VPN на базе межсетевых экранов

Ряд специалистов по информационной безопасности считает, что построение VPN на базе межсетевых экранов является единственным оптимальным вариантом с точки зрения обеспечения комплексной безопасности корпоративной информационной системы от атак из открытых сетей. Действительно, объединение функций МЭ и VPN-шлюза в одной точке под контролем единой системы управления и аудита — не только технически грамотное, но и удобное для администрирования решение. В качестве примера рассмотрим типовую схему построения корпоративной VPN на базе популярного в России программного продукта CheckPoint Firewall-1/VPN-1 компании CheckPoint Software Technologies.

Данная компания является одним из лидеров в области производства продуктов комплексного обеспечения информационной безопасности при работе с Internet. Межсетевой экран CheckPoint Firewall-1 позволяет в рамках единого комплекса построить глубокоэшелонированный рубеж обороны для корпоративных информационных ресурсов. В состав такого комплекса входит как сам CheckPoint Firewall-1, так и набор продуктов для построения корпоративной VPN: CheckPoint Firewall-1, средства обнаружения вторжений RealSecure, средства управления полосой пропускания FloodGate и т. д. (рисунок 1.4).

Рисунок 1.4 Типовая схема построения корпоративной VPN на базе CheckPoint Firewall-1/VPN-1.

Подсистема построения VPN на базе CheckPoint FW-1 включает в себя программные продукты VPN-1:

• — Gateway и VPN-1 Appliance, предназначенные для построения intranet-VPN;
• — VPN-1 SecureServer — для защиты выделенных серверов;
• — VPN-1 SecuRemote и VPN-1 SecureClient — для построения internet/externet/localnet-VPN.

Для шифрования трафика в каналах CheckPoint Firewall-1 использует известные криптоалгоритмы DES, CAST, IDEA, FWZ и др. [5].

Весь ряд продуктов CheckPoint VPN-1 реализован на базе открытых стандартов (IPSec), имеет развитую систему аутентификации пользователей, поддерживает взаимодействие с внешними системами распределения открытых ключей (PKI), позволяет строить централизованную систему управления и аудита и т. д.

Подводя итоги, можно сказать, что построение VPN на базе МЭ представляется вполне сбалансированным решением. Однако ему тоже присущи некоторые недостатки. Прежде всего, это высокая стоимость в пересчете на одно рабочее место корпоративной сети и достаточно большие требования к производительности МЭ даже при умеренной ширине полосы пропускания выходного канала связи. Очевидно, что вопросу производительности межсетевого экрана должно уделяться повышенное внимание при построении VPN, поскольку фактически вся нагрузка по криптообработке трафика ложится на МЭ [7].