ًWww.xIx.blogfa.coM

xix — Sat, 07 Jan 2006 23:27:18 GMT

تبلیغات خود را به ما بسپارید

آرشیو سایت

xix — Sat, 03 Dec 2005 09:50:18 GMT

Contact Us

You can add Links.

Or images:

Or just use text to explain what you have or what you are doing.

Help

Or images:

Or just use text to explain what you have or what you are doing.

Services

You can add Links.

Or images:

Or just use text to explain what you have or what you are doing.

Products

You can add Links.

Or images:

Or just use text to explain what you have or what you are doing.

Order

You can add Links.

Or images:

Or just use text to explain what you have or what you are doing.

.:.:.:.شاه منی-شکیلا.:.:.:.

xix — Tue, 29 Nov 2005 13:36:49 GMT

.:.:.:.وقتی رفتی-چاوشی،حاکان.:.:.:.

xix — Tue, 29 Nov 2005 12:36:33 GMT

.:.:.:.وقتی رفتی-کیارش قمیشی.:.:.:.

xix — Tue, 29 Nov 2005 12:34:42 GMT

xix — Tue, 29 Nov 2005 09:55:18 GMT

برای قرار گرفتن لگوی شما در قسمت تبلیغات باید طبق شرایط زیر استفاده کنید

.اندازه لگوی شما فقط در ابعاد ۱۲۰در ۶۰ باشد

.از لگوی فلش خودداری میشود... فقط در صورتی که فضا متعلق به شما باشد

.در صورت بد بودن یا بی ربط بودن سایت لگوی شما حذف خواهد شد

.از لگوهای مورد دار یا دارای اشکالات طراحی جلوگیری می شود

ما منتظر نظرات شما هستیم

xix — Tue, 29 Nov 2005 09:47:18 GMT

با عضویت در این قسمت می توانید از خدمات آپدیت شدن سایت با خبر شود لطفا اسم خود را در بالا و ایمیل خود را در پایین بنویسید تا در سیستم سایت عضو شوید

.:.:.:.نگاهی فنی به VPN.:.:.:.

xix — Sat, 05 Nov 2005 09:45:18 GMT

استفاده از RAS سرور و خط تلفن برای برقراری ارتباط دو مشکل عمده دارد عبارتند از:
1)در صورتی که RAS سرور و سیستم تماس گیرنده در یک استان قرار نداشته باشند، علاوه بر لزوم پرداخت هزینه زیاد، سرعت ارتباط نیز پایین خواهد آمد و این مسئله وقتی بیشتر نمود پیدا می کند که کاربر نیاز به ارتباطی با سرعت مناسب داشته باشد.
2)در صورتی که تعداد اتصالات راه دور در یک لحظه بیش از یک مورد باشد، RAS سرور به چندین خط تلفن و مودم احتیاج خواهد داشت که باز هم مسئله هزینه مطرح می گردد.
اما با ارتباط VPN مشکلات مذکور به طور کامل حل می شود و کاربر با اتصال به ISP محلی به اینترنت متصل شده و VPN بین کامپیوتر کاربر و سرور سازمان از طریق اینترنت ایجاد می گردد. ارتباط مذکور می تواند از طریق خط Dialup و یا خط اختصاصی مانند Leased Line برقرار شود.
به هر حال اکنون مسئله این نیست که طریقه استفاده از VPN چیست، بلکه مسئله این است که کدامیک از تکنولوژی های VPN باید مورد استفاده قرار گیرند. پنج نوع پروتکل در VPN مورد استفاده قرار می گیرد که هر کدام مزایا و معایبی دارند. در این مقاله ما قصد داریم در مورد هر کدام از این پروتکل ها بحث کرده و آنها را مقایسه کنیم. البته نتیجه نهایی به هدف شما در استفاده VPN بستگی دارد.

ارتباط سیستم ها در یک اینترانت

در برخی سازمان ها، اطلاعات یک دپارتمان خاص به دلیل حساسیت بالا، به طور فیزیکی از شبکه اصلی داخلی آن سازمان جدا گردیده است. این مسئله علیرغم محافظت از اطلاعات آن دپارتمان، مشکلات خاصی را نیز از بابت دسترسی کاربران دپارتمان مذکور به شبکه های خارجی به وجود می آورد. VPN اجازه می دهد که شبکه دپارتمان مذکور به صورت فیزیکی به شبکه مقصد مورد نظر متصل گردد، اما به صورتی که توسط VPN سرور، جدا شده است (با قرار گرفتن VPN سرور بین دو شبکه). البته لازم به یادآوری است که نیازی نیست VPN سرور به صورت یک Router مسیر یاب بین دو شبکه عمل نماید، بلکه کاربران شبکه مورد نظر علاوه بر اینکه خصوصیات و Subnet شبکه خاص خود را دارا هستند به VPNسرورمتصل شده و به اطلاعات درشبکه مقصد دست می یابند. علاوه بر این تمام ارتباطات برقرار شده از طریق VPN، می توانند به منظور محرمانه ماندن رمز نگاری شوند. برای کاربرانی که دارای اعتبار نامه مجاز نیستند، اطلاعات مقصد به صورت خودکار غیر قابل رویت خواهند بود.

مبانی Tunneling

Tunneling یا سیستم ایجاد تونل ارتباطی با نام کپسوله کردن (Encapsulation) نیز شناخته می شود که روشی است برای استفاده از زیر ساخت یک شبکه عمومی جهت انتقال اطلاعات. این اطلاعات ممکن است از پروتکل دیگری باشد. اطلاعات به جای اینکه به صورت اصلی و Original فرستاده شوند، با اضافه کردن یک Header (سرایند) کپسوله می شوند. این سزایند اضافی که به پکت متصل می شود، اطلاعات مسیر یابی را برای پکت فراهم می کند تا اطلاعات به صورت صحیح، سریع و فوری به مقصد برسند. هنگامی که پکت های کپسوله شده به مقصد رسیدند، سرایندها از روی پکت برداشته شده و اطلاعات به صورت اصلی خود تبدیل می شوند. این عملیات را از ابتدا تا اتمام کار Tunneling می نامند.

