विंडोज 7 पर प्रत्यक्ष। भाग 1

अपनी पिछली पोस्ट में, मैंने अपने दृष्टिकोण से दो, विंडोज 7 के सबसे दिलचस्प नवाचारों का उल्लेख किया है - ब्रांच कैश और डायरेक्टअटेक्ट। पिछली बार शाखा शाखा तकनीक की समीक्षा की गई थी। यह DirectAccess की बारी है। हालांकि, रास्ते के साथ, यह स्पष्ट हो गया कि सामग्री एक पद के दायरे से परे चली गई। इसलिए, शुरुआत के लिए, मैं DirectAccess की सुविधाओं और IPv6 के उपयोग के संबंध में कुछ मुद्दों पर ध्यान केंद्रित करूंगा।



DirectAccess क्या है?



DirectAccess - कॉर्पोरेट नेटवर्क संसाधनों के लिए दूरस्थ पहुँच के लिए प्रौद्योगिकी। उपभोक्ता दृष्टिकोण से, प्रौद्योगिकी का सार इस प्रकार व्यक्त किया जा सकता है: "जैसे ही मेरा कंप्यूटर इंटरनेट से जुड़ा है, मुझे तुरंत इंटरनेट संसाधनों और पूरे कॉर्पोरेट नेटवर्क तक पहुंच प्राप्त हुई।" तकनीकी शब्दों में, जब इंटरनेट से जुड़ा होता है, तो एक उपयोगकर्ता कंप्यूटर एक DirectAccess क्लाइंट (DA क्लाइंट) के रूप में कॉन्फ़िगर किया गया होता है, जो DirectAccess सर्वर (DA सर्वर) के लिए स्वचालित रूप से एक सुरंग स्थापित करता है और इसके माध्यम से पूरे कॉर्पोरेट नेटवर्क तक पहुंच प्राप्त करता है। क्या यह पारंपरिक वीपीएन समाधानों से मौलिक रूप से भिन्न है? आइए DirectAccess की विशेषताओं और इस समाधान के तकनीकी आधार को देखें, जिसके बाद, मुझे लगता है, हर कोई इस प्रश्न का उत्तर अपने आप में दे सकेगा।



DirectAccess सुविधाएँ



पहली बहुत महत्वपूर्ण विशेषता यह है कि उपयोगकर्ता से कोई अतिरिक्त कार्रवाई की आवश्यकता नहीं है। क्लाइंट और DirectAccess सर्वर के बीच की सुरंग स्वचालित रूप से स्थापित हो जाती है, और, जैसा कि बाद में दिखाया जाएगा, दो सुरंग वास्तव में बनाई गई हैं: एक कंप्यूटर प्रमाणीकरण के लिए, दूसरा उपयोगकर्ता प्रमाणीकरण के लिए। और यह प्रक्रिया उपयोगकर्ता के लिए पूरी तरह से पारदर्शी है। कोई वीपीएन कनेक्शन शुरू करने की आवश्यकता नहीं, कोई क्रेडेंशियल नहीं - लॉगिन और पासवर्ड, स्मार्ट कार्ड के लिए पिन, आदि इसके अलावा, अगर इंटरनेट कनेक्शन थोड़ी देर के लिए खो जाता है, और सुरंग स्वाभाविक रूप से टूट जाती है , और फिर इसे बहाल किया जाता है (उदाहरण के लिए, एक अस्थिर वाईफाई सिग्नल), फिर से कॉर्पोरेट नेटवर्क के लिए सुरंग को स्वचालित रूप से उपयोगकर्ता के हस्तक्षेप के बिना बहाल किया जाता है।



