Instruktor: W tej lekcji
omówimy wszystkie rzeczy, które
musisz wiedzieć o VPN podczas egzaminu.
Po pierwsze, czym jest VPN?
Cóż, VPN to wirtualna sieć prywatna, która będzie używana
do rozszerzenia sieci prywatnej na sieć publiczną
i umożliwienia użytkownikom wysyłania
i odbierania danych za pośrednictwem tej współdzielonej sieci publicznej, tak jakby
ich urządzenia komputerowe były bezpośrednio podłączone
do sieci prywatnej.
Teraz, dzięki VPN, użytkownicy mogą pracować w zdalnym biurze
lub w domu i mogą zdalnie pracować, po
prostu logując się do swojego laptopa
i ustanawiając bezpieczny tunel VPN do
sieci organizacji, niezależnie
od tego, gdzie się znajduje.
Aby to zrobić, będą łączyć się z urządzeniem VPN znajdującym
się w centrum danych centrali.
A następnie ustanowią bezpieczny tunel za pomocą
protokołu VPN, aby umożliwić bezpieczne połączenie dla tego użytkownika
korporacyjnego przez niezaufaną lub publiczną sieć, coś w rodzaju
Internetu.
Pozwala im to na dostęp do
sieci korporacyjnej i połączenie z Internetem
tak, jakby siedzieli przy swoim biurku w biurze.
Sieci VPN mogą być skonfigurowane jako VPN typu site-to-site,
client-to-site lub clientless VPN.
Dzięki sieci VPN typu site-to-site
możemy połączyć ze sobą dwa biura.
W przypadku sieci VPN typu klient-lokacja
bardziej zależy nam na połączeniu pojedynczego użytkownika zdalnego
z powrotem do sieci firmowej, jak opisałem
wcześniej w przypadku użytkownika, który
musiał pracować zdalnie.
Kiedy mówimy o VPN bez klienta, są one zwykle
używane do przeglądania stron internetowych.
W porządku, zanurzmy się nieco głębiej i porozmawiajmy
o VPN typu site-to-site.
Obecnie sieć VPN typu site-to-site jest używana do łączenia dwóch lokalizacji
i stanowi niedrogą alternatywę dla dedykowanych
łączy dzierżawionych.
Załóżmy na przykład, że mam
oddział w Kalifornii, a moja
siedziba znajduje się w Waszyngtonie.
Teraz, gdybym chciał połączyć moje zdalne biuro
regionalne w Kalifornii z biurem głównym w Waszyngtonie, mógłbym kupić
dedykowaną linię dzierżawy od dostawcy
usług telekomunikacyjnych, który zapewniłby
mi bezpośrednie połączenie obejmujące ponad
3000 mil odległości między tymi dwiema lokalizacjami.
Nawet gdybym miał połączenie T1 o niskiej prędkości,
byłoby to bardzo kosztowne.
Z drugiej strony, mógłbym skorzystać z VPN typu site-to-site
i zaoszczędzić sporo pieniędzy.
Zamiast korzystać z dedykowanego łącza dzierżawionego,
mógłbym po prostu utworzyć tunel VPN z biura regionalnego z powrotem do centrali
za pośrednictwem publicznego Internetu, korzystając
z łącza internetowego, które jest już
w tym biurze.
To rozwiązanie może kosztować mnie 50 lub 100 USD miesięcznie za standardowy
modem kablowy lub usługę modemu
światłowodowego od lokalnego dostawcy usług internetowych.
Po ustanowieniu tunelu VPN będzie on
pobierał cały ruch z biura regionalnego
w Kalifornii i przesyłał go z powrotem do centrali
w Waszyngtonie przez Internet w ramach tego
bezpiecznego tunelu.
A gdy dotrze do Waszyngtonu, zostanie
odszyfrowany i umieszczony
z powrotem w mojej sieci firmowej.
Teraz, gdy użytkownik z Kalifornii
chce przejść do Google. com, na przykład.
