UNIVERSIDADE SALVADOR

DEPARTAMENTO DE INFORMTICA
CURSO DE CINCIAS DA COMPUTAO COM NFASE EM
ANLISE DE SISTEMAS

ANLISE E IMPLEMENTAO DE VPN EM AMBIENTE

LINUX
Eduardo Santana de Almeida
Maria Fernanda Barros
Vincius Cardoso Garcia

Salvador / Bahia
2000

Eduardo Santana de Almeida

Maria Fernanda Barros
Vincius Cardoso Garcia

ANLISE E IMPLEMENTAO DE VPN EM AMBIENTE

LINUX

Monografia da disciplina Projetos de Sistemas

Especficos do curso de graduao em Cincias da
Computao da Unifacs, como requisito parcial
obteno do bacharelado em Cincias da
Computao com nfase em Anlise de Sistemas.
Ncleo temtico: Redes de computadores
Orientador: Msc. Antnio Carlos Fontes Atta
Coordenao: Msc. Isaac Douglas Moreira

Salvador / Bahia
Universidade Salvador
2000

Aprender uma coisa significa entrar em contato

com um mundo do qual no se tem a menor idia.
preciso ser humilde para aprender.
Paulo Coelho

SUMRIO
1. INTRODUO

2. SEGURANA DE REDES

3. VPN

14

3.1. ARQUITETURAS
3.1.1. VPN BASEADA EM FIREWALL
3.1.2. VPN BASEADA EM DISPOSIIVO BLACK-BOX
3.1.3. VPN BASEADA EM ROTEADORES
3.1.4. VPN BASEADA EM ACESSO REMOTO
3.2. TOPOLOGIAS
3.2.1. TOPOLOGIA DE VPN UTILIZANDO ACESSO REMOTO
3.2.2. TOPOLOGIA DE VPN LAN-TO-LAN
3.2.3. TOPOLOGIA DE VPN UTILIZANDO NAT

4. ANLISE DE PROTOCOLOS E FERRAMENTAS

4.1. TUNELAMENTO
4.2. PROTOCOLOS
4.3. FERRAMENTAS
4.3.1. VTUN
4.3.2. STUNNEL
4.3.3. FREES/WAN
4.3.4. CIPE
4.3.5. OUTRAS FERRAMENTAS

5. DESCRIO DA IMPLEMENTAO
5.1. ABORDAGEM INICIAL
5.2. ESTUDO DE CASO UNIFACS
5.2.1. PRDIOS DAS UNIFACS
5.2.2. ESTRUTURA DA REDE UNIFACS
5.2.3. ESTRUTURA DA REDE DOS PRDIOS DA UNIFACS
5.3. MODELO PROPOSTO
5.4. AMBIENTE DE TESTES

19
19
20
21
21
22
22
24
25

27
27
28
33
33
34
35
38
41

42
42
43
44
44
47
50
53

6.CONCLUSO

56

APNDICE A

58

APNDICE B

59

BIBLIOGRAFIA

60

GLOSSRIO

63

1. INTRODUO

Durante a primeira dcada de sua existncia, as redes de computadores foram

principalmente usadas por pesquisadores universitrios para enviar mensagens de correio
eletrnico, por militares e por funcionrios de organizaes com o objetivo de compartilhar
documentos, impressoras entre outros recursos. Sob estas condies de uso restrito, a
segurana nunca precisou de maiores cuidados. Mas atualmente, como milhes de pessoas
esto usando as redes para executarem operaes bancrias, operaes de comrcio
eletrnico e acesso remoto informaes confidenciais, a segurana das redes est
despontando como um problema em potencial [TAN97].
A segurana um assunto muito amplo. Basicamente, a segurana se preocupa em
garantir que pessoas indesejadas no tenham acesso a determinadas informaes e possam
ler, ou at alterar mensagens e documentos de suma importncia. Uma outra tarefa da
segurana proibir o acesso de intrusos a determinados servios remotos, aos quais estas
pessoas no esto autorizadas a utilizar.
A grande maioria dos problemas de segurana que ocorrem atualmente, so
causados por pessoas que atuam em beneficio prprio ou com a inteno de prejudicar
algum. Alguns dos intrusos mais comuns so estudantes que divertem-se apoderando-se
de informaes de empresas, para simplesmente mostrarem o seu grau de conhecimento e o
seu poder de execuo. Os invasores, mais conhecidos como hackers, tm o intuito de
desafiar os sistemas de segurana de organizaes para obter determinadas informaes
confidenciais. Em muitos casos, podem tratar-se de ex-funcionrios que queiram se vingar
por algum motivo ou espies que buscam descobrir segredos importantes.
Os muitos problemas de segurana de redes podem ser divididos em quatro reas
que esto intimamente interligadas, so elas: sigilo, autenticao, no-repudiao e controle
de integridade [TAN97].

O sigilo o ato de manter as informaes protegidas de indivduos indesejveis.

Consiste em manter um gerncia total sobre as informaes controlando quem tem acesso a
elas. Este o sentido comum que vem mente das pessoas quando tratamos do assunto
segurana em redes de computadores.
A autenticao, em geral, o processo de identificar com quem est se trocando
informaes sigilosas, ou seja, o processo de confirmao se quem voc esta falando
realmente a pessoa com quem voc queria falar.
J a no-repudiao trata das assinaturas. Ela utilizada para comprovar possveis
desencontros de informaes que venham a ocorrer, como quando um cliente insiste em
dizer que o preo do contrato assinado foi um valor muito abaixo do real, como provar isso
em um ambiente onde transao toda foi feita por meio digital? Como pode-se ter certeza
que uma mensagem recebida original e no uma informao com o intuito de lhe
prejudicar?
As pessoas identificam outras atravs de suas feies e de sua caligrafia, e as
comprovaes so feitas atravs de assinaturas em papel timbrado, com smbolos em alto
relevo e atravs de outras formas de reconhecimento. Geralmente as falsificaes so
detectadas por especialistas em caligrafia, papel e tinta. Infelizmente estas opes no esto
disponveis no mundo digital, por isso est muito claro que so necessrias outras solues.
Todos estes pontos abordados tambm ocorrem nos sistemas mais tradicionais, mas
com as suas devidas peculiaridades.
Basicamente as redes de computadores no so seguras. Existem muitas solues
para se implementar segurana em uma rede. Pode-se escolher dentre varias opes; aes
implementadas desde ao nvel da camada fsica at ao nvel da camada de transporte, pois
existem possibilidades variadas de tecnologias para segurana.
Uma das solues mais adotadas visando manter o sigilo das informaes enviadas
em uma rede de dados, consiste no uso da criptografia, ou seja, as informaes so
embaralhadas de uma tal maneira que s computadores autorizados consigam resgatar a
informao na sua forma original.

Uma soluo para garantir a segurana na transmisso dos dados em redes pblicas
como a Internet, aliando o uso de criptografia, exatamente a VPN Virtual Private
Network, ou Redes Privadas Virtuais.
Uma VPN uma conexo de rede segura entre dois ou mais indivduos, redes
privadas (conexes cliente-servidor) ou Intranets, utilizando uma infra-estrutura de rede
interna no caso de se optar por implementar uma VPN dentro da organizao ou ento
utilizar uma infra-estrutura de rede j existente como a Internet para a comunicao externa
ou remota.
Uma VPN pode ser aplicada em toda e qualquer organizao que pretenda realizar
transaes ou transferncia de dados de uma maneira segura. A VPN busca garantir toda a
integridade e segurana dos dados, pois ela utiliza uma forte criptografia para garantir o
sigilo das informaes trafegadas, alm de realizar a autenticao dos usurios desta rede
privada e executar outras funes inerentes ao seu conceito.
Nesta monografia, no prximo captulo sero abordados os aspectos bsicos de
segurana de redes, apontando suas caractersticas, formas de identificar ataques, poltica
de segurana e exemplos de alguns ataques.
Em seguida, no capitulo 3 ser visto uma possvel soluo para o problema de
segurana de redes, abordando o conceito de VPN, as reas onde o conceito de VPN pode
ser aplicado, seus principais componentes, assim como suas vantagens e desvantagens e as
questes relacionadas ao uso de criptografia para garantir a segurana das informaes.
Aps a abordagem do conceito de VPN, no capitulo 3 sero revistas as arquiteturas
VPNs tpicas como VPNs baseadas em firewalls, em dispositivos black-box, em roteadores,
e VPN utilizada para o acesso remoto. Sero abordadas tambm as Topologias de VPN
existentes hoje, ou seja, algumas das formas de se implementar uma VPN atendendo s
especificaes da organizao ou tambm a estrutura da rede j existente.
No capitulo 4 ser abordada a anlise de alguns protocolos que contribuem para a
implementao de uma VPN. Foram analisados neste trabalho trs protocolos: PPTP
(Point-to-Point Tunneling Protocol), L2F (Layer 2 Forwarding Protocol), L2TP (Layer2

Tunneling Protocol). Alm de uma apresentao histrica destes protocolos, incluindo as

caractersticas herdadas dos protocolos da camada de enlace de dados, como o SLIP (Serial
Line IP) e o PPP (Point-to-Point Protocol). Sero analisadas tambm quatro ferramentas
distribudas publicamente e compatveis com o sistema operacional Linux que
implementam VPN e que diferem em pontos como a camada de rede que atua, ou o
algoritmo de criptografia que utiliza entre outras. So elas: Vtun, Stunnel, FreeS/WAN e
CIPE (Crypto IP Encapsulation). Sero apresentadas as peculiaridades de cada ferramenta,
individualmente, alm de uma apresentao das suas caractersticas e das suas vantagens e
desvantagens.
Em seguida, ser apresentado tambm como aplicao dos conceitos vistos um
estudo de caso em que o foco a rede da UNIFACS (Universidade Salvador), visando uma
soluo de VPN que possibilite uma comunicao segura dos dados administrativos, com
um custo reduzido e utilizando, para isso, ferramentas disponveis publicamente.

2. SEGURANA EM REDES

Atualmente no mundo internacional das redes e com o comrcio eletrnico, todo

sistema de computador se tornou um alvo em potencial para intrusos. O problema que no
h como saber os motivos que levam o intruso a agir e nem quando ele pode atacar,
contudo importante tentar se prevenir utilizando mecanismos de proteo.
O termo segurana de redes aborda uma variedade de servios, processos e exigncias
para uma organizao. Em virtude deste fato, uma definio das diretrizes para poltica de
segurana de fundamental importncia para os administradores de sistemas e deve fazer
parte do planejamento de informtica de qualquer organizao, j que, envolve custos.
Dentre os principais aspectos da rea de segurana de redes podemos destacar [GAR96]:
Confidencialidade: a informao deve ser protegida, garantindo o acesso exclusivo a
pessoas autorizadas, no somente a informao como um todo, mas tambm parte dela;
Integridade dos dados: a informao deve ser protegida para no ser apagada ou
alterada sem a prvia permisso do seu dono; essa informao pode variar desde
registros de contas de usurios e dispositivos de backup, at documentao confidencial
da organizao;
Controle de acesso: regulando o acesso para o sistema de forma a evitar que um
usurio desconhecido ou no autorizado tenha acesso causando transtornos, implicando
em perda de tempo e de dinheiro em operaes de reconfigurao. E em alguns casos,
reinstalao de todo o sistema ou na busca de vestgios de mudanas em algumas
configuraes;
Auditoria: um grande aliado para o controle de acesso sem dvida a auditoria;
atravs dela podemos possivelmente identificar o autor ou a origem dos ataques assim
como suas aes no sistema; a maioria dos sistemas de computadores modernos que
do suporte conexo em rede possuem ferramentas de auditoria.

Outro fator importante que no deve deixar de ser considerado quando vamos
implementar uma poltica de segurana definir qual a taxa de risco para sua organizao.
Uma abordagem rpida e eficiente poder ser usada atendendo a questes, como:
Definir o que se est tentando proteger. Nesta situao encontram-se os dados, recursos
(discos e Central Processor Unit - CPU) e a prpria reputao da organizao.
E definir do que se quer proteger. Nesta situao encontram-se os intrusos, diversas
formas de ataque e roubo de informaes.
Outro ponto importante saber quanto tempo e dinheiro sua organizao est disposta a
investir para obter a proteo adequada. Neste caso a organizao deve definir atravs de
suas condies financeiras e no seu contexto de segurana o que realmente mais
importante proteger e quanto dinheiro ela tem para investir.
Existem muitos diferentes tipos de ataques, alguns ataques operam sobre o hardware
outros sobre o software. Dentre estes ataques os mais comuns so [BRO99]:
Ataque Trojan: este ataque baseia-se em usar um programa oculto no autorizado para
se passar por um programa autorizado, usando funes desconhecidas pelo usurio; estes
programas so geralmente escritos para obterem informaes vitais sobre o sistema ou
sobre um determinado usurio, como a sua senha de acesso, para, com isso, conseguirem
uma porta de entrada do sistema.
Ataque atravs da fora bruta: este ataque baseia-se no uso de recursos
computacionais de alto desempenho empenhado numa tarefa geralmente de quebra de
cdigo de senhas.
Ataque Denial of Service (DOS): este ataque caracteriza-se pela negao de servios,
com ele os computadores utilizados para o ataque iniciam diversas requisies com a
finalidade de comprometer o desempenho da mquina da vtima, e at muitas vezes torn-la
no operacional.
Ataque Ping da morte: este ataque caracteriza-se pelo envio de mensagens com
requisio de retorno por parte do atacante para a mquina da vtima, quando esta mquina

10

tenta responder as requisies e verifica que o tamanho do pacote superior a 65.536 bytes,
causando com isso uma sobrecarga no servidor que para de responder, este um ataque
obsoleto, j que, todos os sistemas foram corrigidos e esto protegidos contra ele, mas
causou alto impacto nos sistemas poca em que surgiu e serve para ilustrar a variedade de
ataques a que est sujeito um sistema ligado em rede.
Estes ataques servem como ilustrao da variedade de invases que um sistema
ligado em rede pode sofrer. Portanto fundamental um estudo minucioso de forma a definir
qual a melhor forma de proteger as informaes.
de fundamental importncia saber organizar e criar uma poltica de segurana
adequada s necessidades da organizao. necessrio criar regras de segurana,
envolvendo todos os usurios da rede nesse processo para que tomem conhecimento do
caminho que tero que seguir. Essas regras tm que ser bem claras para serem entendidas
por todos os usurios.
A soluo proposta para resolver os problemas acima e demais problemas
relacionados a segurana deve permitir tambm, que usurios possam acessar seus
documentos e informaes remotamente, permitir que pessoas em diferentes organizaes
utilizando a infra-estrutura de uma rede pblica como a Internet possam trocar informaes
de uma forma segura, e principalmente permitir que somente usurios autorizados tenham
acesso aos servios disponveis, sem que ocorram modificaes na estrutura de protocolos
utilizados na organizao e mantendo um desempenho satisfatrio.
Uma forma de segurana muito abordada ultimamente a cifragem dos dados, ou
seja, a criptografia das informaes que iro trafegar na rede. a forma de embaralhamento
das informaes de tal maneira que s receptor autorizado poder desembaralha-las para
obter as informaes na ordem correta para serem lidas.
O conhecimento dessa metodologia antigo. Com o advento dos computadores ela
se tornou uma parte indispensvel da segurana moderna, sendo muito bem empregada para
proteo dos dados de pessoas no autorizadas. Est sendo bastante utilizada em alarmes,

11

mquinas de "cash" de bancos, sistemas de comunicao de rgos de segurana, comrcio

eletrnico, e na proteo das transaes via Internet que utilizam carto de crdito, etc.
A informao adequadamente cifrada pode ser armazenada em computadores
inseguros ou trafegar atravs de redes inseguras e somente pessoas com as "chaves" de
decifragem corretas conseguiro ter acesso ao texto em claro. Sistemas cifrados altamente
seguros podem ser implementados com custo baixo e largamente utilizada na
comunicao e manipulao de dados potencialmente valiosos.
Essa tcnica est diretamente associada com o conceito de VPN. A tecnologia de
uma VPN com o poder de segurana de criptografia incrementam o nvel de segurana de
uma rede.
No capitulo seguinte juntamente com as questes mencionadas acima, ser
abordado o conceito de VPN, as reas onde o uso de VPN pode ser aplicado, seus principais
componentes, o seu crescimento, assim como as suas vantagens e desvantagens.

12

3. VPN Virtual Private Network

Quando usamos as redes de computadores para troca ou acesso a informaes,

alguns

princpios

como

privacidade,

integridade

dos

dados,

autenticidade

confidencialidade devem ser considerados e cautelosamente implementados, como visto

anteriormente.
Com o uso de VPN obtemos um processo de comunicao codificado ou
encapsulado que transfere dados de um ponto para outro da rede com segurana.
A segurana est garantida atravs de uma robusta tecnologia de criptografia dos
dados que trafegam atravs da rede, seja ela pblica ou privada, geralmente a Internet
[BRO99]. Na Figura 1 vemos o exemplo de um contexto de uma organizao usando VPN.

Agncia

Ethernet
Linux VPN

Corporao

INTERNET

Ethernet
Vendas
Marketing
Linux VPN
Ethernet

Usurio
ISPs

ISPs

Figura 1 Contexto de uma organizao usando VPN [BRO99].

13

Na Figura 1 vemos a rede de uma corporao conectada para uma rede publica para
transporte de informaes corporativas, usando a tecnologia de VPN. No exemplo, a
Internet usada como meio de transporte; a Internet, neste caso, poderia ser substituda por
uma rede ATM (Asynchronous Transfer Mode) ou Frame Relay, ou qualquer outra rede que
envolva o trfego de informaes da corporao atravs dos sistemas de terceiros.
Hoje, as tecnologias de VPN vm sendo empregadas em Intranets1, servios de
acesso remoto, Extranets2 e internamente nas organizaes. Analisaremos a seguir o uso
das tecnologias em cada um dos contextos apresentados. Para um maior entendimento,
estes contextos sero explicadas no captulo 5 de acordo com o estudo de caso de uma
Universidade onde existe a necessidade de uma comunicao segura entre seus prdios de
aulas, setores internos, colaboradores e pesquisadores.
Em todas estas abordagens necessrio o suporte ao conceito de VPN nas duas
pontas que estabelecem comunicao:
Intranet: a VPN em uma Intranet pode ser criada entre a sede da organizao e um
escritrio remoto; deste modo ela s usada dentro da rede da organizao e
acessada apenas por empregados autenticados. A Intranet utilizando VPN poderia
ser utilizada por uma universidade para o compartilhamento ou troca de

Intranet uma rede interna baseada no protocolo IP (Internet Protocol) que se caracteriza pelo uso das tecnologias

World Wide Web no ambiente privativo da organizao; caso se queira acesso da Intranet aos Sistemas Corporativos da
Organizao, tornando-se disponveis para os usurios atravs de uma rede interna ou acesso discado privativo,
fornecendo assim uma variedade de informaes por meio de um nico front-end, o paginador (browser) Web. Alm de
incorporar toda a tecnologia Internet, as Intranets podem utilizar a estrutura de comunicao de dados da prpria rede
pblica para se comunicar com filiais ou com qualquer empresa conectada grande rede [TAN97];

O conceito de Extranet tem sido adotado para denominar um ou mais conjuntos de Intranets interligadas atravs da

Internet, desde que por uma maneira segura. E uma rede de negcios que une empresas parceiras por meio de suas
Intranets utilizando os padres abertos da Internet. A vantagem da unificao dos padres de tecnologia utilizados na
interconexo atravs de uma Extranet que os parceiros no precisam ter o mesmo tipo de computador (hardware),
sistema operacional, gerenciadores de bancos de dados (software) ou browser para navegao [TAN97].

