Текст книги "Wi-Fi. Беспроводная сеть"

Автор книги: Джон Росс

сообщить о нарушении

Текущая страница: 17 (всего у книги 19 страниц)

Центр NASA использует Apache на выделенном сервере для создания Web-сайта, уведомляющего пользователей о вводе названия учетной записи и пароля.

Сервер использует скрипт Perl/CGI для сравнения логина и пароля с базой данных. Если они правильные, он инструктирует сервер о принятии команд и данных по IP-адресу пользователя. Если в базе данных логина нет или пароль неточный, сервер Apache отображает Web-страницу «Invalid Username and Password – («Неверный логин и пароль»).

Web-сервер Apache доступен как Unix приложение, которое запускается на старом медленном компьютере с ранним Pentium или лаже 486 CPU, поэтому часто можно заново использовать старый компьютер, который больше не применяется в повседневной работе, чтобы задействовать его в качестве брандмауэра. Как приложение Apache, так и операционная система Unix доступны в качестве открытого программного обеспечения, поэтому далжна быть возможность построить брандмауэр на базе Apache за предельно низкую стоимость.

Если вы предпочитаете вместо Unix использовать Windows, у вас есть несколько вариантов. Можно использовать Windows NT/2000 версию Apache либо такую коммерческую утилиту, как Wireless Enforcer от Sygate (http://www.sygate.com/prodacls/sse/sse_swe_securjty.htm) – Wireless Enforcer работаете другими элементами Sygate Secure Enterprise Suite (Комплект корпоративной защиты Sygate) для назначения и проверки уникального отпечатка пальца каждому авторизованному пользователю. Если посторонние пытаются подключиться к точке доступа без необходимого отпечатка, сеть блокирует их.

Изолирование вашей сети от Интернета

Не все атаки на беспроводную сеть осуществляются по воздуху. Беспроводная сеть требует такого же рода брандмауэрной поддержки против атак из интернета, как и любая другая сеть. Многие точки доступа содержат функции конфигурируемого брандмауэра, но, если ваши этого не обеспечивают, сеть должна содержать один или более следующих брандмауэров:

– программа брандмауэра на каждом компьютере;

– отдельный маршрутизатор или выделенный компьютер для работы в качестве сетевого брандмауэра;

– интегрированный пакет защиты, например пакет Sygate, описанный в предыдущем разделе.

Клиентские программы брандмауэров обеспечивают другую линию защиты от атак вашей сети через Интернет. Некоторые из них исходят от недоброжелателей, ищущих способ прочесть ваши файлы и другие ресурсы, которые вы хотите скрыть от внешнего мира. Другие могут захотеть использовать ваш компьютер в качестве рассыльной точки для спама или попыток внедрения в компьютер в другой точке земного шара, чтобы сделать реальный ресурс сложнее для отслеживания. Остальные распространяют вирусы или используют нежелательные программы, перехватывающие управление компьютером и отображающие устрашающие или рекламные сообщения. К тому же незащищенная машина с большим объемом неиспользуемого пространства хранения может стать привлекательной мишенью для хакеров, желающих распространять пиратское программное обеспечение, музыку или видеофайлы (не думаете же вы, что они хранят этот хлам на своих собственных компьютерах?).

Если вы установите брандмауэр, уведомляющий вас о попытке внешнего компьютера подключиться к сети, то, скорее всего, будете отмечать несколько попыток вторжения каждый день.

Точки доступа с брандмауэрами

Самым простым вариантом использования брандмауэра для беспроводной сети является использование встроенного в точку доступа. Некоторые сочетают функции беспроводной точки доступа с широкополосным маршрутизатором и свитчем Ethernet, поэтому поддерживают как проводных, так и беспроводных сетевых клиентов.

Как известно, сетевой маршрутизатор обеспечивает преобразование между числовым IP-адресом, определяющим шлюз локальной стеи, и внутренними IP-адресами, определяющими индивидуальные компьютеры в ее пределах. Брандмауэр обычно блокирует все входящие запросы данных к локальным сетевым хостам, но это создает проблемы, когда вы хотите использовать один или более компьютеров локальной сети в качестве файловых серверов. Для решения этой проблемы брандмауэр включает виртуальный сервер, который перенаправляет запросы определенного типа на соответствующий компьютер внутри сети.

Каждый запрос на подключение к серверу содержит номер конкретного порта, определяющего тип сервера. Например, Web-серверы работают с портом 80, a FTP используют порт 21, поэтому номера этих портов являются частью запроса на доступ. Принимая запросы на доступ к серверу, вы должны включить в брандмауэре функцию преобразования сетевого адреса – network address translation (NAT) для направления этих запросов на заданный компьютер в пределах локальной сети. На рис. 14.7 виртуальный сервер сконфигурирован для использования компьютера с локальным IP-адресом 192.168.0.177 в качестве Web-сервера и 192.168.0.164 в качестве FTP файлового сервера. В табл. 14.1 приведены наиболее распространенные номера служебных портов.

Табл. 14.1 Распространенные номера служебных портов протокола TCP/IP

В разных сетях используются сотни номеров других портов, но большинство из них вы никогда не встретите в реальном использовании. Официальный список назначенных портов находится на http://www.iana.org/assignments/port-numbers.

Рис. 14.7

NAT-преобразование предполагает, что IP-адреса каждого виртуального сервера от одного запроса к следующему меняться не должны. Web-сервер с текущим номером 192.168.0.23 не должен через неделю переходить на 192.168.0.47. Обычно это не является проблемой в проводной сети, но в беспроводной, где сетевые клиенты подключаются и выходят непрерывно. DHCP-сернер автоматически присваивает следующий доступный номер каждому новому клиенту. Если один из этих пользователей является месторасположением одного из сетевых служебных портов, NAT, возможно, его не обнаружит. Проблема эта не слишком распространена, так как в большинстве сетей в качестве серверов не используются портативные компьютеры, но иногда такое случается. Решением является либо отключение DHCP-сервсра и назначение постоянного IP-адреса каждому клиенту, либо перемещение служебного порта на компьютер, имеющий проводное соединение с сетью.

Брандмауэрное программное обеспечение

Брандмауэр беспроводного шлюза на интерфейсе между точкой доступа и проводной частью вашей LAN предотвратит использование сети посторонними для выхода в Интернет, а брандмауэр интернет-подключения отклонит попытки подключения к сети из Интернета, но для беспроводной сети необходима еще одна форма защиты. Если кто-либо получает доступ к вашей беспроводной сети без разрешения, вы захотите избавить от него другие легальные компьютеры в этой же сети. Это означает, что вам необходима программа брандмауэра клиента для каждого сетевого узла.

Брандмауэр клиента выполняет те же функции на сетевом интерфейсе компьютера, которые сетевой или корпоративный брандмауэр выполняет для всей сети. Он обнаруживает попытки подключения к портам TCP и игнорирует их, если они не совпадают с одной или более конфигурационными настройками программы брандмауэра.

Некоторые брандмауэры доступны в виде испытательной версии, а другие являются бесплатными для некоммерческих пользователей, поэтому можно легко попробовать их на вашей собственной системе и выбрать наиболее понравившийся.

Ниже приведены некоторые программы для Windows:

– ZoneAlarm (http://www.zonelabs.com/store/content/home.jsp):

– Tiny Personal Firewall (http://www.tinysoftware.com/pwall.php):

– Sygate Personal Firewall (http://www.sygate.com/products/shield_ov.htm)

– Norton Desktop Firewall (http://enteriprisesecurity.Symantec.com).

– Norton Personal Firewall (http://www.symantec.com):

– GFI LANguard (http://www.languard.com).

Пользователи Unix и Linux также имеют многие функции брандмауэра. Большинство из них были написаны для использования на автономных брандмауэрных компьютерах, которые широко применяются в качестве сетевых шлюзов, но они в равной степени могут выступать в качестве защиты индивидуальных сетевых клиентов.

В Linux брандмауэр является частью ядра, пользователь работает с ним через консольные утилиты – либо ipchains, либо iptables. Обе документированы на http://linuxdoc.org/HOWTO/IPCHAINS-HOWVTO.html и http://www.netfilter.org/unreliable-guides/packet-filtering-HOWTO соответственно. IP Filter представляет собой программный пакет, обеспечивающий службы брандмауэра для систем FreeBSD и NetBSD. Официальный Web-сайт IP Filter находится на http://coombs.anu.edu.au/-avalon, а на http://www.obfuscation.org/ipf/ipf-howto.txt представлен отличный документ по его использованию. Программа может отклонять или разрешать любой пакет, проходящий через брандмауэр, а также выполнять фильтрацию по сетевой маске или адресу хоста, реализовать ограничения по служебному порту и обеспечивать службы NAT-преобразования.

NetBSD/i386 Firewall является другим бесплатным брандмауэром на Unix.

Он работает на любом PC с 486-м или более современном CPU с минимальным объемом памяти 8 Мб. Домашняя страница NetBSD/i386 Firewall Project находится на http://www.dubbele.com.

PortSentry является инструментом определения сканируемых портов, интегрируемым в несколько широко используемых версий Linux, включая Red Hat, Caldera, Debian и Turbo Linux. Он доступен для загрузки на http://www.psionic.com/products/portsentry.html.

Виртуальные частные сети

Изолируя подключение между сетевыми узлами от другого сетевого трафика, VPN может добавлять еще один уровень защиты. VPN является кодированным каналом передачи, который соединяет две сетевые конечные точки через «туннель данных». Многие эксперты по сетевой защите рекомендуют VPN как эффективный способ защиты беспроводной сети от недоброжелателей и неавторизованных пользователей. Вы можете найти более подробную информацию о настройке и использовании VPN в следующей главе.

Физическая защита

До сих пор мы говорили о предотвращении доступа электронных воришек в вашу сеть. Достаточно просто получить доступ к сети, используя имеющееся в наличии оборудование, которое еще не было для нее сконфигурировано. Сделать это еще проще, если у злоумышленника есть компьютер, украденный у авторизованного пользователя.

Потерять портативный компьютер малоприятно. Еще хуже позволить похитителю использовать украденный компьютер для ретстрации в сети. Как сетевой оператор вы должны напоминать своим пользователям, что их портативные устройства – это привлекательные мишени для воришек, и предлагать некоторые советы по их защите. Будучи пользователем, вы и сами должны придерживаться тех же правил.

Первое правило простое – не забывайте о том, что вы носите компьютер. Это кажется очевидным, но водители такси в Лондоне нашли примерно 2900 ноутбуков (и 62 ООО мобильных телефонов!), оставленных в автомобилях в течение шести месяцев. Бесчисленное количество других были оставлены в самолетах, гостиничных номерах, пригородных электричках и конференц-залах. Не афишируйте то, что вы носите компьютер. Нейлоновые сумки с крупной надписью «IВМ» или «COMPAQ» на боку могут выглядеть модно, но они не так безопасны, как обычный портфель или хозяйственная сумка.

Держите компьютер в руках или на плече всегда, когда он не заперт в шкафу или камере хранения. Отвлекитесь на минуту – и опытный вор сможет его похитить. Терминалы аэропортов, железнодорожные станции и вестибюли отелей являются привычными местами для краж. Не оставляйте незащищенный персональный компьютер в офисе на ночь. Не пропускайте его через сканеры в аэропортах. Попросите контролера досмотреть его собственноручно или удостоверьтесь, что можете вернуть компьютер сразу же после того, как он закончит прохождение по ленте транспортера. Два человека, работающих в паре, могут элементарно задержать вас и украсть компьютер до того, как он окажется у вас. Если кто-либо пытается стащить компьютер во время проверки багажа, поднимите шум и позовите на помощь охрану. Удостоверьтесь, что ваши компьютеры и отдельные компоненты, такие как РС-карты, имеют ярлыки, указывающие на право собственности, внутри и снаружи.

Компания Security Tracking of Office Property (http://www.stoptheft.com) предлагает регистрируемые защитные печатные ярлыки на цианокрилатном клее, для удаления которых требуется усилие в 360 кг, с нестираемой химической маркировкой «Похищенная собственность», которая проявляется, если кто-либо удалит ярлык.

Если вы можете убедить своих клиентов использовать на компьютерах устройства оповещения, это может повысить шансы на их возвращение. ТгаскIТ (http://www.trackit-corp.com) представляет собой устройство оповещения, состоящее из двух частей, которое использует пристегиваемый цепочкой передатчик и миниатюрный приемник, находящийся в компьютерной сумке. Когда передатчик находится на расстоянии более 12 м от приемника, тот издает сирену силой 110 дБ, что обычно заставляет вора бросить украденную сумку.

