Защита VPN (виртуальные частные сети): технология ALTELL NEO. Защита VPN (виртуальные частные сети): технология ALTELL NEO Защищенное управление маршрутизаторами

Построение виртуальных частных сетей (VPN) предполагает создание защищенных от постороннего доступа туннелей между несколькими локальными сетями или удаленными клиентами поверх другой сети с меньшим уровнем доверия (например, Интернет). Уровень доверия к построенной логической сети не зависит от уровня доверия к базовым сетям благодаря использованию средств криптографии. Для создания и обслуживания подобных туннелей необходимы специальные протоколы, программное обеспечение и оборудование. Виртуальные частные сети существенно дешевле глобальной вычислительной сети, так как не требуется платить за кабельные линии, соединяющие локальные сети.

Решения VPN реализуют следующие функции:

шифрование;
подтверждение подлинности;
идентификация;
контроль трафика.

Методы реализации VPN:

Intranet VPN используется для объединения в единую защищеенную сеть нескольких распределеенных филиалов одной организации, обменивающихся данными по открытым каналам связи.
Remote Access VPN используется для создания защищенного канала между сегментом корпоративной сети (центральным офисом или филиалом) и одиночным пользователем, который подключается удаленно.
Extranet VPN используется в сетях, к которым подключаются внешние пользователи (например, заказчики или клиенты). Уровень доверия к ним намного ниже, чем к сотрудникам компании, поэтому требуется обеспечение специальных мер защиты, предотвращающих или ограничивающих доступ к конфиденциальной информации.
Client/Server VPN используется при передаче данных между двумя узлами корпоративной сети, находящимися в одном сегменте. Такая необходимость возникает в случае, когда в одной физической сети необходимо создать несколько логических сетей. Вместо разделения трафика используется шифрование.

Компания «Альтирикс системс» является партнером лидеров рынка VPN\криптошлюзов и предлагает решения компаний Stonesoft, «Код Безопасности», «Инфотекс», S-Terra, Cisco.

StoneGate SSL VPN - возможность простого и защищенного удаленного доступа пользователей к корпоративным информационным ресурсам из любого места на базе бесклиентской технологии SSL VPN. Она идеально подходит для организаций с несколькими мобильными пользователями, осуществляющими доступ к сети из разных точек, для которых одинаково важными являются безопасное соединение и легкий доступ к сети. StoneGate SSL VPN обеспечивает пользователям - сотрудникам организации гибкий и защищенный доступ к корпоративной сети, который они могут осуществлять с любых устройств, подключенных к Интернету - ноутбуков, PDA или мобильных телефонов. Корпоративные приложения могут включать электронную почту, интранет и экстранет, приложения клиент/сервер, IP-телефонию, службы терминалов и многое другое. Ключевыми особенностями решения: поддержка до 5000 одновременных соединений; установление соединения с любого устройства вне зависимости от типа клиентского оборудования и способа подключения к сети (UMTS, WLAN); бесплатно предустановленных вместе со шлюзом более 20 методов аутентификации, включая уникальные методы аутентификации с использованием мобильного телефона; автоматическое удаление всех следов соединения при его завершении (временных файлов, кэша, скаченных документов и тд.; поддержка российских криптографических алгоритмов; интеграция с Microsoft Active Directory и MS Outlook ActiveSync; расширенная поддержка Single Sign-On (SSO)); быстрая интеграция с системами контроля доступа и конечными приложениями; встроенная поддержка приложений Outlook Web Access 2000/2003, Domino Web Access 6.5, Citrix MetaFrame Presentation Server, Terminal Server 2000/2003, MS Outlook Client 2000/2003 и др.; возможность удаленного обновления ПО; централизованное управление всеми устройствами и мониторинг в режиме реального времени; возможность резервирования и кластеризации; расширенные парольные политики; контекстный контроль сессий; гибкость установки и простота администрирования. StoneGate SSL VPN имеет сертификаты ФСТЭК России и ФСБ России.

Stonesoft FW/VPN - семейство высокопроизводительных программно-аппаратных межсетевых экранов, в основе которых лежат уникальные архитектурные решения, позволяющие обеспечить непревзойденный уровень защиты информационных систем. В StoneGate FW/VPN используется собственная интегрированная защищенная операционная система, что исключает необходимость выполнения каких-либо специализированных операций по настройке, а также позволяет наращивать функциональность StoneGate лишь за счет добавления новых компонентов без изменения работающей инфраструктуры и без остановки в работе. В StoneGate FW/VPN применены самые современные технологии анализа трафика и обеспечения отказоустойчивости. Запатентованная технология MultiLayer Inspection совмещает в себе достоинства фильтров Application proxy и Stateful Inspection, позволяя добиться большей безопасности соединений и гибкости фильтрации при отсутствии какого-либо значительного снижения скорости. При этом фильтрация трафика с отслеживанием контекста устанавливаемых соединений возможна не только на 3-4 уровнях модели OSI, но и на уровне приложений. На сегодняшний день для инспекции доступно более 20 прикладных протоколов (H.323, SIP, FTP, HTTP(S), SMTP, IMAP, POP3, SSH, NBT, MSRPC, Sun RPC, Oracle TNS и др.), что позволяет инспектировать поток по полному набору правил, осуществляя, помимо всего прочего, контентную и URL-фильтрацию, антивирусную инспекцию и т.д. Еще одной уникальной возможностью, реализованной в межсетевых экранах StoneGate FW/VPN, является поддержка запатентованной технологии MultiLink, которая позволяет обеспечить высокую степень доступности ресурсов путем использования динамической балансировки нагрузки по каналам связи. StoneGate FW/VPN имеет сертификат ФСТЭК России.

АПКШ «Континент» - семейство средств построения виртуальных частных сетей на основе глобальных сетей общего пользования, использующих протоколы семейства TCP/IP. Основные возможности: безопасный доступ пользователей VPN к ресурсам сетей общего пользования; криптографическая защита передаваемых данных в соответствии с ГОСТ 28147-89; межсетевое экранирование - защита внутренних сегментов сети от несанкционированного доступа; безопасный доступ удаленных пользователей к ресурсам VPN-сети; создание информационных подсистем с разделением доступа на физическом уровне; поддержка распространенных каналов связи; работа с высокоприоритетным трафиком; резервирование гарантированной полосы пропускания за определенными сервисами; поддержка VLAN; скрытие внутренней сети; поддержка технологий NAT/PAT; возможность интеграции с системами обнаружения атак; удаленное обновление программного обеспечения криптошлюзов. АПКШ «Континент» имеет сертификаты ФСТЭК России и ФСБ России.

ViPNet CUSTOM - cамая обширная продуктовая линейка корпоративного уровня - конструктор защищенных сетей, предлагающий решение всего спектра задач по организации VPN и PKI. Технические преимущества: ориентация на организацию защищенного взаимодействия «клиент-клиент» (в то время как большинство VPN-решений других производителей обеспечивают только соединения уровня «сервер-сервер» или «сервер-клиент»), что дает возможность реализовать любую необходимую политику разграничения доступа в рамках всей защищенной сети, а также снизить нагрузку на VPN-серверы, так как в общем случае при взаимодействии «клиент-клиент» VPN-сервер не задействован в операциях шифрования трафика между этими клиентами; большое внимание в ViPNet CUSTOM уделено решению проблемы функционирования в условиях наличия разнообразного сетевого оборудования и программного обеспечения, реализующего динамическую или статическую трансляцию адресов и портов (NAT / PAT), что существенно облегчает процесс интеграции системы защиты в существующую инфраструктуру сети; в большинстве случаев настройка ПО ViPNet Client вручную не требуется; в ViPNet CUSTOM реализована раздельная фильтрация открытого и шифруемого трафиков, что позволяет даже среди доверенных сетевых узлов ограничивать возможность работы через несанкционированные порты, протоколы и за счет этого повышать уровень безопасности защищенной сети; каждый компонент ViPNet CUSTOM содержит встроенный сетевой экран и систему контроля сетевой активности приложений или работает совместно с ПО ViPNet Client, что позволяет получить надежную распределенную систему межсетевых и персональных сетевых экранов; для разрешения возможных конфликтов IP-адресов в локальных сетях, включаемых в единую защищенную сеть, ViPNet CUSTOM предлагает развитую систему виртуальных адресов. Во многих случаях она позволяет упростить настройку прикладного ПО пользователя, так как наложенная виртуальная сеть со своими виртуальными адресами скрывает реальную сложную структуру сети. Также становится возможным решение проблем взаимодействия локальных сетей с пересекающейся IP-адресацией. ViPNet CUSTOM поддерживает возможность межсетевого взаимодействия, что позволяет устанавливать необходимые защищенные каналы связи между произвольным числом защищенных сетей, построенных с использованием ViPNet CUSTOM. ViPNet CUSTOM обеспечивает защиту информации в современных мультисервисных сетях связи, предоставляющих услуги IP-телефонии и аудио- и видео-конференц-связи. Поддерживается приоритезация трафика и протоколы H.323, Skinny, SIP. ПО ViPNet Coordinator поддерживает работу на современных многопроцессорных и многоядерных серверных платформах, что позволяет обеспечивать высокую скорость шифрования трафика. ViPNet CUSTOM имеет сертификаты ФСТЭК России и ФСБ России.

Cisco VPN - семейство продуктов, которые предлагают весь спектр технологий VPN уровней 2 и 3, рассчитанных на инфраструктуры IP и MPLS. На уровне 2 Cisco VPN решает задачи дифференцирования пакетных инфраструктур провайдеров услуг с помощью двух различных туннельных протоколов уровня 2: Cisco AToM для опорных сетей MPLS и Layer 2 Tunneling Protocol версии 3 (L2TPv3) для опорных сетей IP. Оба названных протокола обеспечивают высокоскоростные соединения уровня 2 между любыми двумя узлами и поддерживают технологии подключения уровня 2 (т.е. Frame Relay, Ethernet, HDLC и ATM). Кроме того, сети VPN уровня 2 поддерживают новые мультиточечные технологии, например, услуги виртуальных частных локальных сетей (Virtual Private LAN). Для уровня 3 Cisco предлагает такие технологии VPN, как Cisco IPsec, GRE и MPLS/BGP VPN. Названные технологии поддерживают транспортировку пакетов IP в качестве компонента решения VPN поверх опорной сети IP/MPLS. Они действуют на уровне IP, обеспечивая интеллектуальный уровень для управления трафиком заказчика и комплексной маршрутизации. Технологии Cisco VPN предлагают заказчикам следующие преимущества: одна сеть; любые средства доступа; наличие полного набора протоколов, платформ и средств создания и настройки услуг; снижение стоимости владения; гибкость, масштабируемость и услуги, необходимые как провайдерам, так и крупным корпоративным клиентам.