14

informaes entre os seus prdios de aulas. A Figura 2 exemplifica o uso de VPN

em Intranets.

PRDIO
AULAS

BIBLIOTECA

INTERNET

ESCRITRIO DE
VENDAS REMOTO

ESCRITRIO DE
VENDAS REMOTO

Figura 2 O uso de VPN em Intranets [BRO99].

Acesso Remoto: uma VPN por acesso remoto pode ser criada entre a sede da
organizao e os usurios remotos. Com um software de criptografia instalado em
um computador, um usurio estabelecer um tnel criptografado com um
dispositivo VPN na sede da organizao. A VPN por acesso remoto pode ser usada
para professores (pesquisadores) se conectarem remotamente com a Universidade
objetivando a troca de informaes e consultas a dados que esto na rede interna da
instituio.

USURIO REMOTO

A Figura 3 exemplifica este processo.

ISP

UNIVERSIDADE

INTERNET
USURIO REMOTO

PREDIO DE AULAS

Figura 3 VPN por acesso remoto [BRO99].

15

Extranet: Uma VPN em uma Extranet pode ser criada entre uma organizao e seus
clientes ou provedores. Na Figura 4, a Extranet permitir o acesso VPN usando o
protocolo HTTP (HyperText Transfer Protocol), ou utilizando algum outro servio e
protocolo ajustado pelos usurios envolvidos, este processo muito utilizado nas
aplicaes de comrcio eletrnico.
A Extranet utilizando VPN pode ser usada para a comunicao entre Universidades
separadas geograficamente para a formao de cursos de ensino a distncia ou para
possveis projetos desenvolvidos em sistema de parceria.

UNIFACS

UFRJ
INTERNET

UFBA

USP
Figura 4 VPN em Extranet [BRO99].

VPN usadas internamente nas organizaes: Uma VPN interna pode e deve ser
usada para se dar maior segurana interna para a organizao, na comunicao das
estaes com os servidores internos, dando assim uma maior segurana e prevenindo
de possveis ataques de empregados. Toda comunicao interna que venha a ser
considerada crtica pode trafegar por um tnel criado pela VPN, transmitindo assim os
dados criptografados. A VPN pode ainda ser utilizada internamente na Universidade
para oferecer uma maior segurana na comunicao entre os setores administrativos l
existentes (como coordenaes, secretarias, etc.). A Figura 5 exemplifica este
processo.

16

Servidor

Desktop Laptop
Nuvem Interna
de VPN

Ethernet
Servidor

Ethernet
Laptop

||||

Laptop

Servidor

Figura 5 VPN internamente nas organizaes [BRO99].

Uma VPN consiste basicamente de hardware e software, mas ela tambm requer um
conjunto de componentes bsicos. Estes componentes so simplesmente exigncias que
garantem a segurana, disponibilidade e facilidade de manuteno de uma VPN.
Analisaremos agora quais so os principais componentes extras de uma VPN:
Compatibilidade: ao usar a tecnologia de VPN e a Internet como meio de transporte a
arquitetura do protocolo de rede interna da organizao deve ser compatvel ao
protocolo de rede IP; outras redes que utilizam outros protocolos devero ter um
gateway para fazer a converso para o protocolo IP;
Segurana: segurana tudo quando se fala em VPN, mas uma VPN no uma rede
privada de uma organizao, outras pessoas podem interceptar, coletar e analisar os
dados; com isso, o contexto de segurana se torna mais amplo, englobando desde o
processo de criptografia implementado e do servio de autenticao utilizado at o
software que implementa os algoritmos de criptografia nos dispositivos VPN;
Autenticao de dados e usurios: a autenticao de dados reafirma que a mensagem
que foi enviada no foi alterada nem em sua totalidade ou em parte dela, a autenticao
do usurio o processo de permitir o acesso sua rede interna. importante que em
qualquer tecnologia de VPN sejam oferecidos ambos os tipos de autenticao;

17

Overhead: Em todos os tipos de tecnologias existe a balana de velocidade versus

desempenho, e segurana versus flexibilidade. As VPNs tambm se encaixam nesta
mxima, se um dispositivo VPN codificar todos os pacotes ocorrer o aumento do seu
tamanho, afetando assim sua utilizao na largura de banda da rede; como forma de
minimizar este impacto, em um bom servio de VPN deve existir a possibilidade de
especificar quais tipos de dados sero codificados, quais sero autenticados e quais
dados podero fluir livremente.
Do exposto acima, a utilizao de VPN apresenta uma srie de vantagens para a
organizao que a utiliza, porm existem algumas desvantagens como: o que fazer no caso
de organizaes que fazem intensamente negcios e o link de conexo com o ISP (Internet
Service Provider) for quebrado? Por esse link trafegam dados seguros por causa da VPN
implementada na topologia de rede, mas quando esse link no estiver disponvel como os
dados trafegaro? Algumas organizaes possuem um esquema de redundncia
proporcionado com um segundo link com o ISP como forma de sempre poder fazer as
transaes que a organizao necessitar e tambm evitar maiores transtornos. O problema
est aparentemente solucionado, mas e quanto a segurana dos dados que trafegaro nesse
link de redundncia? Para se ter a segurana necessria e igual ao do link que est
indisponvel precisar ser implementado o conceito de VPN no link redundante tambm.
Com isso, um outro fator entra em questo: a elevao dos custos proporcionada pela
tecnologia, a Figura 6 mostra o primeiro caso e a Figura 7 um perfil da soluo.

Escritrio
Remoto

Rede Interna

E
t
h
e
r
n
e
t

Figura 6 Falha no Link [BRO99].

INTERNET

Usurio
Remoto

Usurio
Remoto

18

Escritrio
Remoto

Rede Interna

E
t
h
e
r
n
e
t

Link Secundrio

INTERNET

Usurio
Remoto

Usurio
Remoto

Figura 7 Link redundante [BRO99].

Outra questo com relao aos custos diz respeito s licenas. Algumas
implementaes de VPN utilizam-se de firewalls e sistemas operacionais que no so
isentos de custos.
A grande desvantagem de utilizao da VPN est relacionada com relao
exportao da criptografia. Para alguns pases como Ir, Iraque, Cuba, Coria do Norte,
Lbia, Sria, Sudo a criptografia no liberada [MOD00]. Devido a este fato, a soluo
VPN consiste na criao do tnel baseado no endereo de destino.

19

3.1. ARQUITETURA

Existem muitos tipos de arquiteturas de VPN que podero se adequar s

necessidades da organizao, alguns critrios devem ser analisados na hora de decidir qual
tipo de arquitetura utilizar. Ser examinado agora as principais arquiteturas, utilizando:
firewall, acesso remoto, dispositivos black-box e em roteadores.

3.1.1. VPN baseada em firewall

VPN baseada em firewall a mais comum forma de implementar uma VPN,
geralmente as solues comerciais de implementao de VPN se baseiam nesta modalidade.
Muitas empresas, pelo simples fato de j possurem um firewall, optam por esta
implementao, decidindo apenas qual protocolo de tunelamento utilizar (PPTP, L2TP,
Internet Protocol Security - IPSec) [BRO99].
Na figura 8 vemos um exemplo de VPN baseada em firewall.
Roteador Interno

Ethernet
INTERNET
UNIX
NT
LINUX
Firewall / VPN
Figura 8 - VPN baseada em firewall. [BRO99].

INTERNET

20

Nesta figura podemos observar como estabelecida a conexo do firewall com o

meio externo (Internet) e o exame dos dados, at o alcance do destino final da informao.

3.1.2. VPN baseada em dispositivos Black-Box

A VPN baseada em black-box consiste em um dispositivo contendo software de
criptografia para criar um tnel VPN. Este normalmente est localizado atrs de um
firewall. Quando o pacote chega no firewall ele examinado, ou seja, o firewall verifica se
este pacote tem permisso para entrar ou no na rede, pois o firewall contm uma srie de
regras e polticas de segurana implementadas de acordo com os critrios definidos pelo
administrador da rede.
Na figura abaixo vemos este tipo de arquitetura.
Ethernet
Dispositivo de
VPN
Ethernet

INTERNET

Figura 9 VPN baseada em Black-Box [BRO99].

Acontece que os pacotes vindos de um tnel VPN esto criptografados, tornando, o

firewall incapaz de examin-lo. neste ponto que entra a configurao: dever existir
algum regra implementada para que estes pacotes que esto criptografados sejam passados
para o dispositivo VPN, que s assim poder autentic-los, descriptograf-los e envi-los
para seu destino.

