره بعد نحوه آدرس دهي به سيستم راه دوري كه قصد اتصال به سرور ما را دارد پرسيده مي شود . هر ايستگاه كاري مي تواند يك آدرس IP براي كار در شبكه محلي و يك IP براي اتصال VPN داشته باشد . در منوي بعد نحوه بازرسي كاربران پرسيده مي شود كه اين بازرسي مي تواند از روي كاربران تعريف شده در روي خود ويندوز باشد و يا آنكه از طريق يك سرويس دهنده RADIUS صورت گيرد در صورت داشتن چندين سرور VPN استفاده از RADIUS را به شما پيشنهاد مي كنيم . با اين روش كاربران ، بين تمام سرورهاي VPN به اشتراك گذاشته شده و نيازي به تعريف كاربران در تمامي سرورها نمي باشد.
پروتكل هاي استفاده شونده
عملياتي كه در بالا انجام گرفت تنها پيكربندي هاي لازم جهت راه اندازي يك سرور VPN مي باشد .
اما (Remote Routing Access Service) RRAS داراي دو پروتكل جهت برقراري تونل ارتباطي VPN مي باشد. ساده ترين پروتكل آن PPTP (Point to Point Tunneling Protocol) است ، اين پروتكل برگرفته از PPP است كه در سرويس هاي Dialup مورد استفاده واقع مي شود ، در واقع PPTP همانند PPP عمل مي كند .
پروتكل PPTP در بسياري از موارد كافي و مناسب است ، به كمك اين پروتكل كاربران مي توانند به روش هاي PAP (Password Authentication Protocol) و Chap (Challenge Handshake Authentication Protocol) بازرسي شوند. جهت كد كردن اطلاعات مي توان از روش كد سازي RSA استفاده نمود.
PPTP براي كاربردهاي خانگي و دفاتر و افرادي كه در امر شبكه حرفه اي نيستند مناسب است اما در جايگاه امنيتي داراي پايداري زيادي نيست . پروتكل ديگري به نام L2TP (Layer2 Forwarding) به وسيله شركت CISCO ارائه شده كه به لحاظ امنيتي بسيار قدرتمندتر است.
اين پروتكل با استفاده از پروتكل انتقال اطلاعات UDP (User Datagram Protocol) به جاي استفاده از TCP به مزاياي زيادي دست يافته است . اين روش باعث بهينه و ملموس تر شدن براي ديواره هاي آتش شده است ، اما باز هم اين پروتكل در واقع چيزي جز يك كانال ارتباطي نيست . جهت حل اين مشكل و هر چه بالاتر رفتن ضريب امنيتي در VPN شركت مايكروسافت پروتكل ديگري را به نام IPSec (IP Security) مطرح نموده كه پيكربندي VPN با آن كمي دچار پيچيدگي مي گردد.
اما در صورتي كه پروتكل PPTP را انتخاب كرده ايد و با اين پروتكل راحت تر هستيد تنها كاري كه بايد در روي سرور انجام دهيد فعال كردن قابليت دسترسي Dial in مي باشد. اين كار را مي توانيد با كليك بر روي Remote Access Polices در RRAS انجام دهيد و با تغيير سياست كاري آن ، آن را راه اندازي كنيد (به طور كلي پيش فرض سياست كاري ، رد كليه درخواست ها مي باشد).
دسترسي ايستگاه كاري از طريق VPN
حالا كه سرور VPN آماده سرويس دهي شده ، براي استفاده از آن بايد بر روي ايستگاه كاري نيز پيكربنديهايي را انجام دهيم . سيستم عاملي كه ما در اين جا استفاده مي كنيم ويندوز XP مي باشد و روش پياده سازي VPN را بر روي آن خواهيم گفت اما انجام اين كار بر روي ويندوز 2000 نيز به همين شكل صورت مي گيرد . بر روي ويندوزهاي 98 نيز مي توان ارتباط VPN را برقرار نمود ، اما روش كار كمي متفاوت است و براي انجام آن بهتر است به آدرس زير مراجعه كنيد :
www.support.microsot.com
بر روي ويندوزهاي XP ، يك نرم افزار جهت اتصال به VPN براي هر دو پروتكل PPTP و L2TP وجود دارد. در صورت انتخاب هر كدام ، نحوه پيكربندي با پروتكل ديگر تفاوتي ندارد . راه اندازي VPN كار بسيار ساده اي است ، كافيست كه بر روي Network Connection كليك نموده و از آن اتصال به شبكه خصوصي از طريق اينترنت (Private Network Through Internet) را انتخاب كنيد .
در انجام مرحله بالا از شما يك اسم پرسيده مي شود . در همين مرحله خواسته مي شود كه براي اتصال به اينترنت يك ارتباط تلفني (Dialup) تعريف نماييد ، پس از انجام اين مرحله نام و يا آدرس سرور VPN پرسيده مي شود .
مراحل بالا تنها مراحلي است كه نياز براي پيكربندي يك ارتباط VPN بر روي ايستگاه هاي كاري مي باشد . كليه عمليات لازمه براي VPN به صورت خودكار انجام مي گيرد و نيازي به انجام هيچ عملي نيست . براي برقراري ارتباط كافيست كه بر روي آيكوني كه بر روي ميز كاري ايجاد شده دو بار كليك كنيد پس از وارد كردن كد كاربري و كلمه عبور چندين پيام را مشاهده خواهيد كرد كه نشان دهنده روند انجام برقراري ارتباط VPN است .
اگر همه چيز به خوبي پيش رفته باشد مي توانيد به منابع موجود بر روي سرور VPN دسترسي پيدا كنيد اين دسترسي مانند آن است كه بر روي خود سرور قرار گرفته باشيد .
ارتباط سايت به سايت (Site-to-Site VPN)
در صورتي كه بخواهيد دو شبكه را از طريق يك سرور VPN دومي به يكديگر وصل كنيد علاوه بر مراحل بالا بايد چند كار اضافه تر ديگري را نيز انجام دهيد .
جزئيات كار به پروتكلي كه مورد استفاده قرار مي گيرد . جهت اين كار بايد سرور را در پنجره RRAS انتخاب كرده و منوي خاص (Properties) آن را بياوريد .
در قسمت General مطمئن شويد كه گزينه هاي LAN و Demand Dial انتخاب شده باشند (به طور پيش گزيده انتخاب شده هستند). هم چنين اطمينان حاصل كنيد كه پروتكل را كه قصد روت (Route) كردن آن را داريد فعال است .
پس از مراحل بالا نياز به ايجاد يك Demand Dial داريد ، اين كار را مي توانيد با يك كليك راست بر روي واسط روت (Routing Interface) انجام دهيد .
در پنجره بعدي كه ظاهر مي شود بايد براي اين ارتباط VPN خود يك نام تعيين كنيد اين نام بايد همان اسمي باشد كه در طرف ديگر كاربران با آن به اينترنت متصل مي شوند در صورتي كه اين مطلب را رعايت نكنيد ارتباط VPN شما برقرار نخواهد شد .
پس از اين مرحله بايد آدرس IP و يا نام دامنه آن را مشخص كنيد و پس از آن نوع پروتكل ارتباطي را تعيين نمود .
اما مرحله نهايي تعريف يك مسير (Route) بر روي سرور ديگر مي باشد بدين منظور بر روي آن سرور در قسمت RRAS ، Demand Dial را انتخاب كنيد و آدرس IP و ساب نت را در آن وارد كنيد و مطمئن شويد كه قسمت
Use This to Initate Demand
انتخاب شده باشد . پس از انجام مرحله بالا كار راه اندازي اين نوع VPN به پايان مي رسد .
