DESCRIÇÃO E ANÁLISE ESTATÍSTICA DE PROTOCOLOS DE REDES VIRTUAIS PRIVADAS UTILIZANDO DIFERENTES ABORDAGENS - PDF
DESCRIÇÃO E ANÁLISE ESTATÍSTICA DE PROTOCOLOS DE REDES VIRTUAIS PRIVADAS UTILIZANDO DIFERENTES ABORDAGENS
Download "DESCRIÇÃO E ANÁLISE ESTATÍSTICA DE PROTOCOLOS DE REDES VIRTUAIS PRIVADAS UTILIZANDO DIFERENTES ABORDAGENS"
Beatriz Amaral Canejo
1 UNIVERSIDADE FEDERAL DE SANTA MARIA COLÉGIO TÉCNICO INDUSTRIAL DE SANTA MARIA CURSO SUPERIOR DE TECNOLOGIA EM REDES DE COMPUTADORES DESCRIÇÃO E ANÁLISE ESTATÍSTICA DE PROTOCOLOS DE REDES VIRTUAIS PRIVADAS UTILIZANDO DIFERENTES ABORDAGENS TRABALHO DE CONCLUSÃO DE CURSO Guilherme Prestes da Silva Santa Maria, RS, Brasil 2013
2 DESCRIÇÃO E ANÁLISE ESTATÍSTICA DE PROTOCOLOS DE REDES VIRTUAIS PRIVADAS UTILIZANDO DIFERENTES ABORDAGENS Guilherme Prestes da Silva Trabalho de Conclusão de Curso apresentado ao Curso Superior de Tecnologia em Redes de Computadores do Colégio Técnico Industrial de Santa Maria, da Universidade Federal de Santa Maria (UFSM,RS), como requisito parcial para obtenção de grau de Tecnólogo em Redes de Computadores. Orientador: Prof. Ms. Rogério Correa Turchetti Santa Maria, RS, Brasil 2013
3 UNIVERSIDADE FEDERAL DE SANTA MARIA COLÉGIO TÉCNICO INDUSTRIAL DE SANTA MARIA CURSO SUPERIOR DE TECNOLOGIA EM REDES DE COMPUTADORES A Comissão Examinadora, abaixo assinada, aprova o Trabalho de Conclusão de Curso DESCRIÇÃO E ANÁLISE ESTATISTICA DE PROTOCOLOS DE REDES VIRTUAIS PRIVADAS UTILIZANDO DIFERENTES ABORDAGENS elaborado por Guilherme Prestes da Silva como requisito parcial para obtenção do grau de Tecnólogo em Redes de Computadores COMISSÃO EXAMINADORA: Rogério Corrêa Turchetti (Presidente/Orientador) Ms. Walter Priesnitz Filho (UFSM) Pós-Dr. Viviane Cátia Köhler (UFSM) Santa Maria, 22 de Julho 2013.
4 4 DEDICATÓRIA Aos meus pais, Claudio Prestes da Silva e Rosângela Maria Prestes da Silva, pelos esforços imensuráveis durante suas vidas, pela compreensão, afeto, respeito e amor e, sobretudo, ao verem-me atingir este nível de graduação, realizarem um objetivo tão sonhado. Ao meu irmão, Maurício Prestes da Silva, que desde sua adolescência incentivou-me, mesmo que indiretamente, a gostar e entender as coisas da computação.
5 AGRADECIMENTOS Rogério Correa Turchetti, orientador deste trabalho de conclusão, por entender que a vida nem sempre nos rega com momentos felizes e que, portanto, precisamos dar um passo mais curto e esperarmos o momento certo. Pela dedicação e atenção que sempre esteve disposto a dar-me nas correções deste trabalho. Cristiélle Pontes Machado, por entender que um futuro melhor passa necessariamente pelos esforços do presente, por fins de semana distantes e pela priorização dos estudos. Pelo carinho, afeto, amor e respeito que você sempre esteve disposta a dar-me em todas as ocasiões. Humberto Boeira Poetini, fiel e incansável amigo, presente desde as primeiras provas de cálculo até as últimas linhas deste trabalho. Companheiro de chimarrão e ouvinte atento às conspirações, dilemas e aspirações deste amigo; o braço que muitas vezes sustentou-me da ausência da família e a mão que, sempre estendida, jamais negou-me um mate e uma ajuda. Carla Juliana Biesdorf, por mostrar-me o curso de Redes de Computadores e convencer-me de que era possível. Por todas as horas que esteve ao lado para sustentar, ouvir e motivar-me a seguir nesta empreitada. Ainda, por há mais de 10 anos atrás ir comigo a Santa Maria desbravar o mundo. Walter Priesnitz Filho, coordenador do curso, pelo excelente trabalho, pelo esforço em fazer as coisas serem melhores, mas principalmente por estar presente, disponível e entender que o caminho da vida é tortuoso e implacável. Divar e Clécio Lopes, os padrinhos de minha graduação, atentos ao meu bem-estar em Santa Maria e também por comporem o alicerçe emocional que tanto eu quanto minha família necessitamos nos últimos anos. Aos demais professores, colegas e funcionários do Colégio Técnico Industrial de Santa Maria.
