VPN là gì? Cách đường hầm, mã hóa và định tuyến hoạt động

Scrapeless Proxies cung cấp các điểm ra mạng có thể lựa chọn cho các quy trình dữ liệu trên web công khai được ủy quyền cần áp dụng các khái niệm VPN được giải thích trong hướng dẫn này.

Ý nghĩa của VPN

Mạng riêng ảo là một mạng logic được xây dựng trên một mạng khác, thường sử dụng đường hầm đã được xác thực và mã hóa giữa một thiết bị hoặc cổng và một điểm cuối VPN. Định nghĩa này tuân theo Hướng dẫn NIST cho triển khai VPN IPsec, cung cấp từ vựng kỹ thuật cần thiết để tách giao thức hoặc định danh ra khỏi các tuyên bố sản phẩm và từ thông dụng hàng ngày.

VPN bảo vệ lưu lượng trên lối đi được bảo vệ bởi đường hầm và thay đổi địa chỉ ra công cộng, nhưng không làm cho người dùng trở nên ẩn danh, không bảo vệ một thiết bị đã bị xâm phạm trước đó, hoặc kiểm soát những gì một đích đến làm với dữ liệu nhận được. Ranh giới đó là thực tế: các nhà điều hành nên mô tả những gì được quan sát trên mạng, xác định điểm cuối hoặc prefix liên quan, và tránh biến một tín hiệu thành một tuyên bố về một người, thiết bị, hoặc kết quả an ninh.

Mô hình tư duy hữu ích nhất là một chuỗi trách nhiệm. Một ứng dụng tạo ra dữ liệu, một hệ điều hành chọn lộ trình, một trung gian có thể thay đổi con đường, và đích đến đánh giá những gì đến. VPN chiếm một vị trí cụ thể trong chuỗi đó. Nó nên được kết hợp với xác thực, mã hóa, chính sách truy cập và đo lường khi những kiểm soát đó là cần thiết.

VPN hoạt động như thế nào

VPN trở nên dễ lý luận hơn khi chuỗi là rõ ràng. Chi tiết triển khai khác nhau, nhưng các giai đoạn sau đây cho thấy thành phần nào đưa ra quyết định nào và nơi sai sót có thể xảy ra.

Xác thực điểm cuối

Một máy khách VPN và cổng thiết lập rằng họ được ủy quyền để truyền thông. Tùy thuộc vào thiết kế, xác thực có thể sử dụng chứng chỉ, khóa mật mã, thông tin xác thực người dùng hoặc hệ thống danh tính doanh nghiệp. Một nhà điều hành nên ghi lại đầu vào, đầu ra mong đợi và ranh giới ở giai đoạn này để việc khắc phục sự cố sau này có thể phân biệt cấu hình với hành vi mạng từ thượng nguồn.

Thiết lập đường hầm

Các bên đàm phán các tham số bảo mật và tạo ra một giao diện ảo hoặc liên kết được bảo vệ. Hệ điều hành có được các lộ trình quyết định gói tin nào vào đường hầm. Một nhà điều hành nên ghi lại đầu vào, đầu ra mong đợi và ranh giới ở giai đoạn này để việc khắc phục sự cố sau này có thể phân biệt cấu hình với hành vi mạng từ thượng nguồn.

Bao gói và mã hóa

Các gói tin gốc được bao gói để vận chuyển qua mạng công cộng. Các thiết kế VPN bảo mật mã hóa và bảo vệ tính toàn vẹn của dữ liệu được bao phủ giữa các điểm cuối đường hầm. Một nhà điều hành nên ghi lại đầu vào, đầu ra mong đợi và ranh giới ở giai đoạn này để việc khắc phục sự cố sau này có thể phân biệt cấu hình với hành vi mạng từ thượng nguồn.

Giải bao gói và chuyển tiếp

Điểm cuối nhận xác minh và giải bao gói gói tin, sau đó chuyển tiếp chúng về phía một mạng nội bộ hoặc internet công cộng. Lưu lượng trả về theo lối đi được bảo vệ tương ứng. Một nhà điều hành nên ghi lại đầu vào, đầu ra mong đợi và ranh giới ở giai đoạn này để việc khắc phục sự cố sau này có thể phân biệt cấu hình với hành vi mạng từ thượng nguồn.

định nghĩa NIST về VPN cung cấp thêm chi tiết chuẩn mực hoặc hoạt động cho quy trình này. Một tài liệu tiêu chuẩn định nghĩa hành vi giao thức; nó không hứa rằng mọi máy khách, nhà cung cấp, hoặc mạng đều cho phép mọi khả năng tùy chọn. Tính tương thích nên được xác minh so với triển khai thực tế.

Tại sao VPN quan trọng

Giá trị của VPN đến từ việc khớp chức năng thực tế của nó với một yêu cầu cụ thể. Các lợi ích sau đây là hữu ích khi chúng giải quyết một vấn đề đã quan sát thay vì hoạt động như những lý do chung để thêm một lớp mạng khác.