S-Terra CSP VPN - семейство продуктов - шлюзов безопасности для защиты индивидуальных пользователей, серверов, отдельных сетей и специализированных устройств. Основные характеристики: обеспечение защиты трафика на уровне аутентификации/шифрования сетевых пакетов по протоколам IPsec AH и/или IPsec ESP; обеспечение пакетной фильтрации трафика с использованием информации в полях заголовков сетевого и транспортного уровней; различные наборы правил обработки трафика на различных интерфейсах; интеллектуальное отслеживание доступности партнеров обмена (DPD); интегрированный межсетевой экран; поддержка работы мобильного пользователя в соответствии с политикой безопасности внутрикорпоративной сети (IKECFG-сервер); возможность получения сертификатов открытых ключей по протоколу LDAP; поддержка маскировки реального IP адреса (туннелирование трафика); управляемое событийное протоколирование (syslog); мониторинг глобальной статистики по протоколу SNMP, совместимость с CiscoWorks VPN Monitor; прозрачность для работы сервиса QoS; поддержка инкапсуляции пакета ESP в UDP (NAT traversal); совместимость с PKI- и LDAP-службами зарубежных и российских производителей. S-Terra CSP VPN имеет сертификаты ФСТЭК России и ФСБ России.

Эксперты компании «Альтирикс системс» помогут подобрать и внедрить решение, которое с максимальной эффективностью и минимальными затратами справится с поставленными задачами.

Если Вы хотите получить более подробную информацию о предлагаемых продуктах, решениях и услугах, напишите нам письмо на info@сайт, и не позднее чем через 24 часа с Вами обязательно свяжется наш сотрудник.

Криптошлюз

Криптошлюз (криптографический шлюз, vpn-шлюз, криптомаршрутизатор) - аппаратно-программный комплекс криптографической защиты трафика данных, голоса, видео на основе шифрования пакетов по протоколам IPsec AH и/или IPsec ESP при установлении соединения, соответствующий требованиям к средствам криптографической защиты информации (СКЗИ ) ФСБ России и обеспечивающий базовую функциональность современного VPN -устройства.

Назначение

Криптошлюз предназначен для обеспечения информационной безопасности организации, защиты её информационных сетей от вторжения со стороны сетей передачи данных (Интернет), обеспечения конфиденциальности при передаче информации по открытым каналам связи (VPN), а также организации безопасного доступа пользователей к ресурсам сетей общего пользования.

Криптошлюз обеспечивает базовую функциональность современного VPN-устройства:

конфиденциальность и целостность потока IP-пакетов;
маскировку топологии сети за счет инкапсуляции трафика в защищенный туннель;
прозрачность для NAT ;
аутентификацию узлов сети и пользователей;
унификацию политики безопасности для мобильных и «внутренних» пользователей (динамическое конфигурирование корпоративных IP-адресов для удаленных пользователей «внутри VPN»).

Криптошлюзы представлены как в сегменте VPN устройств, так и в сегменте унифицированных устройств (UTM) объединяющих несколько средств безопасности в одном.

Отличие криптошлюзов от обычных VPN маршрутизаторов заключается в том, что они работают на основе протокола IPSec и обеспечивают защиту информации, передаваемой по каналам связи, используя алгоритмы, которые отвечают требованиям российских криптографических стандартов (ГОСТ 28147-89 и ГОСТ Р 34.10-2001) .

Доступ к ресурсам информационной системы

Криптошлюзы позволяют осуществить защищенный доступ удаленных абонентов к ресурсам корпоративной информационной системы. Доступ производится с использованием специального программного обеспечения, установленным на компьютере пользователя (VPN-клиент) для осуществления защищенного взаимодействия удаленных и мобильных пользователей с криптошлюзом.

Программное обеспечение криптошлюза (сервер доступа) проводит идентификацию и аутентификацию пользователя и осуществляет его связь с ресурсами защищаемой сети. С помощью криптошлюзов формируют виртуальные защищенные каналы в сетях общего пользования (например, Internet), которые гарантируют конфиденциальность и достоверность информации, и организовывать виртуальные частные сети (Virtual Private Network – VPN), представляющие собой объединение локальных сетей или отдельных компьютеров, подключенных к сети общего пользования в единую защищенную виртуальную сеть. Для управления такой сетью обычно используется специальное программное обеспечение (центр управления), которое обеспечивает централизованное управление локальными политиками безопасности VPN-клиентов и криптошлюзов, рассылает для них ключевую информацию и новые конфигурационные данные, обеспечивает ведение системных журналов.

Примечания

Литература

Жданов, О. Н., Золотарев, В. В. Методы и средства криптографической защиты информации: Учебное пособие . - Красноярск: СибГАУ, 2007. - 217 с.

Ссылки

Объединение локальных сетей офисов и удаленных филиалов . logic-soft. Архивировано
Компоненты АПКШ «Континент» 3.5 . Компания «Код Безопасности». Архивировано из первоисточника 25 мая 2012. Проверено 28 февраля 2012.
Константин Кузовкин Удаленный доступ к информационным ресурсам. Защита информации, передаваемой по каналам связи . i-teco. Архивировано из первоисточника 25 мая 2012. Проверено 28 февраля 2012.

Wikimedia Foundation . 2010 .

Смотреть что такое "Криптошлюз" в других словарях:

криптошлюз - КШ криптошлюз криптографический шлюз …

Запрос «Software» перенаправляется сюда. Cм. также другие значения. Программное обеспечение (произношение обеспечение не рекомендуется, точнее, не рекомендовалось) наряду с аппаратными средствами, важнейшая составляющая информационных … Википедия

КШ - координационный штаб Словарь: Словарь сокращений и аббревиатур армии и спецслужб. Сост. А. А. Щелоков. М.: ООО «Издательство АСТ», ЗАО «Издательский дом Гелеос», 2003. 318 с. КШ кран на шасси Словарь: С. Фадеев. Словарь сокращений современного… … Словарь сокращений и аббревиатур

Возможности

Комплекс обеспечивает криптографическую защиту информации (в соответствии с ГОСТ 28147-89), передаваемой по открытым каналам связи, между составными частями VPN, которыми могут являться локальные вычислительные сети, их сегменты и отдельные компьютеры.

Современная ключевая схема, реализуя шифрование каждого пакета на уникальном ключе, обеспечивает гарантированную защиту от возможности дешифрации перехваченных данных.

Для защиты от проникновения со стороны сетей общего пользования комплекс «Континент» 3.6 обеспечивает фильтрацию принимаемых и передаваемых пакетов по различным критериям (адресам отправителя и получателя, протоколам, номерам портов, дополнительным полям пакетов и т.д.). Осуществляет поддержку VoIP, видеоконференций, ADSL, Dial-Up и спутниковых каналов связи, технологии NAT/PAT для сокрытия структуры сети.

Ключевые возможности и характеристики АПКШ «Континент» 3.6

Эффективная защита корпоративных сетей

Безопасный доступ пользователей VPN к ресурсам сетей общего пользования
Криптографическая защита передаваемых данных в соответствии с ГОСТ 28147–89

В АПКШ «Континент» 3.6 применяется современная ключевая схема, реализующая шифрование каждого пакета на уникальном ключе. Это обеспечивает высокую степень защиты данных от расшифровки в случае их перехвата.

Шифрование данных производится в соответствии с ГОСТ 28147–89 в режиме гаммирования с обратной связью. Защита данных от искажения осуществляется по ГОСТ 28147–89 в режиме имитовставки.

Управление криптографическими ключами ведется централизованно из ЦУС.

Межсетевое экранирование – защита внутренних сегментов сети от несанкционированного доступа

Криптошлюз «Континент» 3.6 обеспечивает фильтрацию принимаемых и передаваемых пакетов по различным критериям (адресам отправителя и получателя, протоколам, номерам портов, дополнительным полям пакетов и т.д.). Это позволяет защитить внутренние сегменты сети от проникновения из сетей общего пользования.

Безопасный доступ удаленных пользователей к ресурсам VPN-сети

Специальное программное обеспечение «Континент АП», входящее в состав АПКШ «Континент» 3.6, позволяет организовать защищенный доступ с удаленных компьютеров к корпоративной VPN-сети.

Создание информационных подсистем с разделением доступа на физическом уровне

В АПКШ «Континент» 3.6 можно подключать 1 внешний и 3–9 внутренних интерфейсов на каждом криптошлюзе. Это значительно расширяет возможности пользователя при настройке сети в соответствии с корпоративной политикой безопасности. В частности, наличие нескольких внутренних интерфейсов позволяет разделять на уровне сетевых карт подсети отделов организации и устанавливать необходимую степень взаимодействия между ними.

Основные характеристики и возможности

Поддержка распространенных каналов связи

Работа через Dial-Up соединения, оборудование ADSL, подключенное непосредственно к криптошлюзу, а также через спутниковые каналы связи.

«Прозрачность» для любых приложений и сетевых сервисов

Криптошлюзы «Континент» 3.6 «прозрачны» для любых приложений и сетевых сервисов, работающих по протоколу TCP/IP, включая такие мультимедиа-сервисы, как IP-телефония и видеоконференции.

Работа с высокоприоритетным трафиком

Реализованный в АПКШ «Континент» 3.6 механизм приоритезации трафика позволяет защищать голосовой (VoIP) трафик и видеоконференции без потери качества связи.

Резервирование гарантированной полосы пропускания за определенными сервисами

Резервирование гарантированной полосы пропускания за определенными сервисами обеспечивает прохождение трафика электронной почты, систем документооборота и т.д. даже при активном использовании IP-телефонии на низкоскоростных каналах связи.