6 RESUMO Trabalho de Conclusão de Curso Curso Superior de Tecnologia em Redes de Computadores Universidade Federal de Santa Maria DESCRIÇÃO E ANÁLISE ESTATÍSTICA DE PROTOCOLOS DE REDES VIRTUAIS PRIVADAS UTILIZANDO DIFERENTES ABORDAGENS AUTOR: GUILHERME PRESTES DA SILVA ORIENTADOR: ROGÉRIO CORREA TURCHETTI Data e Local da Defesa: Santa Maria, 22 de Julho de As redes de computadores e suas inúmeras aplicações caminham conjuntamente com as demais áreas do conhecimento, especialmente nos últimos vinte anos, em busca de soluções que proporcionem à sociedade ferramentas, aplicações, padrões e facilidades na comunicação de dados. O avanço contínuo e acelerado das tecnologias e suas inserções igualmente dinâmicas no cotidiano das pessoas e organizações traz à luz do debate e da pesquisa a segurança na troca das informações. Utilizando-se como base as estatísticas descritiva e probabilística buscou-se descobrir diferentes características de transmissão de dados utilizando-se redes virtuais privadas, afim de se obter dados suficientes para uma análise real e conclusiva desses protocolos. O conhecimento de diferentes modelos estatísticos aliados à uma intensa pesquisa teórica dos protocolos de redes virtuais privadas, permitiram a execução e realização deste trabalho. A análise dos resultados revela as diferentes características e aplicações que estes protocolos se aplicam, podendo, este trabalho, auxiliar na escolha de soluções em redes virtuais privadas. Palavras-chave: redes de computadores, comunicação de dados, redes virtuais privadas.
7 ABSTRACT Graduation Conclusion Work Technology in Computer Networs Graduation Course Universidade Federal de Santa Maria DESCRIPTION AND STATISTICAL ANALYSIS OF PROTOCOLS OF VIRTUAL PRIVATE NETWORKS USING DIFFERENT APPROACHES AUTHOR: GUILHERME PRESTES DA SILVA ADVISER: ROGÉRIO CORREA TURCHETTI Defense Place and Date: Santa Maria, July, 22 nd Computer network and its several applications evaluate together with other knowledge areas, specially in the last twenty years, seeking solutions which give tools, applications, patterns and easiness on data communication to society. Continuous and fast development of technologies and their equally dinamic insertion on people's daily life and companies brings to the light of debate and research the safety on changing information. Using as basis either descriptive or probabilistic statistic this work has sought to find out different characteristics of data transmission using virtual private network, to collect enough data to a real and conclusive analysis of these protocols. The knowledge of different statistical models coupled with an intense theoretical research of virtual private networks protocols allowed the implementation and execution of this work. Analysis of the results reveal the different features and applications that these protocols applied themselves, allowing this work to help choosing solutions in virtual private networks. Keywords: computer network, data communication, virtual private network
8 ÍNDICE DE ILUSTRAÇÕES ILUSTRAÇÃO 1 - distribuição dos tempos de transmissão PPTP 128 bytes...16 ILUSTRAÇÃO 2 - ocorrências por classes PPTP 128 bytes...17 ILUSTRAÇÃO 3 - ocorrências por classes PPTP 256 bytes...17 ILUSTRAÇÃO 4 - ocorrências por classes PPTP 512 bytes...17 ILUSTRAÇÃO 5 - ocorrências por classes PPTP 1024 bytes...18 ILUSTRAÇÃO 6 - probabilidade por classes PPTP 128 bytes...19 ILUSTRAÇÃO 7 - probabilidade por classes PPTP 256 bytes...19 ILUSTRAÇÃO 8 - probabilidade por classes PPTP 512 bytes...19 ILUSTRAÇÃO 9 - probabilidade por classes PPTP 1024 bytes...20 ILUSTRAÇÃO 10 - ocorrências por classes L2TP 128 bytes...25 ILUSTRAÇÃO 11 - ocorrências por classes L2TP 256 bytes...25 ILUSTRAÇÃO 12 - ocorrências por classes L2TP 512 bytes...26 ILUSTRAÇÃO 13 - ocorrências por classes L2TP 1024 bytes...26 ILUSTRAÇÃO 14 - distribuição dos tempos