Виртуальные частные сети

Одно из преимуществ использования телефонных линий для удален­ного доступа к сети состоит в том, что для них не нужно специально­го оборудования: только компьютер, модем и телефонный разъем. Это означает, что владелец портативного компьютера может подключить­ся к сети офиса откуда угодно. Однако, если сотрудники компании много разъезжают, их междугородные звонки будут обходиться ком­пании очень недешево. Чтобы сократить подобные затраты, приду­маны виртуальные частные сети (virtual private network, VPN).

Виртуальная частная сеть обеспечивает соединение между удален­ным компьютером и сетью, в котором в качестве сетевой среды ис­пользуется Интернет. Сама сеть при этом постоянно подключена к Интернету и располагает сервером, который сконфигурирован на прием входящих соединений через Интернет. Удаленный пользова-

тель подключается к Интернету с помощью модема через ближайше­го провайдера. Многие провайдеры предоставляют свои услуги в раз­ных городах и даже странах, поэтому подключение к Интернету, ско­рее всего, будет местным звонком. Затем удаленный компьютер и се­тевой сервер устанавливают защищенное соединение, которое делает передачу данных по Интернету безопасной. Эта техника называется туннелированием (tunneling), поскольку связь через Интернет устанав­ливается по недоступному со стороны каналу, действительно похо­жему на туннель.

Туннелирование осуществляется, главным образом, с помощью протокола РРТР (Point-to-Point Tunneling Protocol). Соединение меж­ду компьютером-клиентом и сервером в целевой сети устанавливает­ся с помощью протокола РРР и начинается с набора номера провайде­ра и подключения к Интернету, то есть с установки обычного РРР-соединения. Подключившись к Интернету, компьютер устанавлива­ет управляющее соединение (control connection) с сервером с помощью протокола TCP. Это управляющее соединение и есть РРТР-туннель, через который компьютеры будут обмениваться данными.

Когда туннель создан, компьютеры инкапсулируют данные, кото­рые при обычном соединении шли бы по телефонной линии, в IP-дейтаграммы. Затем компьютер по туннелю отправляет дейтаграммы другому компьютеру. В нарушение правил модели OSI, фактически кадр канального уровня передается внутри дейтаграммы сетевого уровня. Кадры РРР инкапсулируются IP, но они в то же время могут содержать другие IP-дейтаграммы уже с реальными данными, пере­даваемыми с компьютера на компьютер. Таким образом, сообщения, передаваемые по соединению TCP, то есть по туннелю, являются IP-дейтаграммами, которые содержат кадры РРР. А уже в кадрах РРР содержатся сообщения, сгенерированные любым протоколом сетево­го уровня. Иными словами, поскольку данные РРР содержатся внут­ри IP-дейтаграмм, они сами могут быть IP-дейтаграммой, а также сообщением IPX или NetBEUI (рис. 12.2). Поскольку данные в тун­неле зашифрованы и защищены протоколом аутентификации, пере­хватить их нельзя. Когда IP-дейтаграмма проходит по туннелю и дос­тигает другого компьютера, кадры РРР извлекаются из нее и обраба­тываются получателем обычным способом.