Поддержка VLAN

Поддержка VLAN гарантирует простое встраивание АПКШ в сетевую инфраструктуру, разбитую на виртуальные сегменты.

Скрытие внутренней сети. Поддержка технологий NAT/PAT

Поддержка технологии NAT/PAT позволяет скрывать внутреннюю структуру защищаемых сегментов сети при передаче открытого трафика, а так же организовывать демилитаризованные зоны и сегментировать защищаемые сети.

Скрытие внутренней структуры защищаемых сегментов корпоративной сети осуществляется:

методом инкапсуляции передаваемых пакетов (при шифровании трафика);
при помощи технологии трансляции сетевых адресов (NAT) при работе с общедоступными ресурсами.

Возможность интеграции с системами обнаружения атак

На каждом криптошлюзе существует возможность специально выделить один из интерфейсов для проверки трафика, проходящего через КШ, на наличие попыток неавторизованного доступа (сетевых атак). Для этого необходимо определить такой интерфейс как «SPAN-порт» и подключить к нему компьютер с установленной системой обнаружения атак (например, RealSecure). После этого на данный интерфейс начинают ретранслироваться все пакеты, поступающие на вход пакетного фильтра криптошлюза.

Обслуживание и управление

Удобство и простота обслуживания (необслуживаемый режим 24*7)

АПКШ «Континент» 3.6 не требует постоянного локального администрирования и может работать в необслуживаемом режиме 24*7х365. Промышленные компьютеры, используемые в производстве комплекса, в совокупности с возможностью горячего и холодного резервирования гарантируют бесперебойную работу комплекса.

Комплекс осуществляет оперативное оповещение администраторов о событиях, требующих оперативного вмешательства, в режиме реального времени.

Удаленное обновление ПО криптошлюзов

В комплексе решена проблема обновления программного обеспечения КШ в территориально-распределенных системах. Обновление ПО загружается в комплекс централизованно, рассылается на все криптошлюзы, входящие в состав комплекса, и автоматически устанавливается.

Обеспечение отказоустойчивости

Отказоустойчивость Комплекса обеспечивается следующими мерами:

Аппаратное резервирование криптографических шлюзов (создание кластера высокого доступа). В случае выхода из строя одного из криптошлюзов переключение на резервный производится автоматически без вмешательства администратора и без разрыва установленных соединений.
Автоматическое резервное копирование конфигурационных файлов комплекса. Обеспечивает быстрое восстановление работы сети в случае выхода аппаратуры из строя.

Централизованное управление сетью

Централизованное управление сетью осуществляется при помощи ЦУС и программы управления, которая позволяет в диалоговом режиме изменять настройки всех криптошлюзов сети и вести оперативный мониторинг их текущего состояния.

Отображение состояния всех устройств на рабочем месте администратора в масштабе реального времени позволяет своевременно выявлять отклонения от нормального процесса функционирования и оперативно на них реагировать.

Ролевое управление – разделения полномочий на администрирование комплекса

Реализована возможность разделения полномочий на администрирование комплекса, например, на управление ключевой информацией, на назначение прав доступа к защищаемым ресурсам, на добавление новых компонент, на аудит действий пользователей (в том числе и других администраторов).

Взаимодействие с системами управления сетью

Позволяет контролировать состояние АПКШ «Континент» 3.6 по протоколу SNMPv2 из систем глобального управления сетью (Hewlett-Packard, Cisco и др.).

В статье кратко описываются тенденции мирового рынка VPN, рассматриваются популярные криптошлюзы, представленные на российском рынке, приводятся их ключевые особенности.

Введение

Криптографический шлюз (криптошлюз, криптомаршрутизатор, VPN-шлюз) - программно-аппаратный комплекс для криптографической защиты трафика, передаваемого по каналам связи, путем шифрования пакетов по различным протоколам.

Криптошлюз предназначен для обеспечения информационной безопасности организации при передаче данных по открытым каналам связи.

Криптошлюзы, представленные на современном рынке, обеспечивают следующие базовые функции:

прозрачность для NAT;
сокрытие топологии сети за счет инкапсуляции трафика в шифрованный туннель;
обеспечение целостности и конфиденциальности IP-пакетов;
аутентификация узлов защищенной сети и пользователей.

Предприятия различного масштаба, государственные учреждения, частные компании - основные категории потребителей криптошлюзов.

На сегодняшний день функциональность VPN-шлюза является составной частью практически любого сетевого устройства, будь то маршрутизатор корпоративного уровня, домашний Wi-Fi-роутер или межсетевой экран. С учетом данной специфики ниже будут рассмотрены ключевые представители российского рынка, использующие алгоритм шифрования ГОСТ, а также несколько зарубежных примеров в качестве альтернативы.

Отдельной строкой отметим присутствие на рынке решений для защищенного удаленного доступа на базе протокола TLS (TLS-шлюзы) как российских, так и иностранных производителей. В рамках этого обзора они не рассматриваются.

Мировой рынок криптошлюзов

Непрерывность бизнеса для любой территориально распределенной компании всегда связана с обеспечением защиты передаваемой информации. Уже долгое время эту задачу решают различные VPN-устройства. Они заметно отличаются по своей реализации: это могут быть специализированные решения, решения на базе программно-аппаратных комплексов, таких как межсетевые экраны/маршрутизаторы, или полностью программные комплексы.

Подобные продукты на мировом рынке применяют компании из разных сфер деятельности: здравоохранение, промышленные предприятия, транспортные компании, государственные учреждения и многие другие.

В большинстве случаев заказчику необходимо решить одну или несколько из перечисленных задач:

защита распределенной корпоративной сети в различных топологиях;
подключение удаленных пользователей к корпоративной сети (в том числе с мобильных устройств);
защита канального уровня.

На мировом рынке прочно обосновался SSL VPN, что подтверждается исследованиями Alliedmarketresearch . По их данным, глобальный рынок SSL VPN в 2016 году составлял более 3 млрд долларов США. Прогнозируемый рост к 2023 году - до 5,3 млрд.

Среди ключевых игроков на мировом рынке лидерские позиции занимают Cisco Systems, Citrix Systems, Pulse Secure, F5 Networks.

Рисунок 1 наглядно демонстрирует ключевые сегменты роста глобального рынка SSL VPN:

режим тонкого клиента;
режим полного туннелирования;
режим без клиента.

Российский рынок криптошлюзов

В России основными потребителями криптошлюзов являются государственные учреждения, а также организации, являющиеся операторами персональных данных. На территории нашей страны действуют несколько нормативных актов, определяющих критерии, по которым средства защиты информации могут использоваться для решения тех или иных задач.

К таким документам можно отнести следующие:

Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных».
Постановление Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных».
Приказ ФСТЭК России от 11 февраля 2013 г. № 17 «Об утверждении требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах».
Приказ ФСТЭК России от 18 февраля 2013 г. № 21 «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных».
Положение о разработке, производстве, реализации и эксплуатации шифровальных (криптографических) средств защиты информации (Положение ПКЗ-2005).

Одним из основных требований, предъявляемых к криптошлюзам, является наличие действующих сертификатов соответствия регуляторов рынка - ФСБ России и ФСТЭК России. Сертификат ФСБ России на соответствие требованиям к шифровальным (криптографическим) средствам выдается только в том случае, если криптошлюз реализован с использованием отечественных алгоритмов шифрования по ГОСТ 28147-89.

Зарубежные производители крайне редко поддерживают шифрование по ГОСТ и получают такие сертификаты соответствия на свои решения, чем активно пользуются российские компании-вендоры средств криптографической защиты информации (СКЗИ).

Отдельно необходимо отметить тренд, связанный с кибербезопасностью автоматизированных систем управления технологическими процессами (АСУ ТП). Сегодня некоторые производители СКЗИ предлагают рынку криптошлюзы в защищенном исполнении, отвечающие требованиям по пылевлагозащищенности и специальным температурным диапазонам. Появились и нормативные акты, формирующие требования к защите информации в подобных системах:

Федеральный закон от 26.07.2017 № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации».
Приказ ФСТЭК России от 14 марта 2014 г. № 31 «Об утверждении требований к обеспечению защиты информации в автоматизированных системах управления производственными и технологическими процессами на критически важных объектах, потенциально опасных объектах, а также объектах, представляющих повышенную опасность для жизни и здоровья людей и окружающей природной среды».

Это позволяет говорить о серьезной перспективе данного направления для производителей СКЗИ в части развития своих продуктов.

Рассмотрим особенности некоторых российских и зарубежных криптошлюзов подробнее.

Российские криптошлюзы

Атликс-VPN («НТЦ Атлас»)

Программно-аппаратный комплекс (ПАК) «Атликс-VPN» - продукт российской компании «НТЦ Атлас». ПАК разработан для обеспечения создания и взаимодействия виртуальных частных сетей (VPN) на основе протокола IPsec и стандарта X.509 с использованием российских криптографических алгоритмов.

В качестве поддерживаемых стандартов заявлены ГОСТ 28147-89, ГОСТ Р 34.11-94, ГОСТ Р 34.10-2001.

Отличительной особенностью является способ ввода ключевой информации, необходимой для реализации его функций. Для этого используется «Российская интеллектуальная карта» (РИК) - микропроцессорная карта, разработанная «НТЦ Атлас», ЗАО «Программные системы и технологии», ОАО «Ангстрэм». Карта выполнена на основе отечественного микропроцессора производства ОАО «Ангстрэм».

С аппаратной точки зрения «Атликс-VPN» функционирует на базе сервера специализированной, фиксированной платформы. ПАК обеспечивает относительно небольшую по меркам сегодняшнего дня производительность по шифрованию - 85 Мбит/с. Такая скорость и тип аппаратной платформы обусловлены высоким классом защищенности по требованиям ФСБ России, который обеспечивает ПАК, - КВ2.

Рисунок 2. ПАК «Атликс- VPN»

«Атликс-VPN» имеет следующие действующие сертификаты соответствия:

ФСБ России №СФ/124-2958, подтверждающий, что ПАК соответствует требованиям к шифровальным (криптографическим) средствам класса КВ2 и может использоваться для криптографической защиты (шифрование и имитозащита IP-трафика) информации, не содержащей сведений, составляющих государственную тайну;
ФСТЭК России №1864, подтверждающий, что ПАК соответствует требованиям руководящего документа «Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации» - по 4 классу защищенности.

Подробнее с информацией о ПАК «Атликс-VPN» можно ознакомиться на сайте производителя .

ЗАСТАВА (ЭЛВИС-ПЛЮС)

Программно-аппаратные комплексы ЗАСТАВА - разработка российской компании ЭЛВИС-ПЛЮС. ПАК обеспечивает защиту корпоративных информационных систем на сетевом уровне с помощью технологий виртуальных защищенных сетей (VPN) на базе протоколов IPsec/IKE. ЗАСТАВА представляет собой не только VPN-шлюз с поддержкой отечественных криптографических алгоритмов, но и межсетевой экран. ЗАСТАВА является единственным российским продуктом, реализующим текущую версию протокола IKE (IKEv2). Большинство российских вендоров использует протокол IKEv1, который более 10 лет назад официально признан в IETF устаревшим в том числе по причине наличия проблем с безопасностью. По сравнению с ним протокол IKEv2 обладает большей стойкостью к атакам отказа в обслуживании, большей устойчивостью к сетевым проблемам, большей гибкостью в использовании. Протокол IKEv2 в настоящее время продолжает активно развиваться в IETF, включая такие передовые направления в криптографии как, например, защита данных от квантовых компьютеров или использование принципа proof-of-work для противодействия DoS-атакам. ЭЛВИС-ПЛЮС принимает активное участие в этих работах и оперативно добавляет поддержку новых возможностей протокола в ПАК ЗАСТАВА.

ЗАСТАВА состоит из трех отдельных компонентов:

ЗАСТАВА-Клиент реализует функциональность клиента удаленного доступа по VPN;
ЗАСТАВА-Офис реализует функции VPN-шлюза и межсетевого экрана;
ЗАСТАВА-Управление выполняет функции Центра управления политиками безопасности для унифицированного управления сетевой безопасностью.

Отличительные особенности:

использование внешних криптографических модулей, реализующих отечественные стандарты ГОСТ Р 34.10-2001, ГОСТ Р 34.10-2012, ГОСТ Р 34.11-2012, ГОСТ 28147-89, в частности, СКЗИ «КриптоПро CSP»;
поддержка не только отечественных криптографических алгоритмов, но и зарубежных - RSA, DH, ECDH, DES, 3DES, AES, SHA1, SHA2;
аутентификация партнеров с использованием X.509-сертификатов;
поддержка централизованного управления ПАК посредством продукта ЗАСТАВА-Управление;
реализация функциональности отказоустойчивого кластера, работающего в режиме «активный/пассивный»;
в зависимости от аппаратной платформы производительность по шифрованию может варьироваться от 40 Мбит/с до 4 Гбит/с;
для обеспечения шифрования канала связи от клиентских рабочих мест до ПАК используется собственная разработка - продукт ЗАСТАВА-Клиент.

ЗАСТАВА имеет несколько действующих сертификатов соответствия требованиям ФСБ России и ФСТЭК России, в частности:

ФСБ России №СФ/114-3067, подтверждающий соответствие требованиям к средствам криптографической защиты информации, не содержащей сведений, составляющих государственную тайну, класса КС3; может использоваться для криптографической защиты (шифрование IP-пакетов на базе протокола IPsec ESP, вычисление хэш-функции для IP-пакетов на базе протокола IPsec AH и/или протокола IPsec ESP, криптографическая аутентификация абонентов при установлении соединения на базе протокола IKE v1 или протокола IKE v2) информации, не содержащей сведений, составляющих государственную тайну;
ФСТЭК России №2573, удостоверяющий, что ПАК соответствует требованиям руководящего документа «Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации» по 2 классу защищенности.

Подробнее с информацией о ПАК ЗАСТАВА можно ознакомиться на сайте производителя .

«Континент» («Код Безопасности»)

Аппаратно-программный комплекс шифрования «Континент» (АПКШ) - криптографический шлюз производства российской компании «Код Безопасности». АПКШ обеспечивает межсетевое экранирование и криптографическую защиту открытых каналов связи в соответствии с ГОСТ 28147-89.

АПКШ позволяет обеспечить защиту сетевого трафика в мультисервисных сетях, разделить сегменты сети, организовать защищенный удаленный доступ к локальной сети, реализовать межсетевое взаимодействие с другими защищенными сетями (построенными на базе данного продукта). АПКШ функционирует на базе FreeBSD.

АПКШ обладает следующими особенностями:

поддерживает централизованное управление и мониторинг с помощью продукта «Центр управления сетью «Континент»;
аппаратное резервирование АПКШ в целях реализации отказоустойчивой конфигурации;
в модельном ряду АПКШ представлено исполнение для защиты информации в индустриальных системах;
широкий модельный ряд с поддержкой скоростей шифрования от 10 Мбит/с до 3.5 Гбит/с при использовании standalone-решения (до 10 Гбит/с - при распределении шифрованного трафика между фермой из АПКШ);
поддержка прозрачного объединения сетей на канальном уровне (L2 VPN);
фильтрация трафика на уровне сетевых приложений (DPI);
фильтрация команд протоколов HTTP, FTP;
URL-фильтрация на основе статических списков и регулярных выражений;
шлюзы средней и высокой производительности (от IPC-400 и выше) реализованы в форм-факторе 2U;
в состав модельного ряда АПКШ входят платформы, имеющие в своем составе до 34 интерфейсов GbE, в том числе до 4 оптических 10 Gb SFP+, до 32 оптических 1 Gb SFP;
в качестве VPN-клиента используется программный продукт «Континент-АП».

Рисунок 3. АПКШ «Континент» IPC -3034

Необходимо отметить, что АПКШ поставляется со встроенным средством защиты от НСД - программно-аппаратным комплексом «Соболь». Также на уровне формуляра АПКШ и руководства администратора имеется ограничение на максимальное количество криптошлюзов в сети с одним «Центром управления сетью «Континент».

АПКШ входит в реестр отечественного ПО (№310) и имеет ряд действующих сертификатов соответствия, среди которых:

ФСБ России №СФ/124-2617, подтверждающий соответствие требованиям к шифровальным (криптографическим) средствам класса КС3 и может использоваться для криптографической защиты (создание и управление ключевой информацией, шифрование и имитозащита данных, передаваемых в IP-пакетах по общим сетям передачи данных) информации, не содержащей сведений, составляющих государственную тайну;
ФСТЭК России №3008, подтверждающий соответствие требованиям к межсетевым экранам тип «А» (ИТ.МЭ.А3.ПЗ) и средствам обнаружения вторжения уровня сети (ИТ.СОВ.С3.ПЗ) по 3 классу (на сайте производителя документ к просмотру недоступен, предоставляется по запросу).

Подробнее с информацией об АПКШ «Континент» можно ознакомиться на сайте производителя .

ФПСУ-IP (АМИКОН, «ИнфоКрипт»)

Программно-аппаратный комплекс «Фильтр пакетов сетевого уровня - Internet Protocol» (ФПСУ-IP) производства российской компании АМИКОН при участии «ИнфоКрипт». ПАК представляет собой межсетевой экран и средство построения виртуальных частных сетей (VPN).

ФПСУ-IP поддерживает отечественные стандарты ГОСТ 28147-89, ГОСТ Р 34.10-2012, ГОСТ Р 34.11-2012, реализованные с использованием СКЗИ «Туннель 2.0» производства «ИнфоКрипт» (в части криптографии). ПАК функционирует на базе Linux.

ФПСУ-IP обладает следующими особенностями:

поддерживает возможность работы в режиме «горячего» резервирования (предлагается производителем как опция);
реализуется на базе различных аппаратных платформ типоразмеров как 1U, так и 2U;
использует собственный VPN-протокол;
в качестве удаленного клиентского компонента используется ПО «ФПСУ-IP/Клиент» (активация возможности взаимодействия с клиентским программным обеспечением на ПАК предлагается производителем как опция);
модельный ряд обеспечивает скорость шифрования данных от 10 Мбит/с до 12 Гбит/с (при размере IP-пакета 1450 байт и 56 вычислительных потоках).

Рисунок 4. Шлюз ФПСУ-IP

ФПСУ-IP представляет собой решение на базе различных аппаратных платформ и программного обеспечения со встроенным сертифицированным СКЗИ.

Встроенное СКЗИ имеет действующий сертификат ФСБ России №СФ/124-3060 и соответствует требованиям к средствам криптографической защиты информации, предназначенным для защиты информации, не содержащей сведений, составляющих государственную тайну, классов КС1, КС2, КС3.

Подробнее с информацией о ФПСУ-IP можно ознакомиться на сайте производителя .

ALTELL NEO («АльтЭль»)

Программно-аппаратный комплекс ATLELL NEO производства компании «АльтЭль».

Ключевой функциональностью является межсетевое экранирование в сочетании с возможностями построения защищенных каналов связи. Также ALTELL NEO позиционируется как UTM-решение (Unified Threat Management), сочетающее в себе не только возможности межсетевого экрана, VPN-шлюза, но и средства обнаружения и предотвращения вторжений, контент-фильтрации и защиты от вредоносных программ.

Продукт представляет собой аппаратную платформу в сочетании со встроенным сертифицированным программным обеспечением. В качестве протоколов шифрования с использованием ГОСТ 28147-89 поддерживаются IPsec, OpenVPN.

Предлагаемые производителем платформы, за исключением младших (100 и 110), могут функционировать с использованием одной из трех версий ПО: FW (межсетевой экран), VPN (криптошлюз), UTM. Каждый последующий вариант программного обеспечения включает в себя функциональность предыдущих.

ALTELL NEO обладает следующими особенностями:

широкий модельный ряд аппаратных платформ различной конфигурации;
аппаратная платформа Enterprise-класса (модель 340, форм-фактор 2U) обладает повышенной плотностью сетевых интерфейсов (до 65 портов RJ45 GbE/до 64 портов SFP GbE/до 16 портов SFP+ 10 GbE);
производительность по шифрованию (в зависимости от аппаратной платформы) при использовании алгоритма IPsec составляет от 18 Мбит/с до 2,4 Гбит/с, OpenVPN - от 14 Мбит/с до 1,4 Гбит/с.