21

3.1.3. VPN baseada em Roteadores

Este tipo de VPN possui um custo relativamente alto devido ao investimento em
roteadores. Atualmente existem dois tipos de VPN baseadas em roteadores: o primeiro se
baseia em um software que adicionado no roteador para garantir que o processo de
criptografia ocorra; o segundo consiste em um dispositivo que inserido no roteador
permitindo um maior nmero de rotas ou ainda a implementao de um algoritmo de
roteamento, assim como processo de criptografia.

3.1.4. VPN baseada em Acesso Remoto

A arquitetura de VPN baseada em acesso remoto surge quando um usurio remoto
tenta estabelecer uma conexo com sua organizao. Isto implica na criao de um tnel
com o servidor interno. Este tnel poder vir da Internet, de uma linha discada, de uma
linha ISDN (Internet Service Digital Network) ou X.25.
Para que se consiga a comunicao com o servidor interno necessrio primeiro
passar pelo servidor de acesso, que poder ser um roteador, firewall, black-box, ou
servidores de autenticao standalone que lhe garantir o acesso requisitado. A figura
abaixo ilustra o processo.
DSL / CABO

Servidor de
autenticao
de usurio

E
t
h
e
r
n
e
t

Software de
Tunelamento

Servidor de
autenticao
de usurio

INTERNET
Dispositivo de Firewall
da Rede / Servidor de
Autenticao

Figura 10 VPN baseada em acesso remoto [BRO99].

Software de
Tunelamento

22

3.2. TOPOLOGIAS DE VPN

Existem muitos tipos de topologias de VPN que podero se adequar s necessidades

da organizao ou se adaptar a uma configurao de rede j existente. Estas topologias
podem ser definidas atravs de acesso remoto (por exemplo, um laptop tentando acessar o
servidor da organizao), conexo entre duas LANs (Local Area Network), atravs de
Intranet e Extranet, utilizando a tecnologia Frame Relay e ATM, VPN com Black-Box, VPN
utilizando NAT (Network Address Translation), entre outras [BRO99].
Examinaremos agora como funcionam algumas das topologias de VPN mais usuais.

3.2.1. Topologia de VPN utilizando Acesso Remoto

Este tipo de VPN o mais comum e mais usado nos tempos de hoje. Nasce da
necessidade de um cliente externo necessitar conectar-se rede interna de uma
organizao. Para que isto seja possvel, a organizao precisar ter um firewall instalado
contendo os softwares necessrios para implementar a VPN. O cliente tem que ter tambm
instalado um software de criptografia compatvel com o do firewall.
A comunicao acontece quando o cliente precisa, por exemplo, de um relatrio
confidencial da organizao, mas no est localizado dentro da mesma, ou seja, ele ter que
acessar o servidor da organizao a partir de uma rede externa.
A Figura 11 ilustra como a comunicao estabelecida.

23

Software
de
VPN

Servidor de Dados

INTERNET
DdGfhhCfxcklPPi95998

SMTP

PPP

Figura 11 Acesso Remoto [BRO99].

O cliente disca para estabelecer uma conexo, ento faz uma requisio de chave
para o firewall. Este, por sua vez reconhece o endereo IP de destino e responde com a
chave apropriada. O cliente criptografa o pacote e o envia para o endereo IP pblico do
firewall; o pacote enviado ser descriptografado e enviado para o servidor interno da
organizao. O servidor interno envia o documento requisitado para o firewall que examina
o trfego e reconhece que o pacote faz parte do tnel da VPN, criptografa e envia de volta
para o cliente, este, portanto, examina o fluxo dos dados, reconhece a combinao que veio
do firewall e descriptografa o pacote e o transmite para a camada mais alta de aplicao.
O diagrama da Figura 12 ilustra esta seqncia.

Software
VPN

1 - Conexo e Requisio de chave

4 - Requisio do Cliente Descriptografada

2 - Chave Apropriada
5 - Envio dos dados requisitados

3 - Requisio Criptografada
6 - Devoluo da Requisio criptografada

Servidor
Interno
Firewall

Figura 12 Diagrama da VPN atravs do Acesso Remoto

Acesso
Remoto

24

3.2.2.Topologia de VPN LAN-to-LAN

Este tipo usado quando necessrio interligar duas redes locais separadas
geograficamente. As LANs podero estar operando em diferentes plataformas como, por
exemplo, um firewall UNIX de um lado e um firewall NT do outro. Eles estaro rodando
softwares de VPN diferentes, mas tm que estar usando o mesmo algoritmo de criptografia
e estarem configurados para saberem que quando houver algum trfego para o outro
firewall, este tem que ser criptografado. Podemos observar na Figura abaixo como se d o
acesso entre duas redes.

Servidor de ftp A

UNIX

WINDOWS NT

Software
de
VPN

Software
de
VPN

INTERNET
DdGfhhCfxcklPPi959

Servidor

Servidor de ftp B

Servidor

Figura 13 VPN LAN-to-LAN [BRO99].

Por exemplo, um usurio da LAN UNIX necessita de um arquivo da LAN NT que

ser transmitido por FTP (File Transfer Protocol).
O usurio da LAN UNIX tenta se conectar atravs de uma aplicao FTP com o
servidor da LAN NT. O pacote enviado na forma de texto para o firewall da LAN UNIX
que criptografa e envia para um endereo IP pblico do firewall da LAN NT. Este firewall
aceita e descriptografa o pacote e envia para o servidor que responde e devolve o pacote em
forma de texto para o firewall da LAN NT. Este por sua vez criptografa o pacote e envia
para o firewall da LAN UNIX que descriptografa e transmite para o usurio a requisio
feita.
O diagrama abaixo ilustra o processo descrito acima.

25

Software
VPN

Software
VPN

3 Requisio
Descriptografada

4 Resposta Atendida

6 Dados Descriptografados

5 Dados Criptografados

Firewall

LAN
NT

1 - Envio da Requisio

2 Requisio Criptografada

Firewall
LAN
UNIX

Figura 14 Diagrama da VPN atravs do Acesso Remoto.

3.2.3. Topologia de VPN utilizando NAT

Network Address Translation o processo de mudar o endereo IP da organizao
para um endereo IP pblico, ou seja, possui uma estratgia para esconder os endereos
privados da organizao. Entretanto, o NAT interfere diretamente na implementao da
VPN, pois troca o endereo IP na hora que o pacote de dados sai da rede interna.
A figura abaixo ilustrar o processo.
NAT
Implementando
Firewall

Roteador
Externo

Roteador
Interno

INTERNET

Trfego de Chegada da VPN

Dispositivo VPN
Estao de
Gerencia
Trfego de Sada da VPN

Figura 15 VPN com NAT [BRO99].

26

Quando um pacote precisa sair da rede interna ele enviado para o roteador interno
que transmite para o firewall implementado com NAT. Este por sua vez, troca o endereo
IP e envia para um dispositivo VPN que criptografa o pacote. Depois o pacote enviado
para o roteador externo que o transmitir para o seu destino.
Quando um pacote quer entrar na rede interna ele primeiro vai para o dispositivo
VPN que verifica sua autenticidade. Aps isso, o pacote roteado para o firewall que troca
o nmero IP para o nmero original e envia para o roteador interno despach-lo para o seu
destino.
Aps a fase de definio da arquitetura e topologia de VPN que mais se encaixa no
perfil da organizao, a etapa seguinte descobrir como por em pratica os conceitos
abordados e definir um modelo de implementao da VPN.
O capitulo seguinte aborda a analise de quatro ferramentas utilizadas para se
implementar a VPN usando o sistema operacional Linux definindo suas caractersticas,
vantagens e desvantagens.

27

4. ANLISE DE PROTOCOLOS E FERRAMENTAS

Neste captulo ser abordada o conceito de tunelamento, a anlise de alguns
protocolos envolvidos com VPN e algumas ferramentas que so utilizadas no processo de
implementao.

4.1. Tunelamento

A tecnologia de VPN baseia-se no uso da tcnica de tunelamento. O tunelamento

pode ser definido como o processo de encapsular um protocolo dentro do outro. O uso do
tunelamento nas VPNs incorpora um outro componente a esta tcnica, a criptografia. Antes
de encapsular o pacote que ser transportado, este criptografado de forma a ficar ilegvel
caso venha a ser interceptado durante o seu transporte [LIO98].
O pacote encapsulado criptografado viaja atravs da rede at alcanar seu destino
onde descriptografado e desencapsulado, retornando ao seu formato original. Uma
caracterstica importante que pacotes de um determinado protocolo podem ser
encapsulados em pacotes de protocolos diferentes. Deste modo, pacotes de protocolo IPX
podem ser encapsulados e transportados dentro de pacotes TCP/IP.
O protocolo de tunelamento encapsula o pacote com um cabealho adicional que
contm informaes de roteamento que permitem a travessia dos pacotes ao longo da rede
intermediria.
A figura abaixo ilustra o conceito de tunelamento.
Extremidades do Tnel

Pacote

Pacote

Trfego entre Redes

Cabealho
Adicional

Pacote

Tnel

Figura 16 Tunelamento [LIO98].