• Truy cập từ xa. Nhân viên được ủy quyền có thể truy cập các dịch vụ riêng mà không phải làm lộ mỗi ứng dụng nội bộ trực tiếp ra internet công cộng. Lợi ích này nên được xác nhận với lưu lượng đại diện và tiêu chí thành công được tài liệu hóa.
• Kết nối site. Các cổng có thể liên kết các mạng chi nhánh, đám mây và trung tâm dữ liệu qua cơ sở hạ tầng chia sẻ. Lợi ích này nên được xác nhận với lưu lượng đại diện và tiêu chí thành công được tài liệu hóa.
• Bảo vệ đường dẫn cục bộ. Mã hóa giới hạn những gì một mạng truy cập không đáng tin có thể đọc hoặc thay đổi giữa khách hàng và điểm cuối VPN. Lợi ích này nên được xác nhận với lưu lượng đại diện và tiêu chí thành công được tài liệu hóa.
• Chính sách trung tâm. Các tổ chức có thể áp dụng định tuyến, xác thực, ghi lại và quy tắc truy cập tại một cổng kiểm soát. Lợi ích này nên được xác nhận với lưu lượng đại diện và tiêu chí thành công được tài liệu hóa.

VPN phù hợp với ngăn xếp mạng

Bảng tóm tắt hành vi hơn là xếp hạng công nghệ. Một sự lựa chọn hợp lý bắt đầu từ phạm vi lưu lượng, hỗ trợ khách hàng, ranh giới tin cậy, và kết quả phải được tái tạo.

Hướng dẫn của IETF về chế độ hầm IPsec là một người bạn hữu ích vì các giao thức và danh sách đăng ký liền kề thường xác định các ranh giới mà một bảng so sánh ngắn không thể thể hiện. Khi thuật ngữ khác nhau giữa các công cụ, hãy ưu tiên tiêu chuẩn và tài liệu của khách hàng hơn là một giả định dựa trên nhãn cài đặt.

Các trường hợp sử dụng VPN phổ biến

Những kịch bản này cho thấy nơi VPN đóng góp một chức năng kỹ thuật rõ ràng. Mỗi quy trình làm việc nên nằm trong dữ liệu công cộng hoặc được ủy quyền, tôn trọng các quy tắc áp dụng, và ghi lại đủ ngữ cảnh để tái tạo kết quả.

Giới hạn VPN và Ranh giới Tin cậy

Không cơ chế mạng nào nên nhận được một yêu cầu mạnh mẽ hơn endpoints của nó và bằng chứng hỗ trợ. VPN có thể ảnh hưởng đến định tuyến, địa chỉ, hoặc hành vi vận chuyển, nhưng ứng dụng, thông tin xác thực, trạng thái thiết bị, và danh tính người dùng vẫn là các lớp riêng biệt.

Điểm kết nối được tin cậy

Lưu lượng có thể rời khỏi hầm mã hóa tại cổng VPN, vì vậy hoạt động và chính sách của endpoint là quan trọng. Phản ứng an toàn là tài liệu hóa ranh giới và thêm kiểm soát bị thiếu một cách rõ ràng.

Các điểm đến vẫn quan sát hoạt động

Dịch vụ thấy địa chỉ điểm ra VPN và có thể sử dụng đăng nhập, cookie, và tín hiệu trình duyệt. Kiểm tra nên bao gồm một trường hợp tiêu cực chứng minh điều gì xảy ra khi giả định này là sai.

Định tuyến có thể rò rỉ ra ngoài hầm

Các lộ trình chia tách, cấu hình DNS, IPv6, hoặc hành vi cụ thể của ứng dụng có thể tạo ra các đường dẫn không mong đợi. Phản ứng an toàn là tài liệu hóa ranh giới và thêm kiểm soát bị thiếu một cách rõ ràng.

Hiệu suất có giới hạn vật lý

Mã hóa, bao bọc, tắc nghẽn, và khoảng cách đến cổng có thể thêm chi phí. Kiểm tra nên bao gồm một trường hợp tiêu cực chứng minh điều gì xảy ra khi giả định này là sai.

Cách Chọn và Xác thực VPN

Quy trình quyết định cho VPN nên đủ ngắn để lặp lại và đủ cụ thể để kiểm toán. Bắt đầu với yêu cầu ứng dụng, xác định lộ trình được bảo vệ hoặc đo lường, và sau đó kiểm tra cấu hình nhỏ nhất có thể thỏa mãn nó.