Dane te będą przesyłane z Kalifornii do Waszyngtonu przez połączenie internetowe
biura w Waszyngtonie, aby odwiedzić tę stronę internetową,
uzyskać informacje, wysłać je
z powrotem do połączenia
internetowego biura w Waszyngtonie, a następnie z powrotem przez
VPN do użytkownika w Kalifornii, gdzie będzie mógł wyświetlić żądaną
stronę internetową.
Korzystając z tej sieci VPN
typu site-to-site, cały ruch między
Kalifornią a Waszyngtonem będzie
szyfrowany i bezpieczny.
Tak więc nikt nie może zobaczyć wewnętrznego ruchu sieciowego,
który przechodzi przez
to zewnętrzne publiczne połączenie internetowe.
Z drugiej strony, gdy mamy do czynienia z siecią
VPN typu klient-lokacja,
będziemy przesyłać dane z jednego hosta, takiego
jak laptop, telefon komórkowy, smartfon lub tablet, i łączyć
je z powrotem do naszego biura głównego.
Zamiast przechodzić od
routera do routera, przechodzimy
od klienta do routera.
Umożliwia to zdalnemu użytkownikowi połączenie
się z centralą.
Właśnie dlatego nazywamy to klientem-stroną.
Teraz, oprócz sieci VPN typu site-to-site i client-to-site, musimy
również zdecydować, czy będziemy używać
konfiguracji VPN z pełnym tunelem, czy z podzielonym tunelem.
Zarówno VPN z pełnym tunelem, jak i VPN z dzielonym
tunelem mogą być używane w modelu site-to-site
lub client-to-site.
Teraz pełny tunel VPN jest zwykle używany domyślnie
w większości organizacji.
I to jest to, co opisałem wcześniej.
W przypadku pełnego tunelu VPN będziemy kierować
i szyfrować wszystkie żądania ruchu przez połączenie VPN
z powrotem do centrali, niezależnie
od tego, gdzie znajduje się miejsce
docelowe tej usługi.
Jest to uważane za bezpieczniejsze,
ale gdy łączymy się za pomocą pełnego tunelu,
klienci są uważani za w pełni część
sieci głównej, gdy są połączeni.
Oznacza to, że jeśli próbujesz uzyskać dostęp do zasobu lokalnego,
takiego jak drukarka bezprzewodowa w biurze
domowym, nie będziesz w stanie
tego zrobić, ponieważ ta drukarka bezprzewodowa
w biurze domowym nie jest podłączona do sieci głównej,
tak jak twój laptop przez VPN klient-lokacja.
I odwrotnie, nadal możesz drukować na drukarkach
w biurze głównym, nawet jeśli
jesteś połączony za pomocą pełnego tunelu VPN, ponieważ
możesz siedzieć w pokoju hotelowym w połowie
świata, ale logicznie rzecz biorąc, nadal siedzisz w
swoim biurze w siedzibie głównej firmy.
Z drugiej strony, podzielony tunel VPN
dzieli ruch i żądania sieciowe, a następnie
kieruje je do odpowiedniego
połączenia lub sieci.
W przypadku dzielonego tunelu
VPN będziemy kierować i szyfrować ruch
związany z siedzibą główną przez VPN, a cały pozostały
ruch będziemy wysyłać przez zwykły
Internet.
Załóżmy więc, że korzystam z sieci VPN typu klient-lokacja
na moim laptopie z konfiguracją podzielonego tunelu z
mojego domowego biura.
VPN zdecyduje tutaj, który ruch wraca
z powrotem przez VPN i jest wysyłany
do centrali, a jaki ruch przechodzi
przez Internet.
Jeśli więc próbuję uzyskać dostęp do serwera plików
lub serwera pocztowego Microsoft Exchange,
który znajduje się w sieci głównej, pakiety
te zostaną zaszyfrowane i przekierowane
przez VPN do centrali.
Jeśli jednak muszę wziąć udział w konferencji
Zoom lub uzyskać dostęp do Office 365 lub ruchu wychodzącego do Internetu,
po prostu ominę to szyfrowane połączenie VPN i przejdę bezpośrednio
przez moje połączenie internetowe do
tych publicznych witryn.
Właśnie dlatego nazywamy to podzielonym tunelem,
ponieważ mamy zaszyfrowany tunel VPN dla ruchu,
który musi przejść do centrali,
oraz inny niezaszyfrowany tunel, który przyjmuje bezpośrednią ścieżkę
do Internetu od dostawcy usług internetowych.
Wyzwanie związane z korzystaniem z dzielonego
tunelu polega na tym, że mogą one być mniej
bezpieczne, ponieważ istnieje możliwość,
że osoba atakująca może połączyć się
z urządzeniem za pośrednictwem tego niezaszyfrowanego
tunelu internetowego, a następnie może przejść przez laptop
i wysłać dane przez VPN z powrotem do sieci
głównej.
Z tego powodu, jeśli łączysz się z VPN przez niezaufaną
sieć, taką jak Wi-Fi w hotelu lub kawiarni, nigdy nie
powinieneś używać dzielonego tunelu.
Zamiast tego powinieneś używać pełnego tunelu.
Podzielony tunel zapewnia lepszą wydajność,
ponieważ kieruje cały ruch internetowy
bezpośrednio do tych serwerów
i omija całą sieć główną firmy.
Jak więc widać, staje się
to kompromisem między bezpieczeństwem a wydajnością.
Jeśli chcesz większego bezpieczeństwa, użyj pełnego tunelu VPN.
Jeśli chcesz uzyskać lepszą wydajność, użyj podzielonego tunelu VPN.
W tym momencie rozmawialiśmy o dwóch głównych typach VPN, VPN
typu site-to-site i VPN typu client-to-site.
Jest jednak jeszcze jeden typ VPN, który musimy omówić.
I jest znany jako VPN bez klienta.
Obecnie bezklientowa sieć VPN jest używana do tworzenia
bezpiecznego tunelu VPN zdalnego dostępu za pomocą przeglądarki internetowej
bez konieczności korzystania z oprogramowania lub klientów
sprzętowych.
W rzeczywistości korzystanie z tego typu
VPN jest czymś, co robisz codziennie, nawet o tym nie wiedząc.
Bezklientowa sieć VPN jest używana przez przeglądarkę internetową
podczas nawiązywania bezpiecznego połączenia z eCommerce
lub inną bezpieczną witryną korzystającą z protokołu HTTPS.
Można to zrobić za pomocą tunelu SSL lub TLS przy
użyciu tych protokołów.
Obecnie SSL, czyli Secure Socket Layer, stał się
nieco przestarzały i mniej bezpieczny.
Dlatego większość bezklientowych sieci VPN korzysta obecnie z TLS, czyli
Transport Layer Security, aby zapewnić
bezpieczne przeglądanie stron internetowych przez HTTPS.
Kiedy więc zalogowałeś się na tej stronie, aby obejrzeć ten film, musiałeś
wprowadzić swoją nazwę użytkownika i hasło,
i zobaczyłeś tę małą zieloną kłódkę w
lewym górnym rogu paska adresu.
W ten sposób wiadomo, że nawiązano bezpieczne połączenie przy użyciu protokołu HTTPS.
Oznacza to, że używasz protokołu SSL lub
TLS do utworzenia bezpiecznego, bezklientowego tunelu VPN z przeglądarki
internetowej i komputera do moich serwerów,
aby móc pobierać te filmy.
Na koniec należy pamiętać, że istnieją trzy główne typy sieci
VPN: site-to-site, client-to-site i clientless.
Należy również pamiętać, że istnieją dwie metody komunikacji
przy użyciu VPN.
Można użyć pełnego lub podzielonego tunelu.