نگهداری تونل

مجموعه عملیات متشکل از پروتکل نگهداری تونل و پروتکل تبادل اطلاعات تونل به نام پروتکل Tunneling شناخته می شوند. برای اینکه این تونل برقرار شود، هم کلاینت و هم سرور می بایست پروتکل Tunneling یکسانی را مورد استفاده قرار دهند. از جمله پروتکل هایی که برای عملیات Tunneling مورد استفاده قرار می گیرند PPTP و L2TP هستند که در ادامه مورد بررسی قرار خواهند گرفت.

پروتکل نگهداری تونل

پروتکل نگهداری تونل به عنوان مکانیسمی برای مدیریت تونل استفاده می شود. برای برخی از تکنولوژی های Tunneling مانند PPTP و L2TP یک تونل مانند یک Session می باشد، یعنی هر دو نقطه انتهایی تونل علاوه بر اینکه باید با نوع تونل منطبق باشند، می بایست از برقرار شدن آن نیز مطلع شوند. هر چند بر خلاف یک Session، یک تونل ذریافت اطلاعات را به صورتی قابل اطمینان گارانتی نمی کند و اطلاعات ارسالی معمولا به وسیله پروتکلی بر مبنای دیتا گرام مانند UDP هنگام استفاده از L2TP یا TCP برای مدیریت تونل و یک پروتکل کپسوله کردن مسیر یابی عمومی اصلاح شده به نام GRE برای وقتی که PPTP استفاده می گردد، پیکربندی و ارسال می شوند.

ساخته شدن تونل

یک تونل باید قبل از این که تبادل اطلاعات انجام شود، ساخته شود. عملیات ساخته شدن تونل به وسیله یک طرف تونل یعنی کلاینت آغاز می شود و طرف دیگر تونل یعنی سرور، تقاضای ارتباط Tunneling را دریافت می کند. برای ساخت تونل یک عملیات ارتباطی مانند PPP انجام می شود. سرور تقاضا می کند که کلاینت خودش را معرفی کرده و معیارهای تصدیق هویت خود را ارائه نماید. هنگامی که قانونی بودن و معتبر بودن کلاینت مورد تایید قرار گرفت، ارتباط تونل مجاز شناخته شده و پیغام ساخته شدن تونل توسط کلاینت به سرور ارسال می گردد و سپس انتقال اطلاعات از طریق تونل شروع خواهد شد. برای روشن شدن مطلب، مثالی می زنیم. اگر محیط عمومی را، که غالبا نیز همین گونه است، اینترنت فرض کنیم، کلاینت پیغام ساخته شدن تونل را از آدرس IP کارت شبکه خود به عنوان مبدا به آدرس IP مقصد یعنی سرور ارسال می کند. حال اگر ارتباط اینترنت به صورت Dialup از جانب کلاینت ایجاد شده باشد، کلاینت به جای آدرس NIC خود، آدرس IP را که ISP به آن اختصاص داده به عنوان مبدا استفاده خواهد نمود.

نگهداری تونل

در برخی از تکنولوژی های Tunneling مانند L2TP و PPTP، تونل ساخته شده باید نگهداری و مراقبت شود. هر دو انتهای تونل باید از وضعیت طرف دیگر تونل با خبر باشندو نگهداری یک تونل معمولا از طریق عملیاتی به نام نگهداری فعال (KA) اجرا می گردد که طی این پروسه به صورت دوره زمانی مداوم از انتهای دیگر تونل آمار گیری می شود. این کار هنگامی که اطلاعاتی در خال تبادل نیست انجام می پذیرد.

پروتکل تبادل اطلاعات تونل

زمانی که یک تونل برقرار می شود، اطلاعات می توانند از طریق آن ارسال گردند. پروتکل تبادل اطلاعات تونل، اطلاعات را کپسوله کرده تا قابل عبور از تونل باشند. وقتی که تونل کلاینت قصد ارسال اطلاعات را به تونل سرور دارد، یک سرایند (مخصوص پروتکل تبادل اطلاعات) را بر روی پکت اضافه می کند. نتیجه این کار این است که اطلاعات از طریق شبکه عمومی قابل ارسال شده و تا تونل سرور مسیریابی می شوند. تونل سرور پکت ها را دریافت کرده و سرایند اضافه شده را از روی اطلاعات برداشته و سپس اطلاعات را به صورت اصلی در می آورد.