de transmissão OPENVPN 128 bytes...32 ILUSTRAÇÃO 15 - distribuição dos tempos de transmissão OPENVPN 256 bytes...33 ILUSTRAÇÃO 16 - distribuição dos tempos de transmissão OPENVPN 512 bytes...33 ILUSTRAÇÃO 17 - distribuição dos tempos de transmissão OPENVPN 1024 bytes...33 ILUSTRAÇÃO 18 - probabilidade por classes OPENVPN 128 bytes...34 ILUSTRAÇÃO 19 - probabilidade por classes OPENVPN 256 bytes...34 ILUSTRAÇÃO 20 - probabilidade por classes OPENVPN 512 bytes...35 ILUSTRAÇÃO 21 - probabilidade por classes OPENVPN 1024 bytes...35 ILUSTRAÇÃO 22: distribuição dos tempos de transmissão PPTP 256 bytes...55 ILUSTRAÇÃO 23: distribuição dos tempos de transmissão PPTP 512 bytes...55 ILUSTRAÇÃO 24: distribuição dos tempos de transmissão PPTP 1024 bytes...55 ILUSTRAÇÃO 25: distribuição dos tempos de transmissão L2TP 128 bytes...56 ILUSTRAÇÃO 26: distribuição dos tempos de transmissão L2TP 256 bytes...56 ILUSTRAÇÃO 27: distribuição dos tempos de transmissão L2TP 512 bytes...57 ILUSTRAÇÃO 28: distribuição dos tempos de transmissão L2TP 1024 bytes...57
9 LISTA DE FIGURAS FIGURA 1 quadro PPP padrão FIGURA 2 estrutura de um pacote PPTP...5 FIGURA 3 tunelamento PPT FIGURA 4 tunelamento L2F FIGURA 5 pacote IPSec FIGURA 6 VPN host to host FIGURA 7 VPN network-to-network...12 FIGURA 8 cenário implementado para a realização de todos os casos de testes
10 ÍNDICE DE TABELAS TABELA 1 - estatística PPTP 128 bytes...15 TABELA 2 - distribuição de frequências PPTP 128 bytes...15 TABELA 3 - captura de dados na interface PPP TABELA4 - captura de dados na interface eth TABELA 5 - estatística descritiva VPN L2TP 128 bytes...25 TABELA 6 - estatística descritiva VPN L2TP 256 bytes...25 TABELA 7 - estatística descritiva VPN L2TP 512 bytes...25 TABELA 8 - estatística descritiva VPN L2TP 1024 bytes...27 TABELA 9 - distribuição de frequências L2TP 128 bytes...29 TABELA 10 - distribuição de frequências L2TP 256 bytes...29 TABELA 11 - distribuição de frequências L2TP 512 bytes...29 TABELA 12 - distribuição de frequências L2TP 1024 bytes...30 TABELA 13 - tráfego de canal interface PPP TABELA 14 - tráfego de canal interface eth TABELA 15 - estatística descritiva OPENVPN 128 bytes...33 TABELA 16 - estatística descritiva OPENVPN 256 bytes...34 TABELA 17 - estatística descritiva OPENVPN 512 bytes...34 TABELA 18 - estatística descritiva OPENVPN 1024 bytes...34 TABELA 19 - comparação dos desvios médios...35 TABELA 20 - tráfego de pacotes na interface tun TABELA 21 - tráfego de pacotes na interface eth TABELA 22 - médias aritméticas - tempos de transmissão...40 TABELA 23 - pacotes por classe...41 TABELA 24 - probabilidades por classe...42 TABELA 25 - otimização do canal...42 TABELA 26 - utilização do processador...43 TABELA 27: estatística descritiva PPTP 256 bytes...56 TABELA 28: estatística descritiva PPTP 512 bytes...56 TABELA 29: estatística descritiva PPTP 1024 bytes...56 TABELA 30: distribuição de frequências PPTP 256 bytes...57 TABELA 31: distribuição de frequências PPTP 512 bytes...57 TABELA 32: distribuição de frequências PPTP 1024 bytes...57
11 LISTA DE ABREVIATURAS E SIGLAS VPN Virtual Private Network / Rede Privada Virtual CERT Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil PPP Point-to-Point Protocol / Protocolo Ponto-a-Ponto PPTP Point-to-Point Tunneling Protocol / Protocolo de Tunelamento Ponto-a-Ponto L2F Layer Two Forwarding / Encaminhador da camada dois L2TP Layer Two Tunelling Protocol / Protocolo de Tunelamento da camada dois IPSec Internet Protocol Security / Segurança do Protocolo de Internet SSTP Security Socket Tunneling Protocol / Protocolo de Tunelamento de Segurança de Soquetes RFC Request for Comments / Pedido para comentários LCP Link Control Protocol / Protocolo De Controle de Enlace NCP Network Control Protocol / Protocolo De Controle de Rede OSI Open Systems Interconnection / Interconexão de Sistemas Abertos TCP Transmission