Hem Daniel hem de John sorunuza çok iyi cevaplar verdi; Soruyu okuduğumda akla gelen bazı pratik şeyleri ekleyeceğim.
MPLS VPN'lerin güvenliği hakkında çok fazla tartışmanın normalde Frame Relay ve ATM VPN'lere sağlanan güven sayesinde geldiğini unutmayın .
MPLS güvenli midir?
Sonuçta güvenlik sorunu, "İş açısından kritik verilerinize kime güveniyorsunuz?"
- Cevap "hiç kimse" değilse, verilerinizi şifrelenmiş bir VPN üzerinden yerleştirmeniz gerekir
- MPLS VPN sağlayıcınıza güveniyorsanız , verilerinizi şifrelemenize gerek yoktur
Neden MPLS üzerinden VPN de çalıştırmıyorsunuz?
En yaygın kullanım olarak, MPLS olan VPN, ancak şifrelenmemiş bir VPN var. "VPN" den bahsettiğinizde PPTP , IPSec veya SSL VPN gibi şifreli bir VPN demek istediğinizi varsayıyorum . Ancak, VPN içinde güçlü şifreleme , veri bütünlüğü veya Kimlik Doğrulaması gerekiyorsa , rfc4381 MPLS VPN Güvenliği, Bölüm 5.2, MPLS VPN içinde şifreleme yapılmasını önerir .
Ancak, şifrelenmiş VPN'ler kendileri sorunsuz değildir; genellikle aşağıdakilerden muzdariptirler:
- Altyapı için ek masraflar
- Verim / ölçeklenebilirlik sınırlamaları (HW şifrelemesindeki karmaşıklıklar nedeniyle)
- Personel / eğitim için ek masraflar
- Şifrelenmiş VPN aracılığıyla sorun ayıklama yaparken Artan Ortalama Onarım Süresi
- Artan yönetim yükü (yani PKI'nın korunması )
- Düşük TCP MSS gibi teknik zorluklar ve genellikle PMTUD ile ilgili sorunlar
- Daha az verimli bağlantılar, çünkü şifrelenmiş VPN'nin kapsülleme yüküne sahipsiniz (zaten MPLS VPN'nin ek yükü içinde )
Hiç kimse trafikten kaçamaz mı?
Evet, sağlayıcınıza güvenebileceğinizi düşünüp düşünmediğinize bakılmaksızın evrdropping yapmak mümkündür. Rfc4381 MPLS VPN Güvenliği, Bölüm 7'den alıntı yapacağım :
MPLS çekirdeğinden gelen saldırılar söz konusu olduğunda, tüm [şifrelenmemiş] VPN sınıfları (BGP / MPLS, FR, ATM) aynı soruna sahiptir: Bir saldırgan sniffer kurabilirse, tüm VPN'lerde bilgileri okuyabilir ve Saldırganın çekirdek cihazlara erişimi vardır, paket sahtekarlığından yeni eş yönlendiriciler sunmaya kadar çok sayıda saldırı gerçekleştirebilir. Yukarıda bir servis sağlayıcının çekirdeğin güvenliğini sıkılaştırmak için kullanabileceği bir dizi önlem vardır, ancak BGP / MPLS IP VPN mimarisinin güvenliği servis sağlayıcının güvenliğine bağlıdır. Servis sağlayıcıya güvenilmiyorsa, VPN servisinin "içi" nden gelen saldırılara karşı bir VPN'i güvenli hale getirmenin tek yolu IPsec'i üstte, CE cihazlarında veya ötesinde çalıştırmaktır.
Son bir noktaya değineceğim, bu sadece pratik bir soru. Temel internet hizmeti üzerinden şifrelenmiş bir VPN kullanacaksanız, MPLS VPN kullanmanın bir anlamı olmadığını iddia edebiliriz ; Bu görüşe katılmıyorum. MPLS VPN üzerinden şifrelenmiş bir VPN'in avantajları tek bir sağlayıcıyla çalışmaktır:
- Sorunları giderirken (uçtan uca)
- Hizmet kalitesini garanti etmek
- Hizmet sunmak