انواع تونل

تونل ها به دو نوع اصلی تقسیم می گردند: اختیاری و اجباری
تونل اختیاری
تونل اختیاری به وسیله کاربر و از سمت کامپیوتر کلاینت طی یک عملیات هوشمند، پیکربندی و ساخته می شود. کامپیوتر کاربر نقطه انتهایی تونل بوده و به عنوان تونل کلاینت عمل می کند. تونل اختیاری زمانی تشکیل می شود که کلاینت برای ساخت تونل به سمت تونل سرور مقصد داوطلب شود. هنگامی که کلاینت به عنوان تونل کلاینت قصد انجام عملیات دارد، پروتکل Tunneling مورد نظر باید بر روی سیستم کلاینت نصب گردد. تونل اختیاری می تواند در هر یک از حالت های زیر اتفاق بیفتد:
-کلاینت ارتباطی داشته باشد که بتواند ارسال اطلاعات پوشش گذاری شده را از طریق مسیریابی به سرور منتخب خود انجام دهد.
-کلاینت ممکن است قبل از اینکه بتواندتونل را پیکربندی کند، ارتباطی را از طریق Dialup برای تبادل اطلاعات برقرار کرده باشد. این معمول ترین حالت ممکن است. بهترین مثال از این حالت، کاربران اینترنت هستند. قبل از اینکه یک تونل برای کاربران بر روی اینترنت ساخته شود، آن ها باید به ISP خود شماره گیری کنند و یک ارتباط اینترنتی را تشکیل دهند.
تونل اجباری
تونل اجباری برای کاربرانی پیکربندی و ساخته می شود که دانش لازم را نداشته و یا دخالتی در ساخت تونل نخواهند داشت. در تونل اختیاری، کاربر، نقطه انتهایی تونل نیست. بلکه یک Device دیگر بین سیستم کاربر و تونل سرور، نقطه انتهایی تونل است که به عنوان تونل کلاینت عمل می نماید. اگر پروتکل Tunneling بر روی کامپیوتر کلاینت نصب و راه اندازی نشده و در عین حال تونل هنوز مورد نیاز و درخواست باشد. این امکان وجود دارد که یک کامپیوتر دیگر و یا یک Device شبکه دیگر، تونلی از جانب کامپیوتر کلاینت ایجاد نماید. این وظیفه ای است که به یک متمرکز کننده دسترسی (AS) به تونل، ارجاع داده شده است. در مرخله تکمیل این وظیفه، متمرکز کننده دسترسی یا همان AS باید پروتکل Tunneling مناسب را ایجاد کرده و قابلیت برقراری تونل را در هنگام اتصال کامپیوتر کلاینت داشته باشد. هنگامی که ارتباط از طریق اینترنت برقرار می شود، کامپیوتر کلاینت یک تونل تامین شده (Network Access Service) NAS را از طریق ISP احضار می کند. به عنوان مثال یک سازمان ممکن است قراردادی با یک ISP داشته باشد تا بتواند کل کشور را توسط یک متمرکز کننده دسترسی به هم پیوند دهد. این AC می تواند تونل هایی را از طریق اینترنت برقرار کند که به یک تونل سرور متصل باشند و از آن طریق به شبکه خصوصی مستقر در سازمان مذکور دسترسی پیدا کنند. این پیکربندی به عنوان تونل اجباری شناخته می شود، به دلیل این که کلاینت مجبور به استفاده از تونل ساخته شده به وسیله AC شده است. یک بار که این تونل ساخته شد، تمام ترافیک شبکه از سمت کلاینتو نیز از جانب سرور به صورت خودکار از طریق تونل مذکور ارسال خواهد شد. به وسیله این تونل اجباری، کامپیوتر کلاینت یک ارتباط PPP می سازد و هنگامی که کلاینت به NAS، از طریق شماره گیری متصل می شود، تونل ساخته می شود و تمام ترافیک به طور خودکار از طریق تونل مسیریابی و ارسال می گردد. تونل اجباری می تواند به طور ایستا و یا خودکار و پویا پیکربندی شود.
تونل های اجباری ایستا
پیکربندی تونل های Static معمولا به تجهیزات خاص برای تونل های خودکار نیاز دارند. سیستم Tunneling خودکار به گونه ای اعمال می شودکه کلاینت ها به AC از طریق شماره گیری (Dialup) متصل می شوند. این مسئله احتیاج به خطوط دسترسی محلی اختصاصی و نیز تجهیزات دسترسی شبکه دارد که به این ها هزینه های جانبی نیز اضافه می گردد. برای مثال کاربران احتیاج دارند که با یک شماره تلفن خاص تماس بگیرند، تا به یک AC متصل شوند که تمام ارتباطات را به طور خودکار به یک تونل سرور خاص متصل می کند. در طرح های Tunneling ناحیه ای، متمرکز کننده دسترسی بخشی از User Name را که Realm خوانده می شود بازرسی می کند تا تصمیم بگیرد در چه موقعیتی از لحاظ ترافیک شبکه، تونل را تشکیل دهد.
تونل های اجباری پویا
در این سیستم انتخاب مقصد تونل بر اساس زمانی که کاربر به AC متصل می شود، ساخته می شود. کاربران دارای Realm یکسان، ممکن است تونل هایی با مقصد های مختلف تشکیل بدهند. البته این امر به پارامترهای مختلف آنها مانند User Name، شماره تماسف محل فیزیکی و زمان بستگی دارد. تونل های Dynamic، دارای قابلیت انعطاف عالی هستند. همچنین تونل های پویااجازه می دهند که AC به عنوان یک سیستم Multi-NAS عمل کند، یعنی اینکه همزمان هم ارتباطات Tunneling را قبول می کند و هم ارتباطات کلاینت های عادی و بدون تونل را. در صورتی که متمرکز کننده دسترسی بخواهد نوع کلاینت تماس گسرنده را مبنی بر دارای تونل بودن یا نبودن از قبل تشخیص بدهد، باید از همکاری یک بانک اطلاعاتی سود ببرد. برای این کار باید AC اطلاعات کاربران را در بانک اطلاعاتی خود ذخیره کند که بزرگترین عیب این مسئله این است که این بانک اطلاعاتی به خوبی قابل مدیریت نیست. بهترین راه حل این موضوع، راه اندازی یک سرور RADIUS است، سروری که اجازه می دهد که تعداد نا محدودی سرور، عمل شناسایی USER های خود را بر روی یک سرور خاص یعنی همین سرور RADIUS انجام دهند، به عبارت بهتر این سرور مرکزی برای ذخیره و شناسایی و احراز هویت نمودن کلیه کاربران شبکه خواهد بود.

