VPN : 6 intrebari esentiale
Retelele Virtual Private Network (VPN) sunt
considerate instrumente esentiale pentru procesele de comunicare din cadrul
unei corporatii, fara a fi insa definite in mod unitar. Vom prezenta in
continuare sase intrebari insotite de raspunsurile aferente, intrebari care va
pot ajuta sa alegeti tehnologia Virtual Private Network pe care doriti sa o
folositi.
1. Sunt VPN-urile bazate pe
tehnologia MPLS (Multi-Protocol Label Switching) cea mai buna alegere?
Pentru cerintele de comunicare ale multor retele apartinand diferitelor
companii, raspunsul este categoric da, iar tranzitia catre tehnologia MPLS este
in plina desfasurare.
Uitati-va la date. MPLS VPN "musca" din Frame-Relay de cativa ani buni, iar in
urmatoarele 18 luni vor fi mai multe conexiuni MPLS VPN decat Frame-Relay. In
anul 2011, vor fi mai mult de 1 milion de conexiuni tip MPLS VPN -
conform specialistilor.
Aceasta inseamna ca mai toate companiile - in cele mai multe cazuri anuntate de
furnizorii lor de servicii - vor cumpara conexiuni tip MPLS pe masura ce se vor
extinde si pe masura ce vor avea nevoie sa conecteze noi filiale. Mai mult,
multe dintre ele migreaza de la conexiuni tip Frame-Relay la conexiuni tip MPLS
pe masura ce insusi furnizorul de servicii face aceasta migrare. Numarul de
conexiuni tip Frame-Relay utilizate este in scadere.
Serviciile MPLS au insemnat anul trecut, la nivel mondial, o cifra de afaceri
de 13 miliarde de dolari, cu o crestere de 20% a veniturilor, conform
Infonetics.
Motivele acestei cresteri sunt multiple. Serviciile MPLS VPN determina trecerea
la retele tip plasa (mesh) - orice filiala este interconectata cu toate
celelalte filiale. Pentru a obtine acelasi lucru folosind Frame-Relay este
extrem de costisitor - circuitele virtuale ce vor lega toate filiale intre ele
sunt foarte scumpe. MPLS permite clientilor o reducere a costurilor si a
complexitatii intregii retele.
Tehnologia MPLS ofera suport si pentru implementarea de nivele diferite pentru
calitatea serviciului astfel incat clientii au posibilitatea de a cumpara
servicii VPN mai ieftine pentru comunicari mai putin critice.
2. VPN utilizand tehnologia MPLS va
vor ajuta sa economisiti bani?
Probabil ca nu. Daca realizati un schimb din Frame-Relay la MPLS, costul
liniilor de comunicatie probabil va scadea, insa pretul intregului serviciu va
ramane acelasi. In momentul in care companiile fac acest schimb, pretul per
total nu va scadea insa va creste posibilitatea interconectarii mai multor
filiale precum si flexibilitatea in administrarea intregii retele. Nu vor fi
scaderii spectaculoase de preturi in trecerea la tehnologia MPLS mai ales
datorita faptului ca se vor folosi conexiuni tip T1 la care se adauga caracteristici
de securitate, management si voce.
"Companiile agreeaza aceste servicii pentru ca le ofera mult mai multa banda cu
o crestere foarte mica sau deloc a costurilor de WAN in comparatie cu celelalte
componente mostenite - Frame-Relay, ATM, private lines", a declarat Michael
Howard, analist principal la Infonetics.
Aceasta este un indemn catre clientii care cumpara conexiuni MPLS VPN sa
creasca banda utilizata dincolo de nivelul T1 - regasit la Frame-Relay.
Cererea de crestere a vitezei este din ce in ce mai pregnanta, fiind dependenta
de pret si disponibilitate, precum si de furnizorul de servicii. Este acesta
(furnizorul de servicii) unul care isi "stoarce" propriile resurse Frame-Relay
sau este unul competitiv care poate oferii aceste servicii la preturi reduse?
