Повний гайд по VPN: історія, архітектура, протоколи

Що таке VPN?

VPN – це віртуальна приватна мережа (Virtual Private Network), яка працює всередині активного інтернет-з’єднання, являючи собою зашифрований і авторизований тунель між клієнтом та віддаленим VPN-сервером, який координує мережу, роздає IP/DNS адреси й пропускає через себе (проксує) інтернет-трафік. VPN можна використовувати як на рівні операційних систем / програмного забезпечення (транспортному, прикладному рівні), так і маршрутизаторі / роутері (канальний, мережевий рівень).

Сам термін “VPN” є досить сукупним й складається з багатьох технологій. Класична мережа Virtual Private Nerwork (VPN) містить такі компоненти:

1. Протокол VPN – набір правил і технологій, які визначають роботу VPN. Містить алгоритми шифрування і систему аутентифікації;
2. Сервер VPN – кінцева точка, яка пропускає і обробляє трафік, який приходить через тунель VPN;
3. Шлюз VPN (Gateway) – посередник між локальною мережею та віддаленим сервером VPN, налаштовує з’єднання;
4. Тунель VPN – зашифроване з’єднання між клієнтом і сервером VPN, сам канал передачі даних;
5. Клієнт VPN – програмний комплекс на стороні користувача для здійснення аутентифікації та під’єднання до VPN-сервера.

Переваги VPN:

• Конфіденційність, безпечність, анонімність. При правильному підході та архітектурі, VPN-мережа створює ізольоване та зашифроване середовище, позбавлене будь-яких витоків інформації (завдяки функціям Kill Switch та Lockdown). Увесь трафік, який проходить через VPN – недоступний третім сторонам, наприклад провайдеру чи інтернет-зловмисникам. Його бачить лише VPN-сервер. Замість справжньої IP-адреси, використовуються IP/DNS адреси пулу VPN-мережі. Таким чином, ви зможете здійснювати анонімний серфінг, обходити цензуру та блокування. Також VPN підійде для організації безпечного інтернет-доступу всередині компанії чи організації. VPN можна підключити на будь-якому пристрої.
• Зміна геолокації. Деякі ресурси надають дозвіл тільки для певного списку країн. Завдяки VPN, ви зможете змінювати IP-адреси серверів, які належать мережі VPN, тим самим підмінивши свою геолокацію. Однак, якщо цифровий слід вашого браузера (fingerprint) не збігатиметься з геолокацією – антифрод та firewall системи, такі як Cloudflare, заблокують вас. Тому, щоб досягти справжньої анонімності, необхідно ретельно “зашифрувати” свій справжній профіль.
• Якісне інтернет-з’єднання. У деяких випадках використання VPN  може суттєво покращити якісь інтернету, позбавляючи лімітів на пропускну ширину каналу. Більшість інтернет-провайдерів здійснюють моніторинг трафіку і може застосовувати обмеження швидкості за тих чи інших умов.
• Захист від перехоплення даних. При відвідуванні ненадійних, фішингових сайтів або підключенні до фейкових Wi-Fi точок-доступу, інтернет-трафік користувача (якщо він не зашифрований) може бути перехоплений, а його чутливі дані, такі як паролі, кукі, сесії – викрадені. VPN-з’єднання унеможливлює ряд MITM-атак “Людина посередині” (Man-in-the-Middle), гарантуючи цілісність і доступність інформації. Будь-який обмін даними по VPN повністю захищений.
• Захист приватних даних. Ви зможете зберігати в приватності дані додатків, якими користуєтеся, якщо вони проходять через VPN. Наприклад, месенджери, браузери, торенти.

Історія протоколів VPN

Історія VPN тісно пов’язана з появою мережі ARPANET. Перші спроби створення віртуальних мереж робилися ще у 1960-1970-х роках компаніями, які володіли АТС й обслуговували телефонні лінії. Ними були створені віртуальні станції для з’єднання груп абонентів. Зокрема велику роль у цьому напрямі відіграли американські зв’язківці AT&T Bell Laboratories.

У 1990-х роках зі стрімким розвитком інтернету, великі компанії та науково-дослідні організації почали створювати власні закриті мережі, а разом з тим з’явилася гостра потреба зашифрувати пакети TCP/IP, які по ним проходять. У 1993-му в Колумбійському університеті професором Джоном Іоаннідісом була досліджена технологія безпеки протоколу IP, яка передбачала тунелювання і шифрування трафіку.

PPTP

Перший прототип VPN з’явився у 1996 році, коли співробітником Microsoft був створений протокол PPTP (Point-to-Point Tunneling Protocol, “Точка-точка”). Його специфікація була опублікована у 1999 році в стандарті RFC 2637. Він багато у чому спирався на схожий протокол від Cisco – L2F (Layer 2 Forwarding).

Протокол PPTP є пропрієтарним (закритий вихідний код) і працює за технологією GRE (General Routing Encapsulation), розрболеною Сisco. Порт по замовчуванню – TCP 1723. Шифрування забезпечується протоколом MPPE (Microsoft Point-to-Point Encryption).

PPTP був колись одним з найпоширеніших VPN-протоколів та мав широку підтримку на багатьох пристроях і платформах. Однак, на сьогодні вважається застарілим й найменш безпечним. Адже застосовує 128-бітне шифрування, а деякі його технології аутентифікації мають офіційно зареєстровані вразливості (MS-CHAP-v1/v2).