پروتکل های VPN
عمده ترین پروتکل هایی که به وسیله ویندوز 2000 برای دسترسی به VPN استفاده می شوند عبارتند از: PPTP، L2TP، IPSEC، IP-IP.
البته پروتکل امنیتی SSL نیز جزء پروتکل های مورد استفاده در VPN به شمار می آید، ولی به علت اینکه SSL بیشتر بر روی پروتکل های HTTP، LDAP، POP3، SMTP و... مورد استفاده قرار می گیرد، بحث در مورد آن را به فرتی دیگر موکول می کنیم.

پروتکل PPTP
پروتکل Tunneling نقطه به نقطه، بخش توسعه یافته ای از پروتکل PPP است که فریم های پروتکل PPP را به صورت IP برای تبادل آنها از طریق یک شبکه IP مانند اینترنت توسط یک سرایند، کپسوله می کند. این پروتکل می تواند در شبکه های خصوصی از نوع LAN-to-LAN نیز استفاده گردد.
پروتکل PPTP به وسیله انجمنی از شرکت های مایکروسافت، Ascend Communications، 3com، ESI و US Robotics ساخته شد. PPTP یک ارتباط TCPرا (که یک ارتباط Connection Oriented بوده و پس از ارسال پکت منتظرAcknowledgment آن می ماند) برای نگهداری تونل و فریم های PPP کپسوله شده توسط (Generic Routing Encapsulation) GRE که به معنی کپسوله کردن مسیریابی عمومی است، برای Tunneling کردن اطلاعات استفاده می کند. ضمنا اطلاعات کپسوله شده PPP قابلیت رمز نگاری و فشرده شدن را نیز دارا هستند، تونل های PPTP باید به وسیله مکانیسم گواهی همان پروتکل PPP که شامل (EAP، CHAP، MS-CHAP، PAP) می شوند، گواهی شوند. در ویندوز 2000 رمزنگاری پروتکل PPP فقط زمانی استفاده می گردد که پروتکل احراز هویت یکی از پروتکل های EAP، TLS و یا MS-CHAP باشد. باید توجه شود که رمز نگاری PPP، محرمانگی اطلاعات را فقط بین دو نقطه نهایی یک تونل تامین می کند و در صورتی که به امنیت بیشتری نیاز باشد، باید از پروتکل Ipsec استفاده شود.

پروتکل L2TP
پروتکل L2TP ترکیبی است از پروتکل های PPTP و (Layer 2 Forwarding) L2F که توسط شرکت سیسکو توسعه یافته است. این پروتکل ترکیبی است از بهترین خصوصیات موجود در L2F و PPTP.
L2TP نوعی پروتکل شبکه است که فریم های PPP را برای ارسال بر روی شبکه های IP مانند اینترنت و علاوه بر این برای شبکه های مبتنی بر X.25، Frame Relay و یا ATM کپسوله می کند. هنگامی که اینترنت به عنوان زیر ساخت تبادل اطلاعات استفاده می گردد، L2TP می تواند به عنوان پروتکل Tunneling از طریق اینترنت مورد استفاده قرار گیرد.
L2TP برای نگهداری تونل از یک سری پیغام های L2TP و نیز از پروتکل UDP (پروتکل تبادل اطلاعات به صورت Connection Less که پس از ارسال اطلاعات منتظر دریافت Acknowledgment نمی شود و اطلاعات را، به مقصد رسیده فرض می کند) استفاده می کند. در L2TP نیز فریم های PPP کپسوله شده می توانند همزمان علاوه بر رمزنگاری شدن، فشرده نیز شوند. البته مایکروسافت پروتکل امنیتی Ipsec را به جای رمزنگاری PPP توصیه می کند. ساخت تونل L2TP نیز باید همانند PPTP توسط مکانیسم (PPP EAP، CHAP، MS-CHAP، PAP) بررسی و تایید شود.

PPTP در مقابل L2TP
هر دو پروتکل PPTP و L2TP از پروتکل PPP برای ارتباطات WAN استفاده می کنند تا نوعی اطلاعات ابتدایی برای دیتا را فراهم کنند و سپس یک سرایند اضافه برای انتقال اطلاعات از طریق یک شبکه انتقالی به پکت الحاق بنمایند. هر چند این دو پروتکل در برخی موارد نیز با هم تفاوت دارند. برخی از این تفاوت ها عبارتند از:
1)شبکه انتقال که PPTP احتیاج دارد، باید یک شبکه IP باشد. ولی L2TP فقط به یک تونل احتیاج دارد تا بتواند ارتباط Point-to-Point را برقرار کند. حال این تونل می تواند بر روی یک شبکه IP باشد و یا بر روی شبکه های دیگر مانند Frame Relay، X.25 و یا ATM.
2)L2TP قابلیت فشرده سازی سرایند را داراست. هنگامی که فشرده سازی سرایند انجام می گیرد، L2TP با حجم 4 بایت عمل می کند، در حالی که PPTP با حجم 6 بایت عمل می نماید.
3)L2TP متد احراز هویت را تامین می کند، در حالی که PPTP این گونه عمل نمی کند، هر چند وقتی که PPTP یا L2TP از طریق پروتکل امنیتی Ipsec اجرا می شوند، هر دو، متد احراز هویت را تامین می نمایند.
4)PPTP رمزنگاری مربوط به PPP را استفاده می کند، ولی L2TP از پروتکل Ipsec برای رمزنگاری استفاده می نماید.

