Компьютерлік желілерде туннельдеу протоколы

Кіріспе

Компьютерлік байланыс протоколы

Компьютерлік желілерде туннельдік протокол – бұл деректерді бір желіден екінші желіге беруге мүмкіндік беретін байланыс протоколы. Ол, мысалы, жеке желілік байланысты қоғамдық желі арқылы (Интернет сияқты) жіберуге немесе үйлесімсіз желіде бір желілік протоколды инкапсуляция деп аталатын процесте қолдануға мүмкіндік береді. Туннельдеу трафик деректерін басқа форматқа қайта жинауды қамтиды, бұл, мүмкін, стандартты шифрлаумен бірге, туннель арқылы өтетін трафик сипатын жасыра алады. Туннельдік протокол пакеттің дерек бөлігін (жүк) қызметті ұсынатын пакеттерді тасымалдау үшін пайдаланады. Туннельдеу OSI немесе TCP/IP протоколы сияқты қабатталған протокол моделін пайдаланады, бірақ әдетте қабаттылық принципін бұзады, өйткені жүк арқылы желіде әдетте қолдау көрсетілмейтін қызмет жүзеге асырылады. Әдетте, жеткізу протоколы қабатталған модельде жүк протоколынан тең немесе жоғары деңгейде жұмыс істейді.

Қолданылуы

Туннель протоколы, мысалы, осы нақты протоколды қолдамайтын желіде, басқа протоколдың жұмыс істеуіне мүмкіндік беруі мүмкін, мысалы IPv6-ны IPv4 желісі арқылы іске қосу. Тағы бір маңызды қолданылуы – негізгі желілік қызметтерді ғана пайдалану арқылы ұсыну қиын немесе қауіпсіз емес қызметтерді ұсыну, мысалы, корпоративтік желіге физикалық жағынан қосылмаған қашықтағы пайдаланушыға корпоративтік желілік мекенжайды беру.

Бөренелер қабырғасының ережелерін айналып өту

Пайдаланушылар өрт қабырғасы әдетте бөгеттейтін протоколдарды, бірақ өрт қабырғасы бөгеттемейтін, мысалы HTTP сияқты протоколдардың ішіне "орап" өрт қабырғасын "айналып өту" үшін туннельдеуді де пайдалана алады. Егер өрт қабырғасының саясаты осындай "орауды" нақты түрде тыйымсалмаса, бұл тәсіл қалыпты өрт қабырғасының саясатын (немесе бір-бірімен байланысқан өрт қабырғасы саясаттары жиынтығын) айналып өтуге мүмкіндік береді. HTTP протоколы негізіндегі тағы бір туннельдеу әдісі – HTTP CONNECT әдісін/командасын пайдалану. Клиент HTTP прокси-серверіне HTTP CONNECT командасын жібереді. Прокси содан кейін белгілі бір серверге:порт TCP қосылысын орнатады және сол сервер:порт пен клиенттік қосылыс арасында деректерді жібереді. Бұл қауіпсіздікке қауіп тудыратындықтан, CONNECT мүмкіндігі бар HTTP прокси-серверлері CONNECT әдісіне қол жеткізуді көбінесе шектейді. Прокси тек белгілі бір порттарға, мысалы HTTPS үшін 443 портына қосылуға рұқсат береді. Желілік өрт қабырғаларын айналып өтуге қабілетті басқа туннельдеу әдістері DNS, MQTT, SMS сияқты түрлі протоколдарды қолданады.

Техникалық шолу

Желі қабаты арқылы желі қабатының мысалы ретінде, IP (IP протоколы нөмірі 47) арқылы жұмыс істейтін Generic Routing Encapsulation (GRE) протоколы көбінесе RFC 1918 жеке мекенжайлары бар IP пакеттерін, қоғамдық IP мекенжайлары бар жеткізу пакеттерін пайдаланып Интернет арқылы тасымалдау үшін қолданылады. Бұл жағдайда жеткізу және пайдалы жүктеме протоколдары бірдей, бірақ пайдалы жүктеме мекенжайлары жеткізу желісінің мекенжайларымен үйлесімсіз. Деректер байланысы қабатын пайдаланып қосылыс орнату да мүмкін. 2-қабатты туннель протоколы (L2TP) екі түйін арасында кадрларды жіберуге мүмкіндік береді. Түнель әдепкі бойынша шифрланбайды: қауіпсіздік деңгейі таңдалған TCP/IP протоколымен анықталады. SSH қоғамдық желіде (мысалы, Интернет) берілетін пайдалы жүктемені шифрлау арқылы VPN функционалдығын қамтамасыз ету үшін 22 портты пайдаланады. IPsec-тің бастапқыдан соңғыға дейінгі тасымалдау режимі бар, бірақ ол сенімді қауіпсіздік шлюзі арқылы туннельдеу режимінде де жұмыс істей алады. Туннельдеу арқылы жүзеге асырылған нақты протокол жиынтығын түсіну үшін желі инженерлері пайдалы жүктеме және жеткізу протоколдары жиынтығын түсінуі керек.

