Lotus Notes – интегрированная клиентская часть, обеспечивающая доступ к корпоративной почте, календарям и приложениям на сервере Lotus Domino.
Domino – это сервер приложений, который может быть использован и как автономный web-сервер, и как серверный компонент продукта Lotus Domino компании IBM. Он представляет собой единую мощную платформу для разработки любых приложений для бизнеса.
В новом выпуске Lotus Notes 8 пользователь вновь получил доступ к интуитивной, полностью интегрируемой платформой для совершенствования делового общения пользователей. Это больше, чем просто почта, это основа для перевода делового общения на новый уровень.

IBM Lotus Notes (также Lotus Notes, Lotus Notes/Domino) — программный продукт, платформа для автоматизации совместной деятельности рабочих групп (Groupware). Производится компанией IBM Lotus Software, входящей в компанию IBM Software Group.

Описание
Позиционирование
Lotus Notes является платформой для построения приложений автоматизации управленческих и документных процессов. Особенностью системы является объектно-ориентированная архитектура, благодаря которой возможно создание информационных систем, автоматизирующих работу со сложноструктурированными данными и неформализованными динамическими процессами. В составе программного продукта содержатся только базовые функции, позволяющие организовывать работу распределённых рабочих групп и создавать приложения автоматизации процессов, поэтому Lotus Notes некорректно считать законченной системой автоматизации деятельности предприятия (так же как, например, не может считаться бухгалтерской системой MS SQL сервер). Lotus Notes — платформа для таких приложений. Системы электронного документооборота и другие законченные решения на платформе Lotus Notes/Domino разрабатывают и распространяют бизнес-партнёры IBM.
Терминология
Полное официальное наименование продукта: IBM Lotus Notes/Domino.
Компания IBM с 1996 года использует следующую терминологию:
Notes — программное обеспечение клиентской рабочей станции.
Domino — программное обеспечение сервера.
До версии 4.5 включительно название «Domino» использовалось для отдельного приложения, добавлявшего серверу Notes функциональность веб сервера. С выходом в 1996-м году версии 4.6 функциональность веб-сервера была включена в поставку сервера Notes. Сервер изменил название — вместо «сервер Notes» стал называться «сервер Domino».
Начиная с версии 5.0 клиентская часть Lotus Notes состоит из трёх частей:
Notes Client — рабочее место пользователя
Domino Designer — рабочее место разработчика приложений Lotus Notes (программиста)
Domino Administrator — рабочее место системного администратора Lotus Notes.
Основные функции
Основные функции, входящие в базовую поставку Lotus Notes/Domino версии 7.0.2:
среда исполнения приложений автоматизации групповой деятельности
криптозащита (шифрование и электронная подпись)
клиент электронной почты
сервер приложений
почтовый сервер
групповой календарь, планировщик задач
клиент среды обмена мгновенными сообщениями (Instant messenger) Lotus Sametime (сервер Sametime является самостоятельным продуктом)
веб сервер — для предоставления доступа к приложениям Lotus Notes через браузер
LDAP сервер
репликация — синхронизация между дистанционно удалёнными экземплярами баз данных
службы интеграции данных Domino Enterprise connection services (DECS)
Особенности
Кроссплатформенность.
Значимой особенностью является кроссплатформенность Lotus Notes. Текущая версия сертифицирована IBM для работы со следующими операционными системами:
сервер Lotus Domino — Windows NT (32 и 64 бит), GNU/Linux (Red Hat, SuSE), Solaris, i5/OS (OS/400), AIX, z/OS (OS/390)
клиент Lotus Notes — Windows NT (32 бит), Mac OS X, GNU/Linux
Репликация
Быстрые разработка (RAD) и развёртывание приложений.
Среда разработки приложений Domino Designer предоставляет разработчикам развитые базовые сервисы для разработки документоориентированных приложений.
Программный код и визуальные формы приложений физически хранятся в базах данных, в которых они используются и выполняются. При внесении изменений в программный код или форму изменения становятся доступны всем пользователям и серверам, получающим доступ к базе данных, в которой хранятся изменённые код или форма. На другие сервера изменения поступают посредством репликации при первом же сеансе.
Автономное выполнение приложений
Клиент Lotus Notes позволяет локально (на компьютере пользователя) хранить базы данных Lotus Notes, реплицировать их с сервером Domino, работать с локальными базами данных при отсутствии подключения к серверу Domino, исполнять программный код сервера в локальных базах данных.
Данная функциональность поддерживает полнофункциональную работу пользователя в отключенном от сервера состоянии (например, на ноутбуке). Изменения на локальном (для пользователя) компьютере и на сервере взаимно синхронизируются посредством репликации.
Инфраструктура управления открытыми ключами (PKI)
Криптофункции с использованием открытых ключей — шифрование и электронная цифровая подпись — являются базовыми сервисами ядра Lotus Notes. Каждый пользователь системы при регистрации получает пару ключей: открытый ключ хранится в общей (публичной) адресной книге и доступен (для считывания) пользователям с сервера, а секретный ключ хранится в идентификационном файле пользователя локально.
Электронная цифровая подпись используется при аутентификации сервером пользователя и/или сервера, при определении уровня доверия выполняемому коду, при проверке достоверности почтовых сообщений, документов (записей в БД) и отдельных полей.
Шифрование применяется для почтовых сообщений, целиком баз данных, отдельных документов (записей в БД), отдельных полей и сетевого трафика между двумя серверами Lotus Domino, а также между сервером и клиентом Lotus Notes.
Текущие версии

Технические возможности
Клиентское программное обеспечение
Разработка приложений
IBM Lotus Domino Designer — интегрированная среда разработки. Позволяет разрабатывать приложения, исполняемые как в среде Notes Client, так и с помощью тонкого клиента (браузера).
Системное администрирование
IBM Lotus Domino Administrator — среда управления серверами Lotus Domino, параметрами и мониторингом серверов Lotus Domino.
Поддерживаемые технологии
Электронная почта
SMTP
POP3
IMAP
MIME
DNSBL (борьба со спамом)
Instant messenger
Sametime
Чтение новостей
RSS
Usenet (NNTP)
Полнотекстовый поиск
База данных
Обьектно-ориентированная СУБД
Технология «клиент-сервер»
Сервер
Кластер (группа серверов)
Разделы серверов (partitioned servers) — возможность установки на один аппаратный сервер нескольких серверов Lotus Domino
SMP
Клиент
Eclipse
Тонкий клиент (HTTP и HTTPS)
Сетевые протоколы
TCP/IP— по умолчанию Lotus Notes функционирует на порту TCP 1352
IPX/SPX
NetBIOS
Репликация
Языки программирования
Lotus Script
Java
JavaScript
Интеграция с СУБД и иными приложениями (по данным и программным вызовам)
CORBA
COM
XML
ODBC
DDE
OLE
Криптозащита (Шифрование и Электронная цифровая подпись)
X.509
SSL
S/MIME

Расширение функциональности Lotus Notes
Масштабирование
Расширение функциональности (продукты IBM-Lotus)
Lotus Enterprise Integrator
Lotus Domino Document Manager (Lotus Domino.Doc)
Lotus Domino Everyplace
Lotus Mobile Connect
Lotus Quickr
Lotus Sametime
Lotus Expeditor
Развитие прекращено
IBM Lotus QuickPlace — функциональность унаследована в продукте Quckr; название изменено из-за глобального расширения функциональности и изменения в позиционировании продукта.
IBM Lotus Domino.Fax — развитие прекращено с целью устранения конкуренции с продуктами партнёров.

Продукты третьих фирм
Комплексная защита
Антивирусы
Антивирус Касперского для Lotus Domino [1]
Антиспам
SpamSentinel MayFlower software [2]
Управление инфраструктурой

Хеширование (иногда хэширование, англ. hashing) — преобразование входного массива данных произвольной длины в выходную битовую строку фиксированной длины. Такие преобразования также называются хеш-функциями или функциями свёртки, а их результаты называют хешем, хеш-кодом или дайджестом сообщения (англ. message digest).
Существует множество алгоритмов хеширования с различными характеристиками (разрядность, вычислительная сложность, криптостойкость и т.п.). Выбор той или иной хеш-функции определяется спецификой решаемой задачи. Простейшими примерами хеш-функций могут служить контрольная сумма или CRC.
В общем случае однозначного соответствия между исходными данными и хеш-кодом нет. Поэтому существует множество массивов данных, дающих одинаковые хеш-коды - так называемые коллизии. Вероятность возникновения коллизий играет немаловажную роль в оценке «качества» хеш-функций.
Контрольные суммы
Несложные, крайне быстрые и легко реализуемые аппаратно алгоритмы, используемые для защиты от непреднамеренных искажений, в т.ч. ошибок аппаратуры.
По скорости вычисления в десятки и сотни раз быстрее, чем криптографические хеш-функции, и значительно проще в аппаратной реализации.
Платой за столь высокую скорость является отсутствие криптостойкости - легкая возможность подогнать сообщение под заранее известную сумму. Также обычно разрядность контрольных сумм (типичное число: 32 бита) ниже, чем криптографических хешей (типичные числа: 128, 160 и 256 бит), что означает возможность возникновения непреднамеренных коллизий.
Простейшим случаем такого алгоритма является деление сообщения на 32- или 16- битные слова и их суммирование, что применяется, например, в TCP/IP.
Как правило к такому алгоритму предъявляются требования отслеживания типичных аппаратных ошибок, таких, как несколько подряд идущих ошибочных бит до заданной длины. Семейство т.н. полиномиальных алгоритмов ("циклический контроль избыточности", англ CRC - Cyclic Redundancy Check) удовлетворяет этим требованиям. К ним относится, например, CRC-32, применяемый в аппаратуре Ethernet и в формате упакованных файлов ZIP.
Алгоритм полиномиальной контрольной суммы выглядит так: входной поток понимается побитово, разрядность результата N bit, существует также жестко заданная константа в N бит, называемая "полином".
Шаг алгоритма:
если следующий бит входного потока есть 1 - выполнить XOR N следующих бит входного потока с полиномом, результат заменяет эти биты входного потока (Input ^= Poly)
если во входном потоке осталось всего N бит - то алгоритм окончен, входной поток есть результат
иначе потребить 1 бит из входного потока и перейти к следующему шагу
Несложно догадаться, что это напоминает деление столбиком, с той разницей, что вместо вычитания используется XOR. Контрольная сумма, таким образом, является остатком от "XOR-деления" входного сообщения на полином.
Технические реализации алгоритма обычно оптимизируются с использованием заранее посчитанной таблицы значений функции для всех возможных 8- или 16- битных слов, чтобы сильно уменьшить количество побитовых сдвигов. Оптимизация основана на следующем свойстве алгоритма: crc(a cat b) == crc(Xor(b, crc(a))), где cat означает конкатенацию сообщений, а Xor(m, w) - сообщение m, в котором первые N бит заменены на результат XOR этих бит с N-битным словом w. Это свойство позволяет рассчитывать алгоритм для всех возможных конкатенаций байт, имея таблицу значений для отдельных байт.
Математический анализ видов искажений, отслеживаемых этим алгоритмом, опирается на свойство линейности алгоритма: crc(a xor b) == crc(a) xor crc(b). Это сводит задачу к задаче поиска всех входных сообщений, для которых алгоритм даст нуль, или же, что технически важнее, поиска всех классов входных сообщений, для которых алгоритм гарантированно даст не нуль.
Эти классы сообщений сильно зависят от конкретного значения константы полинома, например, от количества единичных бит в ней или же ее четности/нечетности. Доказательства, связанные со свойствами CRC для конкретных классов значений констант полиномов, рассмотрены в алгебре полиномов (отсюда название константы в алгоритме).
Полином для CRC-32 есть 0x04c11db7 (в оптимизированных реализациях может иметь совсем другой вид).
Криптографические хеш-функции
Среди множества существующих хеш-функций принято выделять криптографически стойкие, применяемые в криптографии. Криптостойкая хеш-функция прежде всего должна обладать стойкостью к коллизиям двух типов:
Стойкость к коллизиям первого рода: для заданного сообщения должно быть практически невозможно подобрать другое сообщение , имеющее такой же хеш. Это свойство также называется необратимостью хеш-функции.
Стойкость к коллизиям второго рода: должно быть практически невозможно подобрать пару сообщений , имеющих одинаковый хеш.
Согласно парадоксу о днях рождения, нахождение коллизии для хеш-функции с длиной значений n бит требует в среднем перебора около 2n / 2 операций. Поэтому n-битная хеш-функция считается криптостойкой, если вычислительная сложность нахождения коллизий для нее близка к 2n / 2.
Простейшим (хотя и не всегда приемлемым) способом усложнения поиска коллизий является увеличение разрядности хеша, например, путем параллельного использования двух или более различных хеш-функций.
Для криптографических хеш-функций также важно, чтобы при малейшем изменении аргумента значение функции сильно изменялось. В частности, значение хеша не должно давать утечки информации даже об отдельных битах аргумента. Это требование является залогом криптостойкости алгоритмов шифрования, хеширующих пользовательский пароль для получения ключа.
Применение хеширования
Хеш-функции также используются в некоторых структурах данных — хеш-таблицаx и декартовых деревьях. Требования к хеш-функции в этом случае другие:
хорошая перемешиваемость данных
быстрый алгоритм вычисления
Сверка данных
В общем случае это применение можно описать, как проверка некоторой информации на идентичность оригиналу, без использования оригинала. Для сверки используется хеш-значение проверяемой информации. Различают два основных направления этого применения:
Проверка на наличие ошибок
Например, контрольная сумма может быть передана по каналу связи вместе с основным текстом. На приёмном конце, контрольная сумма может быть рассчитана заново и её можно сравнить с переданным значением. Если будет обнаружено расхождение, то это значит, что при передаче возникли искажения и можно запросить повтор.
Бытовым аналогом хеширования в данном случае может служить приём, когда при переездах в памяти держат количество мест багажа. Тогда для проверки не нужно вспоминать про каждый чемодан, а достаточно их посчитать. Совпадение будет означать, что ни один чемодан не потерян. То есть, количество мест багажа является его хеш-кодом.
Проверка парольной фразы
В большинстве случаев парольные фразы не хранятся на целевых объектах, хранятся лишь их хеш-значения. Хранить парольные фразы нецелесообразно, так как в случае несанкционированного доступа к файлу с фразами злоумышленник узнает все парольные фразы и сразу сможет ими воспользоваться, а при хранении хеш-значений он узнает лишь хеш-значения, которые не обратимы в исходные данные, в данном случае в парольную фразу. В ходе процедуры аутентификации вычисляется хеш-значение введённой парольной фразы, и сравнивается с сохранённым.
Примером в данном случае могут служить ОС GNU/Linux и Microsoft Windows XP. В них хранятся лишь хеш-значения парольных фраз из учётных записей пользователей.
Ускорение поиска данных
Основная статья: Хеш-таблица
Например, при записи текстовых полей в базе данных может рассчитываться их хеш код и данные могут помещаться в раздел, соответствующий этому хеш-коду. Тогда при поиске данных надо будет сначала вычислить хеш-код текста и сразу станет известно, в каком разделе их надо искать, то есть, искать надо будет не по всей базе, а только по одному её разделу (это сильно ускоряет поиск).
Бытовым аналогом хеширования в данном случае может служить помещение слов в словаре по алфавиту. Первая буква слова является его хеш-кодом, и при поиске мы просматриваем не весь словарь, а только нужную букву.
Список алгоритмов
Adler-32
CRC
SHA-1
SHA-2 (SHA-224, SHA-256, SHA-384, SHA-512)
HAVAL
MD2
MD4
MD5
N-Hash
RIPEMD-160
RIPEMD-256
RIPEMD-320
Skein
Snefru
Tiger (TTH)
Whirlpool
ГОСТ Р34.11-94 (ГОСТ 34.311-95)
IP Internet Checksum (RFC 1071)

PGP (англ. Pretty Good Privacy) — компьютерная программа, позволяющая выполнять операции шифрования (кодирования) и цифровой подписи сообщений, файлов и другой информации, представленной в электронном виде. Первоначально разработана Филиппом Циммерманном в 1991 году.
Общие сведения
PGP имеет множество реализаций, совместимых между собой и рядом других программ (GnuPG, FileCrypt и др.) благодаря стандарту OpenPGP (RFC 4880), но имеющих разный набор функциональных возможностей. Существуют реализации PGP для всех наиболее распространённых операционных систем. Кроме свободно распространяемых, есть коммерческие реализации.
Ключи
Пользователь PGP создаёт ключевую пару: открытый и закрытый ключ. При генерации ключей задаются их владелец (Имя и адрес электронной почты), тип ключа, длина ключа и срок его действия.
PGP поддерживает три типа ключей RSA v4, RSA legacy (v3) и Diffie-Hellman/DSS (Elgamal в терминологии GnuPG).
Для ключей RSA legacy длина ключа может составлять от 1024 до 2048 бит, а для Diffie-Hellman/DSS и RSA — от 1024 до 4096. Ключи RSA legacy содержат одну ключевую пару, а ключи Diffie-Hellman/DSS и RSA могут содержать один главный ключ и дополнительные ключи для шифрования. При этом ключ электронной подписи в ключах Diffie-Hellman/DSS всегда имеет размер 1024. Срок действия для каждого из типов ключей может быть определён как неограниченный или до конкретной даты. Для защиты ключевого контейнера используется секретная фраза.
Ключи RSA legacy (v3) сейчас не используются и выведены из стандарта OpenPGP (RFC 2440).
Электронная цифровая подпись
Электронная цифровая подпись формируется путём подписи дайджеста (хэш значения, свертки) сообщения (файла) закрытым ключом отправителя (автора). Для формирования дайджеста могут использоваться алгоритмы MD5, SHA-1, RIPEMD-160, SHA-256, SHA-384, SHA-512. В новых версиях PGP поддержка MD5 осуществляется для сохранения совместимости с ранними версиями. Для подписи используются алгоритмы RSA или DSA (в зависимости от типа ключа).
Шифрование
Шифрование производится с использованием одного из пяти симметричных алгоритмов (AES, CAST5, TripleDES, IDEA, Twofish) на сеансовом ключе. Сеансовый ключ генерируется с использованием криптографически стойкого генератора псевдослучайных чисел. Сеансовый ключ зашифровывается открытым ключом получателя с использованием алгоритмов RSA или Elgamal (в зависимости от типа ключа получателя).
Сжатие данных
В целях уменьшения объёма сообщений и файлов и, возможно, для затруднения криптоанализа PGP производит сжатие данных перед шифрованием. Сжатие производится по одному из алгоритмов ZIP, ZLIB, BZIP2. Для сжатых, коротких и слабосжимаемых файлов сжатие не выполняется.

Криптографическая программа PGP (Pretty Good Privacy)

Статья с КомпьютерМастер www.computermaster.ru

PGP – это криптографическая (шифровальная) программа с высокой степенью надежности, которая позволяет пользователям обмениваться информацией в электронном виде в режиме полной конфиденциальности.

Главное преимущество этой программы состоит в том, что для обмена зашифрованными сообщениями пользователям нет необходимости передавать друг другу тайные ключи т.к. эта программа построена на новом принципе работы – публичной криптографии или обмене открытыми (публичными) ключами, где пользователи могут открыто посылать друг другу свои публичные ключи с помощью сети «Интернет» и при этом не беспокоиться о возможности несанкционированного доступа каких-либо третьих лиц к их конфиденциальным сообщениям.

В PGP применяется принцип использования двух взаимосвязанных ключей: открытого и закрытого. К закрытому ключу имеете доступ только вы, а свой открытый ключ вы распространяете среди своих корреспондентов.

Великолепное преимущество этой программы состоит также в том, что она бесплатная и любой пользователь, имеющий доступ к Интернету, может ее «скачать» на свой компьютер в течение получаса. PGP шифрует сообщение таким образом, что никто кроме получателя сообщения, не может ее расшифровать. Создатель PGP Филипп Циммерман открыто опубликовал код программы, который неоднократно был исследован специалистами крипто-аналитиками высочайшего класса и ни один из них не нашел в программе каких-либо слабых мест.

Филипп Циммерман следующим образом объясняет причину создания программы: «Людям необходима конфиденциальность. PGP распространяется как огонь в прериях, раздуваемый людьми, которые беспокоятся о своей конфиденциальности в этот информационный век. Сегодня организации по охране прав человека используют программу PGP для защиты своих людей за рубежом. Организация Amnesty International также использует ее».

Пользователям сети «Интернет» рекомендуется использовать эту программу именно по той же причине, почему люди предпочитают посылать друг другу письма в конвертах, а не на открытках, которые могут быть легко прочитаны почтовыми служащими. Дело в том, что электронные сообщения, в том виде и формате, который существует на сегодняшний день, легко могут быть прочитаны и архивированы любым человеком, имеющим доступ к серверу Интернет провайдера (поставщика услуг сети «Интернет»). В настоящий момент спецслужбам проще и дешевле подключиться к электронным адресам большого количества лиц, нежели к телефонным разговорам. Здесь вообще ничего делать не надо. Все сделает компьютер. Агенту спецслужбы или другому заинтересованному человеку остается только сесть за компьютер и просмотреть все ваши сообщения. Научно-технический прогресс облегчил задачу таким людям, однако, этот же самый прогресс предоставил возможность пользователям сети «Интернет» скрыть свои сообщения от третьих лиц таким образом, что даже суперкомпьютер стоимостью несколько десятков миллионов долларов не способен их расшифровать.

КАК PGP РАБОТАЕТ

Когда пользователь шифрует сообщение с помощью PGP, то программа сначала сжимает текст, что сокращает время на отправку сообщения через модем и увеличивает надежность шифрования. Большинство приемов криптоанализа (взлома зашифрованных сообщений) основаны на исследовании «рисунков», присущих текстовым файлам, что помогает взломать ключ. Сжатие ликвидирует эти «рисунки» и таким образом повышает надежность зашифрованного сообщения. Затем PGP генерирует сессионный ключ, который представляет собой случайное число, созданное за счет движений вашей мышки и нажатий на клавиши клавиатуры.

Как только данные будут зашифрованы, сессионный ключ зашифровывается с помощью публичного ключа получателя сообщения, который отправляется к получателю вместе с зашифрованным текстом.

Расшифровка происходит в обратной последовательности. Программа PGP получателя сообщения использует закрытый ключ получателя для извлечения временного сессионного ключа, с помощью которого программа затем дешифрует зашифрованный текст.

КЛЮЧИ

Ключ – это число, которое используется криптографическим алгоритмом для шифрования текста. Как правило, ключи - это очень большие числа. Размер ключа измеряется в битах. Число, представленное 1024 битами – очень большое. В публичной криптографии, чем больше ключ, тем его сложнее взломать.

В то время как открытый и закрытый ключи взаимосвязаны, чрезвычайно сложно получить закрытый ключ исходя из наличия только открытого ключа, однако это возможно при наличии большой компьютерной мощности. Поэтому крайне важно выбирать ключи подходящего размера: достаточно большого для обеспечения безопасности и достаточно малого для обеспечения быстрого режима работы. Кроме этого, необходимо учитывать личность того, кто намеревается прочитать ваши зашифрованные сообщения, насколько он заинтересован в их расшифровке, каким временем он обладает, и какие у него имеются ресурсы.

Более большие ключи будут более надежными в течение более длительного срока времени. Поэтому если вам необходимо зашифровать информацию с тем, чтобы она хранилась в течение нескольких лет, то необходимо использовать более крупный ключ.

Ключи хранятся на жестком диске вашего компьютера в зашифрованном состоянии в виде двух файлов: одного для открытых ключей, а другого - для закрытых. Эти файлы называются «кольцами» (keyrings). В течение работы с программой PGP вы, как правило, будете вносить открытые ключи ваших корреспондентов в открытые «кольца». Ваши закрытые ключи хранятся в вашем закрытом «кольце». При потере вашего закрытого «кольца» вы не сможете расшифровать любую информацию, зашифрованную с помощью ключей, находящихся в этом «кольце».

ЦИФРОВАЯ ПОДПИСЬ

Огромным преимуществом публичной криптографии также является возможность использования цифровой подписи, которая позволяют получателю сообщения удостовериться в личности отправителя сообщения, а также в целостности (верности) полученного сообщения. Цифровая подпись исполняет ту же самую функцию, что и ручная подпись. Однако ручную подпись легко подделать. Цифровую же подпись почти невозможно подделать.

ХЭШ-ФУНКЦИЯ

Еще одно важное преимущество использования PGP состоит в том, что PGP применяет так называемую «хэш-функцию», которая действует таким образом, что в том случае какого-либо изменения информации, пусть даже на один бит, результат «хэш-функции» будет совершенно иным. С помощью «хэш-функции» и закрытого ключа создается «подпись», передаваемая программой вместе с текстом. При получении сообщения получатель использует PGP для восстановления исходных данных и проверки подписи.

При условии использования надежной формулы «хэш-функции» невозможно вытащить подпись из одного документа и вложить в другой, либо каким-то образом изменить содержание сообщения. Любое изменение подписанного документа сразу же будет обнаружено при проверке подлинности подписи.