پروتکل Ipsec
Ipsec یک پروتکل Tunneling لایه سوم است که از متد ESP برای کپسوله کردن و رمزنگاری اطلاعات IP برای تبادل امن اطلاعات از طریق یک شبکه کاری IP عمومی یا خصوصی پشتیبانی می کند. Ipsec به وسیله متد ESP می تواند اطلاعات IP را به صورت کامل کپسوله کرده و نیز رمزنگاری کند. به محض دریافت اطلاعات رمزگذاری شده، تونل سرور، سرایند اضافه شده به IP را پردازش کرده و سپس کنار می گذارد و بعد از آن رمزهای ESP و پکت را باز می کند. بعد از این مراحل است که پکت IP به صورت عادی پردازش می شود. پردازش عادی ممکن است شامل مسیریابی و ارسال پکت به مقصد نهایی آن باشد.

پروتکل IP-IP
این پروتکل که با نام IP-IN-IP نیز شناخته می شود، یک پروتکل لایه سوم یعنی لایه شبکه است. مهمترین استفاده پروتکل IP-IP برای ایجاد سیستم Tunneling به صورت Multicast است که در شبکه هایی که سیستم مسیریابی Multicast را پشتیبانی نمی کنند کاربرد دارد. ساختار پکت IP-IPتشکیل شده است از: سرایند IPخارجی، سرایند تونل، سرایند IP داخلی و اطلاعات IP. اطلاعات IP می تواند شامل هر چیزی در محدوده IP مانند TCP، UDP، ICMP و اطلاعات اصلی پکت باشد.

مدیریت VPN

در بیشتر موارد مدیریت یک VPN مانند مدیریت یک RAS سرور (به طور خلاصه، سروری که ارتباط ها و Connection های برقرار شده از طریق راه دور را کنترل و مدیریت می کند)، می باشد. البته امنیت VPN باید به دقت توسط ارتباطات اینترنتی مدیریت گردد.

مدیریت کاربران VPN

بیشتر مدیران شبکه برای مدیریت کاربران خود ار یک پایگاه داده مدیریت کننده اکانت ها برروی کامپیوتر DC و یا از سرور RADIUS استفاده می نمایند. این کار به سرور VPN اجازه می دهد تا اعتبارنامه احراز هویت کاربران را به یک سیستم احراز هویت مرکزی ارسال کند.

مدیریت آدرس ها و Name Server ها

سرور VPN باید رشته ای از آدرس های IP فعال را در خود داشته باشد تا بتواند آنها را در طول مرحله پردازش ارتباط از طریق پروتکل کنترل IP به نام IPCP به درگاه های VPN Server یا Client اختصاص دهد.
در VPN هایی که مبتنی بر ویندوز 2000 پیکربندی می شوند، به صورت پیش فرض، IP آدرس هایی که به Client های VPN اختصاص داده می شود، از طریق سرور DHCP گرفته می شوند. البته همان طور که قبلا گفته شد شما می توانید یک رشته IP را به صورت دستی یعنی ایستا به جای استفاده از DHCP اعمال کنید. ضمنا VPN Server باید توسط یک سیستم تامین کننده نام مانند DNS و یا WINS نیز پشتیبانی شود تا بتواند سیستم IPCP را به مورد اجرا بگذارد.

.:.:.:. پروکسی و فیلتر چیست ؟.:.:.:.

xix — Sat, 05 Nov 2005 09:44:18 GMT

مهرداد - ع SetarehSorkh Scientific Group کلمه پروکسي Proxy که امروزه زياد شنيده مي شود و همه جا مترادف با فيلتر و محدوديت بيان مي شود . اما فيلتر چيست ونحوه کار آن به چه صورت است ؟ Proxy Server معمولا به عنوان بخشي از ديوار آتش سرويس دهندگان اينترنت مورد استفاده قرار مي گيرد و نحوه کار آن به اين صورت است : وقتي که کاربر در يک شبکه محلي مي خواهد به يک سرويس دهنده اينترنت دست رسي داشته باشد يک در خواست از کامپيوتر به سرويس دهنده Proxy مي فرستد . سپس سرويس دهنده Proxy اطلاعات را از سرويس دهنده اينترنت به کامپيوتر درون شبکه داخلي مي فرستد . و به صورت دقيق تر Proxy بسته هاي اطلاعات يعني اطلاعات در حال عبور از شبکه را مورد کنترل و برسي قرار مي دهد 0(اطلاعات در حال عبور شامل IP فرستنده و دريافت کننده همچنين Protocol مورد استفاده براي ارسال بسته هاي اطلاعاتي و اطلاعاتي از اين قبيل مي باشد )و مي تواند انتقال بسته هاي مشخص را از اينترنت به شبکه داخلي و برعکس را مسدود کند. اين مطالب يک تعريف بسيار ساده از پروکسي است .

.:.:.:.بررسي حملات D.O.S .:.:.:.

xix — Sat, 05 Nov 2005 09:42:18 GMT

سرويس مقالات ايتنا - شايد بيشتر مديران شبكه‌ها و علاقه مندان به امنيت اسم حملاتي موسوم به DOS را در سال‌هاي اخير شنيده باشند. اما بيشتر آنها ندانند DOS چگونه عمل مي‌كند و پيامدهاي ناشي از اين حمله چيست ؟ گروهي نيز تفكرات نادرسي از حملات DOS در ذهن دارند و فكر مي‌كنند كه مي توان با استفاده از يك ديوار آتش نرم‌افزاري يا برنامه‌هايي ديگر از اين قبيل با حملات DOS و DDOS مقابله كرد و جلوي آن را گرفت.