28

4.2. Protocolos

No processo de implementao da VPN essencial a definio do protocolo

escolhido para realizar o tunelamento. Nesta seo comearemos abordando os protocolos
da camada de enlace de dados (SLIP e PPP) usados na Internet abordando suas
caractersticas, vantagens e desvantagens para em seguida analisar os protocolos PPTP,
L2F, L2TP utilizados na implementao da VPN.
Com o objetivo de conectar estaes de trabalho Internet por meio de uma linha
de acesso discado conectada a um modem, a SUN, uma grande fabricante de estaes de
trabalho, criou o SLIP. Atravs de sua arquitetura a estao envia pacotes IP pela linha com
um byte de flag para enquadramento. Caso o byte de flag esteja dentro do pacote IP ser
utilizada uma forma de insero de caracteres e uma outra seqncia ser enviada em seu
lugar, algumas implementaes do SLIP usam outro tipo de enquadramento.
Apesar de ainda ser utilizado, o protocolo SLIP apresenta grandes problemas como:

No realizar deteco ou correo de erros, cabendo s camadas superiores

detectar e recuperar quadros perdidos ou com erros;

SLIP aceita apenas o IP, causando problemas para grandes empresas como
Novell que utilizam outros protocolos;

Com o uso da SLIP cada extremidade deve saber o endereo do outro

antecipadamente, ou seja, nenhum endereo IP pode ser atribudo
dinamicamente durante a configurao;

SLIP tem srios problemas com autenticao devido ao fato de no oferecer

este recurso, com isso nenhuma das partes sabe com quem esta se
comunicando tornando-se um problema em linhas de acesso por discagem;

E por ltimo o SLIP no um padro aprovado pela Internet, por isso

existem diversas verses diferentes e incompatveis.

Como forma de resolver os problemas, a IETF (Internet Engineering Task Force)

criou um protocolo de enlace de dados para as linhas ponto a ponto solucionado o problema

29

do SLIP e de forma a ser um padro oficial da Internet esse protocolo chamou-se o PPP
[RFC1548].
O PPP trata a deteco de erros, aceita diversos protocolos, permite alocao
dinmica de endereos IP e permite autenticao. O PPP ainda dispe dos seguintes
recursos:

Um mtodo de enquadramento que apresenta a extremidade de um quadro e

o inicio do outro sem nenhuma ambigidade. O formato do quadro lida com
a deteco de erros;

Um protocolo de controle de enlace que usado para ativar linhas, test-las,

negociar opes e desativ-las novamente quando no forem mais
necessrias. Este protocolo denominado LCP (Link Control Protocol);

Uma maneira de negociar as opes da camada de rede de modo

independente do protocolo de camada de rede a ser utilizado. O mtodo
escolhido deve ter um NCP (Network Control Protocol) diferente para cada
camada de rede aceita.

A Figura 17 mostra o formato do quadro PPP.

Flag
Endereo
01111110 11111111

Controle
00000011

Protocolo Carga Util CheckSum

Flag
01111110

Figura 17 Formato do quadro PPP [TAN97].

O campo flag utilizado para delimitar o quadro, representado pelo byte de flag
padro do protocolo HDLC (High-level Data Link Control).
Em seguida, vem o campo endereo que sempre definido para o valor 11111111
indicando que todas as mquinas devem receber o quadro.
O campo controle define a utilizao da transmisso confivel atravs de quadros
com nmeros de seqncia e confirmao.

30

O campo protocolo informa o tipo de pacote que esta no campo carga til. Os
protocolos que comeam com o bit 0 representam os de camada de rede (IP, IPX), j os que
comeam com o bit 1 representam protocolos de negociao (NCP e LCP).
O campo carga til contm o pacote encapsulado.
O campo CheckSum realiza a deteco de erros.
O PPTP foi projetado para permitir que usurios remotos discassem para os ISPs
de modo que fossem criados tneis virtuais para suas empresas.
O PPTP usa a infra-estrutura dos protocolos (PPP) existentes para permitir uma
conexo dial-up; o PPTP obtm os pacotes PPP e o encapsula num cabealho tipo Generic
Routing Encapsulation (GRE). Por questes de segurana do PPP, o PPTP utiliza
algoritmos de criptografia como PAP (Password Authentication Protocol) e CHAP
(Challenge Handshake Authentication Protocol) para realizar a encriptao, sendo possvel
tambm, o uso do protocolo desenvolvido pela Microsoft o MPPE (Microsoft Point to
Point Encryption).
O protocolo PPTP possui duas configuraes: modo compulsrio e modo
voluntrio.

A Figura 18 ilustra o modo compulsrio.

Figura 18 Modo Compulsrio [MIC00].

31

No modo compulsrio a seo PPTP usa o servio de um ISP com um PPTP frond
end-processor (FEP). Deste modo o cliente no funciona como ponto inicial ou final do
tnel mais sim como um cliente, pois todo o processo de tunelamento realizado entre o
ISP e o FEP. Atravs deste modelo nenhum software preciso no cliente j que ele atua
indiretamente no processo. Caso ocorra qualquer problema com o ISP impossibilitar o
cliente de usar a VPN.
O modo voluntrio utilizado para os clientes estabelecem a conexo PPTP direta
para o servidor PPTP para criao do tnel, sem a utilizao de um FEP como no
compulsrio. As conexes so feitas para o PPTP Server pelo cliente via acesso discado ou
atravs de uma rede local a qual j estejam conectados. Depois de estabelecida a conexo o
cliente utiliza um software de tunelamento para realizar o processo de transferncia de
dados segura.
Com o crescimento dos servios dial-up e a disponibilidade de muitos protocolos
diferentes era preciso criar um cenrio virtual de modo a permitir que protocolos no IP
pudessem usufruir dos benefcios da Internet, pensando nisto a Cisco System em 1996
desenvolveu o L2F para ser usado em conjunto com o PPTP.
A Cisco definiu o conceito de tunelamento, significando encapsulamento de pacotes
no IP. O modelo para permitir a comunicao segura foi descrito assim: o usurio faz uma
conexo PPP, SLIP para o ISP. O NAS (Network Access Server) recebe o pedido do
usurio, ento usando o software L2F inicia o tnel para o destino. O destino solicita do
usurio uma senha, e autoriza ou no o acesso. Em seguida autentica o usurio e endereo
IP como um simples dispositivo de acesso remoto. O ponto final, rodando o L2F, retira o
cabealho de tunelamento, log do trfico e ento libera a comunicao.
O L2F oferece os seguintes benefcios:

Independncia de protocolos (IPX, SNA);

Autenticao (PPP, CHAP, TACACS);

Gerenciamento de endereos;

Tneis Dinmicos e seguros.

32

O PPTP e L2TP oferecem softwares baseados em compresso. Com isso, tcnicas

de compresso so adicionadas a camada de encriptao.
O L2TP utiliza os mesmos modos de tunelamento encontrados no PPTP (voluntrio
e compulsrio).A diferena principal entre os dois protocolos a terminologia para
determinar o ponto de inicio e fim da comunicao. Neste protocolo um L2TP Access
Concentrator (LAC) comunica-se com o L2TP Network Server (LNC) para controle da
conexo.
O L2TP usa duas funes para realizar o tunelamento:

Quando um cliente faz uma conexo PPP para um ISP, a funo LAC
inicializa o tnel, em seguida o LAC adiciona os vrios cabealhos para o
payload PPP. Depois de adicionado os cabealhos o LAC estabelece o tnel
para o dispositivo LNS de destino, este dispositivo pode ser um roteador,
servidor ou um dispositivo de acesso.

Aps esta troca de informaes o tnel estabelecido, e um usurio pode ser

autenticado num mecanismo como o TACACS (Terminal Acess Controller
Access Control System) ou RADIUS (Remote Authentication Dial-In
Service).

33

4.3. Ferramentas
Aliados aos protocolos vistos na seo anterior, existem ferramentas que podem ser
adotadas no processo de implementao de uma VPN. Abaixo sero avaliadas algumas
destas ferramentas: Vtun, Stunnel, FreeS/WAN e CIPE.

4.3.1. Vtun
A ferramenta Vtun [VTU00] utilizada para criar tneis virtuais sobre redes TCP/IP
suportando uma variedade de tipos de tunelamento e providenciando: encriptao,
compresso e controle de trfego.
Vtun suporta tneis IP, tneis ponto a ponto, tneis Ethernet suportando todos
protocolos que trabalham sobre a ethernet: IP, IPX, Appletalk, tneis serial suportando
protocolos que utilizam linhas serias como: PPP, SLIP e tneis pipes suportando todos os
tneis que trabalham sobre pipes UNIX.
Vtun possibilita o uso dos protocolos TCP permitindo, com isso, estabelecer tneis
sobre firewalls e o protocolo UDP (User Datagram Protocol) permitindo trabalhar com um
pequeno overhead de tunelamento.
A ferramenta permite compresso usando zlib (suportado apenas sobre TCP) e lzo
suportado por UDP e TCP.
A forma de encriptao usa: autenticao baseada em desafio permitindo que
passwords no passem em claro e uso de chaves BlowFish de 128 bits com rpida
encriptao e chaves hash com 128 bits MD5.
A ferramenta pode ser utilizada em ambientes Linux (Red Hat, Debian, Corel),
FreeBSD e Solaris.

34

4.3.2. Stunnel
Stunnel [STU00] uma ferramenta de livre distribuio utilizada para trabalhar com
criptografia encapsulada usando SSL (Secure Sockets Layer) [SSL00] entre o cliente remoto
e local ou entre um servidor remoto.
O objetivo adicionar funcionalidade SSL para protocolos comumentes usados
como POP-2 (Post Office Protocol), POP-3 e IMAP (Interactive Mail Access Protocol)
sem fazer mudanas dentro do cdigo do programa.
A ferramenta permite ainda encriptar conexes TCP arbitrrias dentro do SSL.
Stunnel negocia a conexo SSL usando a biblioteca OpenSSL [OPE00]ou SSLeay
chamando implicitamente bibliotecas de criptografia. Deste modo, Stunnel suporta qualquer
algoritmo

compilado dentro do pacote de criptografia. Como algoritmos padres so

utilizados o RSA (Rivest Shamir Adlemen) e o IDEA (International Data Encryption

Algorithm).
A Stunnel suporta encriptao SSL com trs nveis de autenticao:

Sem Certificado de Autenticao;

Com Certificado de Autenticao;

Com Certificado de Autenticao e instalao localizada somente em certos

locais.