ПАРОЛЬНАЯ ФРАЗА

Большинство людей, как правило, знакомы с парольной системой защиты компьютерных систем от третьих лиц.

Парольная фраза – это сочетание нескольких слов, которое теоретически более надежно, чем парольное слово. В виду того, что парольная фраза состоит из нескольких слов, она практически неуязвима против так называемых «словарных атак», где атакующий пытается разгадать ваш пароль с помощью компьютерной программы, подключенной к словарю. Самые надежные парольные фразы должны быть достаточно длинными и сложными и должны содержать комбинацию букв из верхних и нижних регистров, цифровые обозначения и знаки пунктуации.

Парольная фраза должна быть такой, чтобы ее потом не забыть и чтобы третьи лица не могли ее разгадать. Если вы забудете свою парольную фразу, то уже никогда не сможете восстановить свою зашифрованную информацию. Ваш закрытый ключ абсолютно бесполезен без знания парольной фразы и с этим ничего не поделаешь.

ОСНОВНЫЕ ШАГИ В ИСПОЛЬЗОВАНИИ ПРОГРАММЫ PGP

1. Установите программу на свой компьютер. Руководствуйтесь краткой инструкцией по инсталляции программы, приведенной ниже.
2. Создайте закрытый и открытый ключ. Перед тем, как вы начнете использовать программу PGP, вам необходимо генерировать пару ключей, которая состоит из закрытого ключа, к которому имеете доступ только вы, и открытый ключ, который вы копируете и свободно передаете другим людям (вашим корреспондентам).
3. Распространите свой открытый ключ среди своих корреспондентов в обмен на их ключи. Ваш открытый ключ, это всего лишь маленький файл, поэтому его можно либо воткнуть в сообщение, копировать в файл, прикрепить к почтовому сообщению или разместить на сервере.
4. Удостовериться в верности открытого ключа. Как только вы получите открытые ключи своих корреспондентов, то их можно внести в «кольцо» открытых ключей. После этого вам необходимо убедиться в том, что у вас действительно открытый ключ вашего корреспондента. Вы можете это сделать, связавшись с этим корреспондентом и, попросив его зачитать вам по телефону «отпечатки пальцев» (уникальный идентификационный номер) его открытого ключа, а также сообщив ему номер вашего ключа. Как только вы убедитесь в том, что ключ действительно принадлежит ему, вы можете его подписать и таким образом подтвердить ваше доверие к этому ключу.
5. Шифрование и удостоверение корреспонденции вашей цифровой подписью. После генерации пары ключей и обмена открытыми ключами вы можете начать шифрование и удостоверение ваших сообщений и файлов своей цифровой подписью. Если вы используете почтовую программу, которая поддерживается программой PGP, то вы можете шифровать и дешифровать всю вашу корреспонденцию, находясь прямо в этой программе. Если же ваша почтовая программа не поддерживается программой PGP, то вы можете шифровать вашу корреспонденцию другими способами (через буфер обмена или шифрованием файлов целиком).
6. Дешифровка поступающих к вам сообщений и проверка подлинности отправителя. Когда кто-либо высылает вам зашифрованное сообщение, вы можете дешифровать его и проверить подлинность отправителя этого сообщения и целостность самого сообщения. Если ваша почтовая программа не поддерживается PGP, то вы можете сделать это через буфер обмена.
7. Уничтожение файлов. Когда вам необходимо полностью удалить какой-либо файл, вы можете исполнить команду wipe (стереть). Таким образом, удаленный файл уже невозможно будет восстановить.

ИНСТАЛЛЯЦИЯ ПРОГРАММЫ PGP

Ниже приводятся заголовки сообщений, появляющиеся при инсталляции программы (нажатии на инсталляционный файл с расширением .exe) и команды, которые необходимо исполнять при инсталляции:

PGP Installation program
Нажмите на Next

Software License agreement
Нажмите на Yes
User information
Name____________
Company _________
Введите свое имя, название компании и нажмите на Next

Setup: choose installation directory
Нажмите на Next

Select components:
Здесь необходимо выбрать компоненты для установки

* Program files
Eudora Plugin
* Microsoft Exchange/Outlook plugin
* Microsoft Outlook Express plugin
* User's manual Adobe
* PGP disk for Windows

Выделите те компоненты, которые необходимо установить. Если вы не используете почтовую программу Eudora, то ее не нужно выделять. Если вы используете Microsoft Exchange/Outlook для работы в сети «Интернет», то выделите ее. То же самое касается Microsoft Outlook, почтовой программы, встроенной в Windows-98.

Нажмите на Next

Check setup information
Нажмите на Next

Начинается копирование программных файлов на жесткий диск компьютера.

Для того чтобы программа автоматически запустила операцию создания ключей после перезагрузки компьютера нажать на кнопку "Yes I want to run PGP keys"
Нажмите на Finish
Restart Windows для перезагрузки Windows.
Нажмите на O'K

Компьютер перезапустится и на этом программа установки завершится.

Теперь необходимо установить на компьютер два ключа:
public key - открытый ключ
private key - закрытый ключ

ГЕНЕРАЦИЯ КЛЮЧЕЙ

После перезагрузки компьютера в нижнем правом углу (панель задач) появится значок PGP - символ амбарного замка.
Поставьте на него мышку, нажмите на мышку и выберите в открывшемся меню команду Launch PGP keys.
Зайдите в меню KEYS и выполните команду NEW KEY Нажмите на next Введите свое имя и электронный адрес Нажмите на next Выберите размер ключа 2048 и нажмите на next Затем выделите фразу key pair never expires (срок действия ключевой пары никогда не истекает) и нажмите на next.
Два раза введите секретный пароль и нажмите на next.

Программа начнет генерировать пару ключей. Если программе не хватает информации, то она может попросить нажать на несколько клавиш наугад и подвигать мышку. Это необходимо выполнить.

Затем программа сообщит, что процесс генерации ключей закончен.
Нажмите на next.
Потом еще раз нажмите на next.
Затем нужно нажать на команду done.

На этом процесс создания пары ключей закончился и можно начинать пользоваться программой.

Теперь после установки программы необходимо обменяться со своими корреспондентами открытыми ключами. Для этого необходимо исполнить команду LAUNCH PGP KEYS, выделить свой ключ (файл со своим именем) в окошке, нажать на правую кнопку мышки и выбрать команду EXPORT.

Появится окошко, с помощью которого можно указать путь, где сохранить файл с названием <ваше имя.asc>

Этот файл необходимо выслать своему корреспонденту, в обмен на его открытый ключ.

Как только вы получите открытый ключ своего корреспондента, надо его запустить, нажав на него двойным щелчком мышки, выделить его в окошке и выполнить команду IMPORT.

Теперь можно пересылать друг другу зашифрованные сообщения, которые шифруются открытым ключом получателя сообщения.

КАК ПОСЛАТЬ ЗАШИФРОВАННОЕ СООБЩЕНИЕ

После того, как открытый (публичный) ключ вашего корреспондента установится на вашем компьютере, сообщение можно отправлять получателю следующим образом:

Составляем сообщение в почтовой программе Outlook Express.

После того, как сообщение готово к отсылке, нажимаем один раз либо на третий значок справа на панели Outlook Express с изображением желтого конверта и замка (при этом кнопка просто вдавливается и больше ничего не происходит), либо в меню tools нажимаем на encrypt using PGP и затем нажимаем на команду в меню file под названием send later.

Тогда сразу же появится окошко программы PGP под названием Recipient selection, в котором необходимо найти и выделить мышкой публичный ключ своего корреспондента (получателя сообщения, который обычно именуется именем получателя) и нажать на O'K.

Сразу же после этого программа автоматически зашифрует сообщение и поместит его в папку исходящих сообщений outbox

Теперь можно заходить в Интернет и отправлять все сообщения, готовые к отправке.

РАСШИФРОВКА СООБЩЕНИЙ

Открываем полученное зашифрованное сообщение и нажимаем на второй справа значок на панели Outlook Express, либо на команду меню PGP decrypt message. Через несколько секунд сообщение будет расшифровано и появится в окошке.

Существует еще один способ использования PGP, который чуть-чуть сложнее, чем шифрование через Outlook Express. Этот способ можно применять в том случае, если не удается установить PGP вместе с программой Outlook Exress.

Создаем сообщение в Outlook Express, затем выделяем его через команды edit - select all и копируем в буфер Windows через команду copy.

После этого ставим мышку на значок PGP в панели задач, нажимаем на мышку и исполняем команду encrypt clipboard.

Появляется окно диалога с PGP под названием key selection dialog

Необходимо выделить адрес (открытый ключ) корреспондента (ключ получателя сообщения)) в этом окне и щелкнуть по нему мышкой два раза, чтобы он появился внизу, потом нажимаем на O'K и программа зашифрует все содержимое clipboard.

После этого заходим в сообщение с текстом, который был ранее выделен, ставим мышку на поле сообщения, нажимаем на правую кнопку мышки и исполняем команду paste.

В результате зашифрованное содержимое clipboard заменяет предыдущее сообщение и на этом процесс шифровки закончился. Теперь можно отправлять сообщение обычным образом.

Расшифровывать полученные сообщения можно таким же образом: т.е. выделяем полученный зашифрованный текст, копируем его в буфер Windows clipboard, заходим мышкой в меню PGP через панель задач Windows и выбираем команду decrypt and verify clipboard.

Появляется окно программы PGP, в которое необходимо ввести пароль, вводим пароль в это окно, нажимаем на O'K и перед нами предстает расшифрованное сообщение.

Естественно, перед тем, как это сделать, необходимо создать пару ключей, как было описано ранее.

Также кроме этого способа можно применить еще один способ шифрования (третий способ).

Можно создать текст в каком-либо редакторе, например блокноте, и сохранить его в виде файла. После этого в проводнике выделяем файл, нажимаем на правую кнопку мышки и видим, что в нижней части команды опций появилась еще одна команда под названием PGP, после чего, поставив мышку на PGP, мы увидим раскрывающееся меню, состоящее из 4 команд:

encrypt
sign
encrypt and sign
wipe

Нажимаем на первую команду и перед нами появляется диалог выбора открытого ключа корреспондента, выбираем ключ, нажимаем на O'K, вводим пароль и файл зашифрован.

После этого рекомендуется выполнить еще одну команду в меню PGP: wipe (стереть, уничтожить оригинальный файл). Иначе, какой смысл шифровать файл, если на диске компьютера остался первоначальный файл?

После этой операции у файла остается то же самое имя, но меняется тип расширения на <*.pgp> Теперь этот файл можно прикрепить к сообщению и отправить вместе с ним.

В результате мы узнали, что существует три основных способа шифрования информации:

Первый - самый удобный, напрямую в почтовой программе; Второй - через копирование текста в буфер обмена Windows; Третий - через шифрование всего файла, который затем прикрепляется к сообщению.

При работе с программой PGP появляется следующая проблема: при шифровании исходящих сообщений открытым ключом своего корреспондента, отправитель сообщений не может их потом прочитать, ввиду того, что исходящее сообщение шифруется с помощью закрытого ключа отправителя и открытого ключа его корреспондента, т.е. только получатель может прочитать такое сообщение. В результате получается, что отправитель не может впоследствии прочитать свои сообщения, отправленные им ранее.

В настройках PGP есть опция, позволяющая зашифровывать свои исходящие сообщения таким образом, чтобы их можно было потом прочитать (взять из архива и прочитать).

Для этого надо щелкнуть мышкой по символу PGP на панели задач, исполнить команду PGP preferences, зайти в General и поставить галочку напротив команды Always encrypt to default key

Кроме этого нужно зайти в PGP keys, выбрать мышкой свой ключ, зайти в меню keys и исполнить команду set as default key

Здесь же можно изменить свою парольную фразу:

выделить мышкой свой ключ, нажать на правую кнопку мышки, исполнить команду key properties , change passphrase и поменять свою парольную фразу.

Парольную фразу рекомендуется менять, по крайней мере, раз в полгода, хотя если вы постарались создать надежную парольную фразу и исключили какую-либо возможность разгадки этой фразы кем бы то ни было, то этого можно и не делать.

Кроме того, там же (в key properties) можно увидеть fingerprint или своеобразные "отпечатки пальцев", состоящие из комбинации цифр и букв.

Эти отпечатки пальцев (идентификатор ключа) хороши тем, что можно предотвратить незаконное вторжение какими-либо людьми в вашу переписку.