И наконец, храните список моделей и серийных номеров отдельно от самих устройств. Эта информация необходима вам для страхового требования.

Когда вы обнаруживаете, что один из компьютеров, подключенных к вашей сети, был утерян или украден, важно защитить остальную сеть. По возможности смените сетевой SSID, пароль и WEP-ключи как можно скорее. Если ваша сеть использует список МАС-адресов для управления доступом, удалите МАС-адрес похищенного устройства из списка авторизованных подключений.

Объединение вашей сети с миром

Если вы используете беспроводную сеть для обеспечения коллективного доступа в Интернет окрестной сети или кампуса или хотите позволить заказчикам и другим посетителям подключаться к вашей беспроводной сети, не стоит использовать WEP или другие инструменты защиты для ограничения доступа известными пользователями, но все же необходимо обеспечить некоторые меры защиты.

Ваше желание предоставить людям прямое подключение к Интернету не означает, что вы хотите позволить им бродить по другим компьютерам вашей сети, – необходимо изолировать беспроводные точки доступа от остальной ее части.

Если все локальные узлы вашей сети подключены по проводам, наилучшим методом будет размещение брандмауэра между беспроводной точкой доступа и проводной LAN, что позволит точке доступа (и компьютерам, подключенным к ней через беспроводные соединения) подключаться только к Интернету, а не к любому из локальных узлов проводной сети, как показано на рис. 14.8.

Тем не менее, если некоторые из ваших домашних компьютеров используют беспроводные подключения, необходимо защитить их от доступа посторонних, использующих коллективную часть вашей сети. Для осуществления этого плана существует пара способов: на рис. 14.9 показана беспроводная сеть с программным брандмауэром на каждом домашнем компьютере, а на рис. 14.10 – система, использующая две отдельные беспроводные сети с разными SSID, подключенные к одному и тому же интернет-узлу. Основным правилом является использование одного или более брандмауэров для изолирования коллективной части вашей сети от компьютеров, которые вы не хотите делать доступными для остального мира.

Рис. 14.8

Рис. 14.9

Рис. 14.10

Глава 15. Виртуальные частные сети

Инструменты защиты в спецификации 802.11 недостаточно хороши для защиты данных, передаваемых через беспроводную сеть. Итак, что же является альтернативой? Виртуальная частная сеть (VPN) может добавить другой эффективный способ защиты данных, перемещающихся от беспроводного сетевого клиента к хосту, который может располагаться везде, где есть сетевое подключение.

Для соединения двух точек по сети через кодированный канал VPN использует «туннель данных». Конечные точки могут являться отдельным сетевым клиентом и сетевым сервером, парой компьютеров клиентов или других устройств, а также шлюзами в паре сети. Данные, проходящие через коллективную сеть, являются полностью изолированными от другого сетевого трафика. При этом используется аутентификация с помощью логина и пароля для ограничения доступа авторизованными пользователями, кодирование данных, чтобы сделать их непонятными для посторонних, и аутентификация данных для управления целостностью каждого пакета данных и гарантии того, что все данные происходят от легитимных сетевых клиентов. VPN является не только другим уровнем шифрования. VPN изолирует весь сквозной путь данных от других сетевых пользователей, поэтому неавторизованные пользователи не могут их получить. Работа VPN-сетей протекает на IP-(сетевом) уровне ISO-модели. Поэтому они могут работать выше протоколов 802.11b, работающих на физическом уровне. VPN могут также пропускать данные через сетевое подключение, содержащее более одной физической среды (например, беспроводное соединение, пропускающее данные по направлению к проводной Ethernet-сети). Другими словами, VPN является сквозной службой – не имеет значения, использует ли она беспроводное соединение Ethernet-кабель, стандартную телефонную линию или некую комбинацию той или другой передающей среды. VPN представляет собой туннель, простирающийся от одной сетевой конечной точки к другой независимо от того, какая среда является переносчиком данных. Этим добавляется другой уровень защиты дополнительно к (или в качестве альтернативы) WEP-шифрованию, которое применяется только к беспроводной части сети.

В традиционной VPN удаленный пользователь может регистрироваться в удаленной сети и получать те же сетевые службы, которые доступны для локальных клиентов. VPN часто используются для расширения корпоративных сетей в филиалы и подключения пользователей к сети из дома или других мест, на пример офиса клиента или заказчика.

