Описание удаленного доступа

Использование VPN позволяет организовать безопасный удаленный доступ сотрудников через интернет к корпоративным сервисам и данным, размещаемым в инфраструктуре Selectel. Используя аппаратный межсетевой экран FortiGate в Selectel, можно настроить удалённый доступ к частным сетям организаций на основе технологий SSL, IPsec и L2TP over IPsec, с использованием различного ПО, устанавливаемого на компьютеры, ноутбуки и мобильные телефоны удалённых пользователей, такие как:

  • клиент FortiClient от Fortinet;
  • клиент от Cisco;
  • средствами операционной системы.

Для создания VPN туннеля на межсетевом экране требуется, чтобы уже были настроены (подробнее о базовой настройке):

  • внешний интерфейс, через который будут подключаться устройства;
  • внутренняя сеть;
  • доступ к веб-интерфейсу FortiGate.

Глоссарий

Термины Определение
SSL (Secure Sockets Layer) Стандартизованная технология для установления зашифрованного канала связи между веб-сервером и браузером клиента. Такой тип связи подразумевает, что все данные, переданные между сервером и клиентом, остаются приватными и неизвестными никому, кроме этих двух сторон. Для создания SSL-соединения требуется SSL-сертификат. Одним из распространенных примеров является использование SSL для безопасной связи между веб-браузером и веб-сервером (HTTPS)
IPsec Набор протоколов, который используется для аутентификации и шифрования трафика между двумя одноранговыми узлами. Три наиболее часто используемых протокола в наборе:
Internet Key Exchange (IKE) — выполняет “рукопожатие”, обслуживание туннеля и отключение;
Encapsulation Security Payload (ESP) — обеспечивает целостность данных и шифрование;
Authentication Header (AH) — предлагает только целостность данных, но не шифрование.

FortiGate использует только ESP для передачи полезной нагрузки пакета. AH не используется FortiGate
IKE (The Internet Key Exchange)* Стандартный протокол набора протоколов IPsec, используемый для обеспечения безопасности взаимодействия в VPN, то есть IKE устанавливает туннель IPsec VPN.
Для того, чтобы протоколы в составе IPsec могли выполнять свою работу по защите передаваемых данных, протокол IKE устанавливает между двумя конечными точками логическое соединение — безопасную ассоциацию (Security Association, SA).
SA определяет аутентификацию, ключи и настройки, которые будут использоваться для шифрования и расшифрования пакетов

* IKE определяет две фазы (Phase 1 и Phase 2):

  • Phase 1 — согласование параметров безопасного обмена данными о настройках, что происходит, когда каждая конечная точка туннеля подключается и начинает настраивать VPN.
    В Phase 1 происходит аутентификация обоих концов туннеля на основе общего ключа (Pre-Shared Key) или цифровой подписи (сертификата), создание одной двунаправленной IKE SA для определения безопасного канала и согласование настроек (проверка и гарантирование, что на каждом конце туннеля будет использоваться одинаковый Pre-Shared Key), обмен ключами по алгоритму Диффи-Хеллмана, которые будут использоваться в Phase 2.
    После того, как в Phase 1 установлен в некоторой степени безопасный канал и закрытые ключи, начинается Phase 2;
  • Phase 2 — согласование параметров защиты передаваемого трафика между конечными точками, согласовываются параметры безопасности для двух однонаправленных IPsec SA — не путать с IKE SA.
    Это SA для Phase 2, которые уже ESP использует для передачи данных между LAN.
    Phase 2 не заканчивается, когда начинается ESP. Phase 2 периодически пересматривает криптографию для поддержания безопасности.

Каждая Phase 1 может иметь несколько Phase 2, например, если требуется использовать разные ключи шифрования для каждой подсети, трафик которой пересекает туннель.

По окончании Phase 2 устанавливается VPN-подключение.

Сравнение SSL-VPN и IPsec-VPN

SSL находится на более высоком уровне в сетевом стеке, чем IP, и, следовательно, обычно требуется больше битов — большая пропускная способность — для заголовков SSL-VPN.

