VPN

VPN (пинд. Virtual Private Network, рус. Виртуальная Частная Сеть, выпыхрен) — технология построения виртуальных сетей на основе Интернета. Исторически применяется для создания защищённых корпоративных сетей, что позволяет работникам осуществлять процессы извне офиса, предотвращает доступ к важным ресурсам извне сети.

Обзор ведущих ВПН

Бдительная агитация против VPN в Московском метрополитене

Для простых юзеров получили известность как сервис для анонимизации серфинга интернета (так как побочным эффектом подключения к VPN является то, что при посещении сайтов они видят IP-адрес VPN-сервера, а весь трафик зашифрован и его невозможно фильтровать, запрещая доступ к некоторым сайтам), ВНЕЗАПНО ставший очень актуальным в связи с тем, что (особенно в РФ) интернет взялись всячески ограничивать, когда пару дядек из нужного кабинета решают, что миллионам людей полезно смотреть, а что нет. ВПН помогает не только скрыть реальный айпишник (и, таким образом, избежать вероятной деанонимизации) от разных сайтов, но и обойти блокировки разнообразных ресурсов. При верной установке довольно прост в использовании, обычно не мешает скорости интернета.

Органы постепенно начинают проявлять все больший интерес к самим VPN-сервисам и даже озаботились вопросами их блокирования, постепенно оказался заблокирован набор самых популярных и известных VPN, при том, что официальным сливным бачком из всех VPN стал только сервис от Касперского (что и неудивительно, учитывая, что сам Касперский нештатный гэбист).

Разновидности

• Vpn-приложение. К этому типу относятся большинство популярных vpn клиентов, например planet vpn. Из плюсов качественная защита данных и обход цензуры. Из минусов — донат (некоторые клиенты платные) а также риск того, что клиент внезапно перестанет работать, так как роскомговно не дремлет.
• Браузерный vpn. Из популярных расширений для браузера есть browsec vpn, а также другие приложения. К плюсам относиться удобное и простое управление и подключения, а также то, что действует приложение лишь в браузере, но главное — возможность невозбранно водить хером по губам ркнщиков и долбить их в анус, так как заблокировать браузерный впн почти невозможно. Минусы — низкая скорость.

Сервисы

Собственно, есть те самые популярные сервисы, которые предоставляют доступ в сеть через их VPN. Обычно у таких VPN-сервисов полно серверов, к которым можно без проблем подключаться, меняя свой айпишник и страну нахождения. Среди них в основном платные предложения, так как платный формат предполагает лучшее качество и большую сохранность данных клиентов. У каждого сервиса своя скорость и количество доступных серверов разные. Если один хорош — не значит, что такой же и другой. При этом в целом объединяет их в основном тот факт, что данные на сливаются налево, поэтому для целей анонимизации своей деятельности в сети можно использовать практически все предложения, кроме, разумеется тех, чьи корни растут из российской страны.

Решение для ленивых, экономных или плохо разбирающихся в системном администрировании анонимусов. Позволяют сэкономить время и деньги на поддержку собственного VPN-сервера.

В общем случае, их использование выглядит так:

1. находим провайдера с хорошими отзывами
2. платим деньги
3. получаем данные для доступа (сертификат, логин/пароль, etc)
4. скачиваем VPN-клиент, устанавливаем и вбиваем инфо.
5. ???
6. PROFIT!

Среди наиболее топовых впн последних лет:

• NordVPN
• ExpressVPN
• Pure VPN
• HotspotShield
• CyberGhost VPN
• Hide My Ass
• Hide My Name
• StrongVPN
• Psiphon (во время шутдауна в Беларуси показал наилучшую эффективность)

Под ряд VPN сервисов идут свои приложения, которые делают вопрос настройки сервера на компьютере вопросов 2 кликов: надо скачать приложение, ввести авторизационные данные, после чего все само установится на телефон/компьютер. По такой системе, например, работает провайдер Hide My Name. При этом в такой системе много минусов — программа самопроизвольно может включать впн, когда этого пользователь не хочет. С другой стороны, видимо, цель программы не позволить пользователю нарушить свою анонимность случайно.