Т.е. кто-либо может перехватить ваш открытый ключ при отправке вашему корреспонденту или кому-либо еще и заменить своим открытым ключом. Когда ваш корреспондент получит этот ключ, то он будет думать, что это ваш ключ, когда в действительности это ключ третьего лица. Вы зашифровываете свое сообщение этим открытым ключом и в результате получается, что ваше сообщение не доходит до вашего корреспондента, а прочитывается другой третьей стороной, которая затем меняет это сообщение и отсылает вам под видом ответа от вашего корреспондента.

Для того чтобы исключить такие проблемы, владельцы открытых ключей созваниваются по телефону и зачитывают друг другу отпечатки своих ключей. В таком случае достигается 100% надежность того, что информация не попала в чужие руки.

PGP диск

PGP диск – это удобное приложение, которое позволяет вам отвести некоторую часть вашего жесткого диска для хранения конфиденциальной информации. Это зарезервированное место используется для создания файла под именем .

Хотя это всего лишь один файл, он действует подобно вашему жесткому диску в том отношении, что он выполняет функцию хранения ваших файлов и исполняемых программ. Вы можете его себе представить в виде флоппи дискеты или внешнего жесткого диска. Для того, чтобы использовать программы и файлы, находящиеся на нем, вы его устанавливаете , после чего его можно использовать также, как любой другой диск. Вы можете установить программы внутри этого диска либо копировать на него файлы. После того, как вы отключите этот диск, он станет недоступным для третьих лиц и для того, чтобы открыть его, необходимо ввести парольную фразу, которая известна только вам. Но даже разблокированный диск защищен от несанкционированного доступа. Если ваш компьютер зависнет во время использования диска, то его содержание будет зашифровано.

Одним из наиболее важных преимуществ и удобств использования программы PGPdisk является тот факт, что теперь нет необходимости шифровать большое количество файлов, в которых находится конфиденциальная информация. Теперь можно переместить все конфиденциальные файлы и даже программы на такой диск и таким образом избежать необходимости каждый раз расшифровывать какой-либо файл при его открытии.

Для того, чтобы установить новый PGP диск, необходимо выполнить следующие команды:

Пуск – Программы – PGP – PGPdisk
после чего появится окно программы со следующими командами:
new – создать новый PGP диск
mount – установить созданный диск путем ввода парольной фразы unmount – закрыть диск (зашифровать), который был ранее установлен prefs – опции настройки

Как создать новый PGP диск

1.Запустите программу PGPdisk
2.Исполните команду New, после чего на экране появится мастер создания PGP диска.
3.Нажмите на next
4.Появится окошко создания PGP диска, в котором необходимо указать путь, где новый диск под названием надо сохранить.
5.Нажмите на кнопку Save и файл под этим названием сохранится на диске, выбранном вами (по умолчанию на диске С).
6.Под надписью введите цифру, обозначающую размер PGP диска и не забудьте выбрать килобайты или мегабайты там же.
7.Под надписью подтвердите букву, которую вы присвоите новому диску.
8.Нажмите на next
9.Введите парольную фразу, которую в дальнейшем необходимо будет вводить для установки нового диска. Введите парольную фразу два раза.
10.Нажмите на next
11.При необходимости подвигайте мышку или нажимайте на кнопки на клавиатуре для того, чтобы программа сгенерировала новый ключ 12.Нажмите на next. Столбик покажет вам инициализацию создания нового диска.
13.Еще раз нажмите на next, с тем, чтобы окончательно установить новый PGP диск.
14.Нажмите на Finish.
15.Введите название нового диска.
16.Нажмите на Start
17.Нажмите на OK (на диске еще нет данных). Компьютер скажет вам, когда закончится форматирование диска.
18.Нажмите на кнопку Close на окне форматирования. Теперь ваш новый диск появится на том диске, который вы ранее указали (по умолчанию диск С). Для того, чтобы открыть диск, надо дважды нажать на него мышкой.

Как установить PGP диск

Как только новый диск будет создан, программа PGP автоматически его установит с тем, чтобы вы могли начать его использовать. После того, как вы закончили работу с конфиденциальной информацией, необходимо отключить диск. После отключения диск его содержимое будет зашифровано в виде зашифрованного файла.

Для открытия PGP диска надо дважды щелкнуть по нему мышкой и дважды ввести парольную фразу в появившееся окно программы. Вы сможете убедиться в том, что PGP диск открылся, зайдя в мой компьютер и увидев, что рядом с диском С появился диск D. В том случае, если у вас уже есть диск D, то новый диск получит следующую букву E и т.д. Зайти на новый диск можно через мой компьютер или другую оболочку просмотра файлов.
Использование установленного PGP диска

На диске PGP можно создавать файлы, каталоги, перемещать файлы или каталоги, либо стирать, т.е. можно делать те же самые операции, что и на обычном диске.

Закрытие PGP диска

Закройте все программы и файлы, имеющиеся на диске PGP, т.к. невозможно закрыть диск, если файлы на этом диске до сих пор еще открыты. Теперь зайдите в мой компьютер выделите мышкой диск PGP, нажмите на правую кнопку мышки и выберите команду в появившемся меню .

Как только диск будет закрыт, то он исчезнет из моего компьютера и превратится в зашифрованный файл на диске С.

Еще один важный момент, на который необходимо обратить внимание, это настройки программы, которые позволяют автоматически закрыть диск в случае не обращения к диску в течение какого-либо периода времени. Для этого надо исполнить команду в программе PGPdisk и в появившемся меню под названием (автоматическое закрытие) выделить флажками все три команды:

auto unmount after __ minutes of inactivity (автоматически закрыть после __ минут бездействия). Здесь также необходимо указать количество минут.
auto unmount on computer sleep (автоматически закрыть при переходе компьютера в спящее состояние) prevent sleep if any PGPdisks could not be unmounted (не позволить компьютеру перейти в состояние спячки, если PGP диск не был закрыт) Смена парольной фразы:

1.Убедитесь в том, что PGP диск не установлен. Невозможно сменить парольную фразу в том случае, если диск установлен.
2.Выберите команду из меню
3.Выберите тот диск, парольную фразу для которго вы хотите изменить.
4.Введите старую парольную фразу. Нажмите на ОК. Появится окошко для ввода новой парольной фразы.
5.Введите новую парольную фразу. Минимальная длина парольной фразы: 8 знаков 6.Нажмите на ОК. Окошко новой парольной фразы закроется.
Удаление парольной фразы

1.Убедитесь в том, что PGP диск не установлен.
2.Выберите команду из меню . Появится окошко, которое попросит вас ввести парольную фразу, которую необходимо отменить.
3.Введите пароль и нажмите на ОК.

Термин коллизия имеет несколько значений:
Коллизия кадров в сетевых технологиях — это наложение двух и более кадров (пакетов) от станций, пытающихся передать кадр в один и тот же момент времени.
Коллизия хеш-функции в информатике и криптографии — это равенство значений хеш-функции на двух различных блоках данных.
Коллизия в социологии — это столкновение противоположных сил, стремлений, интересов в области человеческих отношений.
Коллизия в праве — это столкновение норм права, регулирующих одни и те же общественные отношения. При коллизии действует закон вступивший в силу позже (при прочих равных, т.е. при одинаковой юридической силе).

Коллизия (Collision). Возникают в сетях где допустима широковещательная передача на физическом уровне (Ethernet - IEEE 802.3, RadioEthernet - 802.11). Коллизии возникают в сети если передачу одновременно ведут два и более узла. Грубо говоря, передаваемы узлами по физическому носителю фреймы сталкиваются и повреждаются (На самом деле происходит процесс сложения/вычитания векторов электромагнитных волн, плюс на разных частотах физика процесса проистекает по разному, однако дабы не заставлять всех учить квантовую физику, процесс Коллизий описали в упрощенном "дискретном" варианте).
Доме́н колли́зий (англ. Collision domain) — это участок сети Ethernet, все узлы которого распознают коллизию независимо от того, в какой части этой сети коллизия возникла.
Домен коллизий может представлять некоторый участок коаксиального кабеля, к которому подключены несколько устройств, отдельный концентратор с подключенными к нему несколькими устройствами, или целые Ethernet-сети, построенные на основе концентраторов и повторителей.
Сетевые устройства и домены коллизий
Различные сетевые устройства работают на разных уровнях модели OSI и могут либо ограничивать, либо продлевать домен коллизий:
устройства первого уровня OSI (концентраторы, повторители) воспроизводят любой сигнал, поступающий из среды передачи. Таким образом, эти устройства продлевают домен коллизий;
устройства второго и третьего уровня OSI (мосты, коммутаторы, маршрутизаторы) ограничивают домен коллизий.
Терминология
Задержка распространения — время с момента начала передачи фрейма, в течение которого может произойти коллизия. Определяется скоростью прохождения сигнала по проводу и скоростью передачи. Для 10Мб Ethernet задержка распространения составляет 51.2 мкс, для 100Мб - 5.12 мкс. Большая часть сетевого оборудования контролирует возникновение коллизий при передаче только в течение задержки распространения.
Запоздалая коллизия — коллизия, произошедшая после задержи распространения. Такие коллизии не обнаруживаются (большинством) сетевого оборудования и приводят к потерям фреймов.