दूसरी विशेषता पहले से अनुसरण करती है, हालांकि शायद यह बहुत स्पष्ट नहीं है। जब तक इंटरनेट कनेक्शन है और एक सुरंग मौजूद है, क्लाइंट कंप्यूटर कंपनी की आईटी सेवाओं द्वारा प्रबंधन के लिए सुलभ है। दूसरे शब्दों में, DirectAccess के लिए धन्यवाद, न केवल उपयोगकर्ता लगातार कॉर्पोरेट संसाधनों के साथ काम कर सकता है, बाहरी दुनिया के साथ एक कनेक्शन होगा, लेकिन अन्य कर्मचारी, विशेष रूप से आईटी लोग, उपयोगकर्ता के कंप्यूटर तक पहुंच रखते हैं। उपयोगकर्ता हमेशा आईटी सेवाओं के "हुड के नीचे" होता है, जो शायद उसे खुद सूट नहीं करता है, लेकिन आईटी कर्मचारी बहुत खुश है। :) एक व्यावहारिक दृष्टिकोण से, यह तथ्य क्लाइंट मशीन की निगरानी करना संभव बनाता है - एंटी-वायरस डेटाबेस की जाँच, हाल के अपडेट, शामिल फ़ायरवॉल, आदि - भले ही यह कॉर्पोरेट नेटवर्क के बाहर स्थित हो। दूसरी ओर, मैन्युअल रूप से डीए सुरंग को तोड़ना वीपीएन कनेक्शन के साथ उतना आसान नहीं है, जो आमतौर पर नेटवर्क कनेक्शन में दिखाई देता है। यही है, बेशक आप कर सकते हैं, लेकिन आपको यह जानना होगा कि कैसे।



और अंत में, डिफ़ॉल्ट रूप से, DirectAccess स्थानीय, बाहरी और कॉर्पोरेट संसाधनों को विभिन्न मार्ग प्रदान करता है (चित्र 1 देखें)। कई कार्यान्वयन में, जब एक वीपीएन कनेक्शन स्थापित होता है, तो डिफ़ॉल्ट गेटवे पता बदल जाता है, और सभी ट्रैफ़िक को वीपीएन सर्वर पर ले जाया जाता है, और वहां से इंटरनेट या कॉर्पोरेट नेटवर्क पर भेजा जाता है। एक ओर, यह इंटरनेट संसाधनों के साथ काम करने की गति को धीमा कर देता है, दूसरी ओर, यह स्थानीय नेटवर्क में रूटिंग के साथ कुछ समस्याएं पैदा कर सकता है। DirectAccess कॉन्फ़िगर करने के लिए पर्याप्त लचीला है, इसलिए आप विभाजन सुरंग (डिफ़ॉल्ट रूप से) को कॉन्फ़िगर कर सकते हैं और साथ ही DA सर्वर पर सभी ट्रैफ़िक को लपेट सकते हैं।



अंजीर। 1



तकनीकी नींव



चलो अब तकनीकी समाधानों को देखें जो DirectAccess को रेखांकित करते हैं। वास्तव में, उनमें से तीन हैं:

1. एक DA क्लाइंट को DA सर्वर और इंट्रानेट कंप्यूटर से जोड़ने के लिए IPv6 प्रोटोकॉल।

इंटरनेट / इंट्रानेट पर सुरक्षित डेटा अंतरण के लिए IPv6 पर 2. IPSec।

3. आंतरिक (कॉर्पोरेट) और बाहरी नामों के सही समाधान के लिए नाम समाधान नीति तालिका (NRPT)।

वैसे, बाद में, उपयोगकर्ता, इंटरनेट पर, जबकि छोटे नामों से आंतरिक संसाधनों का उपयोग करने की अनुमति देता है, उदाहरण के लिए: \\ corp-srv1 \ डॉक्स। हम इन सभी घटकों के क्रमिक रूप से चर्चा करते हैं।



आईपीवी 6



DirectAccess को कॉन्फ़िगर किए गए IP संस्करण 6 प्रोटोकॉल की आवश्यकता है, कम से कम DA क्लाइंट और DA सर्वर पर। पढ़ने को तुरंत समाप्त करने के लिए जल्दी मत करो, इसका मतलब यह नहीं है कि DirectAccess हमारे विशालता में IPv4 के वस्तुतः अविभाजित शासनकाल की वर्तमान स्थितियों में लागू नहीं है, और न केवल हमारे इंटरनेट।



