## Модель аутентификации, авторизации и учёта (AAA)
**AAA (Authentication, Authorization, Accounting)** — архитектура безопасности, обеспечивающая три ключевые функции управления доступом:
| Компонент | Назначение | Пример в лабораторной работе |
| — | — | — |
| **Authentication** (Аутентификация) | Проверка подлинности пользователя или устройства | Проверка сертификата клиента или пароля при подключении к VPN |
| **Authorization** (Авторизация) | Определение прав доступа после успешной аутентификации | Разрешение пользователю `user-vpn` доступа к ресурсам домена |
| **Accounting** (Учёт) | Регистрация действий пользователя для аудита и биллинга | Логирование подключений в журнале событий NPS |
> [!summary] Простыми словами
> Представьте охрану на входе в офис: сначала она проверяет ваш пропуск (аутентификация), затем смотрит, в какие комнаты вам можно заходить (авторизация), и записывает время вашего входа и выхода в журнал (учёт).
## Протоколы удалённого доступа
### Сравнение основных протоколов туннелирования
| Протокол | Уровень модели OSI | Шифрование | Аутентификация | Особенности |
| — | — | — | — | — |
| **PPTP** | Канальный (L2) | MPPE (до 128 бит) | MS-CHAPv2, EAP | Устаревший, уязвим к атакам, но прост в настройке |
| **L2TP** | Канальный (L2) | Не шифрует сам по себе | Любые методы, включая сертификаты | Часто используется в паре с IPSec для шифрования |
| **SSTP** | Прикладной (L7) | SSL/TLS | Сертификаты, EAP | Проходит через большинство файрволов (порт 443) |
| **IKEv2** | Сетевой (L3) | IPSec | Сертификаты, EAP | Быстрое переподключение, поддержка мобильности (MOBIKE) |
> [!attention] Важно
> В данной лабораторной работе используется связка **L2TP/IPsec**, которая обеспечивает шифрование на сетевом уровне и гибкость в выборе методов аутентификации.
## Протокол IPSec
**IPSec (Internet Protocol Security)** — набор протоколов для обеспечения безопасности на сетевом уровне (L3). Включает:
– **AH (Authentication Header)** — аутентификация и контроль целостности (без шифрования).
– **ESP (Encapsulating Security Payload)** — шифрование, аутентификация, контроль целостности.
– **IKE (Internet Key Exchange)** — протокол согласования параметров безопасности и обмена ключами.
### Фазы работы IKE
“`mermaid
sequenceDiagram
participant Client as Удалённый клиент
participant Server as VPN-сервер
Client->>Server: IKE Phase 1: Main Mode (SA, DH, аутентификация)
Server->>Client: IKE Phase 1: Подтверждение
Client->>Server: IKE Phase 2: Quick Mode (IPSec SA, ключи трафика)
Server->>Client: IKE Phase 2: Подтверждение
Client->>Server: ESP-трафик (зашифрованные данные)
Server->>Client: ESP-трафик (зашифрованные данные)
“`
> [!note] Примечание Фаза 1 устанавливает защищённый канал для переговоров (ISAKMP SA). Фаза 2 согласует параметры для шифрования пользовательского трафика (IPSec SA). Без успешного завершения обеих фаз соединение не будет установлено.
## Сервер политик сети (NPS) и протокол RADIUS
**RADIUS (Remote Authentication Dial-In User Service)** — сетевой протокол, обеспечивающий централизованную аутентификацию, авторизацию и учёт для пользователей, подключающихся к сетевым службам.
**NPS (Network Policy Server)** — реализация сервера RADIUS и сервера политик в Windows Server, выполняющая функции:
– Проверка учётных данных пользователей (через Active Directory или локальную базу).
– Применение политик доступа на основе членства в группах, времени суток, типа подключения.
– Логирование событий подключения для аудита.
“`mermaid
graph LR
Client[Удалённый клиент] –>|Запрос подключения| VPN[VPN-сервер / RADIUS-клиент]
VPN –>|Access-Request| NPS[RADIUS-сервер / NPS]
NPS –>|Проверка в AD| AD[Active Directory]
AD –>|Результат| NPS
NPS –>|Access-Accept/Reject| VPN
VPN –>|Разрешить/Отклонить| Client
“`
> [!summary] Простыми словами VPN-сервер выступает как “посредник”: он принимает запрос от клиента, пересылает его на центральный сервер политик (NPS), тот проверяет права в Active Directory и возвращает решение — пускать или нет.
## Методы аутентификации в удалённом доступе
|Метод|Описание|Безопасность|Требования|
|—|—|—|—|
|**MS-CHAPv2**|Протокол аутентификации по паролю с взаимной проверкой|Средняя (уязвим к брутфорсу при слабых паролях)|Учётная запись в домене, пароль|
|**EAP-TLS**|Аутентификация на основе сертификатов клиента и сервера|Высокая (криптографически стойкая, устойчива к перехвату)|Сертификаты в хранилищах клиента и сервера, доверенный корневой ЦС|
> [!attention] Критичный момент При использовании EAP-TLS сертификат клиента должен содержать расширение `Client Authentication` (OID `1.3.6.1.5.5.7.3.2`), а сертификат сервера — `Server Authentication` (OID `1.3.6.1.5.5.7.3.1`). Оба сертификата должны быть выпущены доверенным ЦС, чей корневой сертификат установлен в хранилище “Доверенные корневые центры сертификации” на обеих сторонах.