Основные варианты VPN-решений

Можно выделить три основных вида VPN-решений:

• — интегрированные;
• — специализированные;
• — программные.

Интегрированные VPN-решения включают функции межсетевого экрана, маршрутизации и коммутации. Главное преимущество такого подхода состоит в централизации управления компонентами. Для компаний, которым не требуется высокая производительность корпоративной сети, а задача снижения расходов на сетевое оборудование является одной из приоритетных, наиболее эффективным будет интегрированное решение, позволяющее сосредоточить все функции в одном устройстве. При этом все же следует сказать, что чем больше функций исполняется одним устройством, тем чаще становятся заметными потери в производительности.

Специализированные VPN-решения. Высокая производительность — самое главное преимущество специализированных VPN-устройств. Более высокое быстродействие подобных систем обусловлено тем, что шифрование в них осуществляется специализированными микросхемами.

Объем вычислений, которые необходимо выполнить при обработке VPN-пакета, в 50 — 100 раз превышает тот, который требуется для обработки обычного пакета. Если в корпоративной сети проводятся различные мероприятия, требующие обмена большим трафиком данных, то для эффективной обработки VPN-пакетов целесообразно использовать специализированную аппаратуру. Специализированные VPN-устройства обеспечивают высокий уровень безопасности, однако обладают высокой стоимостью.

Программные VPN-решения. VPN-продукты, реализованные программным способом, с точки зрения производительности уступают специализированным устройствам, однако обладают достаточной мощностью для реализации VPNВ настоящее время существует несколько типов физических реализаций VPN-технологий, каждая из которых характеризуется определенным набором функциональных требований. Следует отметить, что в случае удаленного доступа требования к необходимой полосе пропускания невелики, поэтому чисто программные продукты легко обеспечивают производительность, достаточную для удаленного доступа. Несомненными достоинствами программных продуктов являются гибкость и удобство в применении, а также относительно невысокая стоимость.

Внутрикорпоративная сеть (intranet-VPN) обеспечивает создание безопасных соединений между внутренними отделами компании и ее филиалами. Для нее характерны следующие свойства:

• — применение мощных криптографических протоколов шифрования данных для защиты конфиденциальной информации;
• — надежность функционирования при выполнении таких критических приложений, как системы автоматизированной продажи и управления базами данных;
• — гибкость управления для более эффективного размещения быстро возрастающего количества пользователей, новых офисов и программных приложений.

Сети VPN с удаленным доступом (Internet-VPN) обеспечивают защищенный удаленный доступ к информационным ресурсам предприятия для мобильных или удаленных сотрудников корпорации (руководство компанией, сотрудники, находящиеся в командировках, сотрудники-надомники и т. д.). Для Internet-VPN характерны следующие основные свойства:

• — мощная система установления подлинности удаленных и мобильных пользователей, которая должна с максимальной точностью и эффективностью провести процедуру аутентификации;
• — эффективная система централизованного управления для обеспечения высокой степени гибкости при увеличении количества пользователей, работающих с VPN.

Межкорпоративная сеть (extranet-VPN) обеспечивает эффективное взаимодействие и защищенный обмен информацией со стратегическими партнерами по бизнесу, в том числе зарубежными, основными поставщиками, крупными заказчиками, клиентами и т. д. Для extranet-VPN характерно использование стандартизированных VPN-продуктов, гарантирующих способность к взаимодействию с различными VPN-решениями, которые деловые партнеры могли бы применять в своих сетях.

Иногда выделяют в отдельную группу локальный вариант сети VPN.

Локальная сеть (localnet-VPN) обеспечивает защиту информационных потоков, циркулирующих внутри локальных сетей компании (как правило, центрального офиса) от несанкционированного доступа со стороны «излишне любопытных» сотрудников компании.

Несмотря на наличие проработанных основных вариантов VPN-решений построение VPN для распределенных компаний даже с небольшим количеством удаленных (5−10) подразделений (филиалов), как правило, является достаточно трудоемкой задачей, сложность которой обусловлена следующими основными причинами:

• — значительная гетерогенность существующих в российских компаниях технических решений, которая заключается не только в большом разнообразии и малой совместимости используемых аппаратных платформ, программного обеспечения, сетевых операционных систем, качественно различных каналах связи между подразделениями компании, но и в многообразии практически аналогичных решений у существующих и потенциальных партнеров и заказчиков, с которыми необходимо строить защищенные extranet-VPN;
• — разнообразие применяемых для построения корпоративной VPN частных технический решений;
• — необходимость построения централизованной системы управления всей корпоративной VPN из центрального офиса компании для обеспечения высокого уровня безопасности и управляемости VPN, особенно системой распределения криптографических ключей и сертификатов, а также из-за отсутствия квалифицированного обслуживающего персонала в региональных подразделениях и т. д.;
• — узкая полоса пропускания и относительно плохое качество существующих каналов связи, особенно с региональными подразделениями, и т. д.

Указанные сложности построения корпоративных VPN усугубляется еще и тем, что, как правило, предъявляются достаточно жесткие требования в отношении:

• — масштабируемости применяемых технических решений;
• — интегрируемости с уже существующими в подразделениях компании средствами защиты информации, а также прозрачности работы VPN для всех работающих внутрикорпоративных приложений (системы документооборота, аудита и управления компьютерными сетями, IP-телефонии и т. д.);
• — легальности общего решения, то есть применяемые для построения VPN-средства должны отвечать национальным стандартам и требованиям;
• — пропускной способности защищаемой сети, то есть VPN-устройства не должны вносить существенные задержки в процесс обработки и передачи информации, а также заметно суживать полосу пропускания канала связи;
• — стойкости применяемых криптоалгоритмов, благодаря которой корпоративная информация была бы надежно защищена от криптоаналитических атак злоумышленников и недобросовестных конкурентов;
• — обеспечение целостности передаваемой по сетям информации и надежной аутентификации пользователей VPN;
• — унифицируемости VPN-решения, позволяющей данной компании в будущем без особых технических и организационных проблем устанавливать защищенные соединения с новыми партнерами по бизнесу;
• — общей совокупной стоимости построения корпоративной VPN, которая может варьироваться практически от нуля до нескольких сотен тысяч долларов.

Нетрудно заметить, что многие из перечисленных выше требований находятся в определенном противоречии друг с другом, что в большинстве случаев не позволяет предложить какое-то общее оптимальное по всем критериям техническое решение. Поэтому, как правило, на практике приходится либо пренебрегать некоторыми из перечисленных требований, либо строить комбинированные VPN на базе существующих решений:

• — сетевых операционных систем;
• — маршрутизаторов;
• — межсетевых экранов;
• — специализированного программного обеспечения.