Что в них плохого

1. Низкая скорость у многих VPN-сервисов. Как правило, объясняется удаленностью или перенагруженностью access-серверов. Возникает при экономии на серверном оборудовании или кривых руках у админов VPN-провайдера.
2. Непонятный уровень доверия к VPN-провайдеру и вообще — много вопросов к уровню безопасности сервисов. Никто не поручится, что VPN-провайдер, через которого ты качаешь ЦП, не сливает твой трафик в расшифрованом виде на сервера СОРМ или PRISM.
3. Гугл банит

Что делать?

1. Не экономить на VPN, использовать только сервисы с хоршими отзывами по надежности, скорости и отказоустойчивости.
2. При наличии минимальной прямоты рук — открыть для себя облачный хостинг и поднять собственный VPN-сервер — пример шаблонного решения, развертывание которого занимает несколько минут в полуавтоматическом режиме.

Зачем это вообще надо?

Верить в наше время нельзя никому

— Семнадцать мгновений весны

Очевидно, что вообще сеть нужна для обмена проном, котиками и двачевания. Ещё её иногда используют для обмена информацией, которая не должна стать достоянием Большого Брата и 95% населения. Помимо ЦП, к ней относят любую ценную информацию, доступ к которой должен быть ограничен и передача которой возможна по сети. Чтобы подобная информация не была доступна кому попало, она передаётся с помощью защищённого соединения.

Как обеспечивается защита?

С помощью матана, такой-то матери и криптографии. Проще говоря — всё, что проходит по защищённому соединению — шифруется и, теоретически, расшифровать его нельзя. Или можно, но это это долго и проблематично. Практически — от терморектального криптоанализатора защищённое соединение не спасает. От Большого Брата в лице PRISM и Великого китайского фаервола — как повезет, в зависимости от используемого оборудования и софта.

Наглядным примером защищённого соединения может быть SSL (это когда в адресной строке написано не http://, а https://), который обеспечивает относительно безопасный просмотр уютненького в браузере. Но этот случай вряд ли можно классифицировать как VPN.

При чём тут, собственно, VPN?

В большинстве случаев городить отдельное шифрованное соединение поверх ненадёжной сети для каждого приложения — несколько нецесообразно. В этот момент появляется очевидное желание запилить свою, безопасную сеть, с блекджеком и шлюхами. И тут на помощь приходит VPN.

Из чего они состоят

Классификация VPN

Из очень большого количества технологий, которые можно очень условно разделить на 2 группы:

1. обеспечивающие работу виртуальной сети поверх существующей (туннелирование)
2. защищающие соединение (протоколы шифрования, авторизации, аутентификации и т. д.).

Из-за того, что видов VPN существует >9000, а в конкретном представителе класса каждым может использоваться десяток протоколов и стандартов, подробно останавливаться на них рамках этой статьи бесмысленно. Самые любознательные аноны могут посмотреть на картинку справа и пойти читать соответствующие спецификации.

Просто любопытным стоит запомнить: термином «VPN» часто называют любую технологию туннелирования или создания защищенного соедиенения. Что не есть правильно.

1. Сама по себе, технология поддержки виртуальной сети/туннелирования  не обеспечивает защиты.
   Протоколы туннелирования (EOIP, IPIP, MGRE, etc) и драйверы tun/tap — это ещё не VPN.
2. MPLS /Frame Relay VPN — несмотря на то, что так называются, сами по себе защиты передаваемых данных не обеспечивают.
3. Технологии и протоколы, которое обеспечивают создание защищенного — сами по себе тоже не являются VPN.
   В частности, SSL и SSL-VPN — это далеко не синонимы.

Примеры использования

Примеры использования VPN

• Remote access/Extranet — для доступа из дома в корпоративную сеть. Или на твой сервер с ЦП.
• Site-to-site — для соединения нескольких корпоративных сетей поверх интернетов
• Internet — для раздачи интернетов от провайдеров к пользователям.

Варианты реализации

Как это может выглядеть у тебя дома

Предположим, у тебя дома реализована типичная для этой страны схема:

• установлен SOHO WiFi-маршрутизатор, аплинком подключённый в домосеть/DSL, а даунлинками — к твоей пекарне, телефону и планшету.
• Надо: подключиться по VPN к серверу с ЦП в Сомали. Для простоты предположим, что сервер у тебя есть и VPN на нём уже настроен бородатым педобиром в свитере.
  Ну или есть пативэноустойчивый VPN-провайдер.