Shell-тің қауіпсіз туннельдеуі

Secure Shell (SSH) туннелі SSH протоколы арқылы құрылған шифрланған туннельден тұрады. Пайдаланушылар SSH туннельдерін шифрланбаған трафикті шифрланған арна арқылы желі арқылы беруге орната алады. Бұл желі қауіпсіздігіне бағдарламалық тәсіл, нәтижесінде шифрлау ашық болады. Мысалы, Microsoft Windows машиналары шифрланбаған Server Message Block (SMB) протоколын қолдана отырып файлдарды бөлісе алады. Егер Microsoft Windows файл жүйесін қашықтан Интернет арқылы орнату керек болса, қосылымды тыңдап отырған адам аударылған файлдарды көре алады. Windows файл жүйесін қауіпсіз орнату үшін, барлық SMB трафигін шифрланған арна арқылы қашықтағы файл серверіне бағыттайтын SSH туннелін құруға болады. SMB протоколының өзі шифрлауды қамтымаса да, ол арқылы өтетін шифрланған SSH арнасы қауіпсіздікті қамтамасыз етеді. SSH қосылымы орнатылғаннан кейін, туннель SSH қашықтағы немесе жергілікті хосттағы портты тыңдаумен басталады. Оған кез келген қосылымдар қарсы (қашықтан немесе жергілікті, бұрынғыдай) хосттан шыққан көрсетілген мекенжайға және портқа жіберіледі. TCP негізделген қосылым (SSH порттарын жіберу) арқылы TCP-ді капсулалайтын жүктемені (PPP сияқты) туннельдеу "TCP over TCP" деп аталады, және оны жасау трансляция өнімділігінің күрт төмендеуіне әкелуі мүмкін ("TCP еруі" деп аталатын проблема), сондықтан виртуалды жеке желі бағдарламалық жасақтамасы туннель қосылымы үшін TCP-ден гөрі қарапайым протоколды қолдана алады. Алайда, бұл OpenSSH порттарын жіберу кезінде жиі проблема емес, өйткені көптеген пайдалану жағдайлары TCP арқылы TCP туннельдеуін қажет етпейді; ерітуден аулақ болады, өйткені OpenSSH клиенті жіберілетін нақты жүктемеге жету үшін жергілікті, клиенттік жақтағы TCP қосылымын өңдейді, содан кейін осы жүктемені тікелей туннельдің өз TCP қосылымы арқылы сервер жағына жібереді, онда OpenSSH сервері жүктемені соңғы бағытқа бағыттау үшін қайтадан "жабылап" орайды. Әрине, бұл орау және ашу екі бағыттағы туннельдің кері бағытта да болады. SSH туннельдері белгілі бір Интернет қызметтерін тыйым салатын брандмауэрлерді айналып өту құралын ұсынады, егер сайт шығыс қосылымдарға рұқсат берсе. Мысалы, ұйым пайдаланушыға ұйымның прокси сүзгісінен (ұйымға пайдаланушының веб арқылы көретінін бақылау және бақылау құралымен қамтамасыз ететін) өтусіз тікелей Интернет веб-беттеріне (80 порт) кіруге тыйым салуы мүмкін. Бірақ пайдаланушылар веб-трафикті бақылауға немесе ұйымның прокси-фильтріне бұғаттауға ұмтылмауы мүмкін. Егер пайдаланушылар сыртқы SSH серверіне қосыла алса, олар жергілікті машинадағы берілген портты қашықтағы веб-сервердегі 80 портқа жіберу үшін SSH туннелін жасай алады. Қашықтағы веб-серверге кіру үшін пайдаланушылар өз браузерін http://localhost/ мекенжайы бойынша жергілікті портқа бағыттайды. Кейбір SSH клиенттері пайдаланушыға SOCKS 4/5 прокси-серверін құруға мүмкіндік беретін динамикалық портты қайта жіберуді қолдайды. Бұл жағдайда пайдаланушылар өздерінің SOCKS прокси серверін пайдалану үшін өздерінің бағдарламаларын конфигурациялай алады. Бұл SSH туннелін бір портқа құруға қарағанда, жоғарыда сипатталғандай, көбірек икемділік береді. SOCKS пайдаланушыны алдын ала белгіленген қашықтағы порт пен серверге ғана қосылу шектеулерінен босатады. Егер қосымша SOCKS-ті қолдамаса, прокси-серверді қолданбаны жергілікті SOCKS прокси-серверіне қайта бағыттау үшін пайдалануға болады. Кейбір проксилер, мысалы Proxycap, тікелей SSH-ді қолдайды, осылайша SSH клиентіне қажеттіліктен аулақ болады. OpenSSH-тің соңғы нұсқаларында егер екі ұшы да осындай туннельдеу мүмкіндіктерін қосқан болса, 2-ші немесе 3-ші қабатты туннельдер жасауға рұқсат етіледі. Бұл қосылымның екі шетінде tun (демейдегі 3-қабат) немесе tap (демейдегі 2-қабат) виртуалды интерфейстерін жасайды. Бұл қалыпты желілік басқару мен маршруттандыруды пайдалануға мүмкіндік береді, ал маршрутизаторларда пайдаланылған кезде бүкіл кіші желідегі трафикті туннельдеуге болады. Бір жұп шүмектік виртуалды интерфейстер қосылымның екі ұшын жалғайтын Ethernet кабелі сияқты жұмыс істейді және ядролық көпірлерге қосылуы мүмкін.