Control Protocol / Protocolo de Controle de Transmissão UDP User Datagram Protocol / Protocolo de Datagramas PPPD Point-to-Point Protocol Daemon / Servidor do Protocolo Ponto-a-Ponto ISP Internet Service Provider / Provedor de Acesso à Internet ATM Assynchronous Transfer Mode / Modo de Transferência Assíncrona PAP Password Authentication Protocol / Protocolo de Autenticação de Senha CHAP Challenge Handshake Authentication Protocol / Protocolo de Autenticação de Handshake de Desafio ETD Equipamento Terminal de Dados DES Data Encryption Standard / Padrão de Criptografia de Dados IKE Internet Key Exchange Protocol / Protocolo de Troca de Chaves de Internet ISAKMP Internet Security Association and Key Management Protocol / Protocolo de Gerenciamento de Chaves e Associação de Segurança PFS Perfect Forward Secrecy / Sigilo Avançado Perfeito SSL Security Socket Layer / Protocolo de Camada de Sockets Segura HTTP Hyper Text Transfer Protocol Protocolo de Transferência de Hipertextos FTP File Transfer Protocol / Protocolo de Transferência de Arquivos SMTP Single Mail Transfer Protocol / Protocolo de transferência de correio simples HTTPS Hyper Text Transfer Protocol Secure Segurança do Protocolo de Transferência de Hipertextos EAP TLS Extensible Authentication Protocol Transport Layer Security / Protocolo de Autenticação Extensa Segurança da Camada de Transportes Ipv6 Internet Protocol version 6 / Protocolo de Internet versão 6 DMZ Demilitarized Zone / Zona Desmilitarizada RAM Read Acess Memory / Memória de Acesso à leitura NTP Network Time Protocol / Protocolo de Tempo da Rede
12 LISTA DE ANEXOS E APÊNDICES APÊNDICE A CONFIGURAÇÃO DO SERVIDOR PPTP APÊNDICE B CONFIGURAÇÃO RUDE & C RUDE E SERVIDOR NTP...48 APÊNDICE C CONFIGURAÇÃO DO SERVIDOR L2TP APÊNDICE D CONFIGURAÇÃO DO SERVIDOR OPENVPN APÊNDICE E GERAÇÃO DE CERTIFICADOS...53 APÊNDICE F CONFIGURAÇÃO DO CLIENTE VPN ANEXO 1 VPN COM PPTP...56 ANEXO 2 VPN COM L2TP / IPSEC
13 SUMÁRIO 1 INTRODUÇÃO OBJETIVOS Objetivo Geral Objetivos Específicos METODOLOGIA PROTOCOLOS PARA A IMPLEMENTAÇÃO DE UMA VPN POINT-TO-POINT PROTOCOL (PPP) POINT-TO-POINT TUNNELING PROTOCOL (PPTP) LAYER TWO FORWARDING LAYER TWO TUNNELING PROTOCOL (L2TP) IP SECURITY SECURITY SOCKET TUNNELING PROTOCOL (SSTP) E OPENVPN 9 4 SOLUÇÕES EM VPN MODELOS DE INTERCONEXÃO HOST-TO-HOST HOST-TO-NETWORK NETWORK TO NETWORK AMBIENTE DE TESTES OBTENÇÃO DOS DADOS VPN COM PPTP VPN COM L2TP/IPSEC VPN COM OPENVPN ANÁLISE COMPARATIVA UTILIZAÇÃO DO PROCESSADOR CONCLUSÃO...41
14 1 1 INTRODUÇÃO 1 As inovações tecnológicas pós revolução industrial, especialmente dadas pelo maior conhecimento da administração geral, viram em Henry Ford primeiramente, mas especialmente pós Segunda Guerra Mundial, a necessidade da troca de informações e, tão importante quanto, a inovação tecnológica rápida e segura (VASCONCELLOS, 1972, p. 34). Como resultado da evolução surge, a partir da década de 1990 com mais força, a internet, uma rede virtual capaz de conectar qualquer computador autônomo, em qualquer lugar. Fez-se necessário, pois, que a coleta, transporte, processamento e armazenamento de informações fossem dadas de maneira segura e confiável. Empresas e suas filiais espalhadas pelo mundo todo demandam convergência de dados, rapidez e confiabilidade no movimento da informação, por exemplo. Segundo dados do CERT 1, casos de atividades maliciosas, negação de serviço, invasões, comprometimento de servidores e fraudes registraram incidentes em 2011, sendo este último responsável por 34,65% dos incidentes no período Abril Junho de De maneira análoga, em Leading Statistics Portal 2, o número médio de dias para resolver um ataque cibernético contra companhias americanas em 2011 chegou a 42, enquanto que os danos financeiros às companhias chegaram, em 30% dos ataques bem-sucedidos, a dólares por ataque. Geralmente há uma relação inversa de proporcionalidade