بسياري از سايت‌هاي بزرگ نيز در حال حاضر قادر به مقابله با حملات DOS نيستند زيرا اين حملات به نوع متفاوتي سازماندهي مي‌شوند و در بيشتر اوقات با ايجاد ترافيكي بالا لشكري از Packet هاي TCP را به سمت سرويس‌هاي خدمات دهنده سرازير مي‌كنند. به عنوان مثال در هنگام به وجود آمدن و شناسايي ويروس Blaster پس از آلوده شدن صدها هزار كامپيوتر در سراسر دنيا بوسيله اين كرم كامپيوتري كه از يك ضعف در سيستم عامل‌هاي ويندوز مايكروسافت استفاده مي‌كرد، خبري با اين عنوان كه اين ويروس در روز 20 اگوست شروع به فرستادن پاكت‌هايي به سمت سايت windowsupdate.com مي‌نمايد در رسانه‌هاي امنيتي انتشار يافت كه در پي آن مسئولين امنيتي مايكروسافت چاره‌اي جز از كار انداختن سايت Windowsupdate.com و حذف آن از DNSهاي جهاني نديدند. با اينكه آنها تا آخرين لحظات از عنوان كردن روش خود يعني از كار انداختن سايت مورد نظر خودداري مي‌نمودند، اما قابل پيش‌بيني بود كه به هيچ وجه سرويس‌هاي خدمات دهنده مايكروسافت نيز قادر به مقابله با اين حجم ترافيك بالا نخواهند بود و دير يا زود از سرويس دهي باز مي‌مانند.

چگونگي عملكرد ويروس Blaster براي ايجاد يك حمله DOS
1- در طي يك هفته ويروس Blaster انتشار يافت و حدود 50000 هزار ماشين را در سراسر دنيا آلوده ساخت.
2- پس از رسيدن به روزي كه كرم Blaster براي آن تاريخ برنامه‌ريزي شده بود، قرار بر اين بود كه ماشين‌هاي آلوده از سراسر دنيا شروع به ارسال پاكت‌هايي به پورت 80 سايت www.windowsupdate.com كنند كه يكي از سايت‌هاي مايكروسافت مي‌باشد در نتيجه با مشغول شدن سرويس دهندگان سايت براي رسيدگي به درخواست‌هاي ماشين‌هاي آلوده امكان جوابگويي به درخواست‌هاي مشتريان واقعي نبود و همين باعث به وجود آمدن يك حمله DOS مي‌شد.

امروزه نسل جديدي از حملات DOS به وجود آمده‌اند كه DDOS نام گرفته‌اند. اين حملات نوع گسترش يافته حملات DOS هستند كه از اواخر سال 1999 مورد استفاده قرار گرفته‌اند . در سال 2000 حملات DDOS توسط نفوذگران براي از كار انداختن و حمله به سايت‌هاي بزرگي مانند, e-Bay CNN , Amazon مورد استفاده قرار گرفته است.

بررسي حملات D.D.O.S
در چند ماه گذشته در گيرودار دادگاه جنجالي شركت SCO سايت اين شركت توسط طرفداران سيستم عامل‌هاي لينوكس و كدباز مورد حمله DDOS قرار گرفت و براي چند روز از كار افتاد، اين حمله يكي از بي‌سابقه‌ترين و سخت‌ترين حملات DDOS در چند سال اخير محسوب مي‌شود.

نمودار زير ميزان Hit هاي وارد شده به سايت Scا در ثانيه نشان مي دهد .
منظور از Hit درخواست هايي مي باشند كه از سرويس دهنده تقاضا مي شوند.

همانطور كه در شكل مشاهده مي‌كنيد اين حملات از تاريخ چهارشنبه 10 دسامبر و در ساعت 3:20 شروع شده كه تعداد پاكت‌هاي ارسالي 34000 پاكت در ثانيه بوده است. در روز پنجشنبه 11 دسامبر و در ساعت 2:50 صبح حمله كنندگان دست به حمله ديگري زدند اين بار با هزاران ماشين از سراسر دنيا سرويس Ftp و WEB شركت Sco را با آدرس هاي www.Sco.com و Ftp.Sco.com مورد حمله SYN Flood قرار دادند.

تعداد درخواست‌ها براي حمله در اين روز به حداكثر خود يعني 50000 درخواست در ثانيه رسيد و بالاخره در ساعت 10:45 روز پنجشنبه شركت Sco مجبور به حذف ماشين سرويس دهنده وب خود شد تا با اين كار از ورود درخواست‌هاي حمله كنندگان براي اتصال به اين ماشين جلوگيري كند.

اين روزها نسل جديدي از ويروس ها كه پس از Blaster به وجود مي آيند از تكنيك DOS براي حمله به اهداف خود استفاده مي‌كنند . اين كرم هاي اينترنتي پس از آلوده كردن تعداد زيادي ماشين در سراسر دنيا در تاريخي خاص شروع به ارسال پكت به سوي اهداف از قبل تعيين شده مي‌كنند و حمله اي را به صورت DOS به وجود مي آورند مانند انواع ويروس MY. doom . اين حملات به علت گستردگي ارسال درخواست‌ها ترافيك زيادي را بر روي اينترنت ايجاد مي‌كنند و شركت‌ هاي مورد حمله قرار گرفته كار زيادي در جهت مقابله با آن نمي‌توانند انجام دهند.

در مورد ديگر مي توان به ويروسCycle اشاره كرد كه يك ويروس ايراني بود و در اهداف خود را به همين وسيله مورد حمله قرار مي داد.

با بررسي اين حملات مي‌توان نتيجه گرفت با اين كه در روش DDOS از تكنيك‌هاي ساده و قديمي استفاده مي‌شود اما مي‌توان با ترتيب دادن حملات گسترش يافته شركت‌هاي بزرگي مانند Microsoft و Sco را نيز دچار مشكل كرد تا جايي كه تنها چاره‌اي كه براي مسئولين امنيتي اين شركتها باقي مي ماند قطع ارتباط ماشين‌هايي است كه مورد حمله قرار گرفته‌اند.