Рисунок 5. Шлюз ALTELL NEO 340

Используемое в составе решения программное обеспечение входит в реестр отечественного ПО (№3768) и имеет следующие сертификаты соответствия:

ФСБ России №СФ/СЗИ-0074, подтверждающий выполнение требований к межсетевым экранам 4 класса защищенности и то, что ПО может использоваться для защиты информации от несанкционированного доступа в информационных и телекоммуникационных системах органов государственной власти Российской Федерации;
ФСТЭК России №2726, удостоверяющий, что ПО соответствует требованиям руководящего документа «Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации» - по 2 классу защищенности.

Необходимо отметить, что на момент публикации обзора в открытых источниках не удалось обнаружить действующий сертификат ФСБ России на соответствие требованиям к шифровальным (криптографическим) средствам классов КС1/КС2/КС3.

Подробнее с информацией об ALTELL NEO можно ознакомиться на сайте производителя .

С-Терра Шлюз 4.1 («С-Терра СиЭсПи»)

Продукт С-Терра Шлюз производства российской компании «С-Терра СиЭсПи» представляет собой программный комплекс (далее - ПК) на базе различных аппаратных платформ.

СС-Терра Шлюз 4.1 обеспечивает шифрование по ГОСТ 28147-89 и имитозащиту передаваемого по открытым каналам связи трафика с использованием протокола IPsec. Помимо VPN, продукт обладает функциональностью межсетевого экрана. В качестве операционной системы используется Debian.

Криптографические функции в ПК реализуются криптобиблиотекой собственной разработки - С-Терра ST, которая совместима с СКЗИ «КриптоПро CSP».

С-Терра Шлюз 4.1 обладает следующими основными особенностями:

поддерживает централизованное удаленное управление посредством системы «С-Терра КП»;
производительность решения по шифрованию от 60 Мбит/с до 2,5 Гбит/с, в зависимости от модели шлюза и аппаратной платформы;
возможно исполнение в виде виртуальной машины (С-Терра Виртуальный Шлюз);
возможна установка ПК С-Терра Шлюз на АП заказчика;
производитель предлагает решение для защиты канала связи 10 Гбит/с на уровне L2, посредством размещения в двух ЦОД по 4 пары шлюзов модели 7000 High End с программным модулем С-Терра L2 и двух пар коммутаторов (с учетом того, что в защищаемом канале связи трафик преимущественно TCP, IP-телефония отсутствует).

Рисунок 6. С-Терра Шлюз 1000

С-Терра Шлюз 4.1 сертифицирован ФСБ России в качестве СКЗИ по классам КС1, КС2, КС3 и в качестве МЭ 4 класса, а также ФСТЭК России как межсетевой экран 3 класса (МЭ 3). В числе сертификатов:

ФСБ России №СФ/124-2517, подтверждающий выполнение требований к шифровальным (криптографическим) средствам класса КС3;

ФСБ России №СФ/525-2663, подтверждающий выполнение требований к межсетевым экранам 4 класса защищенности;

ФСТЭК России № 3370, удостоверяющий, что С-Терра Шлюз соответствует требованиям руководящего документа «Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации» - по 3 классу защищенности.

Подробнее с информацией об «С-Терра Шлюз» можно ознакомиться на сайте производителя .

Diamond VPN (ТСС)

Программно-аппаратный комплекс Diamond VPN/FW производства компании ТСС представляет собой производительное UTM-решение, сочетающее в себе функции межсетевого экрана, VPN-шлюза, системы обнаружения вторжений (IDS).

ПАК обеспечивает шифрование ГОСТ 28147-89 по протоколу DTLS.

Основными особенностями являются:

поддержка создания отказоустойчивой конфигурации в режиме «активный/пассивный»;
наличие исполнения (модель 7141), обеспечивающего высокую производительность (шифрование со скоростью до 16 Гбит/с, межсетевое экранирование - до 40 Гбит/с);
высокая плотность портов в максимальной аппаратной конфигурации (до 32 портов RJ45 GbE/до 32 портов GbE SFP/до 16 портов 10G SFP+);
наличие криптошлюза в индустриальном исполнении (модель Diamond VPN/FW Industrial) для защиты информации в АСУ ТП.

Рисунок 7. ПАК Diamond VPN/FW

ПАК входит в реестр отечественного ПО (№1425) и обладает действующим сертификатом ФСТЭК России №2260, подтверждающим соответствие требованиям руководящего документа «Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации» - по 2 классу защищенности.

Необходимо отметить, что действующим сертификатом ФСБ России №124-2702 на соответствие требованиям к шифровальным (криптографическим) средствам класса КС1 и КС2 (в зависимости от вариантов исполнения) обладает СКЗИ Dcrypt 1.0, реализующее функции шифрования и ЭП в составе ПАК.

Подробнее с информацией о Diamond VPN/FW можно ознакомиться на сайте производителя .

Dionis-NX («Фактор-ТС»)

Программно-аппаратный комплекс Dionis-NX является разработкой российской компании «Фактор-ТС». ПАК является UTM-устройством, которое может использоваться как межсетевой экран, криптомаршрутизатор, система обнаружения и предотвращения вторжений.

ПАК позволяет строить VPN-туннели по ГОСТ 28147-89 посредством использования протоколов GRE, PPTP, OpenVPN.

Обладает следующими отличительными особенностями:

производитель предлагает пять вариантов аппаратных платформ, обеспечивающих скорость шифрования от 100 Мбит/с до 10 Гбит/с;
поддержка кластерного исполнения в отказоустойчивой конфигурации (режим «активный/пассивный»);
поддержка взаимодействия с программным обеспечением «Дисек», реализующим функциональность VPN-клиента.

Dionis-NX входит в реестр отечественного ПО (№2772) и обладает действующим сертификатом ФСТЭК России №2852, подтверждающим соответствие требованиям руководящего документа «Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации» - по 2 классу защищенности.

Необходимо отметить, что действующим сертификатом ФСБ России №124-2625 на соответствие требованиям к шифровальным (криптографическим) средствам класса КС1 и КС3 (в зависимости от вариантов исполнения) обладает СКЗИ DioNIS-NX, реализующее функции шифрования в составе ПАК.

Подробнее с информацией о «Dionis-NX» можно ознакомиться на сайте производителя .

ViPNet Coordinator HW («ИнфоТеКС»)

Программно-аппаратный комплекс ViPNet Coordinator HW разработан российской компанией «ИнфоТеКС» и представляет собой сертифицированный криптошлюз и межсетевой экран.

ViPNet Coordinator HW обеспечивает защиту - шифрование данных, передаваемых по различным каналам связи с помощью построения VPN (как на сетевом, так и на канальном уровнях модели OSI - L3, L2 VPN) по ГОСТ 28147-89. ПАК позволяет организовать защищенный доступ как в ЦОД, так и в корпоративную инфраструктуру. ПАК средней и высокой производительности поставляются в форм-факторе 1U. Функционирует на базе адаптированной ОС Linux.

ViPNet Coordinator HW обладает следующими особенностями:

для построения VPN используется собственный протокол ViPNet VPN, который обеспечивает беспрепятственное защищенное взаимодействие независимо от типа канала связи, автоматический роуминг между каналами связи;
поддержка работы в современных мультисервисных сетях (с использованием протоколов Cisco SCCP, H.323);
производительность по шифрованию от 50 Мбит/с до 5,5 Гбит/с (для standalone-решений) в зависимости от модели;
поддержка отказоустойчивой конфигурации (режим «активный/пассивный») для моделей среднего и высокого уровня (от модели HW1000);
поддержка централизованного управления и удаленного обновления с помощью ПО ViPNet Administrator;
поддержка взаимодействия с клиентскими компонентами (ПО ViPNet Client) на различных операционных системах (Windows, Linux, macOS, iOS, Android).

Рисунок 8. ПАК ViPNet Coordinator HW1000

Производитель ПАК в своих решениях использует аппаратные платформы фиксированной конфигурации, что позволяет получить высокий класс криптозащиты (КС3) без использования дополнительных устройств, таких как аппаратно-программные модули доверенной загрузки (АПМДЗ).

ViPNet Coordinator HW входит в реестр отечественного ПО (№2798) и обладает различными действующими сертификатами соответствия, в том числе:

ФСБ России №СФ/124-2981, подтверждающим выполнение требований к шифровальным (криптографическим) средствам класса КС3;
ФСБ России №СФ/525-3007, подтверждающим выполнение требований к межсетевым экранам 4 класса защищенности;
ФСТЭК России № 3692, удостоверяющий, что ПАК является межсетевым экраном типа «А» и соответствует требованиям документов «Требования к межсетевым экранам» (ФСТЭК России, 2016) и «Профиль защиты межсетевого экрана типа А четвертого класса защиты. ИТ.МЭ.А4.ПЗ».

Подробнее с информацией о ViPNet Coordinator HW можно ознакомиться на сайте производителя .

Зарубежные криптошлюзы

В данном разделе более подробно рассмотрим основных иностранных производителей средств защиты информации. Здесь представлены разнообразные варианты решений в программно-аппаратном исполнении.

Указанные ниже производители предлагают современному рынку UTM-решения, «комбайны» из разряда «всё-в-одном». Здесь и функциональность NGFW (Next Generation Firewall - межсетевой экран нового поколения), IDS/IPS (системы обнаружения и предотвращения вторжений), потоковый антивирус, и, конечно же, VPN-шлюз. Последний нас особенно интересует в контексте данного обзора.

Необходимо отметить, что зарубежные вендоры для своего VPN используют исключительно иностранные алгоритмы шифрования - DES, 3DES, AES. Соответственно, целевой заказчик таких решений (в части VPN) в России не является государственным учреждением или организацией, ведущей деятельность в соответствии с указанными начале обзора нормативными актами.