A Secure Shell (SSH) tunnel consists of an encrypted tunnel created through an SSH protocol connection. Users may set up SSH tunnels to transfer unencrypted traffic over a network through an encrypted channel. It is a software based approach to network security and the result is transparent encryption. For example, Microsoft Windows machines can share files using the Server Message Block (SMB) protocol, a non encrypted protocol. If one were to mount a Microsoft Windows file system remotely through the Internet, someone snooping on the connection could see transferred files. To mount the Windows file system securely, one can establish a SSH tunnel that routes all SMB traffic to the remote fileserver through an encrypted channel. Even though the SMB protocol itself contains no encryption, the encrypted SSH channel through which it travels offers security. Once an SSH connection has been established, the tunnel starts with SSH listening to a port on the remote or local host. Any connections to it are forwarded to the specified address and port originating from the opposing (remote or local, as previously) host. Tunneling a TCP encapsulating payload (such as PPP) over a TCP based connection (such as SSH's port forwarding) is known as "TCP over TCP", and doing so can induce a dramatic loss in transmission performance (a problem known as "TCP meltdown"), which is why virtual private network software may instead use a protocol simpler than TCP for the tunnel connection. However, this is often not a problem when using OpenSSH's port forwarding, because many use cases do not entail TCP over TCP tunneling; the meltdown is avoided because the OpenSSH client processes the local, client side TCP connection in order to get to the actual payload that is being sent, and then sends that payload directly through the tunnel's own TCP connection to the server side, where the OpenSSH server similarly "unwraps" the payload in order to "wrap" it up again for routing to its final destination. Naturally, this wrapping and unwrapping also occurs in the reverse direction of the bidirectional tunnel. SSH tunnels provide a means to bypass firewalls that prohibit certain Internet services so long as a site allows outgoing connections. For example, an organization may prohibit a user from accessing Internet web pages (port 80) directly without passing through the organization's proxy filter (which provides the organization with a means of monitoring and controlling what the user sees through the web). But users may not wish to have their web traffic monitored or blocked by the organization's proxy filter. If users can connect to an external SSH server, they can create an SSH tunnel to forward a given port on their local machine to port 80 on a remote web server. To access the remote web server, users would point their browser to the local port at http://localhost/

Some SSH clients support dynamic port forwarding that allows the user to create a SOCKS 4/5 proxy. In this case users can configure their applications to use their local SOCKS proxy server. This gives more flexibility than creating an SSH tunnel to a single port as previously described. SOCKS can free the user from the limitations of connecting only to a predefined remote port and server. If an application does not support SOCKS, a proxifier can be used to redirect the application to the local SOCKS proxy server. Some proxifiers, such as Proxycap, support SSH directly, thus avoiding the need for an SSH client. In recent versions of OpenSSH it is even allowed to create layer 2 or layer 3 tunnels if both ends have enabled such tunneling capabilities. This creates tun (layer 3, default) or tap (layer 2) virtual interfaces on both ends of the connection. This allows normal network management and routing to be used, and when used on routers, the traffic for an entire subnetwork can be tunneled. A pair of tap virtual interfaces function like an Ethernet cable connecting both ends of the connection and can join kernel bridges.

Түзеу желісіне негізделген кибер-қарулар

Жылдар бойы туннельдеу және деректерді жалпылай капсулалау, қорғалған желіден тыс қасақана зиянды байланыс орнату мақсатымен жиі қолданылып келді. Осыған байланысты, белгілі туннельдерге HTTP, SSH, DNS, MQTT сияқты протоколдар жатады.