Компьютер клиента, подключенный через VPN-сервер, выглядит для остальной сети (с VPN защитой) так же, как и устройство клиента в этой же комнате или здании. Единственное различие заключается в том, что данные из VPN проходят через VPN-драйвер и коллективную сеть, а не перемещаются в локальную сеть непосредственно из сетевого адаптера. На рис. 15.1 показано типичное VPN-подключение к удаленной сети.

Рис. 15.1

Все преимущества защиты обычной проводной VPN верны и для VPN с малым радиусом действия, которая реализует туннели через беспроводное соединение, и для VPN с дальним радиусом действия, которая начинается с беспроводной сети и переправляет данные на удаленный сервер. Существуют два различных способа использования VPN: локальная VPN может расширяться только через беспроводную часть сети между устройствами клиентов и точкой доступа, а расширенная сеть может переносить зашифрованные с помощью VPN данные за пределы точек доступа к VPN-серверу через коллективную сеть, такую как интернет или коммутируемое телефонное подключение.

Расширенная сеть представляет собой традиционную VPN (проходящую через коллективную сеть, например Интернет), которая исходит от беспроводного сетевого клиента. Эта же VPN может также поддерживать подключения, не содержащие беспроводного сегмента, вместе с логинами от коллективных беспроводных служб в аэропортах или других общественных местах. Это обычный способ использования VPN.

Локальные VPN с малым радиусом действия более интересны для лиц, работающих с беспроводной сетью, так как они добавляют другой уровень защиты для беспроводных соединений. Поскольку данные, перемещающиеся между беспроводными клиентами и сетевыми точками доступа, являются шифрованными (с использованием алгоригма, который более защищен, чем WEP-шифрование), они непонятны для любого постороннего, который может отслеживать сигнал.

К тому же, поскольку VPN-сервер на точке доступа не будет принимать данные от беспроводных клиентов, которые не используют правильные VPN-драйверы и пароли, злоумышленник не может войти в сеть, представившись клиентом для для точки доступа.

Целью беспроводной VPN является защита беспроводного соединения между клиентами и точкой доступа и блокирование неавтори зова иных пользователей. Поэтому изолированные и кодированные данные могут перемещаться только в пределах одной комнаты, а не на сотни или тысячи километров. Разумеется, точка доступа может также отправить зашифрованные с помощью VPN-данные через Интернет к компьютеру в удаленном месте.

На рис. 15.2 показано беспроводное подключение к VPN. VPN-сервер располагается между беспроводной точкой доступа и локальной сетью, поэтому все пакеты, перемещающиеся по беспроводной части сети, будут шифрованными.

Для ясности диаграмма показывает VPN-сервер как отдельный компонент, но на практике наиболее практичным способом добавления VPN-защиты в беспроводную сеть является использование маршрутизатора или шлюза, включающего поддержку VPN. Маршрутизаторы с функцией VPN доступны от нескольких поставщиков, включая Alvarion, Colubris и Nexland.

Рис. 15.2

Методы VPN

VPN пересылает данные через одну или более промежуточную сеть к точке назначения в другой сети. Туннельный клиент VPN инкапсулирует имеющиеся пакеты данных или фреймы путем добавления нового заголовка с трассировочной информацией, которая инструктирует их о способе достижения конечной точки VPN. Путь прохождения через промежуточные сети называется туннелем. В конечной точке туннеля VPN-сервер удаляет туннельный заголовок и отправляет данные кточке назначения, определяемой полями заголовков. Точная форма туннеля не оказывает никакого влияния на данные, так как данные воспринимают туннель как соединение точка-точка.

Туннельные заголовки могут принимать несколько форм. Методами, наиболее широко используемыми в VPN, являются протокол туннельного соединения точка-точка – PoinHo-Point Tunneling Protocol (РРТР), протокол туннельного соединения второго уровня – Layer Two Tunneling Protocol (L2TP) и режим IP Security (IPSec). РРТР и L2TP могут перемещать данные через сети IP, IPX и NetBEUI; IPSec ограничен IР-сетями. Как клиент, так и сервер должны использовать один и тот же протокол.

В РРТР и L2TP клиент и сервер должны конфигурировать туннель для каждой передачи перед началом обмена данными. Параметры конфигурирования включают путь через промежуточную сеть и спецификации шифрования и сжатия. После завершения передачи клиент и сервер разрывают подключение и закрывают туннель.

