## Виртуальные частные сети (VPN)
**VPN (Virtual Private Network)** — технология создания защищённого туннеля между удалённым клиентом и корпоративной сетью через незащищённые каналы связи (Интернет). Данные внутри туннеля шифруются и аутентифицируются, что обеспечивает конфиденциальность и целостность передаваемой информации.
> [!summary] Простыми словами
> Представьте, что вы прокладываете защищённый “трубопровод” через публичную сеть. Всё, что передаётся внутри этого трубопровода, зашифровано и не может быть прочитано посторонними, даже если они перехватят трафик.
## Основные протоколы туннелирования
| Протокол | Уровень модели OSI | Шифрование | Аутентификация | Особенности |
| — | — | — | — | — |
| **PPTP** | Канальный (L2) | MPPE (128-bit) | MS-CHAPv2, EAP | Устаревший, уязвим, но прост в настройке |
| **L2TP** | Канальный (L2) | Не шифрует сам по себе | MS-CHAPv2, EAP, сертификаты | Часто используется в паре с IPSec для шифрования |
| **SSTP** | Прикладной (L7) | SSL/TLS | Сертификаты, EAP | Проходит через большинство файрволов (порт 443) |
| **IKEv2** | Сетевой (L3) | IPSec | Сертификаты, EAP | Быстрое переподключение, поддержка MOBIKE |
## Протокол IPSec
**IPSec (Internet Protocol Security)** — набор протоколов для обеспечения безопасности на сетевом уровне (L3). Включает:
– **AH (Authentication Header)** — аутентификация и контроль целостности (без шифрования).
– **ESP (Encapsulating Security Payload)** — шифрование, аутентификация, контроль целостности.
– **IKE (Internet Key Exchange)** — протокол согласования параметров безопасности и обмена ключами.
### Фазы работы IKE
“`mermaid
sequenceDiagram
participant Client as Удалённый клиент
participant Server as VPN-сервер
Client->>Server: IKE Phase 1: Main Mode (SA, DH, аутентификация)
Server->>Client: IKE Phase 1: Подтверждение
Client->>Server: IKE Phase 2: Quick Mode (IPSec SA, ключи трафика)
Server->>Client: IKE Phase 2: Подтверждение
Client->>Server: ESP-трафик (зашифрованные данные)
Server->>Client: ESP-трафик (зашифрованные данные)
“`
> [!attention] Важно Фаза 1 устанавливает защищённый канал для переговоров (ISAKMP SA). Фаза 2 согласует параметры для шифрования пользовательского трафика (IPSec SA). Без успешного завершения обеих фаз соединение не будет установлено.
## Методы аутентификации в удалённом доступе
|Метод|Описание|Безопасность|Требования|
|—|—|—|—|
|**MS-CHAPv2**|Протокол аутентификации по паролю с взаимной проверкой|Средняя (уязвим к брутфорсу)|Учётная запись в домене|
|**EAP-TLS**|Аутентификация на основе сертификатов клиента и сервера|Высокая (криптографически стойкая)|Сертификаты в хранилищах клиента и сервера, доверенный корневой ЦС|
> [!summary] Простыми словами
>
> – **MS-CHAPv2** — как вход по логину и паролю, но с дополнительной проверкой сервера.
> – **EAP-TLS** — как предъявление цифрового паспорта (сертификата). Надёжнее, но требует предварительной выдачи сертификатов.
## Сертификаты для IPSec
Для работы IPSec с аутентификацией по сертификатам необходимы:
– **Сертификат сервера** с расширением `Server Authentication` (OID `1.3.6.1.5.5.7.3.1`) и `IPSec IKE Intermediate`.
– **Сертификат клиента** с расширением `Client Authentication` (OID `1.3.6.1.5.5.7.3.2`) и `IPSec IKE Intermediate`.
– **Доверенный корневой сертификат** в хранилище “Доверенные корневые центры сертификации” на обеих сторонах.
> [!note] Примечание В лабораторной работе используются сертификаты, выпущенные внутренним центром сертификации домена. В производственной среде для удалённых клиентов могут использоваться сертификаты от публичных ЦС или отдельные шаблоны для внешних пользователей.