IPv6 सट्टेबाजी क्यों किया गया? इस प्रोटोकॉल के बहुत सारे फायदे हैं, जिनमें से मुख्य अच्छे पुराने आईपीवी 4 के नुकसान की कमी है। :) गंभीरता से, हमारे विषय के संबंध में, मैं IPv6 की निम्नलिखित विशेषताओं पर ध्यान दूंगा।



पहला विशाल पता स्थान है। यह वास्तव में क्या देता है? अब सभी या लगभग सभी कंपनियां परिधि नेटवर्क में एक या एक से अधिक सार्वजनिक IPv4 पते का उपयोग करती हैं, जबकि आंतरिक नेटवर्क पर कंप्यूटर किसी भी निजी पता श्रेणी (10.0.0.0/8, 172.16.0.0/12, 192.168.1.0) से कॉन्फ़िगर किए जाते हैं / १६)। यह संभावना है कि एनएटी के माध्यम से इंटरनेट से कनेक्ट होने पर, दूरस्थ कंप्यूटर को उसी सीमा से एक पता प्राप्त होगा, जो विभाजित सुरंग मोड का उपयोग बहुत मुश्किल बना देगा। इसी तरह की समस्या तब हो सकती है जब एक ही निजी आईपी सबनेट का उपयोग करके वीपीएन दो दूरस्थ कार्यालयों के माध्यम से कनेक्ट हो रहा हो। IPv6 पता स्थान आपको किसी भी कंपनी होस्ट को एक अद्वितीय IPv6 पता निर्दिष्ट करने की अनुमति देता है, और यह न केवल कॉर्पोरेट नेटवर्क के भीतर, बल्कि पूरे इंटरनेट पर अद्वितीय है। नतीजतन, पते के अनुवाद की आवश्यकता गायब हो जाती है, और आप NAT का उपयोग करने से पूरी तरह से मना कर सकते हैं - हम केवल पैकेट रूटिंग के बारे में बात करेंगे।



NAT के बिना यह कितना सुरक्षित है? मैं समझता हूं कि यह मुद्दा बहस से ज्यादा है। और अभी तक। आइए याद करते हैं कि NAT को मुख्य रूप से सार्वजनिक IPv4 पतों की कमी की समस्या को हल करने के लिए बनाया गया है। IPv6 में यह समस्या मौजूद नहीं है। NAT का उपयोग करने का दूसरा परिणाम आंतरिक आईपी एड्रेसिंग को छिपाना है। इंटरनेट पर होस्ट केवल NAT डिवाइस के बाहरी इंटरफ़ेस पर आईपी पते देखते हैं। NAT से इनकार करने के मामले में, कंपनी कॉर्पोरेट नेटवर्क के असली IPv6 पतों को "हल्का" करेगी। क्या यह सुरक्षा जोखिम है? आम तौर पर हाँ। जितना कम हमलावर मेरे नेटवर्क के बारे में जानता है, उतनी ही कम संभावित आपदाएं वे कर सकते हैं। हालांकि, दूसरी ओर, हम कॉरपोरेट संसाधनों के लिए ग्राहकों की रिमोट एक्सेस के बारे में बात कर रहे हैं। फायरवॉल को रद्द नहीं किया गया है, वे अभी भी केवल कुछ यातायात की अनुमति देते हैं और संभवतः घुसपैठ का पता लगाने वाले सिस्टम, पोर्ट स्कैन रोकथाम आदि से लैस हैं। इसके अलावा, शायद ही कोई व्यक्ति एन्क्रिप्शन के बिना रिमोट एक्सेस के लिए एक सुरंग का आयोजन करेगा। और यहाँ हमें IPv6 पर IPSec के बारे में याद रखने की आवश्यकता है। DA सर्वर केवल IPSec ट्रैफ़िक स्वीकार करता है। डिफ़ॉल्ट रूप से। आप हमेशा पुन: कॉन्फ़िगर कर सकते हैं। और जब एक IPSec कनेक्शन स्थापित होता है, तो सर्वर और क्लाइंट पारस्परिक रूप से प्रमाणित होते हैं, पहले डिजिटल प्रमाणपत्र का उपयोग करते हुए कंप्यूटर खाता स्तर पर, फिर कॉर्पोरेट नीति (पासवर्ड, स्मार्ट कार्ड, फ़िंगरप्रिंट, आदि) द्वारा निर्दिष्ट तंत्र का उपयोग करके उपयोगकर्ता खाते के स्तर पर। तदनुसार, आंतरिक सर्वर के विशिष्ट आईपी पते को जानने से आंतरिक नेटवर्क को भेदने के कार्य की सुविधा की संभावना नहीं है।



