9Budovanie VPN pomocou SSL/TLS - príklady a riešenia

Pomocou VPN nie je možné len prepájať jednotlivé pobočky, ale tiež je možné kontrolovane sprístupňovať klientom zdroje umiestnené v neprístupnej časti podnikovej siete pomocou protokolu HTTPS (HyperText Transfer Protocol for Secure) - protokol HTTP (HyperText Transfer Protocol) s podporou SSL/TLS. Klient sa pripojí pomocou bežného webového prehliadača podporujúceho SSL/TLS na vstupnú webovú stránku, kde zadá svoje prihlasovacie údaje. V prípade, že sú správne, je mu sprístupnená stránka so zdieľanými sieťovými zdrojmi. Akékoľvek spojenie je pritom zabezpečené pomocou SSL/TLS.

Prístup SSL VPN rieši tiež niektoré nevýhody klasickej IPsec VPN. IPsec VPN má problémy pri prechode cez NAT. To je síce možné obísť mechanizmom NAT-T, ktorý spočíva v zabalení paketov IPsec resp. ESP paketov do datagramov UDP, avšak to zvyšuje celkovú réžiu protokolu. Ďalšou nevýhodou je v prípade vzdialeného prístupu k VPN nutnosť špeciálneho programového vybavenia na strane účastníka. Implementácia IPsec klientov rôznych výrobcov tiež nemusí byť vzájomne kompatibilná, tunel sa nemusí dať zriadiť kvôli bezpečnostným pravidlám v cudzích sieťach (napr. filtrovaním odchádzajúcej premávky, použitím proxy serverov), …

Mnohým týmto problémom je možné sa vyhnúť použitím VPN využívajúcich protokol SSL/TLS. Tento VPN prístup je označovaný ako SSL VPN alebo tiež Clientless VPN, pretože používateľ nepotrebuje špeciálne programové vybavenie na prístup do VPN, resp. využije bežný webový prehliadač s podporou protokolu HTTPS.

Termínom SSL VPN je často označovaný rad vzájomne nekompatibilných technológií. Všetky sú postavené na rovnakej základnej myšlienke a tou je využitie asymetrickej kryptografie a knižníc SSL/TLS pre zabezpečenú komunikáciu. Technológia protokolov rodiny SSL/TLS je dnes značne využívaná pri šifrovanom prístupe k webovému serveru schémou HTTPS.

Cieľom SSL VPN je vytvorenie transparentného šifrovaného tunelu založenom na protokole SSL/TLS. Vzhľadom na prítomnosť SSL v bežných webových prehliadačoch nie je nutné na dosiahnutie väčšiny ponúkanej funkčnosti inštalovať na klientske počítače žiadny špeciálny klientsky software. Na rozšírenie možností SSL VPN riešení sú ďalej používané malé aplikácie v podobe Java appletov alebo ActiveX komponentov. Práve bohatosť nadštandardnej výbavy významne ovplyvňuje úžitkovú hodnotu implementácií SSL VPN od rôznych výrobcov.

Základná funkcionalita SSL VPN spočíva v zabezpečenom prístupe k vnútorným informačným zdrojom organizácie. Je vytvorený šifrovaný SSL tunel medzi SSL VPN bránou a webovým prehliadačom na klientskom počítači. V tejto podobe teda môže SSL VPN veľmi dobre poslúžiť ako implementačne jednoduchý spôsob, ako v rámci Internetu zabezpečene sprístupniť webové portály informačných systémov organizácie. Ďalšou bežnou vlastnosťou SSL VPN riešenia je možnosť s pomocou webového rozhrania na bráne pracovať so súbormi zdieľanými v rámci vnútornej siete pomocou CIFS (Common Internet File System), čiže zdieľanie súborov novších systémov Windows alebo unixového NFS (Network File System).