Administriranje sistema Windows

Milorad Paskaš
milorad.paskas@ict.edu.rs
Udaljeni pristup
Uvod
VPN
 Udaljeni pristup: Uvod
• Server sa ulogom udaljenog pristupa (RAS – remote
access server) omogućava korisnicima povezivanje na
lokalnu mrežu sa udaljene lokacije (van lokalne mreže).

• Korisnik se preko Interneta povezuje sa RAS serverom

lokalne mreže i koristi lokalnu mrežu kao da je priključen
direktno na nju.

• Na taj način, korisnik može da pristupa datotekama,

(deljenim) direktorijumima, aplikacijama, štampačima i
ostalim resursima na lokalnoj mreži.
 Udaljeni pristup: Uvod
• RAS uloga servera omogućuje korisnicima da budu
mobilni i da ne budu vezani za radna mesta
(kancelarije).

• RAS uloga je automatski instalirana u Windows

Server-u.

• RAS ulogu je potrebno omogućiti i konfigurisati.

 Udaljeni pristup: VPN
• RAS server može da se konfiguriše kao VPN (virtual
private network) server.

• VPN server omogućuje udaljeni pristup klijentima

preko nebezbednih mreža, kao što je Internet ili
iznajmljene veze za komunikaciju.

• Kada se korisnik poveže putem VPN veze, on ima isti

pristup lokalnoj (privatnoj) mreži i istu bezbednost
kao da je direktno povezan na nju.
 Udaljeni pristup: VPN
• Tipična konfiguracija VPN mreže:
 Udaljeni pristup: VPN

• VPN server se, najčešće, smešta u tzv.

demilitarizovanu zonu (DMZ), tako da se nalazi
između dva zaštitna zida (firewalls).

• Zaštitni zid prema Internetu ima zaštitnu ulogu od

napada sa Interneta.

• Zaštitni zid prema lokalnoj mreži obezbeđuje dodatnu

zaštitu za korisnike na mreži.
 Udaljeni pristup: VPN

• Alternativno, DMZ može da se realizuje i pomoću

jednog zaštitnog zida.

• U tom slučaju se definisanjem posebnih pravila

rutiranja vrši razgraničenje između DMZ i lokalne
mreže.
 Udaljeni pristup: VPN

• Korisnik se, na ovaj način, prvo povezuje na Internet.

• Potom se korisnik povezuje sa VPN serverom, a preko

njega sa lokalnom mrežom.

• Na ovaj način, VPN server usmerava (rutira) saobraćaj

između udaljenog korisnika i lokalne mreže.

• Ograničenje VPN veze: veza preko VPN je sporija nego

kada se korisnik povezuje direktno na lokalnu mrežu.
 Udaljeni pristup: VPN

• VPN server koristi dve mrežne kartice (NIC, network

interface card):
jedna kartica ima javnu IP adresu i njoj može da
se pristupi sa Interneta;

druga kartica ima privatnu IP adresu i omogućuje

vezu sa privatnom/lokalnom mrežom.
 Udaljeni pristup: VPN

• Primer:
 Udaljeni pristup: VPN

• Osim povezivanje pojedinačnih korisnika preko VPN,

na ovaj način mogu da se povežu i dve lokalne mreže
preko mrežnih uređaja (gateway):
 Udaljeni pristup: VPN

• U ovom slučaju se povezuju dva VPN servera preko

javne mreže.

• Javna mreža u ovom slučaju predstavlja, najčešće,

iznajmljenu vezu ili Internet.

• Ova realizacija omogućava svim korisnicima iz

ogranka/filijale firme da imaju potpun pristup glavnoj
mreži firme.
 Udaljeni pristup: VPN

• Kod konfiguracije VPN veze, najvažniji parametri su

vezani za sigurnost.

• Podaci se putem VPN moraju zaštititi, kako bi se

sprečilo da treća lica pristupaju komunikaciji na VPN
vezi.

• Pošto se podesi zaštita za VPN server, korisnik sa

udaljenim pristupom ima istu bezbednost kao da se
nalazi na lokalnoj mreži.
 Udaljeni pristup: VPN

• Zaštitni mehanizmi na VPN serveru podrazumevaju

da se paketi podataka prvo koduju (šifrovanje), a
potom se enkapsuliraju.

• Enkapsulacija dodaje dodatna polja u zaglavlju paketa

kojima se definiše rutiranje paketa.

• Proces enkapsulacije se označava kao tunelovanje

(tunneling).
 Udaljeni pristup: VPN
• Protokoli za tunelovanje:

1) PPTP (point-to-point tunneling protocol):

zasniva se protokolu koji su nekada koristili
modemi. Lak je za konfiguraciju, slaba zaštita;

2) L2TP (layer 2 tunneling protocol): koristi se sa

IPSec protokolom. Predstavlja industrijski
standard za tunelovanje;

3) SSTP (secure socket tunneling protocol): koristi

SSL protokol.
 Udaljeni pristup: VPN

• Osim kodovanja (šifrovanja) podataka, dodatna zaštita

VPN veze se ostvaruje pomoću autentifikacije.

• Prvobitni sistemi autentifikacije podrazumevali su

slanje nezaštićenih (nekodovanih) lozinki.

• Danas se koriste sigurniji sistemi autentifikacije koji

se označavaju kao EAP (extensible authentication
protocol) metode.
 Udaljeni pristup: VPN

• Iz skupa EAP metoda autentifikacije može da se

izabere više od jednog metoda autentifikacije za VPN
server.

• Potrebno je voditi računa da VPN server podržava

autentifikacijski metod klijenta.

• Ukoliko se izabere najbezbedniji metod

autentifikacije, treba voditi računa da klijenti koriste
taj isti metod. U suprotnom, neće moći da se povežu
na VPN server.
 Udaljeni pristup: VPN

• Primer: