«Построение концепции информационной безопасности предприятия»

Практическая работа № 10 
Тема: «Организация защищенного канала между несколькими 
локальными сетями через Интернет» 
Цель работы: Изучить способы построения надежных и 
высокозащищенных каналов передачи персональных данных в рамках 
локальных сетей и сети Интернет (VPN) с целью решения широкого спектра 
вопросов защиты информации, включая развертывание инфраструктуры 
открытых ключей (PKI) в корпоративных и государственных распределенных 
системах обработки персональных данных любого уровня сложности. 
Теоретические сведения: 
При подключении корпоративной локальной сети к открытой сети 
возникают угрозы безопасности двух основных типов: 
 несанкционированный доступ к внутренним ресурсам корпоративной 
локальной 
сети, 
получаемый 
злоумышленником 
в 
результате 
несанкционированного входа в эту сеть; 
 несанкционированный доступ к корпоративным данным в процессе их 
передачи по открытой сети. 
 Обеспечение безопасности информационного взаимодействия 
локальных сетей и отдельных компьютеров через открытые сети, в частности 
через сеть Интернет, возможно путем эффективного решения следующих 
задач: 
 защита подключенных к открытым каналам связи локальных сетей и 
отдельных компьютеров от несанкционированных действий со стороны 
внешней среды; 
 защита информации в процессе ее передачи по открытым каналам 
связи. 
Для защиты локальных сетей и отдельных компьютеров от 
несанкционированных действий со стороны внешней среды обычно 
используют 
межсетевой 
экран, 
поддерживающие 
безопасность 
информационного взаимодействия путем фильтрации двустороннего потока 
сообщений, а также выполнения функций посредничества при обмене 
информацией. Межсетевой экран располагают на стыке между локальной и 
открытой сетью. Для защиты отдельного удаленного компьютера, 
подключенного к открытой сети, на этом компьютере устанавливают ПО 
сетевого экрана, и такой сетевой экран называется персональным. 

---

Защита информации в процессе ее передачи по открытым каналам 
основана на использовании виртуальных защищенных сетей VРN. 
Виртуальной защищенной сетью VРN (Virtual Private Network) называют 
объединение локальных сетей и отдельных компьютеров через открытую 
внешнюю среду передачи информации в единую виртуальную корпоративную 
сеть, обеспечивающую безопасность циркулирующих данных. Виртуальная 
защищенная сеть VРN определяется путем построения виртуальных 
защищенных каналов связи, создаваемых на базе открытых каналов связи 
общедоступной сети. Эти виртуальные защищенные каналы связи называются 
тyннелями VРN. Сеть VРN позволяет с помощью тyннелей VРN соединить 
главный офис, офисы филиалов, офисы бизнес-партнеров и удаленных 
пользователей и безопасно передавать информацию через Интернет. 
Механизм тyннелирования широко применяется в различных 
протоколах формирования защищенного канала. Обычно тyннель создается 
только на участке открытой сети, где существует угроза нарушения 
конфиденциальности и целостности данных, например между точкой входа в 
открытый Интернет и точкой входа в корпоративную сеть. При этом для 
внешних пакетов используются адреса пограничных маршрутизаторов, 
установленных в этих двух точках, а внутренние адреса конечных узлов 
содержатся во внутренних исходных пакетах в защищенном виде. Следует 
отметить, что сам механизм тyннелирования не зависит от того, с какой целью 
применяется тyннелирование. VРN может применяться не только для 
обеспечения конфиденциальности и целостности всей передаваемой порции 
данных, но и для организации перехода между сетями с разными протоколами 
(например, IPv4 и IPv6). Тyннелирование позволяет организовать передачу 
пакетов одного протокола в логической среде, использующей другой протокол. 
В результате появляется возможность решить проблемы взаимодействия 
нескольких разнотипных сетей, начиная с необходимости обеспечения 
целостности и конфиденциальности передаваемых данных и заканчивая 
преодолением несоответствий внешних протоколов или схем адресации. 
Реализацию механизма туннелирования можно представить как 
результат работы протоколов трех типов: протокола-«пассажира», несущего 
протокола и протокола тyннелирования. В качестве протокола-«пассажира» 
может быть использован транспортный протокол IPX, переносящий данные в 
локальных сетях филиалов одного предприятия. Наиболее распространенным 
вариантом несущего протокола является протокол IP сети Интернет. В 
качестве протоколов туннелирования могут быть использованы протоколы 
канального уровня РРТР и L2TP, а также протокол сетевого уровня IPSec. 

---

Благодаря туннелированию становится возможным сокрытие инфраструктуры 
сети Интернет от VРN-приложений. 
Тyннели VРN могут создаваться для различных типов конечных 
пользователей — либо это локальная сеть LAN со шлюзом безопасности, либо 
отдельные компьютеры удаленных и мобильных пользователей. Для создания 
виртуальной частной сети крупного предприятия нужны VРN-шлюзы, VРN-
серверы и VРN-клиенты. VРN-шлюзы целесообразно использовать для 
защиты локальных сетей предприятия, VРN-серверы и VРN-клиенты 
используют для организации защищенных соединений удаленных и 
мобильных пользователей с корпоративной сетью через Интернет.