entre tráfego de dados versus segurança da informação. Diversas são as ferramentas geradoras de criptografias, certificações digitais, chaves simétricas e assimétricas, e quanto mais bits precisarem ser inseridos/retirados em um cabeçalho de pacote de dados, maior o processamento e, consequentemente, menor a otimização do canal de comunicação. Para tanto, protocolos de redes privadas virtuais devem buscar a melhor relação entre confiabilidade na entrega dos pacotes e velocidade da informação. Para tanto, protocolos de redes privadas virtuais devem buscar a melhor relação entre confiabilidade na entrega dos pacotes e velocidade da informação. Isso justifica-se através dos diversos trabalhos que tratam este assunto, como Kosta, Dalal e Jha (2010), Gendorf (2006) e Peña e Evans (2000)
15 1.1 OBJETIVOS OBJETIVO GERAL Analisar os diferentes protocolos de redes privadas virtuais, desenvolvendo cenários específicos de troca de informações, afim de buscar dados estatísticos que promovam uma comparação entre as diferentes soluções Objetivos Específicos Promover a troca de dados entre dois equipamentos terminais, implementando redes privadas virtuais; Coletar dados estatísticos suficientes nos diversos cenários; Analisar os dados obtidos e compará-los de acordo com critérios pré-definidos; Elaborar um estudo sobre diferentes protocolos de comunicação para uso de VPNs; Buscar o protocolo que mais se adapta nos diversos cenários considerando o objetivo de sua aplicação.
16 2 METODOLOGIA 3 As comunicações de dados entre dois ou mais equipamentos terminais, com ou sem um nó central, constituem a base para sustentar o maçico tráfego de informações do mundo globalizado. Utilizar as diferentes topologias e os mais diversos hardware afim de alcançar êxito nas comunicações torna qualquer experimento científico necessário para simular e confrontar resultados adquiridos em um ambiente restrito e controlado com aqueles que ocorrem nas comunicações reais. Torna-se assim mais simples buscar pequenas características, falhas, erros e análises dos dados, conhecer melhor os equipamentos e finalmente atingir um cenário eficiente e o mais verossímil possível, corroborando ou não com os objetivos do projeto. Na busca por uma comunicação ao mesmo tempo simples e confiável buscou-se a montagem de um cenário com dois equipamentos terminais de dados e um dispositivo centralizador (o qual é o responsável pelo início, manutenção e finalização da sessão da rede privada virtual). Os diferentes protocolos de tunelamento e as respectivas criptografias, a definição de ferramentas de captura e análise dos dados para que a parte estatística seja a mais precisa possível, constituem igualmente processos vitais para que as soluções propostas atingam a máxima fidelidade. A análise estatística, neste trabalho, é puramente uma ferramenta necessária para traduzir números e dados em gráficos e TABELAS que auxiliem em um entendimento profundo de desempenho de VPNs. Bem como a configuração das redes privadas virtuais, scripts, arquivos de configuração e demais elementos necessários para o estabelecimento do canal de comunicação não são elementos tratados como fundamentais para o êxito do trabalho. Tanto a estatística quanto a configuração das redes são suportes para alcançar-se dados suficientes para uma análise. Os protocolos avaliados neste trabalho são: PPTP, L2TP com IPSec e OpenVPN, e para cada uma destas abordagens o estabelecimento de canais de comunicação com tráfego de dados de 128, 256, 512 e 1024 bytes. Para cada um destes cenários foram efetuadas três coletas de 600 pacotes 1 pacote por segundo e extraída a média aritmética dos tempos de transmissão dos pacotes de mesma ordem numérica em cada comunicação. Dessa forma, diminiu-se a chance de que dados distorcidos ou erros no canal possam revelar um comportamento não condizente com a realidade do experimento.
