VPN とは? VPNとは共有ネットワーク上にプライベートネットワークを構築すること またはそのための技術 仮想的な専用線のように利用できることから Virtual( 仮想的 ) なPrivate Network( 専用線 ) と呼ぶ 最近ではインターネットを専用線のように利用する技術として注目され

Transcription

1 IP-VPN の技術動向 2000 年 7 月 18 日 古河電気工業株式会社ネットワーク事業部 1

2 VPN とは? VPNとは共有ネットワーク上にプライベートネットワークを構築すること またはそのための技術 仮想的な専用線のように利用できることから Virtual( 仮想的 ) なPrivate Network( 専用線 ) と呼ぶ 最近ではインターネットを専用線のように利用する技術として注目されている 2

3 通信相手との間に仮想的なトンネルをつくることにより ( トンネリング ) 本来ならインターネットを経由できないプライベートアドレスの通信 TCP/IP 以外の通信が可能になる Virtual な Private Network を実現 社内 LAN 社内 LAN ファイアウォール ファイアウォール Internet VPN 装置 VPN 装置 インターネット上にトンネルができ その中をデータが通過していく 3

4 各種回線サービスの特徴 <WANを構築するうえで ポイントになる回線選択基準 > 1. 常時接続されており 確実に通信が行えるか? 2. 通信速度 ( 帯域 ) が保証されているか? 3. セキュリティは問題ないか? 4. 通信コストが安価か? 回線種類 固定 / 従量 初期コスト 通信コスト 接続保証 帯域保証 高速接続 セキュリティ 専用線 固定 フレームリレー 固定 注 1 ISDN 従量 注 2 VPN 固定 注 3 注 1 従量制のサービスもある 注 2 深夜 早朝では固定制サービスもある 注 3 ダイヤルアップVPNの場合は 従量制コストを除き 専用線が一番最適 4

5 VPN が注目を集めている理由 しかし コストコストがもっとも重要な課題になっているのも事実 VPN はコストの削減で注目されている 5

6 IP-VPN インターネットなどのIPネットワーク上に 仮想的な自営網を構築する技術 およびネットワーク 6

7 IP-VPN の構築 IP-VPN を構築する際の選択肢 キャリア ISPが提供するVPNサービスを利用する MPLS L2TP Internetを利用して ユーザ主導でVPNを構築する IPSec 7

8 IP-VPN の利用技術 現在の代表的な VPN 利用技術は MPLS(MultiProtocol Label Switching) IETFが標準化を進めているLayer3Switch 手法 L2TP(Layer 2 Tunneling Protocol) RFC 標準のLayer2トンネリング プロトコル IPSec(IP Security Protocol) RFC 標準のLayer3(IP) トンネリング プロトコル 8

9 IP-VPN の利用目的 それぞれの利用目的は MPLS 専用線的な用途で利用 L2TP リモートアクセス環境を実現する用途で利用 IPSec 専用線 およびリモートアクセス環境の両方で利用 9

10 MPLS を利用した VPN ネットワーク MPLS 対応ルータ MPLS 10

11 MPLS サービスの特徴 < 長所 > End To Endでの帯域保証 全国一律の定額料金 < 短所 > 網内に閉じたサービス リモートアクセス環境での利用ができない 11

12 L2TP を利用した VPN ネットワーク L2TP 対応 RAS L2TP 対応ルータ LAC ISP VPN LNS 12

13 L2TP サービスの特徴 < 長所 > マルチプロトコルの通信に対応 End To EndでのPPP 認証が可能 < 短所 > 網内に閉じたサービス 帯域保証が無い 13

14 IPSec を利用した VPN ネットワーク Internet VPN 装置 ISP1 ISP2 VPN ISP3 VPN 装置 14

15 IPSec の特徴 < 長所 > 複数のISPを介したネットワーク構築が可能 LAN To LAN リモートアクセス等さまざまな用途で利用可能 < 短所 > 帯域保証が無い 15

16 ユーザ主導で構築でき さまざまな形態で利用可能である IPSecが注目を集めている 16

17 IPSec 17

18 IPSec とは? TCP/IP 通信における セキュリティ確保のための技術総称 IP ネットワークでの VPN で 暗号化を行うことができる IETF(Internet Engineering Task) の IPSec ワーキンググループが策定 RFC2401~2412 と 10 以上の標準に基づく 18

19 IPSec の歴史 IPSecの開発は1990 年代前半から始まり RFC1825~ 1829で一応の標準化が提案されたが 実際には普及しなかった 米国自動車業界の業界エクストラネットである ANX(Automotive Network Exchange) を構築する際 暗号化が必須であった この計画に後押しされ IPSecの標準化が急ピッチで進められた 19

20 IPSec のセキュリティ 盗聴データの中身を盗み見られること 改竄 ( かいざん ) データの中身を書き換えること なりすまし第三者が他人の名を語り, その人になりすまして情報を送ること IPSec の認証 暗号機能でセキュリティ確保 20

21 IPSec の通信 a VPN 装置 IPSec 装置間でセキュリティを確保 - 暗号化 - 認証 - 鍵管理 VPN 装置 b Internet 鍵 鍵交換 鍵 a 宛て 復号化 A 宛て 暗号化 a 宛て 21

22 IPSec の仕組み 1セキュリティプロトコル IPSecの基本プロトコル AH ESP 2 認証アルゴリズム パケット認証のアルゴリズム MD5 SHA-1 3 暗号化アルゴリズム 暗号化のアルゴリズム DES 3DES 4 鍵管理 IKE 22

23 AH(Authentication Header) AH は認証サービスを行う 旧版の IPSec では ESP での認証は規定されていなかったため暗号と認証を行う場合はデータに対して AH ESP 両方を適用する必要があった RFC2406 では ESP だけで暗号 認証をサポート ESP で認証を行えば AH のヘッダオーバヘッドが不要になる 23

24 ESP(Encapsulating Security Payload) ESP は以下のサービスを行う データの完全性 送信元の認証 リプレイ攻撃保護 機密性 トンネルモードで ESP の認証機能を利用することで AH の認証と同等の機能を提供する 24

25 AH ヘッダと ESP ヘッダの比較 これらの基本プロトコルのもとに セキュリティを確保する 認証機能 暗号化機能 リプレイ攻撃保護 ( なりすまし防止 ) 認証アルゴリズム ( 最低限必要なもの ) 暗号化アルゴリズム ( 最低限必要なもの ) AHヘッダ MD5またはSHA-1 ESPヘッダ MD5またはSHA-1 DES-CBC 25

26 認証アルゴリズム HMAC(Hash Message Authentication Codes) with MD5 128 ビットの固定長鍵をサポート 128bits の認証用データを生成 HMAC with SHA1 MD5 より強固であるが 処理が重い 160ビットの固定長鍵をサポート 160bitsの認証用データを生成 26

27 暗号化アルゴリズム 1 DES-CBC with Explicit IV Initialization Vector(8 バイト ) 平文 DES 暗号化 暗号文 ESP ペイロードの先頭 8 バイトに Initialization Vector を挿入して送るため パケット喪失があっても復号が可能である 鍵 (56 ビット ) DES(Data Encryption Standard) 米国商務省標準局が 1973 年に公募し IBM 案を採用 米国内で広く採用され IPSec の暗号方式の標準として採用されている 27

28 暗号化アルゴリズム 2 3DES-CBC with Explicit IV Initialization Vector(8 バイト ) 平文 DES 暗号化 DES 暗号化 DES 暗号化 暗号文 鍵 A(56 ビット ) 鍵 B(56 ビット ) 鍵 C(56 ビット ) 3DES(Triple DES) DES の暗号処理を 3 回続けて行う 通常 DES を破るには鍵が見つかるまで 全ての鍵を試す方法が必要であるが 3DES では鍵の長さが 168 ビットとなることから 56bit の鍵よりも 2 の 112 乗倍の鍵の数になるため より破るのが難しくなる 28

29 IKE(ISAKMP/Oakley) IPSecの鍵交換のためのプロトコル 暗号 認証のパラメータを自動生成して 相互の交換するためのプロトコル 1Pre-Shared Key( 既知共有秘密鍵 ) 2Digital Signature( ディジタル署名 / ディジタル証明書 ) 3Public Key Encryption( 公開鍵暗号 ) 29

30 IPSec の運用例 IPSec ネットワークのキーとなる利用技術 Case1.IPSec の利用形態 Case2.VPN の NAT 利用 Case3.FireWall との構成について 30

31 IPSec の利用形態 31

32 IPSec の利用形態 1 常時回線の LAN 間 VPN A B VPN 装置 専用線 Internet 専用線 VPN 装置 VPN 通常のIPSec 通信 IPアドレスが固定でアサインされている形態 A BのどちらからでもIPSec 通信を始めることが可能 32

33 IPSec の利用形態 2 常時回線 LAN ーリモートクライアント間の VPN A B VPN クライアント ダイヤルアップ Internet 専用線 VPN 装置 VPN モバイルPC 等に専用のVPNソフトウェアをインストール IPアドレスがダイナミックにアサインされる形態でも通信可能 IPSec 通信の契機は A 側 ( ダイヤルアップ ) からのみ 33