Как минимум, хочется смотреть ЦП на десктопе, как максимум — на всех устройствах, включая 50-дюймовую плазму, небо и Аллаха.

Тебе в этом поможет:

• Покупка выделенного VPN-шлюза, которым нужно или заменить твой роутер, или включить его в цепочку «старый роутер <> провайдер <> сервер с ЦП».
  В любом случае, шифрование будет обеспечено незаметно (прозрачно) для всех твоих гаджетов. Такие устройства весьма и весьма качественны.
• Перепрошивка старого роутера на ddWRT, openWRT или любую другую прошивку, в которой есть VPN-клиент.
• Установка программного VPN-клиента (софтины) на каждое устройство.

Как это может выглядеть в серьёзном бизнесе

• В виде специального программно-аппаратного обеспечения
• В виде программного решения
• Интегрированное решение

— Педивикия

А если серьезно, то чаще всего можно встретить:

• решения, которое обеспечивают только VPN (узкоспециализированный VPN-шлюз/VPN-хаб) — для доступа сотрудников из дома, соединений между филиалами и т. д.
• маршрутизаторы с поддержкой VPN-функций (ISR, Integrated Services Router). От SOHO-маршрутизаторов они очень сильно отличаются ценой, производительностью и надежностью.
• гибридные решения (AKA security gateway), совмещающие в себе функционал VPN-маршрутизатора/сервера доступа/IDS/IPS/антивирусного сканера и вообще — чего угодно.

В зависимости от гнусности фантазии вендора и количества денег у сириус бизнеса — в любом классе можно найти варианты решений вида «железка», «железка + софт», «только софт».

Иногда, такие варианты возможны даже в отношении одного решения.

Например, ту же циску можно использовать в виде виртуальной машины на обычном сервере.

Россия

с 1 марта 2024 года

В России в связи с принятием очередного умного закона, который касается сотрудничества VPN с ментами, вышло так, что основная часть сервисов ушла в тень, многие даже убрали странички для российских пользователей, а кто-то отказался от серверов в России. Все связано с тем, что согласно новому закону VPN должны «сотрудничать с РКН» и блочить для пользователей из РФ все запрещенные там сайты. Таким образом, если человек захочет нарушить «важный» запрет через VPN, то он сделать этого не сможет, так как VPN будет также блокировать этот сайт. Однако не понятно как те же ВПН будут идентифицировать своих пользователей (чтобы понимать, кто с РФ, кто не с РФ), насколько подобные деанонимизации сочетаются с правилами об анонимности пользователей, кто будет пользоваться такими ВПН, если они начнут идентифицировать своих пользователей и сливать их данные ментам — с таким успехом проще не пользоваться никакими впн. В этой связи закон вошел в разряд сказочных и не будет реализован. Что же касается злобного российского государства, то вероятно, что будут пытаться блокировать сайты этих самых впн с России, при этом забывая, что через те же самые впн люди и будут заходить на сайты тех же самых впн. Очевидно, что сама структура интернета предполагает, что цензура не может зайти глубоко, однако никто этого еще не понял.

Было, правда, и мнение, что рано или поздно VPN научатся блокировать в принципе:

ну какой ты наивный по поводу "навсегда". Что ты думаешь, определять момент обмена открытыми ключами и блокировать VPN–соединение очень сложно? Или факт обращения к прокси определить сложно? Коммерческие Next Generation Firewalls это умеют уже лет 5 как минимум, [пофиг] на какие порты ты коннектишься — определяется прикладной протокол и блокируется. Даже инспекция SSL–соединений есть уже давно, пока fingerprint не сравнишь — не заметишь даже ничего.
Такие простые меры помогут на какое–то время, потом всё заблокируют и нужно будет находить какую–то другую дырку. Никаких "навсегда".

В такой ситуации самый пуленепробиваемый вариант — аренда VPS-сервера вне страны и подъятие на нём собственного VPN. Даже китайский вариант, где сервер, предоставляющий некошерный VPN, выявляется по VPN-протоколу и автобанится по IP, решается обфускацией VPN-трафика. Но, разумеется, при таком раскладе придётся самому пердолиться с установкой и настройкой софта, что требует определённого знания матчасти.