1. Xác định lộ trình được bảo vệ. Xác định khách hàng, cổng, điểm đến, gia đình địa chỉ và trình giải quyết DNS để ranh giới đường hầm có thể nhìn thấy thay vì bị giả định.
2. Chọn định tuyến toàn phần hoặc chia tách một cách có chủ đích. Đường hầm toàn phần tập trung lưu lượng nhưng tiêu tốn nhiều dung lượng cổng; đường hầm chia tách giảm tải nhưng tạo ra nhiều đường tin cậy.
3. Bảo vệ điểm cuối. Cập nhật các cổng và khách hàng, sử dụng xác thực mạnh, hạn chế quyền truy cập quản lý, và theo dõi sự thay đổi cấu hình.
4. Lập kế hoạch hành vi thất bại. Quyết định xem lưu lượng có nên dừng lại hay sử dụng mạng trực tiếp khi đường hầm không khả dụng, sau đó kiểm tra chính sách đó.
5. Đo lường trải nghiệm ứng dụng. Theo dõi độ trễ, thông lượng, phân giải tên, và đối xứng lộ trình từ vị trí người dùng thực tế.

Giữ cho hồ sơ xác thực dễ đọc: khách hàng và phiên bản, gia đình địa chỉ, điểm đến, hành vi DNS, lộ trình cổng hoặc lộ trình trực tiếp, dấu thời gian, kết quả kỳ vọng, kết quả quan sát được, và bất kỳ chính sách nào liên quan. Xóa bí mật. Hồ sơ này phân tách quyết định giao thức khỏi sự thành công hoặc thất bại không được giải thích.

Những sai lầm VPN cần tránh

Hầu hết các lỗi xuất phát từ việc hợp nhất nhiều lớp thành một nhãn. Các sửa đổi dưới đây thay thế một giả định rộng bằng một tuyên bố có thể kiểm tra.

• Đặt một IP mới với sự ẩn danh. Các ứng dụng có thể xác định người dùng thông qua nhiều tín hiệu mà một VPN không loại bỏ.
• Để lại các lộ trình không tài liệu. Một đường hầm không thể bảo vệ các gói mà định tuyến gửi đến nơi khác.
• Bỏ qua DNS và IPv6. Cả hai có thể đi qua một con đường khác từ lộ trình ứng dụng IPv4 được mong đợi.
• Đối xử với mọi VPN như nhau. Giao thức, quyền sở hữu điểm cuối, chính sách ghi chép, và mô hình truy cập thay đổi kết quả bảo mật.

Một sai lầm phổ biến khác là so sánh các nhà cung cấp, địa điểm, và giao thức khác nhau trong một thay đổi. Giữ càng nhiều biến số không đổi càng tốt. Nếu kết quả thay đổi, kiểm tra định tuyến, DNS, nhật ký điểm cuối, và trạng thái ứng dụng trước khi xác định nguyên nhân là do VPN.

Sử dụng Proxy không rác cho VPN

Proxy không rác hỗ trợ tùy chọn proxy ISP tĩnh, nhà ở, trung tâm dữ liệu và IPv6 cho việc thu thập dữ liệu được ủy quyền và kiểm tra khu vực. Quyết định sản phẩm liên quan là loại xuất, địa điểm, gia đình địa chỉ, hỗ trợ giao thức, và hành vi phiên làm việc cần thiết cho quy trình.

Một proxy thay đổi điểm quan sát mạng; nó không tự động sao chép vị trí thiết bị, lịch sử tài khoản, trạng thái trình duyệt, hoặc quyền truy cập. Giữ những biến số đó rõ ràng. Đối với công việc được trình duyệt hiển thị, bảo vệ cookie và trạng thái phiên khi bài kiểm tra yêu cầu sự liên tục, và sử dụng các phiên tách biệt khi các trường hợp cần phải độc lập.

Đo lường kết quả quan trọng: nội dung khu vực chính xác, kết nối thành công, phiên ổn định, gia đình địa chỉ kỳ vọng, hoặc cấu trúc phản hồi nhất quán. Tránh khẳng định rằng kích thước bể, tên giao thức, hoặc nhãn địa điểm chứng minh thành công cho mọi điểm đến.

Kết luận

Mạng riêng ảo là một mạng logic được xây dựng trên một mạng khác, thường sử dụng một đường hầm được xác thực và mã hóa giữa một thiết bị hoặc cổng và một điểm cuối VPN. Nhiệm vụ thực tế là đặt chức năng đó vào bên trong lớp đúng, xác minh hành vi tùy chọn, và tài liệu ranh giới tin cậy. Một VPN bảo vệ lưu lượng trên lộ trình được bao phủ bởi đường hầm và thay đổi địa chỉ xuất công cộng, nhưng nó không làm cho người dùng trở nên ẩn danh, bảo mật một thiết bị đã bị xâm phạm, hoặc kiểm soát những gì một điểm đến làm với dữ liệu nhận được.

Để triển khai, hãy bắt đầu với một khách hàng đại diện và một điểm đến. Xác nhận lộ trình, phân giải tên, gia đình địa chỉ, xác thực, ranh giới mã hóa, và đầu ra quan sát. Mở rộng chỉ sau khi trường hợp đơn lẻ đã được hiểu. Chuỗi đó tạo ra các quyết định tồn tại khi có sự thay đổi trong công cụ, nhà cung cấp và điều kiện mạng.