17 3 PROTOCOLOS PARA A IMPLEMENTAÇÃO DE UMA VPN 4 Para a implementação de uma VPN existem diferentes protocolos de tunelamento disponíveis. Segundo Filho (2006, p. 51) os principais protocolos de encapsulamento de pacotes são: PPP, PPTP, L2F, L2TP, IP Security (IPSec), SSTP e OpenVPN. 3.1 POINT-TO-POINT PROTOCOL (PPP) O protocolo PPP, desenvolvido e padronizado pela RFC (1993), não é propriamente um protocolo capaz de estabelecer uma VPN. A internet, desde sua origem, necessita de protocolos capazes de gerar uma comunicação fim-a-fim com algum nível de controle, capazes de, por exemplo, manter um enlace entre dois roteadores ou entre um modem doméstico e um provedor de serviços de internet. Para tanto, este protocolo dispõe de quatro características básicas e essenciais para que uma rede virtual privada possa ser estabelecida: enquadramento de pacotes e detecção de erros; campo de controle de 8 bits, conforme FIGURA 1; LCP, do inglês link control protocol, capaz de estabelecer, manter e finalizar conexões e NCP, do inglês network control protocol, responsável por negociar as opções da camada de rede. Figura 1 quadro PPP padrão Só é possível estabelecer uma VPN caso haja um protocolo do tipo PPP em estado de execução, já que protocolos VPN propriamente ditos são responsáveis por encapsular pacotes, encapsulados ou não por outros protocolos. Conforme será visto nos próximos capítulos, protocolos como o PPTP, L2F e L2TP sobre o PPP criarão túneis em nível de enlace (camada 2 do modelo OSI). 3
18 3.2 POINT-TO-POINT TUNNELING PROTOCOL (PPTP) 5 Um dos primeiros protocolos de tunelamento que surgiram, o PPTP (RFC , 1999) veio incorporado ao Windows NT 4.0 (1995), e fora desenvolvido por um aglomerado de empresas para facilitar o acesso remoto de computadores a uma rede privada. Ao encapsular pacotes PPP, as funcionalidades deste protocolo são agregadas fazendo um túnel até o destino, permitindo assim uma flexibilização do PPTP para lidar com diferentes protocolos. Permite, portanto, a transferência segura de dados de um computador remoto para um servidor privado ao criar uma conexão VPN em todas as redes de dados baseadas em IP. Diferentemente do protocolo L2TP, este permite que um usuário remoto tenha a possibilidade de escolher o destino do túnel. O PPTP encapsula os quadros PPP em datagramas IP para transmissão pela rede, utilizando uma conexão TCP para o gerenciamento de encapsulamento, conforme mostra a FIGURA 2. Figura 2: estrutura de um pacote PPTP Para que uma conexão PPTP seja estabelecida deve-se ter disponíveis um cliente e um servidor PPPD 5. De acordo com Borges, Fagundes e Cunha (2010, p. 3), o cliente PPTP utiliza o PPP para se conectar ao ISP. Nesta etapa o PPP é utilizado para estabelecer a conexão e criptografar os dados. Utilizando a conexão estabelecida pelo PPP, cria-se uma conexão de controle desde o cliente até o servidor PPTP através da Internet. O esquema final, portanto, é mostrado na FIGURA Do inglês Point-to-Point Daemon
19 6 Figura 3: tunelamento PPT 3.3 LAYER TWO FORWARDING Definido pela RFC , este protocolo de tunelamento desenvolvido pela Cisco Systems diferencia-se por não depender do IP, trabalhando assim diretamente com outros protocolos. Esta característica trouxe uma interessante inovação aos processos de tunelamento e criação de redes virtuais privadas. Segundo Borges, Fagundes e Cunha (2010, p. 4) o L2F é capaz de trabalhar com diferentes tecnologias, como redes ATM e Frame Relay - e também permite mais de uma conexão ao mesmo tempo. Conforme a FIGURA 4 mostra, este protocolo exige duas autenticações distintas: a primeira delas ao conectar-se cliente - ISP e a segunda ao conectar-se ao ISP gateway passando pela Internet. Nota-se, ainda que, ao não utilizar-se do protocolo IP, um canal direto é gerado entre cliente ISP servidor de tunel gateway. Figura 4: Tunelamento L2F Mais especificamente, a criação do túnel inicia com o usuário remoto requisitando ao ISP uma conexão PPP. Após o servidor de acesso à rede permitir a conexão, o enlace 6