Поскольку на территории РФ рынок средств криптозащиты является регулируемым, зарубежным производителям необходимо официально ввезти свои продукты в соответствии со всеми действующими нормами и требованиями. В данном случае возможны два варианта:

ввоз по упрощенной схеме (по нотификации, реестр доступен на сайте Евразийского экономического союза);
ввоз по лицензии ФСБ России или Минпромторга России.

В связи с использованием иностранных криптографических алгоритмов в системе сертификации ФСБ России рассматриваемые в этом разделе решения не представлены.

Cisco VPN Solutions (Cisco ASA 5500-X, Cisco Firepower, Cisco ASAv, Cisco IOS VPN)

У международной компании Cisco Systems большое портфолио решений для построения VPN, которые отличаются не только особенностями реализации данной возможности, но и основной функциональностью. Например, Cisco ASA 5500-X или Cisco Firepower - это многофункциональные защитные шлюзы, среди функций которых есть и VPN, которая особенно эффективно может использоваться для Remote Access VPN. А вот маршрутизатор Cisco ISR/ASR/GSR/CSR, предназначенный преимущественно для подключения к интернету, обладает продвинутыми возможностями Site-to-Site VPN.

Cisco Adaptive Security Appliance (ASA) и Cisco Firepower - одни из основных продуктов в направлении информационной безопасности Cisco. Эти решения, а также виртуализированный защитный шлюз ASAv и маршрутизатор с функцией IOS VPN, позволяют реализовать взаимодействие по VPN с использованием IPSec, IPSec RA, SSL, SSL clientless, DTLS на скоростях от 100 Мбит/сек до 51 Гбит/сек и с поддержкой до 60000 удаленных пользователей.

Отличительными особенностями являются

Резервирование. Возможны два варианта: отказоустойчивое решение (failover) и кластеризация (clustering), в том числе геораспределенная. В первом случае два устройства объединяются в одно логическое. Доступны два режима работы: active/standby и active/active. Во втором - возможно объединение до 16 устройств ASA (для модели 5585-Х) в одно логическое. Такая возможность позволяет существенно повысить производительность решения.
Поддержка технологий DMVPN, GET VPN, Easy VPN.
Оптимизация защиты мультимедиа-трафика.
Поддержка функции per application VPN (дифференцированное шифрование трафика для различных приложений).
Поддержка оценки соответствия удаленного узла (мобильного устройства) требованиям безопасности перед созданием VPN-туннеля.
Встроенные дополнительные механизмы безопасности, например, встроенный центр сертификатов (CA).
Наличие API для интеграции с внешними системами фильтрации и управления сервисами - Web-прокси, AAA и оценки соответствия.
Интеграция с защитными возможностями многофункциональной защитной платформы Cisco ASA 5500-X, Cisco Firepower или маршрутизатором Cisco, МСЭ и NGFW, NGIPS, подсистемой защиты от вредоносного кода, подсистемой URL-фильтрации.

Рисунок 9. Cisco Firepower 9300

Управление Cisco ASA 5500-X, Cisco Firepower или Cisco ISR осуществляется локально посредством Cisco Adaptive Security Device Manager (ASDM), Cisco Firepower Device Manager или Cisco Security Device Manager, или централизованно с помощью Cisco Security Manager, Cisco Firepower Management Center или Cisco Defense Orchestrator.

Для подключения удаленных клиентских рабочих мест может использоваться локализованный на русский язык Cisco AnyConnect Secure Mobility Client или безклиентскую технологию Cisco SSL clientless, а также встроенные в Apple iOS и Android клиенты VPN.

Решения Cisco ASA 5500-X, Cisco Firepower и Cisco ISR обладают несколькими десятками различных действующих сертификатов соответствия ФСТЭК, в том числе № 3738, удостоверяющий, что ПАК соответствует требованиям к межсетевым экранам по классам А6, Б6, а также сертифицирован на отсутствие недокументированных возможностей. Совместно с компанией С-Терра СиЭсПи компания Cisco разработала модуль шифрования на базе российских алгоритмов шифрования (ГОСТ 28147-89 и др.) и сертифицировала его в ФСБ как СКЗИ по классам КС1/КС2. Этот модуль предназначен для маршрутизатора с интеграцией сервисов Cisco ISR, который может быть использован как платформа для запуска на ней и других VPN-решений. В частности, была проведена интеграция и испытания совместных решений Cisco ISR с решениями VipNet и TSS VPN.

Подробнее с информацией о Cisco ASA 5500-Х, Cisco Firepower, Cisco ISR можно ознакомиться на сайте производителя .

F5 Networks VPN Solutions

F5 Networks предлагает комплексные решения и автономные VPN-устройства. С 2016 года компания сделала акцент на комплексных решениях, и изолированные VPN-шлюзы постепенно перестают выпускаться.

Продукт F5 Access Policy Manager (APM) - это специальный модуль программного обеспечения, который включает в себя функциональные возможности VPN, а также множество различных функций, включая BIG-IP - полный  прокси  между  пользователями  и серверами  приложений, обеспечивающий  безопасность,  оптимизацию  трафика приложений  и  балансировку  его  нагрузки.

Клиент BIG-IP VPN использует протоколы TLS и DTLS (Datagram TLS), что позволяет работать чувствительным к задержке приложениям. Этот клиент доступен на всех распространенных настольных и мобильных платформах.

Решения BIG-IP функционируют на базе собственной операционной системы (ОС) F5 TMOS. Среди ее преимуществ можно отметить:

Открытый API, который позволяет гибко управлять потоком трафика и увеличить производительность с помощью API Control.
Контроль за трафиком производится с помощью F5-устройств, использующих специальный язык сценариев iRules.
Шаблоны iApps, которые позволяют развертывать и управлять сетевыми услугами для конкретных приложений.

На сегодняшний день предложения компании F5 начинаются с модели BIG-IP 1600 и заканчиваются BIG-IP 11050, которая является их крупнейшим автономным VPN-устройством.

Самым большим решением на основе блейд-сервера является Viprion 4800. Оно поддерживает до 30000 SSL-транзакций.

Рисунок 10. F5 Viprion 4800

В государственном реестре сертифицированных средств защиты информации № РОСС RU.0001.01БИ00 (ФСТЭК России) продуктов F5 Networks не представлено.

Подробнее с информацией о продукции F5 Networks можно ознакомиться на сайте производителя .

NetScaler (Citrix Systems)

NetScaler - линейка продуктов сетевой безопасности от компании Citrix Systems. VPN-решения от Citrix встроены в продукт NetScaler Gateway. Шлюз NetScaler, как и все оборудование фирмы Citrix, штатно интегрируется во многие линейки продуктов компании.

NetScaler Gateway предлагает функциональные возможности SSL VPN, включая безопасный доступ к Citrix XenDesktop, XenApp, XenMobile, MS RDP, VMware horizon, а также web-приложениям и ресурсам внутри корпоративной сети. Также продукт предоставляет возможности безопасного сетевого доступа к любому серверу, наряду с анализом и определением устройства.

Citrix Gateway поддерживает как протокол TLS, так и DTLS, в зависимости от требований к трафику.

Самая младшая MPX-платформа продукта (5550) поддерживает до 1500 SSL-транзакций. Наиболее производительная (22120) - до 560000 SSL-транзакций.

Рисунок 11. Citrix NetScaler MPX-8005

В государственном реестре сертифицированных средств защиты информации № РОСС RU.0001.01БИ00 (ФСТЭК России) шлюзов Citrix NetScaler не представлено.

Подробнее с информацией о продукции Citrix можно ознакомиться на сайте производителя .

Pulse Secure (Juniper Networks)

Pulse Secure - серия продуктов американской компании Juniper Networks. Ключевая функциональность - SSL VPN.

Производитель предлагает четыре программно-аппаратных комплекса различной производительности и форм-фактора.

Модель минимальной конфигурации (PSA300) обеспечивает пропускную способность 200 Мбит/с для 200 SSL-соединений. Наиболее производительное решение (PSA7000) - 10 Гбит/с для 25000 SSL-соединений.

Отличительной особенностью в линейке Pulse Secure является наличие двух блоков питания у модели PSA7000.

Рисунок 12. Pulse Secure Appliance 7000

В государственном реестре сертифицированных средств защиты информации № РОСС RU.0001.01БИ00 (ФСТЭК России) шлюзов Pulse Secure не представлен.

Подробнее с информацией о продукции Pulse Secure можно ознакомиться на сайте производителя .

SonicWALL

SonicWALL - американская компания-производитель решений для сетевой безопасности. В 2012 году компания была приобретена Dell Software Group. В 2016 же году Dell продала SonicWALL.

Компания предлагает решения различной производительности. В основной массе это UTM-решения, реализующие функциональность NGFW, IPS, VPN, потокового антивируса.

В части VPN производитель поддерживает IPSec, SSL. Наиболее производительное решение, представленное на рисунке ниже, обеспечивает пропускную способность VPN до 14 Гбит/с. Максимальное же число VPN-соединения составляет в этом случае 25000.

Шлюзы SonicWALL находятся под управлением собственной операционной системы - Sonic OS.

Рисунок 13. SonicWALL SuperMassive 9000 Series

В государственном реестре сертифицированных средств защиты информации № РОСС RU.0001.01БИ00 (ФСТЭК России) шлюзов SonicWALL не представлен.

Подробнее с информацией о продукции SonicWALL можно ознакомиться на сайте производителя .

Выводы

Криптографический шлюз - не только специализированное VPN-решение, но и многофункциональный продукт, решающий большой спектр задач информационной безопасности практически любого предприятия или государственного учреждения. Процесс внедрения криптошлюзов может быть непростым, и это требует от организации наличия в штате квалифицированных специалистов.

По данным статистического портала Statista.com, в 2014 году объем мирового рынка VPN составлял 45 млрд долларов США. При этом к 2019 году ожидается его рост до 70 млрд. Это позволяет говорить о том, что устройства для построения VPN станут год от года всё более востребованными.

Несмотря на то, что на территории РФ процессы эксплуатации средств криптозащиты регулируются «Положением о разработке, производстве, реализации и эксплуатации шифровальных (криптографических) средств защиты информации (Положение ПКЗ-2005)», у иностранных разработчиков все еще остается возможность предлагать свои продукты российским заказчикам. В соответствии с ПКЗ-2005 , лишь участники обмена информацией (с рядом оговорок), если это не государственные учреждения, определяют необходимость ее криптографической защиты и выбирают применяемые средства криптозащиты.