В случае соединения по сети IPSec клиент и сервер до начала обмена данными должны реализовать туннель через промежуточные сети в отдельной транзакции.

Каждый из этих протоколов обладает своими преимуществами и недостатками, но все они достаточно хороши для создания защищенной связи между беспроводным сетевым клиентом и точкой доступа. Отличия между всеми тремя носят скорее технический, чем практический характер. Вы можете найти прекрасное описание работы всех трех протоколов в официальном документе Microsoft, озаглавленном Virtual Private Networking in Windows 2000: An Overview (Виртуальная частная сеть в Windows 2000: Обзор), который доступен в online-режиме на http://www.microsoft.com/windows2000/docs/VPNoverview.doc.

VPN-сервер

VPN-сервер может быть частью Unix– или Windows-сервера либо встроен в автономный сетевой маршрутизатор или шлюз. Если ваша сеть уже использует отдельный компьютер в качестве выделенного сервера, его же можно принять и за VPN-сервер.

Десятки производителей VPN-оборудования предлагают маршрутизаторы, шлюзы и другие продукты, поддерживающие один или более VP N-протоколов.

Каждый из этих продуктов имеет свой набор функций, поэтому важно протестировать конкретную комбинацию клиента и сервера, которые вы собираетесь использовать в вашей сети, перед тем, как остановить на них выбор. Консорциум виртуальных частных сетей – Virtual Private Network Consortium (VPNC) переходит к набору тестов на взаимодействие и стандартам сертификации (во многом аналогичным Wi-Fi-стандартам для оборудования 802.11b). Web-сайт VPNC, расположенный на http://www.vpnc.org. перечисляет продукты, прошедшие тесты на взаимодействие, а также предоставляет ссылки на источники информации о многих VPN-продуктах.

Конфигурирование Windows Server для буспроводной VPN

Если вы склоняетесь к использованию Windows Server, РРТР станет, возможно, самым простым для применения протоколом, так как он был создан как спецификация Microsoft. Он обеспечивает всестороннюю поддержку РРТР во многих версиях Windows, поэтому относительно просто конфигурирует РРТР-клиентов и серверы без необходимости применения посреднического оборудования. Windows 2000 и Windows ХР также поддерживают L2TP.

Компьютер, используемый как РРТР сервер, должен работать под одной из серверных операционных систем Microsoft: Windows NT Server 4.0, Windows 2000 Server или Windows XP Server. Для сервера также необходимы две сетевые интерфейсные карты: одна подключается к проводной сети или интернет-шлюзу, а другая подключается к беспроводной сети. Интерфейсная карта, подключенная к беспроводному порту, обычно присоединяется непосредственно к Ethernet-порту беспроводной точки доступа.

Точный процесс установки РРТР на Windows Server каждой версии Windows слегка отличается, но общие этапы остаются одинаковыми. Для получения необходимой информации по конфигурированию конкретной операционной системы обратитесь за помощью к оперативным окнам Help (Помощь), Microsoft's Resource Kit (Пакет ресурсов Microsoft) и другой online-документации для вашей операционной системы. В последующих разделах в общих чертах приведены этапы конфигурирования.

Конфигурирование подключения к проводной сети

Соединение с LAN или другой сетью является выделенным подключением через сетевой адаптер. Профиль сетевого подключения для данного соединения должен включать IP-адрес и маску подсети, назначенные этому подключению, а также принятый по умолчанию адрес, присвоенный сетевому шлюзу.

Конфигурирование VPN-подключения

VPN-подключение обычно представляет собой Ethernet-соединение с одной или более точками доступа. Профиль подключения на сервере для VPN-соединения должен включать IP-адрес и маску подсети, назначенные этому порту, а также адреса DNS– и WINS-серверов, используемые данной сетью.

Конфигурирование сервера удаленного доступа в качестве маршрутизатора

Сервер должен использовать либо статические пути, либо протоколы трассирования, делающие каждого беспроводного клиента доступным из проводной сети.

