Toshkent axborot axborot lashtirish texnologiyalari

7 .16-rasm. L2TP protokoli asosida tunnellash sxemasi.

Birinchi bosqichda lokal tarmoqning masofadan foydalanish serveri bilan ulanishni o‘rnatish uchun masofadagi foydalanuvchi provayder ISP bilan PPP - ulashni boshlab beradi. Provayder serveri ISPda ish-Iovchi foydalanish konsentratori bu ulanishni qabul qiladi va kanal PPPni o‘matadi. So‘ngra foydalanuvchi konsentratori LAC oxirgi uzel va uning foydalanuvchisini qisman autentifikatsiyalaydi. Provayder ISP faqat foydalanuvchining ismidan foydalangan holda unga L2TP tunnel­ lash servisining kerakligini hal qiladi. Agar bunday servis kerak bo'lsa, foydalanish konsentratori LAC tunnelli ulanish o‘rnatilishi lozim bo‘lgan tarmoq serveri LNS adresini aniqlashga o'tadi. Foydalanuvchi va foydalanuvchi tarmog‘iga xizmat ko'rsatuvchi server LNS orasidagi muvofiqlikni aniqlashning qulayligini ta’minlash maqsadida provayder ISP tomonidan o‘zining mijozlari uchun madadlanuvchi ma’lumotlar bazasidan foydalanish mumkin.

LNS serverining IP-adresi aniqlanganidan so‘ng L2TPning bu server bilan tunneli bor yoki yo‘qligi tekshiriladi. Agar bunday tunnel bo‘lmasa, u o‘rnatiladi. Provayderning foydalanish konsentratori LAC va lokal tarmoqning tarmoq serveri LNS orasida L2TP protokol bo‘yicha sessiya o'matiladi.

Transportga o‘zaro aloqanning «nuqta-nuqta» paket rejimini madadlash talabi qo‘yiladi. LAC va LNS orasida tunnel yaratishda bu tunnel doirasida yangi ulanishga chaqirish identifikatori Call ID deb

ataluvchi identifikator beriladi. Konsentrator LAC tarmoq serveriga ushbu Call ID bilan chaqiriq xususidagi bildirish boMgan paket jo‘natadi. LNS serveri chaqiriqni qabul qilishi yoki rad etishi mumkin.
Ikkinchi bosqichda lokal tarmoqning tarmoq serveri LNS foy-dalanuvchini autentifikatsiyalash jarayonini bajaradi. Buning uchun au­ tentifikatsiyalashning standart algoritmlaridan biri, xususan, CHAP al-goritmi ishlatilishi mumkin. Ta’kidlash lozimki, L2TP protokolining spetsifikatsiyasida autentifikatsiyalash usullarining tavsifi keltirilmagan. Chaqiriq xususidagi bildirish tarkibida tarmoq serveri LNS tomonidan foydalanuvchini autentifikatsiyalash uchun axborot bo‘lishi mumkin. Bu axborotni konsentrator LAC foydalanuvchi bilan muloqot jarayonida yig'adi. Autentifikatsiyalashning CHAP protokolidan foydalanilganda bildirish paketida chaqirish-so'zi, foydalanuvchi ismi va uning javobi boMadi. PAP protokoli uchun bu axborot foydalanuvchi ismi va shifrlanmagan paroldan iborat boMadi. Tarmoq serveri LNS bu axborot-dan, masofadagi foydalanuvchini o‘z ma’lumotlarini qaytadan kiritishga majbur qilmaslik va autentifikatsiyalashning qo‘shimcha siklini ba-jarmaslik maqsadida, autentifikatsiyalash uchun birdaniga foydalanishi mumkin.

Autentifikatsiya natijasi jo'natilishida tarmoq serveri LNS ham foy­ dalanish konsentratori LACga foydalanuvchi uzelining IP-adresini uzatishi mumkin. Mohiyati bo‘yicha foydalanish konsentratori LAC masofadagi foydalanuvchi uzeli va lokal tarmoqning tarmoq serveri ora­ sida vositachi vazifasini bajaradi. Masofadagi uzelga korporativ tar­ moqning adreslar pulidan adresning ajratilishi foydalanuvchiga provay­ der adreslar pulidan oddiy adres olinishidagi noqulayliklardan quti-lishiga imkon beradi.

Uchinchi bosqichda provaydeming foydalanish konsentratori LAC va lokal tarmoqning serveri LNS orasida himoyalangan tunnel yarati-ladi. Natijada,.inkapsulatsiyalangan kadrlar PPP tunnel orqali konsentra­ tor LAC va tarmoq serveri LNS orasida ikkala yo‘nalishda uzatilishi mumkin. Masofadagi foydalanuvchidan PPP kadri kelganida konsentra­ tor LAC undan kadrni qoplagan baytlarni, nazorat yigMndi baytlarini chiqarib tashlaydi, so‘ngra uni L2TP protokol yordamida tarmoq proto-koliga inkapsulatsiyalaydi va tunnel orqali tarmoq serveri LNSga jo'natadi. LNS server L2TP protokoldan foydalanib, kelgan paketdan

kadrni chiqarib olib ishlaydi.

Tunnelning zaruriy qiymatlarini sozlash boshqarish xabarlari yor­

damida amalga oshiriladi. L2TP protokoli har qanday paketni kommu-

tatsiyalovchi transport ustidan ishlashi mumkin. Umumiy holda, bu transport, masalan, UDP protokoli, paketlami kafolatli yetkazishni ta’minlamaydi. Shu sababli, L2TP protokoli bu masalalami har bir masofadagi foydalanuvchi uchun tunnel ichida ulanishlami o'matish muolajalaridan foydalanib, mustaqil hal etadi.

Ta’kidlash lozimki, L2TP protokoli kriptohimoyaning muayyan usullarini belgilamaydi va shifrlashni turli standartiaridan foydalanish mumkinligini faraz qiladi. Agar himoyalangan tunnelning IP-tarmoqda shakllantirilishi rejalashtirilgan boMsa, kriptohimoyani amalga oshirishda IPSec protokolidan foydalaniladi. L2TP protokoli PPP algo-ritmiga nisbatan ma’Iumotlami himoyalashning yuqori saviyasini ta’minlaydi, chunki unda 3DES (Triple Data Encryption Standard) shifrlash algoritmi ishlatiladi. Agar himoyaning bundan yuqori saviyasi kerak boMmasa, bitta 56 xonali kalitli DES algoritmidan foydalanish mumkin. Undan tashqari, L2TP protokoli HMAC (Hash Massage Au­ thentication Code) algoritmi yordamida ma’lumotlami autentifikatsiya-lashni ta’minlaydi. Autentifikatsiyalash uchun bu algoritm uzunligi 128 xonaga teng boMgan «xesh»ni yaratadi.

Shunday qilib, PPTP va L2TP protokollarining funksional imkoni-yatlari turlicha, PPTP protokoli faqat IP-tarmoqlarda ishlatilishi mumkin va unga tunnelni yaratishi va ishlatishi uchun alohida TCP ulanish zarur. L2TP protokoli nafaqat IP-tarmoqlarda ishlatilishi mumkin, tunnelni yaratish va u orqali ma’lumotlami tashishda xizmatchi xabarlar bir xil format va protokollardan foydalanadi. L2TP protokoli tashkilot uchun muhim boMgan ma’lumotlaming qariyb 100%li xavfsizligini kafolat-lashi mumkin.

L2TP protokolining kamchiligi sifatida quyidagilarni ko'rsatish mumkin:

L2TP protokol ini amalga oshirishda ISP provayderlaming madadi

zarur;

L2TP trafikni tanlangan tunnel doirasida chegaralaydi va foy-dalanuv-chilarning Intemetning boshqa qismlaridan -foydalanishiga im­ kon bermaydi;
L2TP protokolida IP protokolining joriy versiyasi uchun axborot almashinuvning oxirgi nuqtalari orasida kriptohimoyalangan tunnel yaratish ko‘zda tutilmagan;
L2TPning taklif etilgan spetsifikatsiyasi standart shifrlashni faqat IP-tarmoqlarda IPSec protokoli yordamida ta’minlaydi.
Seans sathida himoyalangan virtual kanallarni shakllantirish protokollari

Himoyalangan virtual kanallarini shakllantirish mumkin bo‘lgan OSI modelining eng yuqori sathi - beshinchi seans sathidir. Seans sathida himoyalangan virtual tarmoqni qurishda axborot almashinuvini kriptografik himoyalash, jumladan, autentifikatsiyalash hamda o‘zaro aloqa tomonlari orasida vositachilikning qator funksiyalarini amalga oshirish imkoniyati paydo boMadi. Haqiqatan, OSI modelining seans sathi mantiqiy ulanishlami o‘matishga va bu ulanishlami boshqarishga javobgar. Shu sababli, bu sathda so‘ralgan ulanishlarning joizligini tek-shiruvchi va tarmoqlararo harakatlar himoyasining boshqa funksiya-larining bajarilishini ta’minlaovchi dastur-vositachilardan foydalanish imkoniyati mavjud.

Seans sathida himoyalangan virtual kanalni shakllantirish protokoli himoyaning tatbiqiy protokollari hamda turli servislarni taqdim etuvchi yuqori sath protokollari (HTTP, FTP, POPS, SMTP va h. protokollar) uchun shaffofdir. Ammo seans sathida yuqori sathli protokollami amalga oshiruvchi ilovalarga bevosita bogMiqlik boshlanadi. Shuning uchun mazkur sathga mos keluvchi axborot almashish protokolini amalga oshirish ko‘p hollarda yuqori sathli ilovalarga o‘zgartirishlar kiritilishini talab etadi.

Seans sathida axborot almashishda SSL protokoli keng tarqalgan. Seans sathida o‘zaro aloqa tomonlari orasida vositachilik funksiyalarini bajarish uchun IETF tashkiloti tomonidan standart sifatida SOCKS pro­ tokoli qabul qilingan.