Рис 1. Домены коллизий

Администрирование удаленного доступа к сети Windows NT
В комплект поставки Windows NT входит сервис удаленного доступа Remote Access Service (RAS). Удаленный доступ - это частный случай соединения компьютеров через глобальные связи. От обычных вариантов с использованием мостов и маршрутизаторов удаленный доступ отличается тем, что одной из взаимодействующих сторон является не локальная сеть, а отдельный компьютер без сетевого адаптера. Кроме того, удаленный доступ обычно использует низкоскоростные соединения по коммутируемым телефонным аналоговым сетям. Реже используются сети ISDN или Х.25.
Все множество пользователей, которым может потребоваться удаленный доступ, может быть разделено на несколько групп.
* Пользователи, которые работают дома только от случая к случаю (home-based worker). Они обычно используют режим удаленного управления своей собственной РC, которую они оставили в офисе.
* Мобильные пользователи (Mobile users). Обычно это сотрудники, которые по долгу службы проводят рабочий день не в собственном офисе, а непосредственно на местах работы клиентов. Кроме того, к этой группе относятся руководители, находящиеся в отпуске или в командировке. Типичное "снаряжение" этой категории пользователей - переносной компьютер с модемом. Сеанс связи с ЛВС офисов более высоких уровней обычно бывает непродолжительным и может происходить в любое, заранее не запланированное время. Они обычно используют те способы связи, которые они могут найти в тех местах, где они остановились. Поэтому компьютер мобильного пользователя должен быть оснащен разнообразными средствами удаленного доступа.
* Филиалы или пользователи с одним компьютером (telecommuters, буквально - жители пригорода, работающие в городе). К этой группе относятся малые филиалы с одним компьютером, сотрудники, работающие на дому (например, разработчики программного обеспечения), и представители компании в другой компании. Обычно эти люди используют в своей деятельности персональный компьютер или UNIX-терминал. Связь с офисами более высоких уровней в течение дня должна поддерживаться достаточно продолжительное время. Телекомпьютеры - пользователи, рабочее место которых постоянно находится дома, но которым постоянно требуется информация центрального офиса. Для таких пользователей больше всего подходит режим удаленного узла.
* Сотрудники небольших удаленных офисов, имеющие собственные локальные сети. Они обычно подключаются к сети центрального офиса с помощью маршрутизаторов через коммутируемые телефонные линии, ISDN или выделенные линии.
Сервис RAS позволяет довольно большому числу удаленных пользователей (до 256) одновременно подключаться к одному серверу Windows NT и по протоколам IPX и TCP/IP получать доступ к ресурсам локальной сети. Клиентская часть программного обеспечения RAS поставляется вместе со всеми операционными системами корпорации Microsoft бесплатно и позволяет клиентским станциям подсоединяться к сети в качестве удаленных узлов.
Для организации удаленного доступа помимо обычной сетевой аппаратуры требуется дополнительное оборудование: модемы, телефонные линии, возможно, некоторое количество выделенных линий, а также специальное программное и аппаратное обеспечение удаленного доступа. Очевидно, что для экономии модемов можно не ставить на каждую телефонную линию отдельный модем, а организовать общий пул модемов и сделать его разделяемым ресурсом как для звонков из локальной сети, так и для звонков извне.
Разделяемый пул модемов создается с помощью так называемого коммуникационного сервера (communication server). Коммуникационный сервер - это обычный компьютер или специализированное устройство, предоставляющее пользователям локальной сети прозрачный доступ к последовательным портам ввода-вывода, к которым подключены разделяемые модемы. Пользователь, подключившийся к коммуникационному серверу, может работать с одним из подключенных к нему модемов точно также, как если бы этот модем был подключен непосредственно к компьютеру пользователя.
Более сложные функции, связанные с обработкой передаваемой информации в системах удаленного доступа, выполняют серверы доступа (access server).
В Windows NT сервис удаленного доступа RAS реализует режим удаленного узла. (remote node). Программное обеспечение удаленного узла на клиентской машине позволяет последовательному порту и модему (или интерфейсу ISDN) стать медленным узлом канального уровня, взаимодействующим обычным способом с редиректором операционной системы. В локальной сети должен быть установлен сервер удаленного узла, который умеет транслировать приходящие низкоскоростные кадры в кадры протоколов Ethernet, Token Ring и других протоколов, используемых в локальной сети.
Серверы, работающие в режиме удаленного узла, представляют собой функциональный эквивалент маршрутизаторов или мостов с WAN-портами для последовательных или ISDN-линий. Клиенты, работающие в режиме удаленного узла, могут логически войти в сеть таким же образом, как если бы они были локальными пользователями, отображать сетевые диски и даже загружать программы через удаленную связь. Но загрузка больших программ не разумна, так как самый скоростной модем - (28.8 Кб/с) работает со скоростью, составляющей только 3% от скорости сегмента Ethernet, и программа, которая в локальной сети загружается за 30 сек, будет загружаться по удаленной связи в течение 15-20 минут. Поэтому в режиме удаленного узла следует использовать преимущественно локальные копии программ.
Удаленный узел наиболее эффективно работает с системами клиент-сервер, такими как СУБД, файл- и принт-серверы, а также с мейнфреймами.
Операционные системы Mac OS, OS/2, Windows 95 и Windows NT WorkStation включают в стандартной поставке клиентскую часть программного обеспечения удаленного узла. В настоящее время имеется явная тенденция использования клиентами удаленного узла протокола РРР. В результате достигается совместимость клиентских и серверных частей систем, работающих в режиме удаленного узла, различных производителей.
Удаленный доступ может быть реализован по-разному, в зависимости от направления предоставляемого доступа. Dial-in - режим, который позволяет пользователю, работающему на отдельном компьютере, обращаться с запросами в удаленную сеть. Именно это является основной задачей систем удаленного доступа. С этой точки зрения удаленный доступ можно определить как эффективный способ разделения ресурсов централизованных серверов между удаленными клиентами. Однако иногда пользователям или процессам центральной сети может потребоваться обратиться к отдельным удаленным компьютерам. Dial-out - режим, который предоставляет пользователям локальной сети доступ к отдельно стоящим удаленным компьютерам.
Сервис подключения удаленных узлов и сетей RAS
Сервис удаленного доступа RAS предоставляет пользователям Windows NT следующие возможности:
Многопротокольная маршрутизация. Последовательные линии, такие как коммутируемые телефонные линии, через которые чаще всего и осуществляется удаленный доступ, способны только передавать потоки битов без их деления на информационные пакеты. Поэтому для имитации работы удаленного пользователя в сети необходимо соответствующее программное или аппаратное обеспечение, которое должно преобразовать битовый поток в последовательность пакетов. Для этих целей должны быть разработаны протоколы последовательных линий, которые могут быть использованы сетевым программным обеспечением для организации удаленных соединений.
Подобно тому, как для работы нескольких сетевых протоколов через один сетевой адаптер было разработано соответствующее мультиплексирующее программное обеспечение, для последовательных линий также должно быть разработано решение, обеспечивающее использование более чем одного протокола на одной последовательной линии. Большинство существовавших ранее протоколов удаленного доступа были разработаны для поддержки одного сетевого протокола, и поэтому их трудно приспособить для поддержки сразу нескольких сетевых протоколов. Кроме того, протоколы сетевого уровня локальных сетей, такие как IPX и Apple-Talk, были разработаны без учета возможности работы на медленных последовательных линиях. Они применяют небольшие времена тайм-аутов, частую рассылку широковещательных пакетов и имеют другие особенности, которые резко снижают производительность при использовании их для удаленного доступа.
Существует несколько важных факторов, которые нужно принимать во внимание при организации удаленного доступа в многопротокольной среде. Прежде всего - это поддержка множества сетевых протоколов через набор удаленных связей. Пользователи, звонящие в сеть и из сети, должны быть в состоянии подсоединиться к любой линии из группы телефонных каналов и использовать на ней протокол, наиболее соответствующий их потребностям. Для того, чтобы обеспечить такую возможность, сервер удаленного доступа должен поддерживать все распространенные протоколы последовательных линий - SLIP, CSLIP, PPP и ARAP - и быть в состоянии автоматически распознавать предпочтительный протокол или же давать возможность пользователю указать его.
Сервис RAS позволяет клиентам в ходе сеанса удаленного доступа использовать любую комбинацию сетевых протоколов NetBEUI, TCP/IP, IPX. Это означает возможность удаленной работы приложений, ориентированных на сокеты Windows и NetWare, наряду с приложениями NetBIOS. Протокол РРР обеспечивает высокую степень взаимодействия с существующими сервисами удаленного доступа.
Поддержка Internet. Сервис RAS предоставляет полный набор функций, позволяющих использовать Windows NT Server в качестве провайдера сервисных услуг Internet. Клиентские станции, работающие под управление Windows NT Workstation или Windows 95, получают возможность соединяться по коммутируемым линиям через Internet.
Улучшенные возможности интеграции с сетями NetWare. Поскольку служба RAS в составе Windows NT основана на протоколе PPP, то, имея стек протоколов IPX, любой клиент PPP другой фирмы может также быть использован для удаленного доступа к сети. Программы RAS и Gateway Service, функционирующие на одном сервере Windows NT, и соответствующее программное обеспечение, запущенное на машинах пользователей (в том числе и мобильных), позволяют реализовать аутентифицированный удаленный доступ пользователей к своим каталогам на сервере NetWare.
Увеличенное количество одновременных соединений. Операционная системы Windows NT Server поддерживает до 256 одновременных соединений. Windows NT Workstation поддерживает только одно соединение, которое может быть полезно для небольших одноранговых сетей.
Программное сжатие данных в сервисе удаленного доступа позволяет пользователям существенно увеличить (практически в два раза) пропускную способность своего соединения.
Поддержка прикладных программных интерфейсов RAS позволяет пользователям разрабатывать собственные приложения, обладающие возможностями удаленного доступа.
Средства безопасности сервиса удаленного доступа RAS
Для обеспечения безопасности RAS использует как средства Windows NT, так и собственные механизмы. Защита предусматривается на всех стадиях процесса удаленного доступа: аутентификации пользователей, передачи данных, доступа к ресурсам, выхода из системы и контроля событий, относящихся к защите данных (аудит).
Для аутентификации абонентов RAS использует протокол Challenge Handshake Authentification Protocol (CHAP). Суть его состоит в том, что одна из сторон посылает некое проверочное слово, которое другая сторона должна зашифровать с помощью известного обеим сторонам секретного ключа. Зашифрованное слово возвращается в качестве ответа вызывающей стороне, которая локально также выполнила шифрование этого проверочного слова с помощью такого же ключа. Если результаты шифрования совпадают, то значит аутентификация прошла успешно. Здесь важно, что аутентификация осуществляется без передачи по сети секретного пароля.
CHAP может использовать разные алгоритмы шифрования, а конкретно в RAS применяются DES и MD5. Существует несколько вариантов аутентификации, в которых могут быть использованы разные алгоритмы шифрации.
* DES используется сервером RAS, если клиентом также является RAS.
* При коммуникациях со сторонними клиентами сервер RAS может использовать протокол SPAP, менее защищенный, чем CHAP, или вообще не использовать никаких алгоритмов шифрации.
* Если же клиент RAS взаимодействует с серверами удаленного доступа сторонних производителей, то он может использовать алгоритм MD5, часто реализуемый различными поставщиками РРР для зашифрованной аутентификации. Сервер RAS алгоритма MD5 не поддерживает.
Для обеспечения секретности передаваемых данных в сервисе RAS имеется встроенный механизм шифрации данных, основанный на алгоритме открытого ключа RC4 компании RSA Data Security. В принципе пользователи RAS могут сами выбрать степень безопасности при обмене данными с удаленными компьютерами. Но администратор имеет возможность принудительным образом устанавливать высокий уровень безопасности.
На рисунке 7.1 приведены различные варианты аутентификации удаленных пользователей для случая, когда сервер RAS взаимодействует с клиентом RAS, а также для тех случаев, когда эти компоненты взаимодействуют с продуктами третьих фирм.

Рис. 7.1. Различные варианты аутентификации пользователей при использовании сервера и клиента RAS
В качестве дополнительной меры безопасности RAS предлагает процедуру обратного вызова (call-back). Защита основана на том, что администратор заранее зная номера телефонов с которых могут выполняться "разрешенные" звонки, вносит их в специальный список. Процедура call-back предусматривает следующую последовательность:
* инициирование соединения со стороны удаленного пользователя;
* установление соединения;
* обрыв только что установленного соединения по инициативе сервера;
* инициирование соединения со стороны сервера по разрешенному номеру, заданному пользователем для обратного вызова.
Очевидно, что если был назван неразрешенный номер или номер не соответствующий месту нахождения звонившего абонента, то соединение не будет разрешено.
Права на удаленный доступ могут быть предоставлены пользователям только явным образом. Все остальные права на доступ к ресурсам сети и выполнение привилегированных действий определяются средствами авторизации Windows NT.
RAS как многопротокольный маршрутизатор
Сервер RAS маршрутизирует протоколы IP и IPX, а при использовании для связи с клиентом протокола NetBEUI работает в режиме шлюза.
При использовании в канале между сервером и клиентом протокола IP основной режим работы сервера RAS - это режим proxy ARP, когда клиентам назначаются адреса с номером сети, равным номеру внутренней локальной сети, к которой подключен сервер. Сервер поддерживает несколько способов назначения IP-адресов клиентам:
* жесткое присваивание IP-адреса клиенту при его конфигурировании;
* назначение адреса сервером, причем адрес выбирается из пула адресов, выделенных клиентам при конфигурировании сервера;
* назначение адреса сервером, причем адрес для клиента запрашивается сервером RAS у сервера DHCP локальной сети.
Сервер RAS может работать и как маршрутизатор "сеть-сеть", что может понадобиться при подключении к Internet сети небольшого офиса (рисунок 7.2). В этом случае он может заменить аппаратный маршрутизатор, но компания Microsoft не советует использовать RAS в качестве маршрутизатора при соединении больших сетей.

