VPN
Virtual Private Netwokr
Lokasyonlar arasında ya da kullanıcılar arasında güvensiz bir ortamdan verilerinizi transfer edilirken bizim için bir tünel oluşturulmasına ve tünel içerisinden authentication,integrity ve confidentialty nin sağlandığı birer ağdır. VPN sayesinde sanal ağa bağlanan bir cihaz fiziki olarak o konumda bulunuyormuş gibi o ağın fonksiyonel, güvenlik ve yönetim özelliklerini kullanır.
Merkez sitemiz ve bunun şubeleri var ya da partnerleri var. O şube ya da partnerler üzerinden bir trafiği iletmek ve erişim sağlamak istersek internet üzerinden erişiyoruz. İnternet üzerinden erişim ise güvenli değildir. İnternet üzerinden güvenli bir şekilde iletişim kurmaya yarayan bir yapıdır. Faydaları ise şu şekilde, Güvenirlik,Ölçeklenebilirlik,Yaygın olarak kullanılabiliyor. ve Maliyet tasarrufu da sağlıyor.
Topolojiler olarak baktığımızda site-to-site VPN diye bir Vpn var. Yani sol tarafta bir router sağ tarafda ise VPN gateway cihazımız var. Bu bir routerda olabilir. Sol tarafdaki şubeyi, sağ tarafdaki şubeye yani Site'ı diğer site'a bağlayan teknoloji olabilir.
Bu tüneller genellikle border routerlarda yapılır. Ya da resimdeki gibi vpn gateway ile
Bu router'ın arkasında olanlar işin farkında farkında değillerdir. Yani burada vpn mi gerçekleşiyor gerçekleşmiyor mu bilmiyorlardır. Çünkü olaylar tamamen bu sınır cihazlar üzerinde yapılır.
Diğer bir VPN türü ise Remote Access orada da yine biz kurumsal mobil çalışanız,evimizden çalışıyoruz veya iş itibari ile lokasyon değiştirdik. Güvensiz ortamlardan, güvenli olan ağımıza bağlanma ihtiyacı isteriz. Dolayısıyla bir router konfigurasyonu yapamazsınız. Client üzerinden işlem yapmamız gerekiyor. Yani Client bu VPN bağlantısını başlatır.
Remote Acces VPN'lerde genel itibariyle 2 tür vardır. Clientless yani herhangi bir client yazılımın kurmadığı. Bir browser üzerinden yapabildiğimiz SSL üzerinden yaptığımız VPN türüdür. Bir diğeride yazılım üzerinden merkezimize bağlandığımız ve bizim için bir VPN tüneli oluşturulduğu transferimizin,veri akışımızın bu tünel içerisinden gerçekleştirdiğimiz kısmı ifade ediyor.
SSL VPN, Authentication süreçleri dijital sertifikalar ile yapıldığı bir mantık diğer bir yapı ise IPsec, IP'nin güvenliğini sağlayan bir mimari bir framework
Site-to-Site Vpnlerde IPsec tüneli burada oluşturuluyor. IPsec tüneli üzerinden bizim sınır cihazımızda yapılandırmalardan arka taraftaki kullanıcılar habersizdir. Kaynak ile hedef arasında VPN tünelleri kurabiliriz.
IP yapı itibari ile güvensizdir. Onu güvenli hale getirmişler IPSec de buradan geliyor. IPnin güvenliğini sağlayan bir framework.
IPsec çerçevesini kullanan IPsec, şu temel güvenlik işlevlerini sağlar:
•Gizlilik - IPsec, siber suçluların önlemek amacıyla paket içeriğini okumasını önlemek için şifreleme algoritmaları kullanır. DES, 3DES,AES,SEAL •Bütünlük - IPsec, paketlerin kaynak ve hedef arasında değiştirilmediğinden emin olmak için hashing algoritmaları kullanır. MD5,SHA •Kimlik doğrulaması - IPsec, kaynak ve hedefin kimliğini doğrulamak için İnternet Anahtar Değişimi (IKE) protokolünü kullanır. Pre-Shared Key(passwords), dijital sertifikalar veya RSA sertifikaları dahil olmak üzere kimlik doğrulama yöntemleri. •Diffie-Hellman - Tipik olarak çeşitli DH algoritması gruplarını kullanarak güvenli anahtar değişimi.
IPsec de karşımıza 2 tane protokol çıkıyor birisi AH ve diğeri ise ESP bunların birbirlerine göre şöyle farklılıkları var. AH, Confidentially desteklemiyor. Yani AH protokolünü kullanacaksanız eğer Kriptolama yapamazsınız. ESP kullanacaksanız o zaman kriptolama yapabiliyorsunuz .İkisinin beraber kullanımı çok yaygın değil.
Authentication Header
AH (Authentication Header) Bütün paketlere uygulanırken, paketin başlık bilgisi ile ilgili herhangi bir değişiklik yapmıyor. Paketin başlık bilgisi aynı kalıyor. ESP ise bütün paketi komple şifrelemiş oluyor. Başına tekrardan IP header eklenmiş oluyor. Tıpkı GRE tünelleri gibi.
ISP'de routing olmadığı için PCler birbirleri ile haberleşemiyecek. ISP router'ı 1.0 ve 2.0 ağını tanımıyor. Buraya tünek yaparak bunu geçebiliriz. GRE tüneli (Generic Routing Encapsulation) denilen bir tünel. Yani sanki R1 router ile R2 router arasında bir bağlantı varmış gibi düşüneceğiz ve tünel kuracağız.
Hedef ip adresimi 192.168.2.2 ve eşleştiği yere neresiyse oraya gönderecek. 10.1.2.2'ye.
Routera girersek ve çıkarken ip adresleri şu şekilde.
Aslında header başına bir tane daha header eklemiş oluyorum. Aslında 192.168.1.2den 2.2 ye gidiyor.
Yani ip headerına yeni bir ip header eklemiş oluyorum. Bu paket ISP'ye geldiğinde ISP 78.1.1.1den gelip 88.1.1.1' e giden paket görür. ISP 88'li networke yönlendirebilir bunda bir sakınca yoktur. Çünkü bildiği bir networktür.
Dolayısıyla karşı tarafa gelir. Karşı tarafa geldiğinde, karşı taraf paketi açtığında aslında paketin içerisinde bir GRE başlık bilgisi olduğunu görüp , bir header içerisinde başka bir header olduğunu görüp 192.168.1.2 den 2.2 ye giden bir mesaj olduğunu görür.
R2 dış başlık bilgisini söker atar ve paketi doğru yere yönlendirmiş olur. Paket ISP'de 1 defa açılıyor Routerda 2 defa açılmış oluyor.
Buradaki risk GRE paketlerinin kriptolanmadan gitmesidir.
IKE Protokol
IPSec'e bir takım özellikler ekleyen ve konfigurasyonu basitleştiren bir protokol aslında. ISAKMP (Internet Security Association Key Management ) denilen yapıyı kullanıyor. UDP 500 nolu portu kullanıyor. Site-to-Site yapıda soldaki router ile sağdaki router arasında uzlaşı sağlıyor. Sağdaki router ne destekliyor soldaki router ne destekliyor bunlar arasında negotation sağlıyor.
Site-To-Site VPN Konfigurasyonu
Bu kısımlara göre Phase 1-2 oluşturacağım.
NAT söyle çalışır. Senin private ip adresin var. Eriştiğin sunucunun Real ip adresi var. Hedef ip adresi Real ip adresi olacak. Ama iki taraf da private adresi ise haberleşemezler. 2 private ip adresinin internet üzerinden haberleşmesi için tünel yapmamız gerekiyor.
Last updated