VPNについて少し：リモートアクセスのプロトコル

11月1日、ロシアはVPNを使用してバイパスをブロックすることを禁止し始めました。 また、外国企業を含む多くの企業は、テクノロジーを使用して企業ネットワークを作成する組織になる方法を疑問に思っています。



州下院の代表者が言ったように、法律には企業の目的のためにネットワーク暗号化を使用することができるという予約があります。 これは、VPN接続の確立が事実上（場合によっては）無料であるため、企業はオフィス間で多額の費用をかけてプライベートネットワークを構築する必要がないことを意味します。 したがって、本日、企業ネットワーク上でVPN接続を構成する2つの方法と、これに使用されるいくつかのプロトコルを検討することにしました。PPTP、L2TP / IPsec、SSTP、およびOpenVPNです。





/ Flickr / ヨハネスウェーバー / cc

PPTP

PPTP仕様は、MicrosoftがダイヤルアップVPNを編成するために設立したコンソーシアムによって開発されました。 そのため、PPTPは企業ネットワークの標準として長い間使用されてきました。 同じ理由で、Microsoft Point-to-Point Encryption（ MPPE ）暗号化プロトコルを使用します。



VPN対応プラットフォームでは「デフォルト」であり、追加のソフトウェアなしで簡単に構成できます。 PPTPのもう1つの利点は、その高いパフォーマンスです。 しかし、残念ながら、PPTPは十分に安全ではありません。 90年代後半にWindows 95 OSR2にプロトコルが含まれて以来、いくつかの脆弱性が明らかになりました。



最も深刻なのは、カプセル化されていない認証MS-CHAP v2の可能性です。 このエクスプロイトにより、2日間でPPTPがハッキングされました。 マイクロソフトはPEAP認証プロトコルに切り替えることで穴を「パッチ」しましたが、彼ら自身はL2TP / IPsecまたはSSTP VPNプロトコルを使用することを提案しました。 もう1つのポイント-プロトコルは1つのポート番号1723で動作し、 GREプロトコルを使用するため、PPTP接続は簡単にブロックできます 。



VPNトンネルがインストールされると、PPTP は 2種類のメッセージをサポートします。これらは、VPN接続を維持および切断するための制御メッセージと、データパケット自体です。

L2TPおよびIPsec

レイヤ2トンネリングプロトコル（ L2TP ）は、ほとんどすべての最新のオペレーティングシステムに存在し、VPNを「認識」できるすべてのデバイスで動作します。



L2TPは、通過するトラフィックを暗号化する方法を知らないため、 IPsecと組み合わせて使用​​されることがよくあります。 ただし、これは悪影響をもたらします。データの二重のカプセル化がL2TP / IPsecで発生し、パフォーマンスに悪影響を及ぼします。 L2TPは、500番目のUDPポートも使用します。これは、NATの背後にいる場合、ファイアウォールによって簡単にブロックされます。



L2TP / IPsecは、 3DESまたはAES暗号で機能します。 最初のものは、 meet-in-the-middleやsweet32などの攻撃に対して脆弱であるため、今日では実際にはほとんど見られません。 AES暗号を使用する場合、大きな脆弱性は不明であるため、理論的には、このプロトコルは安全である必要があります（正しく実装されている場合）。 ただし、Electronic Frontier Foundationの創設者であるJohn Gilmoreは、彼の投稿でIPSecが特に弱体化する可能性があると指摘しました。



L2TP / IPsecの最も深刻な問題は、多くのVPNサービスが十分に実装していないことです。 サイトからダウンロードできる事前共有キー（PSK）を使用します。 PSKは接続を確立するために必要であるため、データが危険にさらされても、AESによって保護されたままです。 ただし、攻撃者はPSKを使用してVPNサーバーになりすまし、暗号化されたトラフィックを盗聴することができます（悪意のあるコードを挿入することさえ可能です）。

SSTP

Secure Socket Tunneling Protocol（ SSTP ）は、Microsoftが開発したVPNプロトコルです。 SSLに基づいており、Windows Vista SP1で最初に起動されました。 現在、このプロトコルは、RouterOS、Linux、SEIL、Mac OS XなどのOSで使用できますが、Windowsプラットフォームでの主要なアプリケーションはまだ見つかっています。 SSTPはMicrosoftが所有する独自の標準であり、そのコードは公開されていません。



SSTP自体には、1つの機能を除き、暗号化機能がありません。MITM攻撃から保護する暗号化バインディング （暗号化バインディング）について話します。 データ暗号化はSSLを実行します。 VPN接続を確立する方法の説明は、Microsoft Webサイトにあります。