Вступление в силу с 1 января 2018 года Федерального закона №187-ФЗ «О безопасности критической информационной инфраструктуры РФ» (КИИ) обяжет компании и объекты КИИ и топливно-энергетического комплекса информировать власти о компьютерных инцидентах, предотвращать неправомерные попытки доступа к информации. Такая законодательная инициатива создаст дополнительную возможность для роста сегмента средств криптозащиты в перспективе нескольких ближайших лет.

Современные отечественные криптошлюзы всё быстрее получают функциональности (Next Generation Firewall, IDS, IPS, потоковый антивирус), ещё вчера предлагаемые лишь зарубежными производителями. Рост конкуренции, увеличение числа игроков на рынке позволяет заказчику быть в наиболее выгодном положении и выбирать то, что действительно соответствует его потребностям и возможностям.

Континент-К
Аппаратно-программный комплекс

В современных информационных системах (ИС) в последнее время широкое распространение получили виртуальные частные сети (Virtual Private Network - VPN).

Технология VPN позволяет формировать виртуальные защищенные каналы связи в сетях общего пользования (например, Internet), гарантирующие конфиденциальность и достоверность информации. VPN-сеть представляет собой объединение локальных сетей (ЛВС) или отдельных компьютеров, подключенных к сети общего пользования, в единую защищенную виртуальную сеть.

Растущий интерес к данной технологии обусловлен следующими факторами:

низкой стоимостью эксплуатации за счет использования сетей общего пользования вместо собственных или арендуемых линий связи;
практически неограниченной масштабируемостью;
простотой изменения конфигурации и наращивания корпоративной сети;
"прозрачностью" для пользователей и приложений.

Переход от распределенной корпоративной сети на базе выделенных каналов к VPN на основе сетей общего пользования позволяет существенно снизить эксплуатационные расходы.

Но использование сетей общего пользования для организации VPN предъявляет дополнительные требования к обеспечению защиты информационных ресурсов предприятия от несанкционированного доступа (НСД).

Для надежной защиты информации в VPN предназначен аппаратно-программный комплекс "Континент-К", разработанный НИП "Информзащита". Этот комплекс обеспечивает защиту конфиденциальной информации в корпоративных VPN-сетях, использующих протоколы семейства TCP/IP. В качестве составных частей VPN могут выступать ЛВС предприятия или их отдельные фрагменты.

Аппаратно-программный комплекс "Континент-К" обеспечивает:

защиту внутренних сегментов сети от несанкционированного доступа со стороны пользователей сетей общего пользования;
скрытие внутренней структуры защищаемых сегментов сети;
криптографическую защиту данных, передаваемых по каналам связи сетей общего пользования между защищаемыми сегментами сети (абонентскими пунктами);
безопасный доступ пользователей VPN к ресурсам сетей общего пользования;
централизованное управление настройками VPN-устройств сети.

В настоящее время комплекс "Континент-К" сертифицирован Гостехкомиссией России по 3 классу защищенности для межсетевых экранов (Сертификат Гостехкомиссии России № 352 от 28.08.2000 г.). По результатам сертификационных испытаний в ФАПСИ получено положительное заключение о соответствии комплекса требованиям, предъявляемым к средствам криптографической защиты конфиденциальной информации класса КС2 (письмо командира в/ч 43753-Ф от 13.07.01 г.).

2.1. СОСТАВ КОМПЛЕКСА

Комплекс "Континент-К" включает в свой состав следующие компоненты:

центр управления сетью криптографических шлюзов;
криптографический шлюз;
программа управления сетью криптографических шлюзов;
сервер доступа;
абонентский пункт;
программа управления сервером доступа.

Центр управления сетью (ЦУС) осуществляет управление работой всех (КШ), входящих в состав виртуальной сети. ЦУС осуществляет контроль за состоянием всех зарегистрированных КШ, проводит рассылку ключевой информации, предоставляет администратору функции удаленного управления КШ, обеспечивает получение и хранение содержимого системных журналов КШ, а также ведение журнала событий НСД.

Криптографический шлюз (КШ) обеспечивает криптографическую защиту информации при ее передаче по открытым каналам сетей общего пользования и защиту внутренних сегментов сети от проникновения извне.

Программа управления обеспечивает отображение состояний КШ, просмотр содержимого системных журналов КШ, изменение настроек маршрутизации и правил фильтрации пакетов.

Абонентский пункт (АП) осуществляет доступ удаленных пользователей к ресурсам защищаемых сетей по выделенным и коммутируемым каналам связи.

Сервер доступа обеспечивает связь между удаленным абонентским пунктом и защищаемой сетью, проводит идентификацию и аутентификацию пользователя, определяет его уровень доступа.

Программа управления сервером доступа (ПУ СД) обеспечивает настройку Сервера доступа, регистрацию пользователей АП и установку прав доступа пользователей АП к ресурсам защищаемых сетей, а также мониторинг подключенных пользователей АП.

2.2. КЛЮЧЕВАЯ СИСТЕМА

В аппаратно-программном комплексе используется симметричная ключевая система. Криптографическое соединение между КШ в сети осуществляется на ключах парной связи. Шифрование каждого пакета производится на индивидуальном ключе, который формируется из ключа парной связи. Для шифрования данных используется алгоритм ГОСТ 28147-89 в режиме гаммирования с обратной связью. Имитозащита данных осуществляется с использованием алгоритма ГОСТ 28147-89 в режиме имитовставки.

Ключи парной связи генерируются центром управления сетью для каждого КШ сети. Передача ключей на КШ с ЦУС производится по защищенному каналу связи (на ключе связи с ЦУС). В качестве ключевого носителя для ключа связи с ЦУС используется дискета.

Ключи парной связи хранятся на диске в зашифрованном виде (на ключе хранения). Ключ хранения находится в защищенной энергонезависимой памяти ЭЗ "Соболь".

Для защиты соединения между управляющей консолью и ЦУС используется специальный административный ключ. Этот ключ хранится на ключевом диске администратора системы.

Плановая смена ключей на КШ осуществляется из ЦУС по каналу связи в защищенном виде на ключе связи с ЦУС.

АПК "Континент-К" использует протокол криптографической защиты разработки НИП "Информзащита". Он разработан на основе известного протокола IPSec. Разработчикам удалось существенно снизить накладные расходы при туннелировании трафика. Они составляют от 26 до 36 байт на пакет (в зависимости от режимов сжатия пакета) против 86 байт у IPSec.

Это преимущество позволяет использовать "Континент-К" в сетях, использующих короткие IP пакеты, например, IP-телефонии или передачи трафика телеконференций.

3.1. КРИПТОГРАФИЧЕСКИЙ ШЛЮЗ

Криптографический шлюз представляет собой специализированное программно-аппаратное устройство, функционирующее под управлением ОС FreeBSD в сокращенной версии, обеспечивающей высокий уровень безопасности.

Криптошлюз обеспечивает:

прием и передачу пакетов по протоколам семейства TCP/IP (статическая маршрутизация);
шифрование передаваемых и принимаемых IP-пакетов (ГОСТ 28147-89, режим гаммирования с обратной связью);
сжатие защищаемых данных;
защиту данных от искажения (ГОСТ 28147-89, режим имитовставки);
фильтрацию IP-пакетов в соответствии с заданными правилами фильтрации;
скрытие внутренней структуры защищаемого сегмента сети;
криптографическую аутентификацию удаленных абонентов (при установлении на КШ сервера доступа);
периодическое оповещение ЦУС о своей активности;
регистрацию событий, связанных с работой КШ;
оповещение администратора в режиме реального времени о событиях, требующих оперативного вмешательства;
идентификацию и аутентификацию администратора при запуске КШ (средствами ЭЗ "Соболь");
контроль целостности программного обеспечения КШ до загрузки операционной системы (средствами ЭЗ "Соболь").

Обработка исходящих IP-пакетов представлена на Рис.4. Все IP-пакеты, поступившие от внутренних абонентов защищаемого сегмента, вначале подвергаются фильтрации.

Фильтрация IP-пакетов осуществляется в соответствии с установленными администратором правилами на основе IP-адресов отправителя и получателя, допустимых значений полей заголовка, используемых портов UDP/TCP и флагов TCP/IP-пакета. Если пакет не удовлетворят правилам фильтрации, он отвергается. Отправитель пакета получает ICMP-сообщение о недоступности абонента.

При установке КШ автоматически генерируются правила, необходимые для обеспечения защищенного взаимодействия с ЦУС, корректной работы механизма маршрутизации пакетов, обработки управляющего трафика коммуникационного оборудования и обеспечения возможности начала работы VPN-функций без дополнительного конфигурирования.

IP-пакеты, удовлетворяющие правилам фильтрации, обрабатываются блоком криптографической защиты и передаются на внешний интерфейс КШ. КШ-отправитель обеспечивает его сжатие, зашифрование и имитозащиту, инкапсуляцию в новый IP-пакет, в котором в качестве IP-адреса приемника выступает IP-адрес КШ-получателя, а в качестве IP-адреса источника выступает IP-адрес КШ-отправителя.

IP-пакеты, адресованные абонентам, внешним по отношению к VPN-сети (Web-сайты, ftp-серверы), передаются в открытом виде. Это позволяет использовать КШ при доступе к общедоступным ресурсам сетей общего пользования в качестве межсетевого экрана пакетного уровня.

Входящие IP-пакеты от открытых абонентов блоком криптографической защиты не обрабатываются и поступают непосредственно в фильтр IP-пакетов.

Для пакетов, полученных от абонентов VPN, блок криптографической защиты осуществляет проверку целостности и расшифровывает их, после чего пакеты поступают в фильтр IP-пакетов. Если целостность пакета нарушена, то он отбрасывается без расшифрования и без оповещения отправителя, с генерацией сообщения о НСД.

IP-пакеты, удовлетворяющие правилам фильтрации, передаются через внутренний интерфейс внутренним абонентам.