Для того, чтобы сервер RAS мог маршрутизировать трафик между двумя IP-сетями, в Registry - конфигурационную базу Windows NT - нужно добавить две переменные, которые изначально там отсутствуют. Эти переменные запрещают серверу отправлять IP-пакеты удаленным пользователям от своего IP-адреса (режим, который используется по умолчанию), а также заставляют при маршрутизации принимать во внимание маски.
Для маршрутизации между сетями IPX никакие дополнительные установки в сервере RAS не нужны. Сервер позволяет назначать всем удаленным клиентам как один и тот же номер IPX-сети, так и различные. Номер узла клиент может задать себе сам, а может предоставить эту работу серверу.
Пакеты протокола NetBEUI передаются между сервером и клиентом RAS по протоколу РРР, как и пакеты протокола IP/IPX, но это является нестандартным режимом работы РРР. Компания Microsoft передала свое предложение о стандартизации такого режима в соответствующий комитет IETF, однако стандартом он пока не стал.
Поддержка прикладных программных интерфейсов RAS позволяет пользователям разрабатывать собственные приложения, обладающие возможностями удаленного доступа.
Сервер и клиент RAS легко устанавливаются, что не удивительно ввиду их тесной интеграции с ОС Windows NT. К недостаткам процедуры инсталляции можно отнести неочевидность последовательности действий при установке и конфигурировании протокола PPTP. Подсказки HELP-системы по этому разделу слишком бедны и не дают ясного представления о назначении этого протокола и о способе его использования.
При тестировании серверов удаленного доступа, проведенном журналом Network Computing (данные этого тестирования имеются и на русском языке в журнале "Сети и системы связи", 9/96), сервер Microsoft RAS показал средние результаты в отношении производительности обмена файлами, не очень хорошие результаты по критерию простоты и удобства инсталляции.
Подключение компьютеров к Internet c использованием RAS
Еще одним вариантом удаленного доступа является доступ по коммерческим сервисам реального времени или по сети Internet. Все сервисы реального времени и практически все провайдеры Internet'а поддерживают электронную почту и некоторые формы передачи файлов. Для подключения к таким сервисам в этом варианте, как правило, достаточно местных телефонных звонков (в отличие от первых трех схем удаленного доступа, для которых в общем случае необходимы более дорогостоящие междугородние вызовы). Сервисы реального времени имеют свое собственное программное обеспечение для доступа, хотя к ним можно получить доступ и с помощью обычных программ эмуляции терминала. Сегодня, когда Mac OS, OS/2, Windows 95, Windows NT Workstation и практически любой вариант Unix'а включают стек TCP/IP, несколько популярных программ для доступа в Internet и программу электронной почты, технические барьеры на пути к Internet'у значительно снизились.
Windows NT, RAS и Internet Explorer обеспечивают пользователя функционально полным набором средств выхода в Internet. Существует несколько сценариев установления соединения с Internet через сервис удаленного доступа RAS.
* Соединение с хостом Internet через IP поверх РРР.
* Прямое соединение с Internet через маршрутизатор. Такое соединение требует особых мер обеспечения безопасности, например, установки межсетевых экранов.
* Провайдер услуг Internet может создать сеть информационного обеспечения, в которой он будет предоставлять разделяемое соединение с Internet, плюс добавочные сервисные услуги, такие как почтовый ящик, заказные базы данных, факсшлюзы и т.д. Для такого сценария RAS оказывается особенно подходящим, так как может поддерживать до 256 соединений на достаточно высоких скоростях, при этом он обладает способностью поддерживать различные коммуникационные протоколы и разнообразное клиентское программное обеспечение.
* Windows NT и RAS могут выступить в роли шлюза-маршрутизатора в Internet для компьютеров небольшой локальной сети.
Практические занятия
Администрирование сервиса удаленного доступа RAS
Схема эксперимента
Учитывая, имеющиеся кабельные соединения, необходимо выполнять работу с жестко закрепленными ролями компьютеров.
Для общности описания эксперимента будем называть компьютер, находящийся слева от PDC - WSL, а справа - WSP. Центральный компьютер домена так и будем называть PDC.
RAS устанавливается на двух компьютерах домена - WSL и PDC.
Один из них, PDC выполняет роль сервера удаленного доступа, а WSL - роль удаленного клиента.
PDC с оставшимся компьютером WSP действительно находятся в локальной сети, а WSL "изображает" удаленный компьютер, связывающийся с этой сетью по телефонной линии. В лабораторной работе телефонную линию и модемы имитирует нуль-модемный кабель.
Инсталляция RASвыполняется одинаковым образом и на компьютере, который будет выполнять роль сервера RAS, и на компьютере, который планируется использовать в роли удаленного клиента RAS. После инсталляции отдельно выполняется конфигурирование сервера RAS и клиента RAS с использованием различных процедур.
Инсталляция RAS
1. Подсоединиться к дистрибутивному диску.
* Запустить Сетевое окружение (Network Neighborhood)
* Из списка доменов выбрать CIT_NT
* Войти в сервер CITNT с именем adminnt
* Отобразить на локальный дисковод F: каталог disk_d, для этого
o правой кнопкой мыши щелкнуть по иконке этого каталога
o в появившемся меню выбрать строку "Подключить сетевой диск" (map network drive)
o Задать диск F ("имя" можно не задавать)
2. Добавить сетевую службу RAS
* Запустить в Панели управления (Control panel) процесс Сеть (Network)
* В закладке Службы (Services) нажать на кнопку Добавить (Add)
* Выбрать Службу удаленного доступа (RAS), ОК
* Указать путь к дистрибутиву
\\CITNT\NT40W\i386 (для Workstation)
\\CITNT\NT40S (для Server)
Система выполнит перекачку нужных файлов с дистрибутива
3. Выбрать модем для службы RAS
* В панели "Установка службы удаленного доступа" выбрать нуль-модемный кабель (dial-up nullmodem...)
* Нажать клавишу Настройка
* Задать в панели "Использование порта" опцию "исходящие и входящие звонки"
* В панели "Установить службу удаленного доступа" нажать кнопку Сеть (Network)
* Выбрать протокол NetBEUI. OK
* В панели "Установка службы удаленного доступа" нажать кнопку "Продолжить"
В панели "Сеть" появилась служба RAS
* Нажать кнопку Закрыть (Close)
Внимание! Перезагрузку системы не производить - выбрать No на предложение о немедленной перезагрузке.
* Сконфигурировать модем. Для этого в Панели управления выбрать Модемы, а затем нажать кнопку Свойства. Установить скорость модема 115200.
* Сконфигурировать порт. Для этого в Панели управления выбрать Порты, затем COM2: и нажать кнопку Настройка. Задать:
Скорость - 115200
Биты данных - 8
Четность - нет
Стоповые биты - 1
Управление потоком - аппаратное (hardware)
ОК. Закрыть.
* Этот пункт только для Workstation!
Теперь необходимо отключить компьютер WSL, который будет выполнять роль удаленного клиента, от сети. Для этого не нужно отсоединять коаксиальный кабель, а достаточно войти в Панель управления, затем в Сеть, выбрать закладку Привязки. Затем в поле Привязки для: выбрать "всех сетевых плат", а затем подсветить тип сетевого адаптера (RL2000 или NE2000) и нажать кнопку Отключить. Возле имени сетевого адаптера появится красный кружок. ОК.
4. Запустить Service Pack нужного типа.
* Перезапустите систему. На предложение о перезагрузке нажмите ОК.
5. Конфигурирование клиента RAS на WSL.
* Запустите программу "Удаленный доступ к сети" (Dial-up Networking). Ее можно найти, например, в панели Мой компьютер.
* Создайте новую запись в телефонной книжке, для этого:
o В закладке Опции задайте имя сервера, на который будете звонить (номер телефона задавать не нужно)
o Нажмите клавишу "Настройка" и выберите скорость 115200
o В панели "Параметры оборудования" установите "Аппаратный контроль передачи"
o В закладке Сервер выбрать РРР
o Выбрать сетевой протокол NetBEUI
o В закладке Сценарий согласиться с установками по умолчанию. ОК
o В закладке Безопасность согласиться с установками по умолчанию. ОК
6. Сконфигурировать сервер RAS.
* В Control Panel запустить Network.
* В закладке Services выбрать RAS, нажать клавишу Properties, в панели Remote Access Setup нажать на клавишу:
o Configure: выбрать режим использования порта Dial out and Recieve Ports. OK
o Network: выбрать набор протоколов, которыми будут пользоваться удаленные пользователи (в данном случае выберите только NetBEUI). Сконфигурируйте этот протокол и выберите доступ ко всей сети - Entire Network
Работа со службой удаленного доступа
* Запустите на Windows NT Server утилиту Remote Access Admin.
* Запустите сервер RAS на этом компьютере с помощью пункта Start Remote Access Service.
* Задайте права удаленного доступа для всех пользователей домена.
* На компьютере WSL запустите программу Удаленный доступ к сети и нажмите кнопку Соединение. При появлении панели задайте имя любого администратора домена, его пароль и имя своего домена.
После регистрации компьютера и пользователя в сервере RAS проверьте:
* Как видит сеть удаленный пользователь. Видны ли ему все домены и все компьютеры в доменах.
* Может ли удаленный пользователь получить доступ к разделяемым каталогам на сервере домена и на компьютере WSR, находящемся за сервером.
* Видит ли пользователь сервера и компьютера WSR удаленный компьютер.
* Запустите программы централизованного администрирования Server Manager, User Manager for Domains и Event Viewer на удаленном компьютере. Работают ли они так же, как и раньше, когда компьютер находился в локальной сети.
* Запустите Network Monitor на удаленном компютере и захватите сессию входа пользователя в домен по сервису RAS - для этого сначала разорвите связь с сервером RAS, запустите Network Monitor и снова соединитесь с сервером RAS.

Заключение
Служба Routing and Remote Access (маршрутизация и удаленный доступ) - это фактически полноцветный многофункциональный маршрутизатор, поддерживающий множество протоколов. Данная служба поддерживает удаленных пользователей к ресурсам, расположенным в частной сети организации. Используется Routing and Remote Access для поддержки маршрутизации в частных сетях и между разными сегментами сети.
Далее перечислены функции, обеспечиваемые службой Routing and Remote Access:
* Поддержка множества протоколов, в том числе IP, IPX и Apple Talk;
* Одноадресная(unicast) Ipмаршрутизация средствами протоколов:
* Open Shortest Path First (OSPF)
* Routing Information Protocol (RIP) версий 1 и 2, протокол маршрутизации IP
* Многоадресная (multicast) IP-маршрутизация средствами маршрутизатора IGMP (Internet Group Membership Protocol), в том числе при работе в режиме прокси-сервера;
* Маршрутизация вызова по требованию по коммутируемым WAN-подключениям;
* Поддержка VPN-сетей по туннельному протоколу Point-to-Point Tunneling Protocol (PPTP);
* Поддержка VPN-сетей по туннельному протоколу Layer Two Tunneling Protocol (L2TP);
* Фильтрация IP и IPX-пакетов;
* Агент ретрансляции DHCP (DHCP Relay Agent) для IP;
* Поддержка носителей, в том числе Ethernet, Token Ring, Fiber Distributed Data Interrface (FDDI), ATM (Asynchronous Transfer Mode), Integrated Services Digital Network(ISDN), T-Carrier, Frame Relay, xDSL, кабельных модемов, X.25 и аналоговых модемов.
Служба Routing and Remote Access поддерживает протокол NAT (Network Address Translation), который обеспечивает простое подключение к Интернету. Используйте этот протокол в своих проектах когда хотите обеспечить связь через Инетрнет и обеспечить безопастность при поддержке пользователей получающих доступ через Инетернет к ресурсам частной сети.
Протокол NAT иногда используеться для сокрытия частных сетевых IP-адрессов от пользователей и программ открытых сетей.При этом частные сетевые адреса преобразуються в адреса открытых сетей. NAT позволяет снизить затараты на регистрацию открытых IP -адресов частной сети в небольшое число IP-адресов в открытых сетях. Включите NAT в свой проект, когда организации требуется скрыть внутреннюю сетевую структуру и снизить риск атаки на корпоративную систему.
Протокол NAT в Routing and Remote Access обеспечивает:
* Преобразование адресов для поддержки частных схем IP-адресации;
* Автоматическон конфигурирование протокола IP для клиентов DHCP;
* Прокси-сервер DNS для разрешения имен клиентов DNS.