در ادامه به بررسي روشن‌تري از حملات DOS و آشنايي با چگونگي عملكرد پروتكل TCP مي‌پردازيم. سپس انواع حملات DOS را طبقه‌بندي كرده و تشريح مي‌كنيم و ابزاري كه نفوذگران از آن براي ايجاد اين حملات استفاده مي‌كنند را معرفي خواهيم كرد.

D.O.S (Denial Of Service Attack)
حمله‌اي كه باعث جلوگيري از كار يك سرويس يا مانع دسترسي به منابعي شود را حمله DOS گويند . به عنوان مثال حملات D.O.S بر روي ماشين‌هاي سرويس دهنده وب ممكن است منجرب به اين شود كه سرويس دهنده قادر به سرويس دهي به مشتريان نباشد. يا پر كردن پهناي باند يك ماشين باعث قطع ارتباط اين ماشين با شبكه اصلي مي شود.
براي بررسي دقيق‌تر و بيان نحوه عملكرد حملات D.O.S احتياج به بررسي پاكتهاي TCP و چگونگي برقراري ارتباط تحت پروتكل TCP/IP است كه در اين مقاله به بررسي اجمالي از آن مي پردازيم .

بررسي اجزاي داخل يك پكت TCP :

اجزاي داخلي يك پكت TCP شامل اطلاعاتي در مورد درگاه مبدا درگاه مقصد شماره رشته داده ها و... مي‌باشد كه باعث مي‌شود اطلاعات در مسير اينترنت جا به جا شوند.

بررسي عملكرد پروتكل TCP
سه مرحله اصلي دست دادن يا برقراري ارتباط بين يك سرويس دهنده و يك مشتري:
در اين شكل سرويس دهنده(Server) با اسم TCP B و مشتري(Client) با اسمTCP A نشان داده شده است.

1 - مشتري پكت TCP را با علامت SYN براي سرويس دهنده ارسال مي نمايد . اين پكت باعث مي شود سرويس دهنده متوجه گردد كه مشتري درخواست ارسال اطلاعات را دارد. در اين هنگام مشتري منتظر جواب از سوي سرويس دهنده باقي مي‌ماند تا در صورت برگشت جواب اطلاعات را ارسال كند .
2 - سرويس دهنده پس از دريافت در خواست مشتري يك پكت را با علامت SYN/ACK در پاسخ براي مشتري ارسال مي‌نمايد. اين پكت نشان دهنده اجازه برقراري ارتباط و ارسال اطلاعات مي‌باشد.
3- مشتري پس از دريافت پكت از سوي سرويس دهنده يك ACK براي سرويس دهنده ارسال مي‌كند .
4 - سپس مشتري اقدام به ارسال اطلاعات مي‌كند.

بررسي انواع روش‌هاي DOS

بررسي حمله SYN flood :
اين حمله با ارسال درخواست‌هاي متعدد با علامت SYN به ماشين قرباني باعث پر شدن سف Backlog مي‌شود. اما Backlog چيست؟ تمامي درخواست‌هايي كه به ماشين وارد مي‌شوند و شامل علامت SYN براي برقراري ارتباط مي‌باشند در قسمتي از حافظه به ترتيب ذخيره مي‌شوند تا پس از بررسي جواب آنها داده شده و ارتباط برقرار شود، اين قسمت از حافظه Backlog Queue نام دارد. وقتي كه اين قسمت به علت درخواست‌هاي زياد پر شود، سرويس دهنده مجبور به رها كردن درخواست‌هاي جديد مي‌شود و در نتيجه از رسيدگي به اين درخواست‌ها باز مي ماند (Denial Of Service) . ) شكل شماره 1

ررسي Reset(RST) :
پاكت‌هايي كه به علامت RST ارسال مي‌گردند باعث مي‌شوند كه ارتباط مورد نظر قطع گردد. در واقع اگر ماشين A به سمت ماشين B پاكتي را با علامت RST ارسال كند درخواست اتصال مورد نظر از Backlog پاك خواهد شد.
از اين حمله مي توان براي قطع اتصال دو ماشين استفاده كرد. به اين ترتيب كه اتصالي كه بين دو ماشين A و B برقرار است را نفوذگر با ارسال يك در خواست RST به ماشين B از طرف ماشين A قطع مي‌كند. در واقع در داخل پكتي كه از سوي ماشين نفوذگر به سمت قرباني ارسال مي‌شود IP مشتري گذاشته مي‌شود و در اين صورت ماشين B كه سرويس دهنده مي‌باشد ارتباط مورد نظر ماشين A را از Backlog حذف مي‌كند.
در اين روش شخص حمله كننده بوسيله ابزاري مي‌تواند IP جعلي توليد كرده و در واقع درخواست خود را جاي ماشين ديگري ارسال كند. به اين تكنيك Spoofing نيز گفته مي شود . (شكل شماره 5-1(

با كمي دقت در شكل شماره 5-1 در مي‌يابيد IP مبدا (SourceIP) كه در پكت ارسالي از سوي ماشين حمله كننده به سمت ماشين B ميرود همان IP ماشين شماره A مي باشد(1.1.1.1( . در صورتيكه IP ماشين شماره C كه نفوذگر از آن استفاده مي‌كند چيز ديگري است . (1.1.1.3(

بررسي حمله Land Attack :
در اين حمله با استفاده از روش Spoofing در پاكت‌هايي كه به سمت سرويس دهنده ارسال مي‌شود به جاي IP و Port مبداء و مقصد IP و Port خود ماشين سرويس دهنده قرار داده مي‌شود.
در واقع IP و PORT ماشين سرويس دهنده به سمت خود سرويس دهنده ارسال مي‌شود. اين عمل باعث مي شود تا در سيستم عامل‌هاي قديمي يك حلقه داخلي Routing به وجود بيايد كه باعث پر شدن حافظه و به وجود آمدن حمله DOS مي شود. اين حمله در ماشين‌هاي Win 95 (winsok 1.0) و Cisco IOS ver 10.x و سيستم‌هاي قديمي باعث از كار افتادن سيستم مي‌شد اما امروزه تمامي سيستم هاي هوشمند مانند IDS ها قادر به شناسايي اين حملات مي باشند و اين حمله تاثير زيادي بر روند كاري سرويس دهنده ندارد.