Криптографический шлюз осуществляет регистрацию следующих событий:

загрузку и инициализацию системы и ее программный останов;
вход (выход) администратора КШ в систему (из системы);
запросы на установление виртуальных соединений между криптошлюзами, между КШ и Центром управления;
результат фильтрации входящих/исходящих пакетов;
попытки НСД;
любые внештатные ситуации, происходящие при работе КШ;
информацию о потере и восстановлении связи на физическом уровне протоколов.

Перечень регистрируемых событий при эксплуатации КШ определяется администратором. При регистрации события фиксируются:

дата, время и код регистрируемого события;
адрес источника и адрес получателя (при фильтрации), включая порты протоколов IP,TCP, UDP;
результат попытки осуществления регистрируемого события - успешная или неуспешная (или результат фильтрации);
идентификатор администратора КШ, предъявленный при попытке осуществления регистрируемого события (для событий локального/удаленного управления).

Оповещение о событиях, требующих вмешательства администратора, осуществляется по протоколу SNMP. Оповещения передаются в открытом виде на ЦУС, откуда могут быть получены консолью управления. Криптографический шлюз обеспечивает сжатие передаваемых данных об однотипных событиях.

Локальная сигнализация о событиях, требующих вмешательства администратора, осуществляется путем вывода соответствующих сообщений на монитор криптошлюза.

Технические характеристики

Общая пропускная способность КШ (имитовставка, шифрование, туннелирование) - 30 Мбит/с (Celeron/500).
Увеличение размера пакета - 26-36 байт (в зависимости от степени сжатия пакета).
Максимальное количество КШ в сети с одним ЦУС - не более 5000;
Максимальное количество установленных программ управления - не ограничено;

Комплектация криптографического шлюза
Предусматривается три варианта комплектации криптографического шлюза:

На базе стандартного IBM-совместимого компьютера;
На базе промышленного компьютера, предназначенного для монтажа в 19" стойку 2U.
На базе промышленного компьютера, предназначенного для монтажа в 19" стойку 4U.

Независимо от комплектации в состав криптографического шлюза входят:

плата Электронного замка "Соболь";
считыватель Touch Memory;
электронные идентификаторы Touch Memory DS1992 (2 шт);
сетевые платы Ethernet (от 2 до 16 портов).

3.2. ЦЕНТР УПРАВЛЕНИЯ СЕТЬЮ

Центр управления сетью осуществляет управление работой всех КШ, входящих в состав системы защиты. ЦУС осуществляет контроль состояния всех зарегистрированных КШ, проводит рассылку ключевой информации, предоставляет администратору функции удаленного управления КШ, обеспечивает получение и хранение содержимого системных журналов КШ, а также ведение журнала событий НСД. ЦУС обеспечивает:

аутентификацию КШ и консолей управления;
контроль текущего состояния всех КШ системы;
хранение информации о состоянии системы защиты (сети КШ);
централизованное управление криптографическими ключами и настройками каждого КШ сети;
взаимодействие с программой управления;
регистрацию событий по управлению и изменению параметров КШ;
получение журналов регистрации от всех имеющихся КШ и их хранение.

Программное обеспечение ЦУС устанавливается на одном из КШ защищаемой сети.

3.4. ПРОГРАММА УПРАВЛЕНИЯ

Программа управления предназначена для централизованного управления всеми КШ, работающими под управлением одного ЦУС. Эта программа позволяет:

отображать информацию о текущем состоянии всех имеющихся КШ;
добавлять в систему новые КШ, изменять сведения о существующих КШ или удалять КШ;
централизованно управлять настройками КШ;
управлять правилами маршрутизации КШ;
управлять ключами шифрования;
анализировать содержание журналов регистрации КШ.

Программа управления предназначена для работы на компьютерах, оснащенных процессорами семейства Intel x86 или совместимых с ними, и функционирующих под управлением ОС Windows NT 4.0 (Service Pack 4 и выше), Windows 2000. На этих компьютерах должны быть установлены компоненты, обеспечивающие работу с сетевыми протоколами семейства TCP/IP.

Аппаратно-программный комплекс "Континент-К" отличает:

эффективная и надежная защита информации в гетерогенных сетях;
отсутствие вмешательства в существующие технологии обработки информации, полная прозрачность для приложений и пользователей;
централизованное управление настройками системы и оперативный мониторинг ее состояния;
совмещение в одном устройстве функций межсетевого экрана и криптографического маршрутизатора;
возможность разграничивать доступ от нескольких внутренних защищаемых сегментов;
удобный графический интерфейс программы управления;
простота в настройке и обслуживании.

3.4. СЕРВЕР ДОСТУПА

Сервер доступа - программное обеспечение, позволяющее устанавливать защищенное соединение с удаленными абонентами. Сервер доступа (СД) устанавливается на один из криптошлюзов "Континент-К". После запроса на соединение СД проводит идентификацию и аутентификацию удаленного пользователя, и определяет его уровень доступа, устанавливаемый администратором "Континент-К". На основании этой информации осуществляется подключение абонента к ресурсам сети. СД позволяет осуществить до 500 одновременных сеансов связи с удаленными пользователями.

В системе используется аутентификация пользователей при помощи сертификатов открытых ключей. В дальнейшем планируется разработка программного обеспечения, реализующего технологию PKI при использовании сторонних сертификационных центров.

Сервер доступа предустанавливается на ЦУС и КШ, что позволяет организовывать гибкую схему подключения абонентских пунктов к сегментам защищаемой сети.

Управление настройками СД, выработка правил и ключевой информации для абонентов осуществляется через программу управления.

3.4. АБОНЕНТСКИЙ ПУНКТ.

Абонентский пункт (АП) - программное обеспечение, позволяющее удаленному пользователю связываться по защищенному каналу с сетью АПК "Континент-К". АП устанавливается на компьютер клиента и позволяет осуществить:

удаленный доступ к ресурсам защищаемой сети по шифрованному каналу
функционирование под управлением ОС Windows 95/98/NT/2000
связь с сервером доступа "Континент-К" со скоростью до 2 Мб/с в шифрующем режиме
идентификацию и аутентификацию пользователя
функционирование с динамическим распределением IP адресов - возможность удаленного доступа мобильных пользователей

Основу криптографической системы абонентского пункта составляет Средство криптографической защиты информации "КриптоПро CSP", сертифицированное ФАПСИ (Сертификат соответствия ФАПСИ СФ/124-0460 от 20.04.01 г.).

Установка и конфигурирование абонентского пункта непосредственно на рабочем месте включает:

установку программного обеспечения СКЗИ "КриптоПро CSP" и абонентского пункта
определение места хранения ключевых материалов;
указания IP-адреса сервера доступа (одного или нескольких), с которым устанавливается защищенное взаимодействие.

Информация о правилах фильтрации и правах доступа передается на абонентский пункт с сервера доступа. Абонентский пункт обеспечивает прозрачный для прикладных программ обмен с защищенными сегментами сети.

4.1. СОЗДАНИЕ КОРПОРАТИВНОЙ VPN

АПК "Континент-К" является средством создания виртуальных частных сетей на основе сетей TCP/IP. В качестве транспортной среды может быть использована любая сеть, работающая по протоколу TCP/IP, например, Интернет. Такой вариант существенно дешевле использования сети на основе выделенных каналов при сохранении высокого уровня безопасности.

При связывании локальных сетей предприятия "Континент-К", как правило, подключается к LAN порту внешнего маршрутизатора. К внутренним портам криптошлюза подключаются локальные сети предприятия. Наличие нескольких внутренних интерфейсов позволяет гибко осуществлять изменение конфигурации сети. Одним из вариантов, повышающих общую безопасность сети, является вынос управляющих консолей для "Континент-К", для управления маршрутизатором и т.д. на отдельный внутренний интерфейс КШ.

При создании VPN на основе "Континент-К" через внешние сети по умолчанию пропускается только зашифрованный трафик. Администратор может создавать на криптошлюзе правила, разрешающие прохождение трафика наружу в открытом виде, т.е. возможность работать с внешними ресурсами - серверами, web-хостами и т.д. (Схема 2) Администратор также может управлять разграничением доступа между подсетями, если они связаны только через "Континент-К". Таким образом, можно разделять трафик между разными подразделениями, как это показано на примере (Схема 3)

4.2. ЗАЩИЩЕННОЕ УПРАВЛЕНИЕ МАРШРУТИЗАТОРАМИ

АПК "Континент-К" позволяет также реализовать функцию защищенного управления удаленными маршрутизаторами. Управление ведется "реверсным" методом, когда управляющий трафик, зашифрованный в ядре, проходит через маршрутизатор на "Континент-К", где расшифровывается и направляется обратно на маршрутизатор (Схема 4). Таким образом, открытый трафик не проходит через сеть общего пользования (исходим из того, что кабель между "Континент-К" и маршрутизатором контролируется администратором. На практике, как правило, они находятся рядом).

4.3. УДАЛЕННЫЙ ДОСТУП ПО ЗАЩИЩЕННОМУ КАНАЛУ.

АПК "Континент" позволяет осуществлять защищенный доступ удаленных абонентов к ресурсам VPN. Доступ производится при помощи специальной программы - абонентского пункта устанавливаемой на компьютер пользователя. Запрос на соединение осуществляется на сервере доступа , установленном на одном из криптошлюзов. Сервер доступа проводит идентификацию и аутентификацию пользователя, и осуществляет его связь с ресурсами защищаемой сети (Схема 5).

Данную схему выгодно используется, когда требуется связь с офисом мобильных сотрудников через Интернет. Для организации доступа достаточно установить АП на любой компьютер, например, ноутбуке, и получить доступ в Интернет.
АПК "Континент-К" позволяет создавать виртуальные частные сети, обладающие большими возможностями в конфигурировании и управлении. При помощи "Континент-К" реализуются функции передачи шифрованного трафика через сеть общего пользования, защиты локальных сетей от проникновения извне, сокрытия внутренней структуры сети, работы по открытым каналам с внешними ресурсами, создания параллельных сетей в пределах одной VPN, защищенного управления удаленными маршрутизаторами. Эти возможности делают "Континент-К" удобным и эффективным инструментом создания VPN.