Clientii indemanatici au declarat ca au economisit mai multi bani
construindu-si propria retea MPLS VPN si folosind cele mai bune oferte din
piata legate de serviciile de banda. In acest caz, datorita faptului ca nu esti
legat de un anumit furnizor, poti cauta cele mai bune oferte pentru fiecare
locatie, urmand ca apoi sa realizezi conexiunile folosind propriile echipamente
si propriul software.
3. Ar trebui sa-mi construiesc propriul VPN?
Daca o faceti, nu veti fi singur, dar pregatiti-va sa petreceti ceva timp
realizand acest lucru precum si pentru a dezvolta propria expertiza in acest
sens.
Foarte multe conexiuni WAN sunt realizate peste VPN construite individual - in
cazul in care companiile isi cumpara propriul echipament VPN si il ataseaza
conexiunilor de WAN cumparate separat - si beneficiaza de serviciile acestor
MPLS VPN.
Acest mod de lucru poate cuprinde instalarea si configurarea echipamentelor
MPLS la fiecare locatie - un mod de abordare costisitor - sau poate insemna
folosirea echipamentelor IPSec care sunt insotite de cele mai multe ori de
firewall-uri si sunt, in general, mult mai ieftine.
Compromisul (fata de serviciile de VPN) il reprezinta partea pe care trebuie sa
o faceti singuri. "Companiile trebuie sa ofere timpul si expertiza necesara
pentru a proiecta, instala, intretine si depana reteaua VPN" a declarat Mark
Lewis, consultant si blogger pentru Network World. Iar acest lucru inseamna
instruire. Fara instruire, depanarea VPN poate fi "aleatoare, consumatoare de
timp si, de cele mai multe ori, nu va rezolva deloc problema - ba chiar o poate
agrava" scrie consultantul pentru Network World.
4. Ar trebui sa folosesc IPSec sau
SSL (Secure Sockets Layer) pentru conectarea de la distanta la VPN?
SSL. In aproape toate cazurile, VPN-urile ce folosesc SSL pot fi proiectate sa
ofere acelasi tip de acces ca si VPN-urile cu IPSec. In plus, SSL ofera si mai
multe optiuni.
VPN-urile cu SSL ofera securitate la nivel aplicatie peste Internet, utilizand
capabilitati comune pentru majoritatea browsere-lor, ceea ce inseamna ca nu mai
este nevoie de un client special de conectare pe masinile distante. Singura
limitare este legata de faptul ca browser-ele acceseaza doar aplicatiile tip
Web.
Prin activarea Java si a extensiei tip Active X a SSL VPN-ului, se va putea
crea o conexiune comparabila cu cea creata de IPSec, fara a fi nevoie de
distributia unui client special de VPN.
SSL poate oferi, de asemenea, un control mult mai amanuntit al resurselor pe
care le poate accesa un client distant. In timp ce IPSec ofera un control total
al resurselor retelei, SSL poate restrictiona accesul pe baza unor anumite
aplicatii dedicate.
Daca tot ceea ce are nevoie utilizatorul este legat de accesul Web la anumite
aplicatii, atunci singura cerinta pe masina distanta este legata de prezenta
unui browser. Aceasta inseamna ca utilizatorii se pot conecta de la
calculatoarele personale de acasa sau de la orice computer liber dintr-un
centru dedicat afacerilor.
"VPN-urile ce folosesc SSL au inlocuit IPSec datorita faptului ca reprezinta
cea mai facila alegere pentru cererile de acces ad-hoc sau intamplatoare la VPN
pentru partenerii de afaceri, pentru depanatorii externi sau pentru asociatii
pensionati" a declarat analistul de la Gartner, HJohn Girard. In timp ce
vanzarile de echipamente necesare VPN cu SSL au crescut cu 43% intre jumatatea
lui 2006 si jumatatea anului 2007 - pentru a atinge suma de 340 milioane de
dolari, cresterea anuala este de asteptat sa incetineasca, rezultand intr-o
valoare medie estimata de 13,8% pana in anul 2011.
Un studiu separat realizat de IDC a descoperit ca VPN-urile cu IPSec ".si-au
adjudecat" mai bine de jumatate din suma de 1,27 miliarde de dolari realizata
din vanzarea serviciilor tip VPN, dar ca partea de venituri din aceasta suma a
scazut cu un procent de 9,8% fata de perioadele similare trecute. Vanzarile de
VPN cu SSL au crescut cu 18,2% fata de aceeasi perioada de timp.