34 IPSec の利用形態 3 常時回線 LAN - ダイヤルアップ回線 LAN の VPN A B VPN クライアント ダイヤルアップ Internet 専用線 VPN 装置 VPN ダイヤルアップルータを利用してもIPSec 通信が可能 IPアドレスがダイナミックにアサインされる形態でも通信可能 IPSec 通信の契機は A 側 ( ダイヤルアップ ) からのみ 34

35 VPN の NAT 利用 35

36 通常の IPSec 通信 アト レス : /16 本社 LAN VPNボックスルータ 専用機接続 Internet 全てのプライベートLANにおいて アドレスが重複しないように設計する VPNの通信に関しては NAT 変換せずそのままのプライベートアドレスで通信する タ イヤルアッフ VPN ルータ VPN ルータ タ イヤルアッフ < 営業所 LAN> < 関連会社 LAN> アト レス : /24 アト レス : /24 36

37 NAT の必要性 アト レス : /16 本社 LAN? /24 って誰? VPNボックスルータ 専用機接続 Internet 営業所 LANと関連会社 LANが同じアドレス構成 ( 関連会社であるため アドレスの変更をお願いできない ) 本社からみると 営業所 LANと関連会社 LANの区別がつかない タ イヤルアッフ タ イヤルアッフ < 営業所 LAN> < 関連会社 LAN> アト レス : /24 アト レス : /24 37

38 VPN 通信における NAT 利用 アト レス : /16 本社 LAN VPN ボックス ルータ ISP から付与される IP アドレスを利用して VPN 通信を行う これにより 営業所 LAN と関連会社 LAN の区別をすることが可能 ISP から付与される IP アト レス 専用機接続 Internet ISP から付与される IP アト レスに NAT+ 変換して 通信を行う タ イヤルアッフ A B タ イヤルアッフ < 営業所 LAN> < 関連会社 LAN> アト レス : /24 アト レス : /24 38

39 VPN 通信における PeerNAT 利用 アト レス : /16 本社 LAN ファイアウォール VPNボックスルータ 専用機接続 Internet ISPから付与されるIPアドレスではなく 拠点毎に変換するアドレスを指定できる これにより 営業所 LANと関連会社 LANの区別をすることが可能 また 本社側からのアドレス管理が容易にできるようになり F/W 利用時には効果を発揮する あらかじめ 変換するIPアドレスを指定しておく タ イヤルアッフ A B タ イヤルアッフ < 営業所 LAN> < 関連会社 LAN> アト レス : /24 アト レス : /24 39

40 FireWall との構成について 40

41 FireWall との並列構成 社内 LAN VPN ボックス ファイアウォール タ イヤルアッフ Internet ルータ MUCHO-EV VPN 装置と FireWall を並列で構成するパターン VPN 装置は VPN 通信以外は通さない設定 NAT は FireWall にて行う 41

42 既存構成 内部公開サーバ デフォルトゲートウェイ 社内 LAN ファイアウォール 外部公開サーバ ルータ 1 社内 LAN から Internet へ 2 外部から公開サーバへ 42

43 VPN ボックスの導入 内部公開サーバ 社内 LAN VPN ボックス 外部公開サーバ ファイアウォール 1VPN 通信 ルータ 2 社内 LAN から Internet へ 3 外部から公開サーバへ 43

44 PeerNAT 機能の併用 アト レス : /24 内部公開サーバ ProxyARP:ON デフォルトゲートウェイ社内 LAN VPN ボックス 外部公開サーバ ファイアウォール 設定が必要なのはVPNボックスのみルータ 1VPN 通信 拠点側で 社内 LANと同一ネットワーク ( /24) のPeerNATを利用する VPNボックスでは ProxyARP 機能をONにする 既存 FireWallやPCのゲートウェイ設定を変更する必要はありません 44

45 FireWall との直列構成 社内 LAN ファイアウォール VPN ボックス タ イヤルアッフ Internet ルータ MUCHO-EV VPN 装置とFireWallを直列で構成するパターン VPN 装置はVPN 対象 非対称のパケットの両方を通す設定 NATはFireWallにて行う 45

46 製品ラインアップ 46

47 価格古河電工 VPN 対応製品ラインアップ ファイアーウオール +VPN オプションソフトウェア ALCATEL FortKnox F-3000 標準価格 1,040,000 円 ~ 同時接続 :100 拠点 MUCHO-EV とのダイヤルアップ VPN 接続が可能 ( 接続拠点数に応じて ライセンスフィーが必要 ) 価VPN クライアントソフト ( 発売予定 ) 古河電工 INFONET-VPN Client ( 拠点側 ) 古河電工 MUCHO-EV 標準価格 138,000 円同時接続 :16 拠点 接続拠点数 47 ( センター側 ) 古河電工 INFONET-VP100 VPN 対応アクセスルータ標準価格 498,000 円 ファイアーウオール +VPN オプションソフトウェア ALCATEL FortKnox F-5000 標準価格 1,860,000 円 ~ 同時接続 :300 拠点 MUCHO-EV とのダイヤルアップ VPN 接続が可能 ( 接続拠点数に応じて ライセンスフィーが必要 ) VPN ボックス 同時接続 :100 拠点登録拠点数 :500 拠点 MUCHO-EV とのダイアルアップ VPN 接続が可能