A ferramenta permite proteo sobre interceptao e manipulao de dados entre

hosts intermedirios e adicionalmente se compilado com libwrap suporta:

Roteamento de origem IP, onde o host pode preterir que um pacote IP venha
de outro host confivel.

DNS spoofing onde um atacante forja um registro no servidor de nomes.

35

Stunnel pode ser usada em sistemas operacionais Solaris, Linux, FreeBSD e

Windows (3x, NT, 2000).

4.3.3. FreeS/WAN

FreeS/WAN [FRE00] deriva seu nome de S/WAN que uma marca registrada de
RSA Data Security Inc, o FreeS/WAN uma ferramenta de livre distribuio que
implementa no IPv4 toda a segurana e criptografia de dados planejada para o protocolo de
rede IPv6 [RFC2460].
A ferramenta prov privacidade para pacotes de Internet que usam o protocolo
IPSec, negociando chaves fortes que usam a chave do convnio Diffie-Hellman com chaves
de 1024 bits, e codifica cada pacote com 168-bits Triplo-DES (3DES).
A ferramenta composta pelos seguintes componentes:

KLIPS: Kernel de Apoio ao IPSec (Kernel IPSec Support);

O KLIPS faz todo o controle atual dos pacotes do IPSec, incluindo:
- criptografia;
- clculos de autenticao do pacote;
- criao de ESP (Encapsulating Security Payload) e cabealhos AH

(Authentication Header) para pacotes de sada;

- interpretao desses cabealhos nos pacotes de chegada;
O KLIPS tambm confere todos os pacotes de que no so IPSec para
assegurar que eles no esto evitando as polticas de segurana do IPSec.

36

Programa Pluto
Pluto um programa que implementa o protocolo IKE (Internet Key

Exchange). Ele controla toda a fase um do ISAKMP (Internet Security Association

and Key Management Protocol) SAs (Security Associations), executa autenticao
do host e realiza a negociao com outros gateways. O programa ainda cria IPSec
SAs e transmite os dados exigidos para executar o KLIPS, logo em seguida ele
ajusta a rota configurando o firewall para satisfazer s exigncias do IPSec.

Gerenciamento de chaves
O IPSec permite fazer o gerenciamento de chaves de vrias formas, mas nem

tudo implementado no Linux FreeS/WAN.

Mtodos atualmente Implementados:
Chaveamento manual
IPSec permite fixar chaves manualmente. No Linux Frees/WAN, as
chaves so armazenadas com as definies de conexo em /etc/ipsec.conf.
Chaveamento manual til para depurao desde que lhe permita testar o
kernel IPSec do KLIPS sem que o Pluto faa a negociao de chaves.
Porm, em geral chaveamento automtico preferido por ser mais seguro.
Chaveamento automtico
No chaveamento automtico, o Pluto negocia as chaves usando o
protocolo IKE. Isto consideravelmente mais seguro que o chaveamento
manual. Em qualquer caso algum que adquira uma chave pode ler toda
mensagem que for codificada com aquela chave, mas estas chaves podem
ser mudadas automaticamente em poucas horas ou at mesmo em poucos
minutos sem quebrar a conexo ou requerer uma interveno por parte dos
administradores de sistemas.

37

As

chaves

manuais

podem

ser

mudadas

manualmente

necessitando finalizar a conexo para realizar as mudanas. Alm disso, eles

tm que comunicar as novas chaves de uma forma segura; uma soluo
poderia ser o uso do PGP (Pretty Good Privacy) ou SSH(Secure Shell).

Mtodos no implementados:

Troca de chaves no autenticada

Se existisse a possibilidade de troca de chaves sem autenticar os
usurios, permitiria o uso da criptografia oportunista - permitindo qualquer
sistema codificar as comunicaes sem requerer um PKI (Public Key
Infrastructure) compartilhado ou uma negociao prvia e estaria protegido
de ataques passivos. Porm, seria altamente vulnervel a ataques de ativos.
A RFC (Request from Comment) 2408 especifica que todas as interaes no
gerenciamento de chaves do ISAKMP devem ser autenticadas.

Troca de chaves usando DNS

De acordo coma a RFC do IPSec possvel a troca de chaves
baseado em servios de autenticao providos por um DNS seguro. Uma vez
disponvel o servio de DNS seguro, espera-se fazer dele o mtodo de
administrao de chave primria para Linux FreeS/WAN. o melhor modo
de suportar criptografias oportunistas, permitindo que dois sistemas sem um
PKI comum ou uma prvia negociao assegurem a comunicao.
A FreeS/WAN 1.4, pode adquirir chaves RSA de um DNS mas ainda no tem o
cdigo para validar assinaturas de DNS Seguros.

38

Photuris
Photuris outro protocolo de administrao de chaves, uma alternativa para

IKE e ISAKMP, descrito nas RFCs 2522 e 2523 que esto rotuladas como
"experimentais ".

4.3.4. CIPE

CIPE uma ferramenta para um dispositivo de tnel de IP codificado. Ela pode ser
usada para construir rotas codificadas para VPN e aplicaes similares. A ferramenta foi
projetada para transmitir pacotes codificados entre caminhos j definidos na forma de
pacotes de UDP [CIP00].
A compatibilidade com protocolos existentes como o IPSEC no foi uma
preocupao. A primeira implementao de teste foi concluda completamente em nvel de
usurio, enquanto a mais nova publicada consiste de um mdulo de kernel e um programa
em nvel de usurio.
O modelo de CIPE assume uma ligao fixa entre dois pares que trocam
datagramas.
O modo mais comum de implementar enviar mensagens de UDP entre eles (um
outro possvel seria encapsulamento em PPP).
Nada que pode ser parametrizado est dentro do alcance deste protocolo nem da sua
implementao. Isto ou delegado a uma aplicao j definida ou a uma aplicao a ser
definida por um protocolo nivelado. Notavelmente, isto envolve uma troca de uma chave
secreta compartilhada, e envolve a escolha de um algoritmo de criptografia.
O protocolo de CIPE consiste em duas partes: criptografia e verificao de erros dos
pacotes de dados e troca de chave dinmica.

39

O CIPE trabalha da seguinte forma:

O CIPE encapsula datagramas criptografados de IP em datagramas de UDP e os
envia pelo mecanismo de UDP normal.
Isso diferente do encapsulamento de IP-IP padro. O UDP foi escolhido porque
deste modo muitos pontos finais (endpoints) diferentes podem ser distinguidos facilmente
atravs de nmeros de porta; primeiro, porque um nmero de protocolo IP autorizaria um
registro formal, e segundo, porque controlar datagramas de UDP mais fcil que usar um
nmero de protocolo IP separado, especialmente em configuraes de firewall.
Especificamente, UDP pode ser controlado atravs de aplicaes de em nvel de
usurio como um relayer de SOCKS5.
Uma ligao de CIPE sempre conecta exatamente dois pontos finais (endpoints).
A ligao trabalha como um link dial-up de PPP. No momento, cada ligao tem
sua prpria chave secreta de 128-bits que tem que ser reconhecida atravs de ambos os fins
(e ningum mais). Esta chave de ligao (chamada chave esttica, na descrio do
protocolo) usada para negociar uma chave dinmica freqentemente modificada, que
codifica os dados atuais [CIP00].
Existe um projeto para que as verses futuras do CIPE negociaro as chaves
deles/delas por um mecanismo pblico fundamental, semelhante ao pacote de SSH. Isto
removeria a necessidade de chaves secretas compartilhadas [CIP00].
A ferramenta CIPE consiste em um mdulo de kernel e um programa de driver.
O mdulo de kernel faz a manipulao do pacote IP: emissores e receptores de
pacotes, encapsulamento inclusive criptografia. Configurao e o processo inteiro de troca
fundamental so feitos em nvel de usurio pelo programa do CIPE.
O mdulo consiste em um driver de output, driver de input e as rotinas de
encapsulamento. O driver de output em grande parte uma verso adaptada do new_tunnel

40

da distribuio Linux. Para o Linux 2.2, isto foi inclusa no mdulo de IP-IP, mas a
funcionalidade a mesma.
No Linux 2.0 seu atual emissor de pacote terminado pelo kernel IP que remete a
mquina. Isto insinua que encaminhamentos devem ser habilitados no kernel e nos pacotes
codificados, sendo pacotes de UDP com os endereos de origem/destino dados como " eu "
e " meu par ".
O driver de input uma adaptao do receptor de kernel do UDP. Para ativar isso, o
CIPE tem que fixar uma conexo em um modo especial com uma chamada de ioctl. Isto
tem que ser um socket de UDP conectado. A chamada ioctl_attach(2cipe) substitui o socket
sendto e as operaes recvfrom com verses especiais que fazem a criptografia do trfico
interno e s passam os blocos de troca fundamentais camada de usurio. O trabalho
inteiro de decifrar e reencaminhar o trfico entrante concludo dentro de um bloqueio
recvfrom. Isto significa que aquele encaminhamento normal de IP distinto chamado no
modo de usurio e o tempo de CPU necessrio carregado ao processo de CIPE, embora o
dados nunca passem em modo de usurio. sendto codifica o bloco como um bloco de troca
fundamental e envia ao seu par. O socket no deveria usar read, write, select ou modo de
nonblocking.
Antes de anexar o socket, os parmetros operacionais do dispositivo tm que ser
fixados usando uma chamada ioctl_setpar(2cipe). O processo de troca de chaves prov
chaves ao kernel por ioctl_setkey(2cipe).
O netdevice s pode ser aberto (configurado "UP") se tem um socket controlando.
Quando o socket controlador estiver fechado, o netdevice fechado. Reciprocamente,
fechando o netdevice fecha o socket tambm. Fechando, apaga toda a informao que
fixada atravs do CIPE no dispositivo [CIP00].