Totusi, clientii agreeaza si posibilitatea de a lucra simultan cu cele doua
tipuri de accese - IPSEC si SSL - pentru VPN. Vanzarile pentru hibridul
IPSec/SSL sunt reduse, dar au o rata de crestere foarte mare, mai mare decat
cea a vanzarilor separate - concluzioneaza IDC-ul.
Furnizorii de top pentru solutiile de VPN sunt - conform IDC - Cisco, Juniper,
Nokia, Safenet si Alcatel-Lucent.
5. Solutia de VPN este buna si pentru
VoIP?
Da. MPLS VPN-urile pot oferi o calitate a serviciului care garanteaza livrarea
pachetelor VoIP la timp pentru a obtine o calitate mult mai buna a convorbirii.
MPLS permite, de asemenea, scalabilitate, interconectand total un numar foarte
mari de locatii, intre care comunicatiile tip VoIP nu vor constitui o problema.
Folosind VPN cu SSL pentru a transporta pachete VoIP peste TCP imbunatateste,
de fapt, calitatea vocii. Acest lucru a fost relevat de testele realizate de
Network World. Datorita faptului ca TCP reordoneaza pachetele si retransmite
pachetele care s-au pierdut, poate creste calitatea apelului receptionat. Daca
banda este suficienta incat sa acomodeze canalul VoIP precum si retransmisiile,
are loc o imbunatatire a calitatii.
VPN-urile pot asigura securitatea comunicatiilor VoIP ce au loc prin
intermediul retelelor Wi-Fi sau prin intermediul retelelor fixe, blocand
interceptarea.
De asemenea, VPN-urile sunt folosite pentru a proteja datele de pe telefoanele
inteligente (incluzand aici Iphone), desi utilizarea lor, in acest caz, este
inca rudimentara.
6. Pot folosi VPN-ul in medii
virtuale?
Da, si daca se procedeaza astfel, securitatea intregului VPN va creste.
Multi furnizori ofera versiuni,pentru software-ul specific de VPN, care pot
rula in medii virtuale. Acest lucru este binevenit pentru mediul de afaceri
aflat intr-un plin proces de virtualizare pentru a reduce numarul de
echipamente utilizate, precum si consumul de energie aferent.
Compromisul, in acest caz, este dat de imposibilitatea utilizarii unor
dispozitive specifice pentru VPN, necesare in implementare unor gateway-uri VPN
si care ar trebui administrate separat.
De partea clientului de VPN, o masina distanta virtuala poate ajuta la
imbunatatirea securitatii VPN - vezi cazul VMware.
Utilizatorii pot configura medii distante virtuale astfel incat sa poata accesa
diferite locatii ale companiei prin intermediul unei gateway VPN. In acelasi
timp, masina fizica pe care ruleaza aceste medii poate sa nu fi in VPN-ul
respectiv.
Deci, masina virtuala reprezinta entitatea care intra in VPN, aceasta insemnand
ca orice compromis facut pe masina gazda este izolat si nu va putea fi
comunicat in VPN.
Politicile de pe masinile virtuale pot restrictiona mediile virtuale astfel
incat ele sa nu poata accesa decat VPN-ul, izolandu-le de eventualele atacuri
cu origine din afara VPN. "Izolezi masina virtuala de tot mai putin de
server-ul de VPN al companiei" se specifica in documentatia VMware.
Politicile viitoare de pe masinile virtuale pot cripta toate datele din masina
virtuala si pot bloca transferul in exterior al datelor, reducand si mai mult
posibilitatea de a compromite accesul la VPN.
Aceleasi politici pot securiza VPN-ul. Conform VMware, daca unui antreprenor,
de exemplu, i-a fost oferit accesul la VPN-ul companiei, prin intermediul unui
mediu virtual gazduit pe o masina fizica apartinand acestuia, cu ajutorul unei
anumite politici de expirare, se poate configura ca accesul acestui mediu
virtual la VPN sa expire dupa o anumita data - sa zicem data la care expira
contractul acestuia cu compania.