IPsec (сокращение от IP Security) — набор протоколов для обеспечения защиты данных, передаваемых по межсетевому протоколу IP, позволяет осуществлять подтверждение подлинности и/или шифрование IP-пакетов. IPsec также включает в себя протоколы для защищённого обмена ключами в сети Интернет.
Стандарты
IPsec является неотъемлемой частью IPv6 — интернет-протокола следующего поколения, и необязательным расширением существующей версии интернет-протокола IPv4. Первоначально протоколы IPsec были определены в RFC с номерами от 1825 до 1827, принятых в 1995 году. В 1998 году были приняты новые редакции стандартов (RFC с 2401 по 2412), несовместимые с RFC 1825—1827. В 2005 году была принята третья редакция, незначительно отличающаяся от предыдущей.
Общая архитектура IPsec описана в RFC 4301, аутентифицирующий заголовок — в RFC 4302, инкапсуляция зашифрованных данных — в RFC 4303. Эти документы имеют статус предварительных стандартов (Proposed Standard). Ряд других RFC описывает другие детали IPsec, такие как применение различных алгоритмов шифрования, протоколы обмена ключами и т. п.
Большинство современных (2007 год) реализаций IPsec основано на RFC 2401-2412 .
Техническая информация.
Протоколы IPsec работают на сетевом уровне (уровень 3 модели OSI). Другие широко распространённые защищённые протоколы сети Интернет, такие как SSL и TLS, работают на транспортном уровне (уровни OSI 4 — 7). Это делает IPsec более гибким, поскольку IPsec может использоваться для защиты любых протоколов базирующихся на TCP и UDP. В то же время увеличивается его сложность из-за невозможности использовать протокол TCP (уровень OSI 4) для обеспечения надёжной передачи данных.
IPsec-протоколы можно разделить на два класса: протоколы отвечающие за защиту потока передаваемых пакетов и протоколы обмена криптографическими ключами. На настоящий момент определён только один протокол обмена криптографическими ключами — IKE (Internet Key Exchange) — и два протокола, обеспечивающих защиту передаваемого потока: ESP (Encapsulating Security Payload — инкапсуляция зашифрованных данных) обеспечивает целостность и конфиденциальность передаваемых данных, в то время как AH (Authentication Header — аутентифицирующий заголовок) гарантирует только целостность потока (передаваемые данные не шифруются).
Протоколы защиты передаваемого потока могут работать в двух режимах — в транспортном режиме и в режиме туннелирования. При работе в транспортном режиме IPsec работает только с информацией транспортного уровня, в режиме туннелирования — с целыми IP-пакетами.
IPsec-трафик может маршрутизироваться по тем же правилам, что и остальные IP-протоколы, но, так как маршрутизатор не всегда может извлечь информацию, характерную для протоколов транспортного уровня, то прохождение IPsec через NAT-шлюзы невозможно. Для решения этой проблемы IETF определила способ инкапсуляции ESP в UDP, получивший название NAT-T (NAT traversal).
IPsec можно рассматривать как границу между внутренней (защищённой) и внешней (незащищённой) сетью. Эта граница может быть реализована как на отдельном хосте, так и на шлюзе, защищающем локальную сеть. Заголовок любого пакета, проходящего через границу, анализируется на соответствие политикам безопасности, то есть критериям, заданным администратором. Пакет может быть либо передан дальше без изменений, либо уничтожен, либо обработан с помощью протоколов защиты данных. Для защиты данных создаются так называемые SA (Security Associations) — безопасные соединения, представляющие собой виртуальные однонаправленные каналы для передачи данных. Для двунаправленной связи требуется два SA.
Параметры политик безопасности и безопасных соединений хранятся в двух таблицах: базе данных политик безопасности (SPD — Security Policy Database) и базе данных безопасных соединений (SAD — Security Association Database). Записи в SPD определяют в каких случаях нужно включать шифрование или контроль целостности, в то время как в SAD хранятся криптографические ключи, которые будут использованы для шифрования или подписи передаваемых данных. Если согласно SPD передаваемый пакет должен быть зашифрован, но в SAD нет соответствующего SA, реализация IPsec по протоколу IKE согласовывает с другой стороной создание нового SA и его параметры.
RFC 4301 дополнительно определяет третью таблицу — базу данных для авторизации узлов (PAD, Peer Authorization Database), предназначенную для хранения сведений об узлах, которым разрешено создавать SA с данным узлом и о допустимых параметрах этих SA.
Режимы работы IPsec.
Существует два режима работы IPsec: транспортный режим и туннельный режим.
В транспортном режиме шифруется (или подписывается) только информативная часть IP-пакета. Маршрутизация не затрагивается, так как заголовок IP пакета не изменяется (не шифруется). Транспортный режим как правило используется для установления соединения между хостами. Он может также использоваться между шлюзами, для защиты туннелей, организованных каким-нибудь другим способом (IP tunnel, GRE и др.).
В туннельном режиме IP-пакет шифруется целиком. Для того, чтобы его можно было передать по сети, он помещается в другой IP-пакет. По существу, это защищённый IP-туннель. Туннельный режим может использоваться для подключения удалённых компьютеров к виртуальной частной сети или для организации безопасной передачи данных через открытые каналы связи (например, Интернет) между шлюзами для объединения разных частей виртуальной частной сети.
Режимы IPsec не являются взаимоисключающими. На одном и том же узле некоторые SA могут использовать транспортный режим, а другие — туннельный.

SSL (англ. Secure Sockets Layer — уровень защищённых сокетов) — криптографический протокол, обеспечивающий безопасную передачу данных по сети Интернет. При его использовании создаётся защищённое соединение между клиентом и сервером. SSL изначально разработан компанией Netscape Communications. Впоследствии на основании протокола SSL 3.0 был разработан и принят стандарт RFC, получивший имя TLS.
Использует шифрование с открытым ключом для подтверждения подлинности передатчика и получателя. Поддерживает надёжность передачи данных за счёт использования корректирующих кодов и безопасных хэш-функций.
SSL состоит из двух уровней. На нижнем уровне многоуровневого транспортного протокола (например, TCP) он является протоколом записи и используется для инкапсуляции (то есть формирования пакета) различных протоколов (SSL работает совместно с таким протоколами как POP3, IMAP, XMPP, SMTP и HTTP). Для каждого инкапсулированного протокола он обеспечивает условия, при которых сервер и клиент могут подтверждать друг другу свою подлинность, выполнять алгоритмы шифрования и производить обмен криптографическими ключами, прежде чем протокол прикладной программы начнёт передавать и получать данные.
Для доступа к веб-страницам, защищённым протоколом SSL, в URL вместо обычного префикса (schema) http, как правило, применяется префикс https, указывающий на то, что будет использоваться SSL-соединение. Стандартный TCP-порт для соединения по протоколу https — 443.
Для работы SSL требуется, чтобы на сервере имелся SSL-сертификат.

RADIUS (англ. Remote Authentication in Dial-In User Service) — протокол AAA (Authentication, Authorization и Accounting), разработанный для передачи сведений между центральной платформой AAA и оборудованием Dial-Up доступа (NAS, Network Access Server) и системой биллинга (то есть, системой тарификации использованных ресурсов конкретным абонентом/пользователем).
Authentication — процесс, позволяющий идентифицировать (однозначно определить) субъекта по его данным, например, по логину (имя пользователя, номер телефона и т. д.) и паролю.
Authorization — процесс, определяющий полномочия идентифицированного субъекта на доступ к определённым объектам или сервисам.
Accounting — процесс, позволяющий вести сбор сведений (учётных данных) об использованных ресурсах. Первичными данными (то есть, традиционно передаваемых по протоколу RADIUS) являются величины входящего и исходящего трафиков: в байтах/октетах (с недавних пор в гигабайтах), в пакетах. Однако протокол предусматривает передачу данных любого типа, что реализуется посредством VSA (Vendor Specific Attributes).
Всего насчитывается свыше 3-х десятков реализаций RADIUS-серверов, для всего многообразия операционных систем и платформ. Наиболее популярными современными серверами RADIUS являются:
FreeRADIUS
OpenRADIUS
GNU RADIUS
ClearBox Enterprise RADIUS Server

История

RADIUS был разработан Livingston Enterprises (конкретно Карлом Ригней/Carl Rigney) для их серверов доступа (Network Access Server) серии PortMaster к сети internet, и позже, в 1997, был опубликован как RFC 2058 и RFC 2059 (текущие версии RFC 2865 и RFC 2866). На данный момент существует несколько коммерческих и свободно распространяемых (open-source) RADIUS-серверов. Они несколько отличаются друг от друга по своим возможностям, но большинство поддерживает списки пользователей в текстовых файлах, LDAP, различных базах данных. Учетные записи пользователей могут храниться в текстовых файлах, различных базах данных, или на внешних серверах. Часто для удаленного мониторинга используется SNMP. Существуют прокси-серверы (proxy/forwarding) для RADIUS, упрощающие централизованное администрирование и/или позволяющие реализовать концепцию интернет-роуминга (internet roaming). Они могут изменять содержимое RADIUS-пакета на лету (в целях безопасности или для выполнения преобразования между диалектами). Популярность RADIUS-протокола, во многом объясняется: открытостью к наполнению новой функциональностью при сохранении работоспособности с устаревающим оборудованием, черезвычайно высокой реактивностью при обработке запросов ввиду использования UDP в качестве транспорта пакетов, а также хорошо параллелизуемым алгоритмом обработки запросов; способностью функционировать в кластерных (Cluster) архитектурах (например OpenVMS) и мультипроцессорных (SMP) платформах (DEC Alpha, HP Integrity) — как с целью повышения производительности, так и для реализации отказоустойчивости.
В настоящее время (с середины 2003-го года) разрабатывается протокол DIAMETER (текущие версии RFC 3588 и RFC 3589), который призван заменить RADIUS, оставшись обратно совместимым с ним.

Стандарты

Определен в
RFC 2865 Remote Authentication Dial In User Service (RADIUS)
RFC 2866 RADIUS Accounting
Также имеет отношение к
RFC 2548 Microsoft Vendor-specific RADIUS Attributes
RFC 2607 Proxy Chaining and Policy Implementation in Roaming
RFC 2618 RADIUS Authentication Client MIB
RFC 2619 RADIUS Authentication Server MIB
RFC 2620 RADIUS Accounting Client MIB
RFC 2621 RADIUS Accounting Server MIB
RFC 2809 Implementation of L2TP Compulsory Tunneling via RADIUS
RFC 2867 RADIUS Accounting Modifications for Tunnel Protocol Support
RFC 2868 RADIUS Attributes for Tunnel Protocol Support
RFC 2869 RADIUS Extensions
RFC 2882 Network Access Servers Requirements: Extended RADIUS Practices
RFC 3162 RADIUS and IPv6
RFC 3575 IANA Considerations for RADIUS
RFC 3576 Dynamic Authorization Extensions to RADIUS
RFC 4672 RADIUS Dynamic Authorization Client MIB
RFC 4673 RADIUS Dynamic Authorization Server MIB
RFC 3579 RADIUS Support for EAP
RFC 3580 IEEE 802.1X RADIUS Usage Guidelines
RFC 4014 RADIUS Attributes Suboption for the DHCP Relay Agent Information Option

VPN (англ. Virtual Private Network — виртуальная частная сеть) — логическая сеть, создаваемая поверх другой сети, например Интернет. Несмотря на то, что коммуникации осуществляются по публичным сетям с использованием небезопасных протоколов, за счёт шифрования создаются закрытые от посторонних каналы обмена информацией. VPN позволяет объединить, например, несколько офисов организации в единую сеть с использованием для связи между ними неподконтрольных каналов.
Пользователи Microsoft Windows обозначают термином «VPN» одну из реализаций виртуальной сети — PPTP, причём используемую зачастую не для создания частных сетей.
Чаще всего для создания виртуальной сети используется инкапсуляция протокола PPP в какой-нибудь другой протокол — IP (такой способ использует реализация PPTP — Point-to-Point Tunneling Protocol) или Ethernet (PPPoE) (хотя и они имеют различия). Технология VPN в последнее время используется не только для создания собственно частных сетей, но и некоторыми провайдерами «последней мили» для предоставления выхода в Интернет.
При должном уровне реализации и использовании специального программного обеспечения сеть VPN может обеспечить высокий уровень шифрования передаваемой информации. При правильной настройке всех компонентов технология VPN обеспечивает анонимность в Сети.

Структура VPN

VPN состоит из двух частей: «внутренняя» (подконтрольная) сеть, которых может быть несколько, и «внешняя» сеть, по которой проходит инкапсулированное соединение (обычно используется Интернет). Возможно также подключение к виртуальной сети отдельного компьютера. Подключение удалённого пользователя к VPN производится посредством сервера доступа, который подключён как к внутренней, так и к внешней (общедоступной) сети. При подключении удалённого пользователя (либо при установке соединения с другой защищённой сетью) сервер доступа требует прохождения процесса идентификации, а затем процесса аутентификации. После успешного прохождения обоих процессов, удалённый пользователь (удаленная сеть) наделяется полномочиями для работы в сети, то есть происходит процесс авторизации.

Классификация VPN

Классифицировать VPN решения можно по нескольким основным параметрам:
По типу используемой среды
Защищённые
Наиболее распространённый вариант виртуальных частных сетей. C его помощью возможно создать надежную и защищенную подсеть на основе ненадёжной сети, как правило, Интернета. Примером защищённых VPN являются: IPSec, OpenVPN и PPTP.
Доверительные
Используются в случаях, когда передающую среду можно считать надёжной и необходимо решить лишь задачу создания виртуальной подсети в рамках большей сети. Вопросы обеспечения безопасности становятся неактуальными. Примерами подобных VPN решении являются: Multi-protocol label switching (MPLS) и L2TP (Layer 2 Tunnelling Protocol). (точнее сказать, что эти протоколы перекладывают задачу обеспечения безопасности на другие, например L2TP, как правило, используется в паре с IPSec).
По способу реализации
В виде специального программно-аппаратного обеспечения
Реализация VPN сети осуществляется при помощи специального комплекса программно-аппаратных средств. Такая реализация обеспечивает высокую производительность и, как правило, высокую степень защищённости.
В виде программного решения
Используют персональный компьютер со специальным программным обеспечением, обеспечивающим функциональность VPN.
Интегрированное решение
Функциональность VPN обеспечивает комплекс, решающий также задачи фильтрации сетевого трафика, организации сетевого экрана и обеспечения качества обслуживания.
По назначению
Intranet VPN
Используют для объединения в единую защищённую сеть нескольких распределённых филиалов одной организации, обменивающихся данными по открытым каналам связи.
Remote Access VPN
Используют для создания защищённого канала между сегментом корпоративной сети (центральным офисом или филиалом) и одиночным пользователем, который, работая дома, подключается к корпоративным ресурсам с домашнего компьютера или, находясь в командировке, подключается к корпоративным ресурсам при помощи ноутбука.
Extranet VPN
Используют для сетей, к которым подключаются «внешние» пользователи (например, заказчики или клиенты). Уровень доверия к ним намного ниже, чем к сотрудникам компании, поэтому требуется обеспечение специальных «рубежей» защиты, предотвращающих или ограничивающих доступ последних к особо ценной, конфиденциальной информации.
По типу протокола
Существуют реализации виртуальных частных сетей под TCP/IP, IPX и AppleTalk. Но на сегодняшний день наблюдается тенденция к всеобщему переходу на протокол TCP/IP, и абсолютное большинство VPN решений поддерживает именно его.
По уровню сетевого протокола
По уровню сетевого протокола на основе сопоставления с уровнями эталонной сетевой модели ISO/OSI.