41

4.3.5. Outras ferramentas

Existem outras ferramentas que tambm implementam VPN em ambiente Linux,
como por exemplo, a ferramenta IP-IP que pode ser vista na RFC 1853. Essas ferramentas
apenas diferem em algumas funcionalidades, mas implementam segurana a depender da
aplicao requisitada, podendo at trabalhar juntas para prover maior segurana. O prximo
captulo se refere a um estudo de caso de uma universidade, a UNIFACS Universidade
Salvador. Neste estudo de caso foram escolhidas duas dessas ferramentas para trabalharem
em conjunto para prover um maior nvel de segurana como proposta para a implantao
nesta instituio.

42

5. DESCRIO DA IMPLEMENTAO

Neste captulo sero abordados pontos importantes que devem ser considerados na hora
de implementar uma VPN. Tambm ser apresentada a estrutura de implementao de uma
VPN desde a escolha dos componentes at suas aplicaes na prtica, utilizando para isto
um estudo de caso desenvolvido na Universidade Salvador - UNIFACS.

5.1. Abordagem Inicial

Dever ser feita uma anlise rigorosa e minuciosa da topologia e da arquitetura a ser
empregada no projeto, pois isto influencia na escolha do tipo de VPN a ser utilizada.
Tambm deve-se ressaltar o estudo dos protocolos e das ferramentas que sero
envolvidas no processo da criao da VPN.
Existem alguns fatores que devem ser levados em considerao antes de
implementar uma VPN, como por exemplo:

Saber quais protocolos so usados pela rede da organizao;

Qual a poltica de segurana existente;

Fazer uma anlise de interoperabilidade dos equipamentos, no caso da escolha

de inserir um equipamento, por exemplo, um roteador VPN que pode ser
incompatvel com algum roteador existente que poder estar utilizando um
protocolo proprietrio;

Quem estar habilitado acessar a rede interna, podendo ser outra rede ou
usurios remotos;

Aps serem levantados esses pontos e feita toda a anlise necessria hora de ir
para a parte prtica e implementar a VPN.

43

5.2. Estudo de Caso UNIFACS

Foi escolhido como modelo de implementao a Rede da UNIFACS (Universidade

Salvador). O intuito desse estudo de caso fornecer segurana atravs da implementao de
uma VPN de baixo custo usando ferramentas disponveis publicamente.
A UNIFACS, como qualquer organizao, possui informaes confidenciais
pertinentes apenas a ela prpria, ou seja, existem informaes internas de responsabilidade
da universidade que no compete a pessoas no autorizadas tomarem conhecimento do seu
contedo. Existe at uma diviso em nvel de comunicao de dados entre as partes
Acadmica e Administrativa da UNIFACS que ser melhor explicada mais abaixo no Subitem 5.2.2. Isto porque existem dados de alunos que no podem ser alterados, ou
informaes da parte financeira que no pode ser vista, entre outras. A confidencialidade e
a segurana das informaes trafegadas nessa rede tem que atingir todos os nveis
hierrquicos dessa universidade, desde o Reitor, passando pelos Professores e chegando at
aos funcionrios com cargos mais operacionais.
A UNIFACS est geograficamente espalhada em Salvador possuindo com isso uma
necessidade de comunicao e integrao com todos os seus prdios para manter
informaes disponveis e atualizadas de processos que ocorram em cada prdio e que haja
a necessidade de interao.
A fim de formar a rede corporativa, os Prdios da UNIFACS esto ligados
atravs de LPCDs (Linhas Privadas de Comutao de Dados) que disponibilizam
integrao e interao entre os prdios, mas no proporcionam

um nvel elevado de

segurana, pois passam por equipamentos de terceiros. Como plano de contingncia existe
um link redundante que funciona como backup no caso de haver algum problema com as
LPCDs. Esse link feito atravs da Internet, um meio totalmente inseguro e no confivel.
Nesse ponto que se encaixa a implementao da VPN que atravs de suas caractersticas
proporcionar o transporte das informaes tanto pelas LPCDs quanto pelos links de
backup Internet da maneira mais segura. Para isto as informaes passaro por alguns

44

processos, como por exemplo, criptografia, autenticao, entre outros, ficando assim menos
visveis e decifrveis se ocorrer algum ataque externo.
A implementao da VPN tornar a comunicao entre os prdios mais confivel,
transportando todas as informaes de uma maneira segura mantendo a confidencialidade e
a integridade dos dados que trafegaro, agora, por um caminho mais seguro.

5.2.1. Prdios da UNIFACS

A UNIFACS possui nove Prdios espalhados na cidade de Salvador. Seis desses

Prdios so de aulas (Prdio de Aulas 1, Prdio de Aulas 2, Prdio de Aulas 4, Prdio de
Aulas 5, Prdio de Aulas 6, Prdio de Aulas 8) e os outros so: o Prdio da Reitoria; o
Prdio da Associao UNIFACS para Desenvolvimento da Educao (ASSUDE) e
Associao dos Professores da UNIFACS (APFACS); e o Prdio do Ncleo de Pesquisa e
Projetos em Educao a Distncia (NUPPEAD). O estudo de caso est direcionado apenas
aos Prdios de Aulas da UNIFACS, portanto os trs ltimos prdios acima relacionados
no sero contemplados nesse contexto.

5.2.2. Estrutura da Rede UNIFACS

A Rede da UNIFACS consiste de duas redes totalmente separadas; a Rede

Acadmica que utilizada pelos alunos da universidade e a Rede Administrativa por onde
trafegam os dados administrativos que devem ser protegidos. Por motivo de segurana
essas redes so separadas para que a parte acadmica, que no possui autorizao para ver
os dados administrativos, no interfira e nem tenham acesso aos dados da Rede
Administrativa.

Redes Totalmente Separadas

45
REDE
ACADMICA

REDE
ADMINISTRATIVA

Modelo UNIFACS
Figura 19 Rede UNIFACS separada

Os prdios se conectam Internet atravs de links com um provedor de acesso.

Abaixo est mostrada uma figura mais especifica da Rede UNIFACS.
REDE
ADMINISTRATIVA

Modelo Atual

TERCEIROS

Roteador

LPCD
ADM

REDE
ACADMICA

INTERNET

Modelo UNIFACS

Figura 20 Modelo UNIFACS mais especfico.

Para garantir que sempre haver uma comunicao existente entre os prdios foi
adotado um plano de contingncia. Este plano se refere a um eventual problema na rea das
LPCDs, ou seja, se uma linha privada falhar por algum motivo existir um link de backup
ou melhor dizendo um link redundante que entrar em funcionamento assim que seja
informado que houve problema na linha privada. Esse link provido por um ISP ( prove
dor de acesso Internet) . O problema que os dados trafegaro por um caminho no

46

confivel e totalmente inseguro: pela Internet. O ponto onde se quer chegar nessa
implementao exatamente prover segurana no s nesse link Internet que o mais
inseguro mais tambm prover segurana na comunicao estabelecida pelas linhas
privadas. Resumindo, a implementao da VPN ser executada em toda a forma de
comunicao da Rede Administrativa existente entre os prdios, seja via link Internet ou via
linha privada.

5.2.3. Estrutura da Rede dos Prdios da UNIFACS

A estrutura da Rede dos Prdios da UNIFACS est explicada na Figura 20. Esta
rede possui um link com um provedor de acesso para o uso da Internet e uma Linha Privada
por onde trafegam os Dados Administrativos e por onde os prdios da UNIFACS esto
interligados.
A estrutura existente nos outros prdios est relacionada na figura 21.

Modelo Atual dos Outros Prdios

REDE
ADMINISTRATIVA

REDE
ACADMICA

LPCD
ADM

PA8

INTERNET

Modelo
UNIFACS

Figura 21 Modelo dos Outros Prdios de Aulas.

47

Existe tambm em cada prdio a separao das redes (Acadmica e Administrativa)

para manter a segurana.
A Rede Acadmica acessa a Internet atravs de um link direto com o provedor, mas
os computadores ligados Rede Administrativa destes prdios, por um motivo de
segurana, acessam a Internet atravs do Prdio de Aulas 8, ou seja, para se conectarem
Internet os computadores pertencentes Rede Administrativa trafegam pela linha privada
(LPCD) at o Prdio de Aulas 8 podendo assim ter acesso ao link Internet do Prdio de
Aulas 8.
O Prdio de Aulas 8 o centro da Rede Administrativa, pois todos os outros prdios
esto ligados a ele atravs de linhas dedicadas (privadas), ou seja, atravs de LPCDs que
utilizam como protocolo da camada de enlace de dados o PPP, e trabalham com
velocidades que variam de 64 Kbps at 256 Kbps. A Figura 22 ilustra este Processo de
Interligao.
REDE
ADMINISTRATIVA
PA1

LPCD ADM
REDE
ADMINISTRATIVA
PA6
LPCD ADM

REDE
ADMINISTRATIVA
PA5

REDE
ADMINISTRATIVA
PA8

LPCD ADM

LPCD ADM

REDE
ADMINISTRATIVA
PA2
LPCD ADM

REDE
ADMINISTRATIVA
PA4

Figura 22 Interligao dos Prdios da UNIFACS.