20 7 PPP estabelece-se. Utilizando os protocolos PAP 7 e CHAP 8 como meios de autenticação de usuários, um túnel é criado na outra ponta da conexão através de um pedido de comunicação VPN. Desta forma, pacotes PPP podem trafegar normalmente pelo túnel L2F. Comparativamente, este protocolo pode ser considerado uma melhoria do PPTP, ao permitir que novas tecnologias possam ser utilizadas (não somente IP). Porém, como veremos a seguir, além de uma solução proprietária, este protocolo logo foi sucedido pelo L2TP, por não possuir criptografia e encapsulamento de dados. 3.4 LAYER TWO TUNNELING PROTOCOL (L2TP) Originalmente definido pela RFC , é um protocolo de encapsulamento bastante robusto que repassa o usuário para outros nós da rede, e não necessariamente a ponta final do túnel. Pode-se, portanto, ter-se um túnel L2TP entre um ETD 10 e um roteador, ou entre roteadores. Permite, ainda, que o tráfego IP seja criptografado e enviado através de canais de comunicação tais como IP, X25, Frame Relay ou ATM. Este protocolo já permite a criptografia dos datagramas, e assim como os demais protocolos vistos, encapsula pacotes PPP. Em uma análise geral, o L2TF apresenta-se com aquilo que de melhor extraiu-se do PPP e do PPTP, além de ter sido desenvolvido para operar em dois modos de tunelamento: 1. voluntário: é iniciado pelo cliente remoto, tornando-se assim flexível para usuários móveis; 2. compulsório: criado automaticamente e iniciado/autenticado pelo servidor de acesso à rede (que deve estar pré-configurado). Utilizando a criptografia DES 11 antes dos dados serem enviados, utiliza pacotes UDP para manter o túnel através de mensagens de manutenção enviadas constantemente entre as duas terminações. Já para fins de autenticação, assim como no 7 Do inglês password authentication protocol 8 Do inglês challenge handshake authentication protocol Equipamento Terminal de Dados 11 Do inglês Data Encryption Standard
21 PPTP, utiliza protocolos PAP e CHAP IP SECURITY A RFC de 2005 especifica e normatiza um conjunto de protocolos afim de garantir segurança, integridade, autenticação, controle de acesso e confidencialidade ao IP. Segundo Martins (2000, p. 8), este conjunto de protocolos pode trabalhar de dois modos distintos: 1. modo transporte: é o modo tradicional da imensa maioria das comunicações pela rede. A transmissão dos dados acontece de forma direta e 2. modo túnel: utilizado em gateways que encapsulam os pacotes originais em um novo pacote criptografado IPSec. É sobre este modo de funcionamento que detalharemos túneis IPSec. Implementando um túnel na camada de rede (IP camada 3 do modelo OSI), não utiliza como os protocolos antecessores, pacotes PPP. Portanto, fornece autenticação em nível da rede, verificação da integridade de dados, transmissão com criptografia e chaves fortes de 128 bits e um alto grau de segurança na transmissão das informações. No modo túnel é fornecido ao pacote IP original uma proteção de modo que este pacote seja tratado como o payload de um novo pacote (datagrama IPSec). Deste modo pode ser usado para enviar dados encriptados através de um túnel, o que permite enviar dados independentemente da infraestrutura utilizada, não dependendo de configurações prévias nos terminais do túnel. Também acaba por proteger o pacote IP original de ataques, visto que um atacante não tem como descobrir a origem e destino de um pacote, apenas a origem e destino do túnel. Constituindo o datagrama IPSec, conforme FIGURA 5, são adicionados dois cabeçalhos: AH (autenthication header): garante a autenticidade do pacote, não permitindo então que este seja alterado. Previne ataques do tipo replay 13, spoofing 14 e connection hijacking Ocorre quando um um atacante copia mensagens em uma comunicação de dados e retransmite estas mensagens para uma das partes. 14 Situação na qual uma pessoa ou programa mascara-se como outra, assim falsificando dados. 15 Situação na qual um atacante intercepta uma comunicação legítima de dados, controlando o tráfego entre os hosts.