Примеры VPN

IPSec (IP security) — часто используется поверх IPv4.
PPTP (point-to-point tunneling protocol) — разрабатывался совместными усилиями нескольких компаний, включая Microsoft.
L2TP (Layer 2 Tunnelling Protocol) — используется в продуктах компаний Microsoft и Cisco.
L2TPv3 (Layer 2 Tunnelling Protocol version 3).
Многие крупные провайдеры предлагают свои услуги по организации VPN-сетей для бизнес-клиентов.

История

Исторически, проблему организации надёжного канала для передачи данных решали при помощи прокладки прямого кабеля, физически защищённого от перехвата данных, например за счёт расположения его в труднодоступных местах или установки датчиков объёма, контролирующих доступ к нему. Но стоимость подобных решений была слишком высока даже для соединения близкорасположенных объектов, а в случае соединения объектов из разных частей страны или разных стран стоимость приближалась к астрономическим цифрам. Поэтому такие коммуникации могли себе позволить лишь военные организации и крупные корпорации.
С другой стороны, конец XX века был отмечен лавинообразным распространением Интернета: в геометрической прогрессии росли скорости доступа, охватывались все новые и новые территории, практически между любыми двумя точками в мире можно было установить быструю связь через Интернет. Но передача информации не была безопасной, злоумышленники могли перехватить, украсть, изменить её. В это время стала набирать популярность идея организации надёжного канала, который для связи будет использовать общедоступные коммуникации, но за счёт применения криптографических методов защитит передаваемые данные. Стоимость организации такого канала была во много раз меньше стоимости прокладки и поддержания выделенного физического канала, таким образом организация защищённого канала связи становилась доступной средним и малым предприятиям, и даже частным лицам.
На заре своего развития идея организации частных приватных сетей была чрезвычайно популярна, и многие серьёзные участники IT рынка и энтузиасты-любители пытались воплотить абстрактные идеи в реальный программный продукт. Серьёзные компании создали множество решений, обеспечивающих функциональность частных приватных сетей, как на программном, так и на аппаратном уровне. Свою реализацию VPN предлагало большинство известных IT компаний:
Cisco — L2F (Layer 2 Forwarding), L2TP (Layer 2 Tunnelling Protocol), L2TPV3 (Layer 2 Tunnelling Protocol version 3)
Microsoft — PPTP (Point-To-Point Tunnelling Protocol)
Check Point Software Technologies — VPN-1
Redcreek Communications — Ravlin
Intel — Landrover VPN Express
и многие другие….
Количество программных реализаций VPN от энтузиастов-любителей очень и очень велико. Большинство из них содержали в себе ряд серьёзных уязвимостей, зачастую в них был достаточно посредственно проработан вопрос шифрования — использовались достаточно слабые криптоалгоритмы, ни о какой многоплатформенности нельзя было и говорить. Но, несмотря на то, что большинство умирало на уровне альфа-бета версий, некоторые семена выросли в достаточно серьёзные решения, например, OpenVPN. Первые создаваемые реализации VPN обеспечивали лишь создание защищённого канала точка-точка между двумя серверами, по которому передавались все виды трафика. Со временем функциональность VPN расширялась, стали поддерживать более сложные, чем точка-точка, конфигурации сети: extranet VPN, intranet VPN, remote access VPN и VPN смешанных типов. Следствием этого явилось увеличение числа пользователей в виртуальных частных сетях, и на передний план вышли проблемы управления акаунтами, ассоциации с ними необходимых прав доступа, оперативное изменение прав в рамках всей создаваемой сети. Затем, в связи с увеличением числа пользователей стали повышаться требования к масштабируемости и расширяемости. Последние в свою очередь, сначала, включали требования поддержки различных протоколов и служб (web, ftp, samba, …), а со временем стали включать и требования поддержки разных операционных систем, платформ и даже различных дополнительных устройств, например мобильных телефонов и сетевых маршрутизаторов. Помимо постоянного увеличения числа пользователей изменился контент и объём передаваемых данных. Если на заре VPN по сетям в основном передавались текстовые данные, то на сегодняшний день эти сети часто используются для передачи медиа данных, на основе виртуальных частных сетей нередко устраивают видеоконференции и обеспечивают голосовую связь. Подобный «взрыв» объёмов трафика стал создавать огромные нагрузки на виртуальные частные сети, часто важная информация стала доходить со значительным запозданием из-за загрузки сетей. Это поставило перед разработчиками VPN решений новую проблему — проблему обеспечения качество обслуживания (QoS), которая на сегодняшний день наиболее актуальна.

В последнее время на страницах газет и журналов все чаще и чаще встречается термин VPN. Что же обозначает эта аббревиатура? К сожалению, авторы статей, споря о различных протоколах и алгоритмах шифрования, а также объясняя принцип туннелирования трафика, забывают ответить на этот вопрос, который наверняка интересует многих не столь продвинутых в этой области пользователей. Давайте же мы с вами, уважаемые читатели, попробуем исправить это упущение и разобраться что к чему. Причем разговор поведем нормальным человеческим языком, не вдаваясь в глубокие технические подробности.
Итак, VPN. Оказывается, под этой аббревиатурой скрывается словосочетание Virtual Prvate Network — виртуальная частная сеть*. Эта технология была разработана для создания надежно защищенных сетей на базе имеющейся и функционирующей инфраструктуры какой-либо глобальной сети (в подавляющем большинстве случаев ею является Интернет). Зачем все это нужно? Давайте представим такую ситуацию. Допустим, у нас есть компания, у которой помимо головного офиса есть отдельные филиал и склад. Причем все три подразделения находятся в разных местах. Естественно, руководство такого предприятия очень сильно желало бы объединить все три локальные сети* в единое информационное пространство. Ведь это позволит решить многие проблемы, например ускорить документооборот и производительность труда. Но как это можно сделать?
На первый взгляд самым очевидным решением поставленной задачи является физическое соединение сетей путем проведения выделенного кабеля. И это действительно очень хороший вариант, если все подразделения компании находятся в пределах одного квартала. А что если они разбросаны по всему городу? В этом случае на разработку проекта, получение всех необходимых разрешений и на его практическую реализацию могут уйти годы. И это не говоря уже о стоимости такого решения. А что делать, если подразделения компании вообще находятся в разных населенных пунктах и удалены друг от друга на тысячи километров?

Другой вариант — аренда кабеля у какого-нибудь оператора связи. В принципе это неплохое решение в пределах города. Хотя опять же стоит отметить, что арендная плата будет весьма и весьма немалая. А это значит, что такое решение подходит только для крупных компаний. Кроме того, оно не позволяет ответить на вопрос, что делать в случаях, когда локальные сети расположены на расстоянии тысяч километров друг от друга. Представляете, сколько будет стоить аренда такого выделенного канала связи? И это не говоря уже о возможных проблемах с безопасностью передаваемых данных
К счастью, есть еще и третий вариант — технология VPN. Она позволяет использовать для объединения нескольких локальных сетей в одну существующую инфраструктуру глобальных сетей (Интернета). То есть в этом случае все пользователи работают так, как будто их компьютеры находятся в пределах единой локальной сети. На самом же деле происходит следующее. Пакеты в пределах одной локальной сети передаются как обычно. Если же запрос адресуется удаленному компьютеру, то он поступает на VPN-шлюз. Последний обрабатывает его, зашифровывает информацию и по сети Интернет передает другому VPN-шлюзу, обслуживающему локальную сеть адресата. Там информация извлекается, а получившийся обычный запрос уходит получателю.

Помимо логического объединения удаленных друг от друга локальных сетей технология VPN может использоваться и для связи одного компьютера с сетью. И это тоже очень важно. Приведем небольшой пример. Допустим, сотрудники какого-то предприятия очень часто ездят в командировки, из которых должны передавать данные в локальную сеть. Раньше единственным способом сделать это была организация точек удаленного доступа. То есть сотрудники с помощью модема по специально выделенному для этого номеру подключались к сети и отправляли всю информацию. У такого решения есть один очень серьезный недостаток. Дело в том, что междугородние звонки, не говоря уже о международных, удовольствие не из дешевых. Особенно когда необходимо передать большой объем данных, на что уходит один, два или даже больше часов. Что же предлагает нам VPN? Да все очень просто. Сотрудник компании, где бы он ни находился, выходит в Интернет через местного провайдера. На его компьютере установлено специальное программное обеспечение, реализующее функции VPN. Таким образом, он может с помощью модема* установить соединение со шлюзом локальной сети и передать всю информацию через Интернет. Учитывая то, что исходящий трафик практически везде бесплатен, то становится понятно, что денег ему платить почти не придется.
Правда, стоит признать, что за использование VPN тоже придется
заплатить. Во-первых, для ввода в эксплуатацию виртуальной частной
сети необходимо закупить соответствующее оборудование (как минимум
по одному VPN-шлюзу для каждой локальной сети) и специальное
программное обеспечение. Кроме того, VPN увеличивает потребление
интернет-трафика, что, естественно, отражается на суммах, которые
нужно платить провайдеру. Тем не менее эти затраты все равно во
много раз ниже, чем у всех других способов объединения удаленных
друг от друга локальных сетей.
Ну а теперь, когда мы с вами, уважаемые читатели, выяснили, для чего
нужна технология VPN, давайте немного подробнее представим себе
принцип ее работы. Мы уже говорили, что объединение сетей происходит
с помощью VPN-туннелей, «проложенных» в Интернете. Для их создания и
поддержания в рабочем состоянии необходимы специальные протоколы,
программное обеспечение, специфическое оборудование. Кроме того,
необходимо позаботиться о защите корпоративной информации (среди
которой могут быть и секретные данные), которая будет передаваться
по туннелям.
Вообще, для создания VPN могут использоваться различные протоколы.
Тем не менее на практике почти всегда применяются только два из них:
Socket Secure Layer* и IPSec. Причем большинство разработчиков
выбирают второй вариант. Почему? IPSec был специально создан для
обеспечения безопасности в базовых протоколах семейства TCP/IP. Он
более гибок и удобен, нежели любой протокол прикладного уровня.
Поэтому именно IPSec обычно и выбирают в качестве основной
технологии большинство разработчиков сетевого оборудования.
Кстати, об оборудовании. Для организации объединения нескольких
локальных сетей в одну желательно использовать специальное
аппаратное обеспечение. Самым простым выбором в этом случае будут
VPN-шлюзы. Современные устройства представляют собой полностью
готовое к работе решение. Поэтому администраторам достаточно
подключить их к локальной сети и провести минимальную настройку. Это
все, что нужно сделать для объединения двух или более сетей в единое
виртуальное пространство.
Теперь о программном обеспечении. VPN-шлюзы удобны в локальных сетях.
Они обеспечивают быструю обработку пакетов, поскольку поддержка
всех протоколов реализована в них на аппаратном уровне. Но для
одиночных пользователей такое решение не подходит. Поэтому
существуют программы, реализующие все функции VPN на одном отдельном
компьютере. Это позволяет удаленным сотрудникам подключаться по
защищенному каналу к локальной сети, используя только Интернет.
Ну и напоследок пара слов о безопасности. Это очень важная часть
технологии VPN. Ведь при этом коммерческая информация передается
через полный опасностей Интернет. А что если данные перехватит
какой-нибудь хакер или, не дай бог, конкурент? Впрочем,
пользователям VPN нечего бояться. В современных решениях
используются надежные алгоритмы шифрования: DES, Triple DES и AES
(третий вариант самый надежный). Более того, в технологии VPN
предусмотрена проверка целостности передаваемых по туннелю данных,
что гарантирует получение информации именно в том виде, в котором ее
отправляли. Для этого используются самые распространенные на
сегодняшний день алгоритмы — MD5 и SHA1. Кроме того, реализована в
VPN и процедура идентификации. Причем в ней могут использоваться
различные технологии: парольная защита, система сертификатов,
имущественная или биометрическая идентификация.
Все это позволяет говорить о том, что VPN на сегодняшний день
является самой удобной технологией для объединения в единое
защищенное информационное пространство удаленных друг от друга
локальных сетей или отдельных компьютеров. В ней реализовано все
необходимое для полноценной работы пользователей и обеспечения
безопасности передаваемой ими информации.