پايان
همان طور كه ديديد راه اندازي يك سرور VPN بر روي ويندوز 2000 تحت پروتكل PPTP كار ساده اي بود اما اگر بخواهيد از پروتكل L2TP/IPSec استفاده كنيد كمي كار پيچيده خواهد شد . به خاطر بسپاريد كه راه اندازي VPN بار زيادي را بر روي پردازنده سرور مي گذارد و هرچه تعداد ارتباطات VPNبيشتر باشد بار زيادتري بر روي سرور است كه مي توانيد از يك وسيله سخت افزاري مانند روتر جهت پياده سازي VPN كمك بگيرد
اين نكته را بايد بدانيد كه پياده سازي VPN داراي روش خاصي نبوده و هر سخت افزار و نرم افزاري روش پياده سازي خود را داراست و نمي توان روش استانداردي را براي كليه موارد بيان نمود . اما اصول كار همگي به يك روش است .
مختصري درباره تئوري VPN
مفهوم اصلي VPN چيزي جز برقراري يك كانال ارتباطي خصوصي براي دسترسي كاربران راه دور به منابع شبكه نيست . در اين كانال كه بين دو نقطه برقرار مي شود ، ممكن است كه مسيرهاي مختلفي عبور كند اما كسي قادر به وارد شدن به اين شبكه خصوصي شما نخواهد بود . گرچه مي توان از VPN در هر جايي استفاده نمود اما استفاده آن در خطوط Dialup و Leased كار غير ضروري است (در ادامه به دليل آن پي خواهيد برد).
در يك ارتباط VPN شبكه يا شبكه ها مي توانند به هم متصل شوند و از اين طريق كاربران از راه دور به شبكه به راحتي دسترسي پيدا مي كنند. اگر اين روش از ارائه دسترسي كاربران از راه دور را با روش خطوط اختصاصي فيزيكي (Leased) مقايسه كنيم ، مي بينيد كه ارائه يك ارتباط خصوصي از روي اينترنت به مراتب از هر روش ديگري ارزان تر تمام مي شود .
از اصول ديگري كه در يك شبكه VPN در نظر گرفته شده بحث امنيت انتقال اطلاعات در اين كانال مجازي مي باشد . يك ارتباط VPN مي تواند بين يك ايستگاه كاري و يك شبكه محلي و يا بين دو شبكه محلي صورت گيرد. در بين هر دو نقطه يك تونل ارتباطي برقرار مي گردد و اطلاعات انتقال يافته در اين كانال به صورت كد شده حركت مي كنند ، بنابراين حتي در صورت دسترسي مزاحمان و هكرها به اين شبكه خصوصي نمي توانند به اطلاعات رد و بدل شده در آن دسترسي پيدا كنند.
جهت برقراري يك ارتباط VPN ، مي توان به كمك نرم افزار يا سخت افزار و يا تركيب هر دو ، آن را پياده سازي نمود . به طور مثال اكثر ديواره هاي آتش تجاري و روترها از VPN پشتيباني مي كنند . در زمينه نرم افزاري نيز از زمان ارائه ويندوز NT ويرايش 4 به بعد كليه سيستم عامل ها داراي چنين قابليتي هستند .
در اين مقاله پياده سازي VPN بر مبناي ويندوز 2000 گفته خواهد شد .
پياه سازي VPN
براي پياده سازي VPN بر روي ويندوز 2000 كافيست كه از منوي Program/AdministrativeTools/ ، گزينه Routing and Remote Access را انتخاب كنيد . از اين پنجره گزينه VPN را انتخاب كنيد . پس از زدن دكمه Next وارد پنجره ديگري مي شويد كه در آن كارت هاي شبكه موجود بر روي سيستم ليست مي شوند .
براي راه اندازي يك سرور VPN مي بايست دو كارت شبكه نصب شده بر روي سيستم داشته باشيد .
از يك كارت شبكه براي ارتباط با اينترنت و از كارت ديگر جهت برقراري ارتباط با شبكه محلي استفاده مي شود. در اين جا بر روي هر كارت به طور ثابت IP قرار داده شده اما مي توان اين IPها را به صورت پويا بر روي كارت هاي شبكه قرار داد .
در پنجره بعد نحوه آدرس دهي به سيستم راه دوري كه قصد اتصال به سرور ما را دارد پرسيده مي شود . هر ايستگاه كاري مي تواند يك آدرس IP براي كار در شبكه محلي و يك IP براي اتصال VPN داشته باشد . در منوي بعد نحوه بازرسي كاربران پرسيده مي شود كه اين بازرسي مي تواند از روي كاربران تعريف شده در روي خود ويندوز باشد و يا آنكه از طريق يك سرويس دهنده RADIUS صورت گيرد در صورت داشتن چندين سرور VPN استفاده از RADIUS را به شما پيشنهاد مي كنيم . با اين روش كاربران ، بين تمام سرورهاي VPN به اشتراك گذاشته شده و نيازي به تعريف كاربران در تمامي سرورها نمي باشد.
پروتكل هاي استفاده شونده
عملياتي كه در بالا انجام گرفت تنها پيكربندي هاي لازم جهت راه اندازي يك سرور VPN مي باشد .
اما (Remote Routing Access Service) RRAS داراي دو پروتكل جهت برقراري تونل ارتباطي VPN مي باشد. ساده ترين پروتكل آن PPTP (Point to Point Tunneling Protocol) است ، اين پروتكل برگرفته از PPP است كه در سرويس هاي Dialup مورد استفاده واقع مي شود ، در واقع PPTP همانند PPP عمل مي كند .
پروتكل PPTP در بسياري از موارد كافي و مناسب است ، به كمك اين پروتكل كاربران مي توانند به روش هاي PAP (Password Authentication Protocol) و Chap (Challenge Handshake Authentication Protocol) بازرسي شوند. جهت كد كردن اطلاعات مي توان از روش كد سازي RSA استفاده نمود.
PPTP براي كاربردهاي خانگي و دفاتر و افرادي كه در امر شبكه حرفه اي نيستند مناسب است اما در جايگاه امنيتي داراي پايداري زيادي نيست . پروتكل ديگري به نام L2TP (Layer2 Forwarding) به وسيله شركت CISCO ارائه شده كه به لحاظ امنيتي بسيار قدرتمندتر است.
اين پروتكل با استفاده از پروتكل انتقال اطلاعات UDP (User Datagram Protocol) به جاي استفاده از TCP به مزاياي زيادي دست يافته است . اين روش باعث بهينه و ملموس تر شدن براي ديواره هاي آتش شده است ، اما باز هم اين پروتكل در واقع چيزي جز يك كانال ارتباطي نيست . جهت حل اين مشكل و هر چه بالاتر رفتن ضريب امنيتي در VPN شركت مايكروسافت پروتكل ديگري را به نام IPSec (IP Security) مطرح نموده كه پيكربندي VPN با آن كمي دچار پيچيدگي مي گردد.
اما در صورتي كه پروتكل PPTP را انتخاب كرده ايد و با اين پروتكل راحت تر هستيد تنها كاري كه بايد در روي سرور انجام دهيد فعال كردن قابليت دسترسي Dial in مي باشد. اين كار را مي توانيد با كليك بر روي Remote Access Polices در RRAS انجام دهيد و با تغيير سياست كاري آن ، آن را راه اندازي كنيد (به طور كلي پيش فرض سياست كاري ، رد كليه درخواست ها مي باشد).
دسترسي ايستگاه كاري از طريق VPN
حالا كه سرور VPN آماده سرويس دهي شده ، براي استفاده از آن بايد بر روي ايستگاه كاري نيز پيكربنديهايي را انجام دهيم . سيستم عاملي كه ما در اين جا استفاده مي كنيم ويندوز XP مي باشد و روش پياده سازي VPN را بر روي آن خواهيم گفت اما انجام اين كار بر روي ويندوز 2000 نيز به همين شكل صورت مي گيرد . بر روي ويندوزهاي 98 نيز مي توان ارتباط VPN را برقرار نمود ، اما روش كار كمي متفاوت است و براي انجام آن بهتر است به آدرس زير مراجعه كنيد :
www.support.microsot.com
بر روي ويندوزهاي XP ، يك نرم افزار جهت اتصال به VPN براي هر دو پروتكل PPTP و L2TP وجود دارد. در صورت انتخاب هر كدام ، نحوه پيكربندي با پروتكل ديگر تفاوتي ندارد . راه اندازي VPN كار بسيار ساده اي است ، كافيست كه بر روي Network Connection كليك نموده و از آن اتصال به شبكه خصوصي از طريق اينترنت (Private Network Through Internet) را انتخاب كنيد .
در انجام مرحله بالا از شما يك اسم پرسيده مي شود . در همين مرحله خواسته مي شود كه براي اتصال به اينترنت يك ارتباط تلفني (Dialup) تعريف نماييد ، پس از انجام اين مرحله نام و يا آدرس سرور VPN پرسيده مي شود .
مراحل بالا تنها مراحلي است كه نياز براي پيكربندي يك ارتباط VPN بر روي ايستگاه هاي كاري مي باشد . كليه عمليات لازمه براي VPN به صورت خودكار انجام مي گيرد و نيازي به انجام هيچ عملي نيست . براي برقراري ارتباط كافيست كه بر روي آيكوني كه بر روي ميز كاري ايجاد شده دو بار كليك كنيد پس از وارد كردن كد كاربري و كلمه عبور چندين پيام را مشاهده خواهيد كرد كه نشان دهنده روند انجام برقراري ارتباط VPN است .
اگر همه چيز به خوبي پيش رفته باشد مي توانيد به منابع موجود بر روي سرور VPN دسترسي پيدا كنيد اين دسترسي مانند آن است كه بر روي خود سرور قرار گرفته باشيد .
ارتباط سايت به سايت (Site-to-Site VPN)
در صورتي كه بخواهيد دو شبكه را از طريق يك سرور VPN دومي به يكديگر وصل كنيد علاوه بر مراحل بالا بايد چند كار اضافه تر ديگري را نيز انجام دهيد .
جزئيات كار به پروتكلي كه مورد استفاده قرار مي گيرد . جهت اين كار بايد سرور را در پنجره RRAS انتخاب كرده و منوي خاص (Properties) آن را بياوريد .
در قسمت General مطمئن شويد كه گزينه هاي LAN و Demand Dial انتخاب شده باشند (به طور پيش گزيده انتخاب شده هستند). هم چنين اطمينان حاصل كنيد كه پروتكل را كه قصد روت (Route) كردن آن را داريد فعال است .
پس از مراحل بالا نياز به ايجاد يك Demand Dial داريد ، اين كار را مي توانيد با يك كليك راست بر روي واسط روت (Routing Interface) انجام دهيد .
در پنجره بعدي كه ظاهر مي شود بايد براي اين ارتباط VPN خود يك نام تعيين كنيد اين نام بايد همان اسمي باشد كه در طرف ديگر كاربران با آن به اينترنت متصل مي شوند در صورتي كه اين مطلب را رعايت نكنيد ارتباط VPN شما برقرار نخواهد شد .
پس از اين مرحله بايد آدرس IP و يا نام دامنه آن را مشخص كنيد و پس از آن نوع پروتكل ارتباطي را تعيين نمود .
اما مرحله نهايي تعريف يك مسير (Route) بر روي سرور ديگر مي باشد بدين منظور بر روي آن سرور در قسمت RRAS ، Demand Dial را انتخاب كنيد و آدرس IP و ساب نت را در آن وارد كنيد و مطمئن شويد كه قسمت
Use This to Initate Demand
انتخاب شده باشد . پس از انجام مرحله بالا كار راه اندازي اين نوع VPN به پايان مي رسد .
پايان
همان طور كه ديديد راه اندازي يك سرور VPN بر روي ويندوز 2000 تحت پروتكل PPTP كار ساده اي بود اما اگر بخواهيد از پروتكل L2TP/IPSec استفاده كنيد كمي كار پيچيده خواهد شد . به خاطر بسپاريد كه راه اندازي VPN بار زيادي را بر روي پردازنده سرور مي گذارد و هرچه تعداد ارتباطات VPNبيشتر باشد بار زيادتري بر روي سرور است كه مي توانيد از يك وسيله سخت افزاري مانند روتر جهت پياده سازي VPN كمك بگيرد