در حال بارگذاری...
چگونه داده‌ها در بستر عمومی امن می‌شوند؟ انواع VPN، پروتکل IPsec با ESP و AH، حالت‌های Transport و Tunnel، TLS VPN، تونل Split و Full و مفهوم VPN Concentrator.
اهداف این درس
فرض کنید دو ساختمان یک شرکت در دو شهر باید به هم متصل شوند. اجاره یک خط اختصاصی پرهزینه است؛ اما اینترنت ارزان و در دسترس است. راه حل: ساخت یک «تونل رمزنگاری‌شده» روی اینترنت عمومی. این دقیقاً کاری است که VPN انجام می‌دهد.
ارتباطی امن و رمزنگاری‌شده روی یک شبکه عمومی که مثل یک تونل خصوصی، دو نقطه یا یک کاربر و یک شبکه را به هم متصل می‌کند.
مقایسه انواع VPN
| ویژگی | Site-to-Site | Remote Access |
|---|---|---|
| اتصال | دو شبکه به یکدیگر | کاربر به یک شبکه |
| کلاینت | دستگاه‌های شبکه (روتر/فایروال) | نرم‌افزار روی دستگاه کاربر |
| دائمی بودن | معمولاً همیشگی | بر اساس نیاز |
| مثال | دفتر مرکزی و شعبه | کارمند در سفر |
پروتکل شماره 50؛ payload بسته را رمزنگاری می‌کند و یکپارچگی و احراز هویت را هم فراهم می‌کند. رایج‌ترین بخش IPsec.
پروتکل شماره 51؛ یکپارچگی و احراز هویت را تضمین می‌کند اما داده را رمزنگاری نمی‌کند؛ کاربرد آن محدود است.
مقایسه ESP و AH
| ویژگی | ESP | AH |
|---|---|---|
| شماره پروتکل | 50 | 51 |
| رمزنگاری | دارد | ندارد |
| احراز هویت | دارد | دارد |
| پوشش | Payload (یا کل بسته در tunnel) | کل بسته غیرقابل تغییر |
| کاربرد | رایج و پیش‌فرض | محدود و خاص |
تونلی که روی پروتکل TLS و پورت 443 برقرار می‌شود؛ به‌دلیل استفاده از HTTPS، از اکثر فایروال‌ها عبور می‌کند و با مرورگر یا کلاینت سبک کار می‌کند.
مقایسه تونل Split و Full
| ویژگی | Split Tunnel | Full Tunnel |
|---|---|---|
| ترافیک درون تونل | فقط مقصد سازمانی | همه ترافیک |
| اینترنت عمومی | مستقیم | از دروازه سازمان |
| پهنای باند | کم‌مصرف‌تر | پرمصرف‌تر |
| بازرسی مرکزی | کمتر | بیشتر و کنترل کامل |
VPN Concentrator دستگاه یا نرم‌افزاری است که تعداد زیادی اتصال VPN را به‌صورت متمرکز برقرار و مدیریت می‌کند؛ معمولاً در کنار آن رمزنگاری و ترجمه آدرس هم انجام می‌شود. اصطلاح hairpin هم به حالتی اشاره دارد که ترافیک VPN از همان اینترفیس ورودی خارج می‌شود (ترافیک چرخشی)؛ برای مثال وقتی کلاینت VPN از داخل همان شبکه به آدرس عمومی VPN خودش متصل می‌شود و ترافیک دوباره از همان دروازه برمی‌گردد.
نکته آزمون
جدول پروتکل‌های IPsec را حفظ کنید: ESP=50، AH=51، IKE=UDP 500. همچنین در سوالات، tunnel معمولاً نشانه site-to-site و transport نشانه ارتباط مستقیم دو میزبان است.
جمع‌بندی
VPN را در چهار پرسش مرور کنید: چه چیزی را به هم وصل می‌کند (site-to-site یا remote access)، با کدام پروتکل (IPsec یا TLS)، در کدام حالت (transport یا tunnel) و با چه تونلی (split یا full). با این چهار پرسش هر سناریوی VPN را تحلیل می‌کنید.
ESP payload را رمزنگاری و احراز می‌کند؛ AH فقط احراز می‌کند و رمزنگاری ندارد.
IKE مسئول تبادل کلید و تأیید هویت است (UDP 500).
TLS VPN از پورت 443 استفاده می‌کند و از فایروال‌ها عبور می‌کند.
VPN site-to-site برای چه سناریویی مناسب است؟
چه زمانی site-to-site و چه زمانی remote access VPN استفاده می‌کنیم؟
site-to-site برای اتصال دائم دو شبکه (مثل دفتر مرکزی و شعبه) مناسب است؛ remote access برای کاربران متحرک که باید از خانه یا سفر به شبکه داخلی وصل شوند.
فرق ESP و AH چیست؟
ESP (پروتکل 50) داده را رمزنگاری و احراز هویت می‌کند؛ AH (پروتکل 51) فقط یکپارچگی و احراز هویت را تضمین می‌کند بدون رمزنگاری. به همین دلیل ESP در عمل رایج‌تر است.
حالت tunnel در IPsec چه تفاوتی با transport دارد؟
در حالت transport فقط payload بسته IP رمزنگاری می‌شود و هدر اصلی حفظ می‌شود؛ در حالت tunnel کل بسته IP درون یک بسته جدید کپسوله و رمزنگاری می‌شود که برای site-to-site لازم است.