L2TP

L2TP (Layer 2 Tunneling Protocol) є покращеним варіантом PPTP та L2F. Являє собою пропрієтарний протокол тунелювання. З’явився у 1999 році як винахід двох компаній – Cisco та Microsoft. Відповідає стандарту RFC 3931. Його особливістю є подвійна UDP-інкапсуляція (тунелювання), підтримка 256-бітнного шифрування AES/3DES, робота не лише в стеку TCP/IP, а й ATM, X.25, Frame Relay мережах. По замовчуванню використовується порт – UDP 1701.

L2TP сам по собі не здійснює шифрування, а разом з іншими подібними протоколами VPN використовує технологію IPSec (IP Security), яка шифрує інтернет-пакети і була розроблена ВМС США. Її особливістю є те, що IPSec додає до інтернет-пакетів спеціальні заголовки, які називаються – інкапсуляції. Зокрема, AH (Authentication Header) та ESP (Encapsulating Security Protocol). Вони забезпечують цілісність і конфіденційність переданих даних.

У 2013 році в рамках витоку так-званих “документів Сноудена”, поповзли чутки, що L2TP/IPSec містив бекдори АНБ. Цю інформацію пізніше частково підтвердив засновник EFF Джон Гілмор. За його словами, Агенство Національної Безпеки США свідомо послаблювало цей протокол.

IKEV2

IKEv2 (Internet Key Exchange) – є одним з найшвидших та надійніших VPN-протоколів. Шифрування в ньому теж реалізується на базі IPSec. Перша версія IKEv1 вийшла у 1998 році. Протокол увібрав в себе технологію шифрування IPSec й підтримує 256-бітні ключі шифрування: AES, Blowfish, Camelia тощо. Як видно з назви, він здійснює обмін ключами між різними вузлами Internet. Гарантує якісне та стабільне VPN-з’єднання. Споживає мінімум ресурсів, не потребує високої пропускної здатності.

Завдяки протоколу MOBIKE (Mobility and Multi-homing), чудово працює на мобільних пристроях, може автоматично перепідключатися при обриві інтернет-з’єднання, а отже унеможливлює витік даних. Також IKEv2 підтримує такі криптографічні протоколи як: ISAKMP, SKEME, OAKLEY. Його перевагою є те, що він може швидко перепід’єнуватися при обривах. Чудово підходить для мобільних пристроїв.

Серед мінусів – порт IKEv2 може блокуватися деякими інтернет-провайдерами. Він є Windows-орієнтованим і не надто легкий у налаштуванні на Unix-подібних системах.

SSTP

SSTP (Secure Socket Tunneling Protocol) – ще один протокол, розроблений компанією Microsoft у 2007 році. Його ще називають “Microsoft SSL VPN”. Являє собою оновлений PPTP.  Шифрування тут здійснюється не через IPSec, а стандартні SSL/TLS. Порт по замовчуванню – TCP 443. Підтримуються методи аутентифікації EAP-TLS і MS-CHAP, а також IPv6. SSTP клієнти вбудовані в усі операційні системи Microsoft починаючи з Vista. Показує непогану швидкість і покриття.

OPENVPN

OpenVPN – один з найстаріших та найавторитетніших VPN-протоколів, заснований Джеймсом Йонаном у 2001 році. Протокол кросплатформний, має відкритий вихідний код та розповсюджується по безкоштовній ліцензії GNU GPL. Працює на базі 256-бітного шифрування (алгоритми AES-256-GCM, Blowfish, Camelia). Варто додати, що AES на сьогодні вважається золотим стандартом шифрування серед криптографічних алгоритмів. Він був розроблений NIST у 2001 році на заміну скомпрометованому DES.

OpenVPN застосовує бібліотеку OpenSSL, що також надає підтримку усіх сучасних криптографічних примітивів: ChaCha20, Poly1305, Blowfish, AES, PFS та інші. Працює як на TCP, так і UDP портах, що робить його універсальним та ускладнює процес визначення / блокування збоку провайдерів. Для роботи потребує додаток – клієнт Openvpn, який буває CLI та GUI.

Сервіс багатофункціональний й підтримує чимало технологій (NAT, LDAP, 2FA), легко налаштовується в різних середовищах і легко масштабується. Цікаво, що в оприлюднених документах Едварда Сноудена говориться, що АНБ США через програму стеження XKEYSCORE може “зламати” OpenVPN, але лише за умови використання спільного ключа. Тобто, фактично він досі є незламаним.

WIREGUARD

WireGuard – VPN-протокол нового покоління з відкритим кодом, розроблений у 2016 році Джейсоном Доненфелдом. Написаний на мовах програмування С та Go. Містить всього лиш 4000 рядків коду. Використовує різні високопродуктивні та стійкі криптографічні алгоритми: ChaCha20, Poly1305, Curve25519, Sip-Hash, BLAKE2s Підтримується також технологія прямої секретності для захисту ключів від компрометації – Perfect Forward Secrecy (PFS).

За рахунок мінімальності і вбудованості в ядро Linux, WireGuard є таким швидким, компактним та продуктивним. ВІн пройшов незалежний аудит й був долучений як компонент в ОС Linux у 2020 році. Протокол можна налаштувати на використання практично будь-якого порту, однак зазвичай працює на UDP. Ним підтримуються різні платформи і не складно розгорнути на власному VPS-сервері. Для Android існує окремий WireGuard-клієнт. На сьогодні, це один з найшвидших протоколів VPN.