بررسي حمله Smurf Attack :
اين حملات با ارسال درخواست‌هاي ICMP به سمت محدوده‌اي از IP هاي amplifier باعث وسعت دادن ترافيك و به وجود آمدن حمله DOS مي شوند.
حمله كننده مي‌تواند درخواست‌هاي ICMP خود را به صورت Spoof شده و از طرف ماشين قرباني به IP هاي amplifier ارسال كند با ارسال هر درخواست صدها جواب براي درخواست ICMP به سمت ماشين قرباني سرازير مي شوند و ترافيك آن را بالا مي برند. ( شكل شماره 6 - 1)
Amplifier: تمام شبكه‌هايي كه درخواست‌هاي ICMP را براي IP broadcast خود فيلتر نكرده‌اند يك Amplifier محسوب مي شوند.
حمله كننده مي‌تواند در خواست‌هاي خود را مثلا به IP هايي مانند:
192.168.0.xxx كه X مي تواند 255, 223, 191, 159, 127, 95, 63, 31, 15, 7, 3 يعني IP هاي Broadcast باشند ارسال كند . البته قابل ذكر است IP broadcast بستگي به چگونگي بخش‌بندي IP در شبكه دارد.

IDS: اين برنامه ها نسل جديد برنامه هاي امنيتي هستند كه قادرند ترافيك يك شبكه را مورد بررسي قرار داده و حملات جديد نفوذگران را شناسايي كرده و جلوي آن را بگيرند خصوصيت اين برنامه ها هوشمند بودن آنها است. اين برنامه ها در لايه هاي پايين شبكه تمامي پكتهاي رد و بدل شده بين ماشين ها را خوانده و مورد بررسي قرار مي‌دهند.

معرفي ايزارهاي D.O.S
چند نمونه از برنامه‌هايي كه توسط نفوذگران بر روي ماشين‌هاي Zombie براي حملات DOS مورد استفاده قرار مي‌گيرند به شرح زير مي باشند:
Trin00
TFN2K(Tribe Flood Network)
Stacheldraht
t wintrin00
mstream
Evil bot
Pulse 2002 (BY Security Storm)

تمامي اين برنامه‌ها قادرند به عنوان ابزاري براي به وجود آوردن حملات DOS مورد استفاده قرار گيرند.
نفوذگران براي آن كه بتوانند حملات خود را به صورت كامل انجام دهند احتياج به ماشين‌هاي زيادي دارند تا با در اختيار گرفتن پهناي باند ماشين‌هاي آلوده يا همان Zombie ها حملات DOS خود را شكل دهند بيشتر آنها به نفوذ به اين ماشين‌ها بر روي آنها برنامه هايي را نصب مي‌كنند كه قادرند تا در زمان مشخص فرمان‌هاي خود را بر روي آنها اجرا كنند يكي از اين برنامه ها Evil bot است كه نفوذگر مي‌تواند فرمان‌هاي خود را از طريق يك IRC server به صدها ماشين آلوده در يك زمان ارسال كند.

Zombie: بيشتر ماشين‌هاي موجود در دانشگاه‌ها و يا مراكز دولتي به علت پهناي باند مناسبي كه دارند و همچنين رعايت نكردن اصول امنيتي كافي هك شده و بعد از نصب ابزار DOS بر روي آنها توسط نفوذگران براي تشكيل حملات DOS مورد استفاده قرار مي‌گيرند، در اصطلاح Zombie به ماشين‌هايي گفته مي‌شود كه توسط نفوذگران هك شده‌اند و نفوذگران قادرند با درخواست‌هاي خود از روي اين ماشين‌ها قرباني خود را مورد حمله قرار دهند.

--------------------------------------------
1- windowsupdate.comيكي از سايت‌هاي مايكروسافت كه امكان دريافت اخرين Patch هاي سيستم عامل‌هاي مختلف ويندوز بوسيله آن امكان پذير است.
2- براي اطلاعات و اخبار بيشتر در مورد عملكرد blaster مي توانيد به پيوندهاي زير مراجعه كنيد :
http://www.hat-squad.com/blog/archives/000042.html
http://www.hat-squad.com/blog/archives/000041.html
http://www.hat-squad.com/blog/archives/000038.html
3- اخبار مربوط به حمله DDOS بر روي سرويس شركت SCO :
http://www.computerworld.com/governmenttopics/government/legalissues/story/

0,10801,88065,00.html?f=x62
http://www.caida.org/analysis/security/sco-dos
4- براي اطلاعات و اخبار بيشتر در مورد عملكرد ويروس Cycle مي توانيد به پيوند زير مراجعه كنيد:
http://www.hat-squad.com/pe/000074.html

در صورتيكه احساس مي‌كنيد شبكه شما توسط حملات DOS مورد حمله قرار مي گيرد مي توانيد از سرويس هاي بررسي حملات گروه امنيت Hat-Squad استفاده نماييد.