IPsec использует некоторые специальные протоколы. Основным протоколом является ESP, который инкапсулирует и шифрует UDP, RDP, HTTP или другие протоколы, находящиеся внутри туннеля IPsec. Кроме того, IPsec VPN — это стандарт. Он может взаимодействовать с несколькими поставщиками и поддерживает одноранговые узлы, которые являются устройствами и шлюзами, а не только пользовательскими клиентами только с FortiGate, как это делает SSL-VPN.

SSL-VPN IPsec-VPN
Тип туннеля HTTPS IPsec
Может быть между Браузер и FortiGate
FortiClient и FortiGate		 FortiClient и FortiGate
FortiGate и FortiGate
FortiGate и совместимый сторонний IPsec VPN шлюз
FortiGate и совместимый сторонний IPsec VPN клиент
Вход через HTTPS веб-панель на FortiGate
FortiClient		 IPsec client (Site-to-site не требует клиента)
Настройка Не требует установки
Упрощенная организация (только client-to-FortiGate, нет настраиваемых пользователем параметров)		 Требуется установка
Гибкая организация (для различных топологий, для клиентов или шлюзов)
Категория Определяется вендором Стандарт

Режимы SSL-VPN

Термины Определение
Tunnel mode Режим, при котором клиент SSL VPN шифрует весь трафик с удаленного клиентского компьютера и отправляет его в FortiGate через туннель SSL VPN по каналу HTTPS между пользователем и FortiGate.
Tunnel mode поддерживает множество протоколов и приложений. Для туннельного режима для подключения к FortiGate требуется автономный клиент SSL-VPN, FortiClient. FortiClient добавляет на компьютер пользователя виртуальный сетевой адаптер, обозначенный как fortissl. Этот виртуальный адаптер динамически получает IP-адрес от FortiGate каждый раз, когда FortiGate устанавливает новое VPN-соединение. Внутри туннеля весь трафик инкапсулирован в SSL / TLS.
Основное преимущество туннельного режима перед веб-режимом заключается в том, что после установки VPN любое сетевое IP-приложение, работающее на клиенте, может отправлять трафик через туннель. Основным недостатком является то, что для туннельного режима требуется установка программного клиента VPN, для которого требуются права администратора
Web mode Режим, при котором обеспечивается доступ к сети с помощью веб-браузера со встроенным шифрованием SSL. Пользователи проходят аутентификацию в веб-панели SSL VPN от FortiGate, который обеспечивает доступ к сетевым службам и ресурсам, включая HTTP / HTTPS, Telnet, FTP, SMB / CIFS, VNC, RDP и SSH.
Раздел Bookmarks на странице портала SSL-VPN содержит ссылки на все или некоторые ресурсы, доступные пользователю для доступа. Виджет Quick Connection позволяет пользователям вводить URL или IP-адрес сервера, к которому они хотят подключиться. Пользователь web-SSL-VPN использует эти два виджета для доступа к внутренней сети.
Основное преимущество веб-режима заключается в том, что он обычно не требует установки дополнительного программного обеспечения.

Данный режим имеет следующие ограничения:
- все взаимодействие с внутренней сетью должно осуществляться исключительно с использованием браузера (через веб-портал). Внешние сетевые приложения, работающие на компьютере пользователя, не могут отправлять данные через VPN;
- это безопасный механизм шлюза HTTP / HTTPS, который работает не для доступа ко всему, а только к нескольким популярным протоколам, таким как HTTP, FTP и общие ресурсы Windows
Split mode Режим туннелирования, включённый в tunnel mode, который направляет трафик только в указанную сеть через FortiGate. Когда включено split tunneling, через туннель маршрутизируется только трафик, предназначенный для частной сети за удаленным FortiGate. Весь остальной трафик отправляется по обычному зашифрованному маршруту
Full mode Режим туннелирования, когда split tunneling отключено, весь IP-трафик, генерируемый клиентским компьютером, включая интернет-трафик, направляется через туннель SSL-VPN в FortiGate. Это устанавливает FortiGate в качестве шлюза по умолчанию для хоста. Вы можете использовать этот метод для применения функций безопасности к трафику на этих удаленных клиентах, а также для отслеживания или ограничения доступа в интернет. Это увеличивает задержку и увеличивает использование полосы пропускания