48 製品紹介 1VPN 対応アクセスルータ MUCHO-EV < 特長 > IPSec 準拠の VPN 対応アクセスルータ 専用線 フレームリレー ISDN アナログ回線のように さまざまな回線サービスで VPN を利用することが可能です 業界初のダイヤルアップルータによる IPSec 通信を実現しております 最大で 16 拠点と VPN 通信が可能です Web ブラウザによる簡単設定 運用が可能です ( 日本語表示 ) x.509v3 3DES は対応予定 48

49 2VPN ボックス INFONET-VP100 < 特長 > センタ拠点に最適な IPSec 準拠の VPN 専用機です WAN インタフェースを持たないため 回線種別を問いません 弊社アクセスルータ MUCHO-EV との ダイヤルアップ VPN 通信が可能です 最大で 100 拠点の VPN 同時通信が可能です ( 登録拠点は 500 まで ) Web ブラウザによる簡単設定 運用が可能です ( 日本語表示 ) x.509v3 3DES 冗長機能はサポート予定 49

50 3 ファイアウォール FortKnox F シリーズ < 特長 > アプリケーションゲートウェイ方式を採用した Box 型ファイアウォール専用機です オプションにより IPSec 準拠の VPN に対応することが可能です 弊社アクセスルータ MUCHO-EV との ダイヤルアップ VPN 通信が可能です ( オプション ) 専用のクライアントソフト ( オプション ) により モバイルでの VPN 通信が可能です Web ブラウザによる簡単設定 運用が可能です 50

51 4VPN クライアントソフト INFONET-VPN Client( 発売予定 ) < 特長 > windows95 98 NT 2000 に対応した IPSec 準拠の VPN クライアントソフトです このソフトウェアを利用することにより MUCHO-EV INFONET-VP100 との VPN 通信が可能です 操作性が良く VPN 通信と Internet アクセスを同時に利用することが可能です WindowGUI による簡単設定 運用が可能です X.509 電子認証対応 51

52 古河電工 VPN ソリューションの特長 < 特長 > 1.IPSecによるVPNネットワークを安価に構築することが可能です 2. ダイヤルアップルータを利用した VPN 通信が可能です ( 業界初 ) 3. モバイルユース向けにクライアントソフトもご用意しております 4.NATを利用したVPN 通信が可能であるため 既存 LANのアドレス体系をそのまま利用することが可能です 5. ファイアウォールを必要とする場合でも 一体型の対応製品をご用意しております 52

53 相互接続性について 日経コミュニケーション 号にて 相互接続性の検証を実施 15 製品中 第 2 位のポイントを獲得 対象製品 :MUCHO-EV 53

54 接続確認製品 VPNetテクノロジーズ VSU1010 (VPN 専用装置 ) インターネット デバイシーズ(IDI) FortKnox (VPNファイアーウオール) タイムステップ PERMIT/Gate4520 (VPN 専用装置 ) 米 IRE SafeNet/Soft-PK (VPNソフトウエア) シスコ システムズ CISCO1720 (VPNルータ) インテル VPN Gateway Plus (VPN 専用装置 ) ノーテル ネットワークス Contivity Extranet Switch (VPN 専用装置 ) ラドガード CIPm-VPN (VPNN 専用装置 ) レッドクリーク コミュニケーションズ Ravlin10 (VPN 専用装置 ) スターネット STAR-Gateware (VPN 専用装置 ) ウオッチガード テクノロジーズ FireBoxⅡ (VPNファイアーウオール) アクセント テクノロジーズ RaptorFirewall (VPNファイアーウオールソフトウエア) セキュア コンピューティング Sidewinder Security Server (VPNファイアーウオールソフトウエア) 上記結果は 専用線接続での実績になります 54

55 ICSA 認定取得 古河電工のVPNボックス INFONET-VP100 が 日本初のICSA(International Computer Security Association) 認定を取得 ICSA のサイト 55

56 古河電工社内 VPN システム VP100 をインターネット接続セグメントに配置し 外部から VPN を利用した低コストでセキュアなアクセスを提供 自宅 出張先 ( 海外含む ) から会社の サーバアクセスを提供 コスト比較 ( 例 ) 米国出張時ホテルから 30 分接続従来 : 5000 円 ( 国際電話代 ) VPN: 300 円 2000 年 4 月運用開始 56