इसके विपरीत, NAT को छोड़ देने से IPv6 का उपयोग करने की एक और उपयोगी विशेषता हो जाती है - सुरक्षित पॉइंट-टू-पॉइंट कनेक्शन की संभावना। वास्तव में, NAT के मामले में मानक समाधान एक योजना है (चित्र 2 देखें), जिसमें से एक एन्क्रिप्टेड सुरंग स्थापित की गई है, इस मामले में, DA क्लाइंट को DA सर्वर। आंतरिक नेटवर्क पर, ट्रैफ़िक पहले से ही खुले रूप (लाल तीर) में प्रेषित होता है, या फिर से एन्क्रिप्ट किया जाता है, लेकिन क्लाइंट द्वारा नहीं, बल्कि डीए सर्वर द्वारा।



Fig.2



ग्लोबल आईपीवी 6 रूटिंग के मामले में, डीए क्लाइंट और डेस्टिनेशन सर्वर के बीच एक एनक्रिप्टेड चैनल स्थापित किया जा सकता है, और डायरेक्टएवी सर्वर केवल इस तरह के ट्रैफिक (मार्गों) से गुजरता है (चित्र 3 देखें)। यह आपको कंप्यूटर के स्तर और उपयोगकर्ता स्तर पर सर्वर के एक्सेस अधिकारों को कॉन्फ़िगर करने की अनुमति देता है, इसके अतिरिक्त सुरक्षा नट्स को भी कड़ा करके। पता अनुवाद का उपयोग करते समय ऐसी योजना को लागू करने में कठिनाई यह है कि प्रत्येक IPSec पैकेट में एक डिजिटल हस्ताक्षर है, जिसका उल्लंघन तब किया जाता है जब NAT डिवाइस पैकेट को संशोधित करने का प्रयास करता है। हालाँकि इस समस्या का हल मौजूद है, लेकिन NAT का हर उपकरण इसका समर्थन नहीं करता है।



अंजीर। 3



अच्छी तरह से और एक और महत्वपूर्ण बिंदु NAT के साथ जुड़ा हुआ है। आवेदन। आप उन कार्यक्रमों में आसानी से आ सकते हैं जो NAT के माध्यम से काम नहीं करते हैं या काम नहीं करते हैं। सहित, आंतरिक और बाहरी नामों के गलत समाधान के कारण। NAT की कमी से डेवलपर्स को अनुवाद अनुवाद के मुद्दों के बारे में भूल जाने और एप्लिकेशन के व्यावसायिक तर्क पर ध्यान केंद्रित करने और अतिरिक्त सेटिंग्स और एप्लिकेशन, और फ़ायरवॉल से छुटकारा पाने की अनुमति मिलती है।

इस प्रकार, आपके नेटवर्क के आईपी पते का "खुलापन" और "एनएटी के बिना दुनिया" के फायदे जिन्हें मैंने पहचानने की कोशिश की है, वे पैमाने पर हैं। पसंद, हमेशा की तरह, आपकी है।



अगली पोस्ट में मैं DirectAccess की तकनीकी नींव की चर्चा समाप्त करूंगा। हम एक IPv4 वातावरण में IPv6, IPv6 उपयोग के मामलों पर IPSec और NRPT कार्यान्वयन सुविधाओं के बारे में IPv6 का उपयोग करने के बारे में बात करेंगे।