VPN

インターネットのような公衆ネットワーク上にプライベートなLANを構築する技術。

• インターネットVPN
• IP-VPN
• SSL-VPN

などの方法がある。

インターネットVPN

IPSecの暗号/認証/改ざん検知機能を利用してインターネット回線上にセキュアなトンネルを形成し、その中でプライベートなパケットをやり取りする。

• ○インターネットを利用するので低コスト。
• ×インターネットを利用するので性能の保証はなく、安定性も低い。
• ×IPSecを使うので拠点間接続向き。拠点-クライアント間接続には向かない。

1. クライアントが別拠点のサーバーにアクセスすると、パケットがVPN装置に送られる。
2. VPN装置はパケットを受け取り、IPSecパケットにして、(ESP-トンネルモードを使うのが一般的らしい)VPN装置2に送る。
3. パケットがインターネットを介してVPN装置2に送られる。(この間はIPSecで暗号化されているため安全)
4. VPN装置2がIPSecパケットを受け取り、元のパケットを取り出してサーバーに送る。
5. サーバーが元のパケットを処理する。

IP-VPN

電気通信事業者が提供するIP網を利用してプライベートなLANを構築する。IP網内では、MPLS(MultiProtocol Label Switching)を利用してユーザーごとのパケットを識別し転送する。

• ○性能と安定性が保障される。
• ×きっと高い。

1. クライアントが別拠点のサーバーにアクセスすると、パケットがCEルータ(拠点側-IP網間にあるクライアント側ルータ)→PEルータ(拠点側-IP網間にあるIP網側ルータ)に送られる。
2. PEルータが、パケットが送られてきたポートを元に、VLAN識別用のラベルを付ける。
3. ラベルの情報に応じて、目的のネットワークにつなぐPEルータ2までパケットが転送される。
4. PEルータ2によってラベルが削除され、あて先ネットワークのCEルータを介してパケットがサーバーに転送される。

SSL-VPN

インターネットVPNと似ているが、IPSecではなくSSLを利用してセキュアなトンネルを構築する。

• リバースプロキシ方式
• ポートフォワーディング方式

の2つがある。

• ○IPSecのような専用の装置が不要で低コスト。
• ○インターネットを利用するので低コスト。
• ×インターネットを利用するので性能の保証はなく、安定性も低い。

リバースプロキシ方式

SSL-VPN装置をリバースプロキシとして動作させる方法。クライアントはブラウザを使用してHTTPSでサーバーにアクセスする。

• ○特別な装置等が必要でなく安価に機能を提供できる。
• ×HTTP(S)プロトコルでしか通信できない。レスポンスはHTTPに変換して返す必要がある。

1. クライアントはブラウザを利用してSSL-VPN装置にアクセスし認証を受ける。
2. 認証後、SSL-VPN装置を介してHTTPSでサーバーにアクセスする。

ポートフォワーディング方式

専用のクライアントを利用したポートフォワーディングでサーバーにアクセスする。

• ○特別な装置等が必要でなく安価に機能を提供できる。
• ○ポートフォワーディングが可能なプロトコルであればセキュアな通信が可能。

1. クライアントはブラウザを利用してSSL-VPN装置にアクセスし認証を受ける。
2. SSL-VPN装置からSSL-VPNクライアントがダウンロードされる。
3. SSL-VPNクライアントはhostsファイルの書き換えなどにより、アプリケーションの接続先をローカルのSSL-VPNクライアントに向ける。
4. クライアントがアプリケーションを起動しサーバーにアクセスすると、SSL-VPNクライアントがそのパケットをフックし、SSLポートフォワーディンクでSSL-VPN装置に送る。
5. SSL-VPN装置はSSLの暗号を解き、本来の接続先サーバーにパケットを転送する。