22 9 ESP (encapsulation security payload): garante que somente destinatários autorizados tenham acesso ao conteúdo do pacote. Previne ataques do tipo replay, particionamento de pacotes cifrados e sniffer 16. Figura 5: pacote IPSec Em relação ao gerenciamento das chaves, utiliza o protocolo IKE 17, o qual combina o ISAKMP 18 para definir quais chaves serão determinadas. Ainda pode-se usar o PFS 19, aumentando ainda mais a segurança, visto que esta possibilidade permite que a chave seja gerada a partir do algoritmo de Diffie-Hellman (Whitfield, Diffie e Hellman, Martin, 1976), porém apresentando diminuição na performance. 3.6 SECURITY SOCKET TUNNELING PROTOCOL (SSTP) E OPENVPN Soluções proprietárias, totalmente protegidas, como o protocolo SSTP (RFC ), quase sempre encontram semelhantes aplicações, ou por vezes melhores, em código aberto. OpenVPN, assim como SSTP, também faz uso da tecnologia SSL - desenvolvido pela Netscape Communications para garantir a segurança entre aplicações cliente/servidor evitando influências externas e falsificação dos dados. Ao ser padronizado recebeu o nome de Transport Layer Security (TSL) 1.0 e é o mesmo que o SSL 3.0. O SSL atua entre as camadas de Transporte e Aplicação (TCP), podendo rodar sobre outros protocolos como o HTTP, Telnet, File Transfer Protocol (FTP), Single Message Transfer Protocol (SMTP) e outros de forma transparente - e funciona em Mac OS, Windows, Linux 16 Quando um atacante analisa dados em uma comunicação, assim aproveitando-se para obter senhas e/ou informações confidenciais. 17 Do inglês Internet Key Exchange 18 Do inglês Internet Security Association and Key Management Protocol 19 Do inglês Perfect Forward Secrecy 20
23 10 e alguns telefones IP. Opera em ambas camadas 2 e 3 e tem recursos extras de transporte de quadros Ethernet, IPX e NETBIOS. Pode, ainda, lidar com múltiplos canais gerenciáveis através de uma configuração Telnet, bem como para ligar dois roteadores interligados através de um canal sem-fio (wireless) não-confiável. O protocolo pode acomodar uma larga escala de configurações incluindo acesso remoto, segurança em redes sem fio, soluções em escala de empresa de acesso remoto com balanceamento de carga, controles de acesso refinados e túneis para sub-redes IP. Outras características deste protocolo são: utiliza encriptação, autenticação e certificação OpenSSL, bem como cifragem, tamanho de chave e uso de chaves simétricas ou assimétricas, configuração de VPNs tanto com IP fixo como IP dinâmico, e autenticação apenas de VPNs. Os pacotes de rede são selecionados unicamente por conta do seu IP de destino. E eles são apenas re-encapsulados sem qualquer manipulação. Assim, o OpenVPN não precisa interferir no processamento da terceira camada, e portanto não precisa ter qualquer módulo implementado dentro do kernel. O protocolo fornece um mecanismo para encapsular o tráfego PPP através do canal SSL do protocolo HTTPS. O uso do PPP possibilita o suporte a métodos de autenticação fortes, como o EAP-TLS. O uso de HTTPS significa que o tráfego irá passar através da porta TCP 443, usada comumente para acesso à Web. SSL (Secure Sockets Layer) oferece segurança de nível de transporte com recursos aprimorados de negociação de chaves, criptografia e verificação de integridade. 4 SOLUÇÕES EM VPN MODELOS DE INTERCONEXÃO De posse das análises bibliográficas dos protocolos para implementação de VPNs, cabe agora definir as soluções existentes, como os modelos de interconexão (tipos de túneis e arquiteturas de conexão) e as topologias. Obviamente que questões como redundância e tolerância a falhas devem sempre ser levadas em consideração ao se implementar tunelamentos em escala corporativa, porém o escopo deste trabalho é analisar critérios relativos aos protocolos de tunelamento. Segundo Castro (2004, p. 73), as soluções para redundância e tolerância a falhas