Включение и конфигурирование сервера для РРТP– или L2TR-клиентов

Windows использует службу удаленного доступа – Remote Access Service (RAS) и протокол соединения точка-точка – Point-to-Point Protocol (РРР) для реализации VPN-подключений. Служба Routing and Remote Access (Маршрутизация и удаленный доступ) включает RAS, а VPN-подключение требует следующих функций конфигурирования RAS:

– Authentication Method – шифрованные РРТР-подключения используют методы аутентификации MS-CHAP или EAP-TLS;

– Authentication Provider – либо встроенная в Windows 2000 процедура, либо внешний RADIUS-сервер могут проверять сетевых клиентов;

– IP Routing – IP Routing и удаленный доступ на базе IP должны быть активны. Если проводная сеть ожидает DHCP-конфигурирование, то должен быть включен сервер DHCP

Конфигурирование РРТР– или L2TP-портов

Настройте каждый РРТР– или L2ТР-порт для разрешения удаленного доступа.

Конфигурирование сетевых фильтров

Входные и выходные фильтры защищают сервер удаленного доступа от отправки и приема данных, которые не исходят от VPN-клиента, отклоняют отправку данных от (и к) неавторизованных пользователей, поэтому злоумышленники не смогут получить доступ к интернет-подключению (или к проводной локальной сети) через беспроводную сеть.

Конфигурирование служб удаленного доступа

Разрешение удаленного доступа для каждого беспроводного клиента должно быть настроено на разрешение доступа к RAS-серверу, а тип порта – на правильный VPN-протокол (например, РРТР или L2TP). Профиль для каждого подключения должен содержать тип используемого шифрования. В Windows существуют три степени надежности кодирования:

– основное: с использованием 40-битного ключа шифрования;

– сильное: с использованием 56-битного ключа шифрования;

– самое сильное: с использованием 128-битного ключа шифрования

VPN-серверы для Unix

РоРТоР является РРТР-сервером для Linux, OpenBSD, FreeBSD и других версий Unix. Информация о настройке и использовании, а также загрузка текущей версии доступны на http://poptop.lineo.com.

Все версии BSD (включая FreeBSD. Net BSD. OpenBSD и Mac OS X) в качестве части программного пакета содержат IPSec VPN-клиента и сервер.

Linux FreeS/WAN представляет собой наиболее популярную версию IPSec для Linux. Зайдите на http://www.freeswan.org для загрузки, получения документации и доступа к сообществу пользователей FreeS/WAN.

Если вы используете брандмауэр Linux, стоит обратить внимание на VPN-маскарадинг как на альтернативу программам-надстройкам типа РоРТоР. Linux использует функцию IP-маскарадинга из ядра Linux для реализации подключения к Интернету множества клиентов через одно соединение. VPN-маскарадинг является частью IP-маскарадинга, поддерживающей РРТР– и IPSec-клиентов. Руководство для Linux по VPN-маскарадингу находится на http://www.linuxdoc.Qrg/HQWTO/VPN-Masguerade-HQWTO.html

Сетевое оборудование с поддержкой интегрированной VPM

Выделенный компьютер, работающий под Linux или одной из BSD-версий Unix, может стать недорогим VPN-сервером; или, если вы используете Windows Server для других целей, он может также обеспечивать поддержку VPN за небольшую стоимость или вообще бесплатно. Однако полномасштабный сетевой сервер часто является сложным и не всегда лучшим решением относительно простой проблемы. Многие свитчи, маршрутизаторы, шлюзы и брандмауэры также включают поддержку VPN. Cisco, 3Com, Intel и многие другие производители выпускают VPN-продукты, которые часто гораздо проще в установке и управлении, чем отдельный компьютер.

В беспроводной сети VPN-сервер не нуждается во всех «наворотах», которые свойственны серверу в крупной корпоративной сети. Как показано на рис. 15.3, маршрутизатор, расположенный между беспроводной точкой доступа и проводной частью корпоративной сети, может легко выполнять роль VPN-сервера. В домашней сети VPN-сервер может работать между точкой доступа и DSL или кабельным модемом.

Автономное оборудование VPN-клиента между компьютером и сетью также доступно, но не так практично в беспроводной сети, поскольку беспроводной сетевой адаптер практически всегда вставляется в сам компьютер.

Программное обеспечение VPN-клиента

Беспроводной клиент подключается к VPN-серверу через его беспроводное Ethernet-соединение с точкой доступа, которое операционная система воспринимает как сетевое подключение. Чтобы настроить VPN-туннель через данное подключение, необходимо в качестве сетевой службы установить туннельный протокол.