9Budování VPN pomocí SSL/TLS – příklady a řešení

Pomocí VPN nelze jen propojovat jednotlivé pobočky, ale také lze kontrolovaně zpřístupňovat klientům zdroje umístěné v nepřístupné části podnikové sítě pomocí protokolu HTTPS (HyperText Transfer Protocol for Secure) – protokol HTTP (HyperText Transfer Protocol) s podporou SSL/TLS. Klient se připojí pomocí běžného webového prohlížeče podporujícího SSL/TLS na vstupní webovou stránku, kde zadá své přihlašovací údaje. V případě, že jsou správné, je mu zpřístupněna stránka se sdílenými síťovými zdroji. Veškeré spojení je přitom zabezpečeno pomocí SSL/TLS.

Přístup SSL VPN řeší také některé nevýhody klasické IPSec VPN. IPSec VPN má problémy při průchodu přes NAT. To sice lze obejít mechanismem NAT-T, který spočívá v zabalení paketů IPsec resp. ESP paketů do datagramů UDP, nicméně to zvyšuje celkovou režii protokolu. Další nevýhodou je v případě vzdáleného přístupu k VPN nutnost speciálního programového vybavení na straně účastníka. Implementace IPsec klientů různých výrobců také nemusí být vzájemně kompatibilní, tunel nemusí jít sestavit kvůli bezpečnostním pravidlům v cizích sítích (např. filtrováním odchozího provozu, použitím proxy serverů), …

Řadě těchto problémů se lze vyhnout použitím VPN využívajících protokol SSL/TLS. Tento VPN přístup je označován jako SSL VPN nebo také Clientless VPN, protože uživatel nepotřebuje speciální programové vybavení pro přístup k VPN, resp. využije běžný webový prohlížeč s podporou protokolu HTTPS.

Termínem SSL VPN je často označována řada vzájemně nekompatibilních technologií. Nicméně, všechny jsou postaveny na stejné základní myšlence a tou je využití asymetrické kryptografie a knihoven SSL/TLS pro zabezpečenou komunikaci. Technologie protokolů rodiny SSL/TLS je dnes hojně využívána při šifrovaném přístupu k webovému serveru schématem HTTPS.

Cílem SSL VPN je vytvoření transparentního šifrovaného tunelu založeného na protokolu SSL/TLS. Vzhledem k přítomnosti SSL v běžných webových prohlížečích není nutné pro dosažení většiny nabízené funkčnosti instalovat na klientské počítače žádný speciální klientský software. K rozšíření možností SSL VPN řešení jsou dále používány malé aplikace v podobě Java appletů nebo ActiveX komponent. Právě bohatost nadstandardní výbavy významně ovlivňuje užitnou hodnotu implementací SSL VPN od různých výrobců.

Základní funkcionalita SSL VPN spočívá v zabezpečeném přístupu k vnitřním informačním zdrojům organizace. Je vytvořen šifrovaný SSL tunel mezi SSL VPN bránou a webovým prohlížečem na klientském počítači. V této podobě tedy může SSL VPN velmi dobře posloužit jako implementačně jednoduchý způsob, jak v rámci internetu zabezpečeně zpřístupnit webové portály informačních systémů organizace. Další běžnou vlastností SSL VPN řešení je možnost, s pomocí bránou nabízeného webového rozhraní, pracovat se soubory sdílenými v rámci vnitřní sítě pomocí CIFS (Common Internet File System), tedy sdílení souborů novějších systémů Windows nebo unixového NFS (Network File System).