Virtuelt privat nettverk

«VPN» omdirigeres hit. For annen bruk, se VPN (andre betydninger).

Skjema over et VPN-nettverk

Et virtuelt privat nettverk (VPN), fra engelsk: virtual private network, er et datanettverk hvor «punkt-til-punkt»-forbindelser, såkalte «tunneler», sluttes gjennom et annet datanett (som for eksempel internett).

En VPN-tunnel kan være kryptert, noe som er viktig når man ikke kjenner, eller er usikker på sikkerheten gjennom et eventuelt offentlig datanett, som for eksempel internett. Det gjelder særlig ved besøk av ukrypterte sider med http-tilkobling.

VPN ble først utviklet som et verktøy for bedrifter. Hensikten var å øke sikkerheten ved overføring av data mellom servere, samt ved kommunikasjon mellom ansatte. Det første nettverket ble lansert i 1999, basert på Peer to Peer Tunneling Protocol (PPTP). Det hersker noe uenighet omkring hvem som designet det første systemet.

Formål

Med et kryptert VPN kan man skape en sikker privat forbindelse over for eksempel et offentlig datanett, som igjen kan være en del av et ukryptert eller svakt kryptert datanett.

Flere organisasjoner har et internt oppbygd VPN, og flere ulike organisasjoner kan oppbygge et felles virtuelt datanett mellom seg for et spesielt formål. Eksempel på anvendelse av VPN-forbindelser er hvis noen vil koble seg opp mot virksomhetens ikke offentlig tilgjengelige servere og arbeide som om klienten var tilsluttet i LAN-et, eller for å koble to separate fysisk adskilte kontordatanett til et stort.

Sensur og blokkering av innhold

Andre formål inkluderer ønsket om å omgå sensur og blokkering av innhold på internett. I Kina er det for eksempel ikke lov til å bruke sosiale mediekanaler som Facebook og Twitter. De har også en blokkering mot Google. VPN-applikasjonen lar brukerne få tilgang til nyhetssider, sosiale medier og lignende, som ellers ville vært sperret for tilgang. Mange benytter også VPN for å streame digitalt innhold med geoblokkering. Ved å bytte IP-adressen til et forutbestemt land, kan de låse opp medieinnhold som er forbeholdt brukere i et gitt geografisk område.

En siste gruppe består av de som ønsker ekstra anonymitet når de surfer på nett.

Virkemåte

Å starte en VPN-tunnel betyr at en datamaskin fungerer som om den sitter direkte på det datanettet som den kobler seg til. I tunnelen anvender datamaskinen en IP-adresse fra nettopp det datanettet den kobler seg til, og det kan for eksempel være en privat IP-adresse. Datamaskinen har adgang til alle de tjenester som finnes på det datanettet den er koblet til. Nettopp dette gjør at mange VPN-servere settes på en brannmur DMZ, slik at mengden av tjenester man har tilgang til kan modereres.

VPN påvirker som oftest rutingen av nettverket, både for maskinen som kobler seg til, og for nettet som står for tilkoblingen. VPN fungerer derfor på nettverkslaget, lag 3 i OSI-modellen.

Enkelte har imidlertid utviklet protokoller som fungerer på lag 2, datalink-laget.

Fordeler med VPN på lag 2 er

• En kan bruke hvilke som helst slags protokoller på lag 3, uavhengig av utstyr.
• En kobler seg direkte til lokalnettet der man skal jobbe. Alminnelig svitsjet nettverk er nok for å sende dataene videre dit de skal. Slikt utstyr fungerer på lag 2, en trenger bare å finne ut av MAC-adressen for å finne ut hvor pakken skal sendes videre, og på et begrenset nett er dette ganske fort gjort.

Ulemper er

• Å koble til på lag 2 krever eget utstyr. MAC-adressen forteller bare hvilken node en datapakke kommer fra og hvor den skal til, systemet trenger mer informasjon om hvordan data skal sendes over rutere, brannmurer og andre nettverksenheter.

På internett, og på Unix/Linux/BSD-nettverk som stort sett bare bruker IP-protokollen på lag 3, er ikke dette så viktig. Det finnes mye bra standardutstyr for IP-nettverk.^{[trenger referanse]} Men hvis en skal overføre andre lag 3-protokoller som IPX og NetBEUI over større avstander, blir det noe annet. Man får et heterogent nettverk, og man trenger utstyr for å takle det.

Kryptering

Virtuelle private nettverk oppretter en tunnel mellom avsender og mottaker der krypterte datapakker utveksles. Dataene er ulesbare, med mindre man har en spesifikk nøkkel.

VPN selskapene benytter ulike krypteringsmetoder der AES-256 (Advanced Encryption Standard) er en populær standard. Tallet 256 henviser til antallet blokker som krypteres individuelt og denomineres i bit. I dette tilfellet er det snakk om 256 individuelle bits med kryptert informasjon.

Lengden på blokken påvirker hvor lang tid det tar å løse krypteringen. Ett eksempel er kryptering basert på 128 bit lengde. For å skulle løse denne koden må angripere teste ut 2¹²⁸ kombinasjoner. Det finnes i dag VPN programvare med krypteringsstyrke opptil 2048 bit.

Eksempler på krypterte VPN-protokoller

Krypterte VPN-protokoller omfatter følgende:

• IPsec (IP security), en obligatorisk del av IPv6.
• Transport Layer Security (TLS/SSL) anvendes enten til å tunnelere et helt nettverksstakk, som i OpenVPN, eller for å sikre applikasjonstilgang, og her fungerer det som en webproxy. Selv om det siste ofte kalles SSL VPN av VPN-leverandører, er det ikke en full VPN. Sikkerhetsmessig kan nettopp det være en fordel, da man dermed kun tillater de web- og telnet-applikasjoner man ønsker. (Se også TUN/TAP.)
• PPTP (point-to-point tunneling protocol), utviklet i fellesskap av flere virksomheter, heriblant Microsoft.
• L2TP (Layer 2 Tunnelling Protocol), utviklet av Microsoft og Cisco i fellesskap.
• L2TPv3 (Layer 2 Tunnelling Protocol version 3).

Eksempler på ikke-krypterte VPN-protokoller

Det finnes også trusted VPN, som ikke krypterer tunnelen og dermed forventer at sikkerheten er i datanettet eller i ens egen dataforbindelse gjennom tunnelen. Med andre ord, tunnelens eneste formål er å forbinde to eller flere delnettverk sammen, som om de var ett. Protokoller for trusted VPN omfatter:

• L2F (Layer 2 Forwarding), utviklet av Cisco.
• Multi-protocol label switching (MPLS) er alminnelig anvendt av internettleverandører til å lage trusted VPNs for kunder. Det smarte ved MPLS er at alle slags lag 3-protokoller kommer igjennom som for eksempel IPv4, IPv6, gammeldags IPX og Appletalk.

Begrensninger ved nettverksbruk

En begrensing som følger med tradisjonelle VPN-tjenester er at de ikke støtter node-til-node-tilkobling, som igjen er kritisk for bruk i private LAN-nettverk. Derfor vil kommunikasjon, programvare og nettverksfunksjoner i noen tilfeller ikke fungere da disse benytter lag 2-protokollen.

For å omgå dette problemet er det blitt utviklet nye varianter av VPN, inkludert egne tjenester for LAN (VPLS) og skreddersydde lag 2 tunnel-protokoller.

Eksterne lenker

• (en) Virtual private networks – kategori av bilder, video eller lyd på Commons