Windowsとの緊密な統合により、プロトコルが簡素化され、このプラットフォームでの安定性が向上します。 ただし、SSTPはSSL 3.0を使用します。これは、理論上はVPNプロトコルのセキュリティに影響するPOODLE攻撃に対して脆弱です。

Openvpn

OpenVPNは、Open SSLライブラリ、TLS、および他の多くのテクノロジーを使用したオープンソースプロジェクトです。 現在、商用VPNサービスの業界標準であり、サードパーティソフトウェアを使用する任意のプラットフォームに実装されています。 多くのプロバイダーはカスタムOpenVPNクライアントも提供していますが、プロジェクト開発者はコアコードで作業しています。



OpenVPNの利点の中でも、カスタマイズ性が際立っています。 任意のポートで動作するように構成できます。 これにより、ポート443でトラフィックを送信してHTTPSとして「マスク」でき、ブロッキングが複雑になります。



ただし、このVPNプロトコルの柔軟性は、ある程度の欠点と見なすことができます。 特に、Windowsの標準クライアントを使用する場合、追加の構成ファイルをダウンロードしてインストールする必要があります。 ただし、この問題は、一部のプロバイダーが実装する事前構成済みのVPNクライアントを使用することで解決できます。



このプロトコルのもう1つの利点は、OpenSSLライブラリです。 多くの暗号化アルゴリズムをサポートしています-これらは3DES、CAST-128、Camelia、AES、Blowfishです。 最後の2つは、実際に最もよく使用されます。



OpenVPNのもう1つの利点は、定期的な監査です。 最後のチェックでは 、ユーザーデータのセキュリティに影響する「穴」 は明らかになりませんでした 。 その後、攻撃者にDDoS攻撃を実行する能力を与えるいくつかの脆弱性が発見されましたが、開発者はバージョンOpenVPN 2.4.2でそれらにパッチを適用しました。



OpenVPNは、今日利用可能な最も信頼性の高いVPNプロトコルの1つと考えられており、VPN業界で広くサポートされています。 OpenVPNはルートアクセスなしではモバイルプラットフォームでは動作しませんでしたが、今日ではこの「誤解」を修正したサードパーティアプリケーションがあります。





/ Flickr / アンドリューハート / CC

VPN接続タイプ

今日の記事では、最も一般的に使用される2つのタイプの VPN接続について説明します。 これは、企業ネットワークへのリモートアクセス（リモートアクセス）と接続「ポイントツーポイント」（サイト間）についてのものです。



リモートアクセスにより、従業員はインターネットを介して企業ネットワークに安全に接続できます。 これは、従業員がオフィスで働いておらず、カフェのWi-Fiなどの安全でないアクセスポイントを介して接続する場合に特に重要です。 この接続を整理するために、ユーザーのガジェットのクライアントと企業ネットワークのVPNゲートウェイの間にトンネルが確立されます。 ゲートウェイは認証を行い、ネットワークリソースへのアクセスを提供（または制限）します。



接続を保護するには、IPsecまたはSSLが最も一般的に使用されます。 PPTPおよびL2TPプロトコルを使用することもできます。









/ウィキメディア/ フィリップベレット / PD



サイト間VPN は、異なるローカルネットワークの組み合わせです。 この場合、ユーザーデバイスはVPNクライアントなしで動作します—ゲートウェイがすべての動作を実行します。

このタイプの接続は 、会社に複数のリモートオフィスがあり、それらを1つのプライベートネットワークに結合する必要がある場合に使用されます。 また、組織にネットワークが接続を必要とするパートナーがいる場合にも。 これにより、企業は安全な共有スペースで共同作業できます。









/ウィキメディア/ フィリップベレット / PD



IPsecは、ポイントツーポイント接続を保護するために最もよく使用されます。 パブリックネットワークのないMPLSキャリアクラウドのバージョンも使用されます。 この場合、Layer3（MPLS IP VPN）またはLayer2（VPLS）接続を整理することが可能になります。



最後に、VPN接続を使用するためのオプションがいくつかあります。

• データセンターの2つのサーバー間の接続を確立します。 何らかの理由で標準的な企業ネットワークを使用して安全なチャネルを確立できない場合に役立ちます。
• IaaSサービスへの接続。
• クラウドでVPNゲートウェイをホストします。

次の資料のいずれかで、それらとVPLSテクノロジーについて詳しく説明する予定です。

---

PS企業ブログで他に何を書いていますか：

• ネットワークでパスワードを安全に共有する方法
• Wi-Fi：需要は増加しており、機会は限られています
• NFVの5つの問題