48

Essa foi uma alternativa para prover um nvel de segurana maior para os outros
prdios, isso por causa da separao das Redes Acadmica e Administrativa, ou seja, se os
prdios (com exceo do Prdio de Aulas 8) se conectassem Internet no mesmo link da
Rede Acadmica poderia ocorrer algum problema com relao confidencialidade dos
dados enviados, por exemplo, por e-mail, FTP e etc, pois a Rede Administrativa estaria
mais vulnervel passando pela Rede Acadmica. Portanto a conexo Internet feita pelos
outros prdios passam pelas linhas privadas da Rede Administrativa e entram no link
Internet somente no Prdio de Aulas 8 que possui uma tecnologia central de segurana para
com o meio externo, ou seja que j restringe de uma certa forma o acesso Internet.
Na Figura 23, abaixo localizada, est exposto o modelo do Prdio de Aulas 8 que
o local por onde os computadores ligados Rede Administrativa dos outros prdios se
conectam Internet e trocam informaes administrativas.
REDE
ADMINISTRATIVA
PA8

Modelo Atual
Detalhado
PA8
PROXY

REDE
ACADMICA
PA8

FILTRO

HUB
ACADMICO

Roteador

LPCD
ADM

OUTROS
PRDIOS

INTERNET

Modelo UNIFACS
Figura 23 Modelo Atual Detalhado do Prdio de Aulas 8.

A comunicao no Prdio de Aulas 8 vinda de outros prdios trafegam pela LPCD

em quadros PPP e chegam no roteador, este por sua vez reconhece o endereo IP da Rede
Administrativa e encaminha para a mquina destino da Rede Administrativa. Se for uma
requisio para acesso Internet ao chegar no roteador ele redireciona para o link Internet e
o acesso aos servios oferecidos pela Internet feito. O acesso Internet da Rede

49

Administrativa feito atravs de um Servidor Proxy, que um equipamento que auxilia o

acesso Internet, carregando as pginas mais rapidamente [TAN97] e prov mecanismos de
segurana como filtro de pacotes. Do Servidor Proxy transmitido para o hub Acadmico
que envia a requisio para o roteador. Este encaminha o pedido para a Internet.
Acontece que os dados que trafegaram pela LPCD ou eventualmente venham a
trafegar pelo link backup passam sem nenhuma segurana. Eles ficam totalmente desprotegidos
podendo perder a integridade e a confidencialidade e at ser extraviados.

5.3. Modelo Proposto

O modelo proposto para tornar a Rede da UNIFACS mais segura consiste em

adicionar uma mquina Linux VPN, ou seja, uma mquina que possua software VPN
implementando suas funcionalidades.
O baixo custo desta soluo pode ser conseguido na medida em que mquinas
consideradas limitadas em seu poder de processamento para serem usadas nos Laboratrios
da Universidade podero ser alocadas para essa finalidade que no exige, em essncia,
grande poder de processamento.
Nessa mquina Linux VPN estaro implementadas as ferramentas CIPE e Stunnel. A
ferramenta Stunnel cuidar da parte das aplicaes que usam protocolos como POP2,
POP3 e IMAP, e a ferramenta CIPE vai gerenciar o nvel de segurana fazendo
criptografia, autenticao de usurios e troca de chaves.
Na figura abaixo mostra-se a configurao resumida da soluo.1

O modelo proposto no trata a Rede Acadmica pois, a princpio, segurana no um pr-requisito nessa

rede que apenas de trabalho para a parte do alunado da universidade.

50

REDE
ACADMICA

Modelo Proposto

INTERNET
LINUX VPN a ser
Instalado

REDE
ADMINISTRATIVA

Roteador
LPCD
ADM

TERCEIROS

Modelo UNIFACS
Figura 24 Modelo Proposto.

A figura abaixo mostra mais detalhadamente a proposta para a soluo VPN no

Prdio de Aulas 8.

Modelo Proposto
Detalhado
PA8

REDE
ADMINISTRATIVA
PA8

REDE
ACADMICA
PA8

FILTRO

PROXY

HUB
ACADMICO

Roteador
LINUX VPN a
ser instalado

LPCD
ADM

OUTROS
PRDIOS

INTERNET
Modelo UNIFACS

Figura 25 Modelo proposto para o Prdio de Aulas 8.

51

Para o PA8 haver a adio de uma mquina VPN antes do roteador para que todas
as informaes que iro trafegar na Rede Administrativa transitem de forma segura com
todas as funes de segurana que a VPN pode proporcionar. Nos outros prdios tambm
haver a adio de uma mquina VPN para que os dados passem seguros e tambm para
que possa ser feito o processo de descriptografar/criptografar e tambm a autenticao do
usurio.
As informaes de cunho administrativo vindas dos outros prdios trafegaro pela
LPCD e chegaro no roteador. Este encaminhar para a mquina Linux VPN que far o
reconhecimento e a descriptografia das informaes antes de entrar diretamente na Rede
Administrativa, tornando a acesso Rede Administrativa totalmente seguro, pois apenas
informaes autorizadas podero entrar garantindo tambm a integridade das informaes.
A figura 26 demonstra este modelo proposto para os outros prdios.

Modelo Proposto dos Outros Prdios

REDE
ADMINISTRATIVA

LINUX
VPN

REDE
ACADMICA

LPCD
ADM

INTERNET
PA8

Modelo UNIFACS
Figura 26 Modelo proposto para os outros Prdios.

A comunicao com o Prdio de Aulas 8 ou com outro prdio qualquer ser

executada agora com mais segurana, pois todos os dados que chegaro ou que sairo da

52

Rede Administrativa do Prdio sero criptografados e passados atravs do tnel seguro que
a VPN implementar.
Portanto, todas as informaes que entrarem na Rede Administrativa oriundas de
qualquer meio, ou pela LPCD ou pela Internet, estaro protegidas. Sero mantidos a
confidencialidade e a integridade dos dados trafegados por esse tnel que a VPN ir formar
dando um nvel de segurana maior que o que havia, tornando todas as trocas de
informaes seguras, dificultando, com isso, possveis ataques e o conhecimento de dados
que necessitariam de um certo sigilo.

5.4. Ambiente de Testes

Nesta seo descreveremos o ambiente de testes usado para enfatizar a viabilidade

da implementao da VPN no estudo de caso da rede UNIFACS utilizando as ferramentas
Stunnel e CIPE.
Como vimos na seo anlise de ferramentas, a Stunnel utilizada para trabalhar
com criptografia encapsulada usando SSL entre o cliente remoto e local ou entre um
servidor remoto, adicionando funcionalidade SSL para protocolos como POP e IMAP.
O ambiente utilizado para o teste da ferramenta exemplificado na figura abaixo.

INTERNET

ISP

Servidor
de
Email

Usurio
remoto
Figura 27 Comunicao insegura do usurio remoto para recebimento de mensagens.

53

Inicialmente o usurio remoto conecta-se ao ISP para receber os seus e-mails,

utilizando um programa de correio eletrnico como Outlook Express ou Netscape
Messenger. Neste contexto toda troca de informaes entre o programa de correio
eletrnico do usurio e o servidor de e-mail feita com a senha passando em branco pela
Internet representando um risco em potencial.
Devido ao fato dos programas de correio eletrnicos j permitirem o uso do SSL a
ferramenta Stunnel se encaixa perfeitamente como soluo para o modelo acima.
Instalando-se a ferramenta na maquina servidor e configurando o programa de
correio eletrnico para utilizar SSL temos o contexto exemplificado na figura abaixo.

INTERNET

Canal Seguro SSL

Canal Seguro SSL

ISP

Servidor de E-mail
usando Stunnel

Usurio
remoto
Figura 28 Uso do Stunnel para comunicao segura com os protocolo POP ou IMAP.

Deste modo toda a troca de informaes entre o programa de correio eletrnico do

usurio e o servidor de e-mail realizada sobre o canal SSL seguro fazendo com que a
senha do usurio e as demais informaes trafegue de forma segura, utilizando para isto a
criptografia.

54

Como tentativa de monitorar possveis ataques alguns ISP, apenas permitem que
usurios conectados por este provedor possam baixar suas mensagens, ou seja, caso o
usurio esteja usando um outro provedor e tentar usar o programa de correio eletrnico para
baixar suas mensagens a operao no ser permitida.
Inicialmente como forma de teste da ferramenta foi realizado uma tentativa de
recebimento das mensagens atravs de um ISP, no sendo o mesmo onde o usurio estava
conectado. Como esperado, a tentativa falhou visto que o servidor no permitia o acesso
atravs de outro ISP.
Instalando-se o Stunnel no servidor e configurando o programa de correio eletrnico
para utilizar SSL foi possvel o recebimento das mensagens utilizando os protocolos IMAP
e POP, mesmo tendo realizado o acesso por outro ISP para conexo. No apndice A
encontram-se informaes pertinentes a instalao e configurao da ferramenta Stunnel.
O teste efetuado para ferramenta CIPE foi realizado numa rede local, tentando ao
mximo estabelecer uma correspondncia com o modelo proposto para rede UNIFACS. A
figura abaixo ilustra o ambiente utilizado para o teste da ferramenta.

CLIENTE

LINUX CIPE

SERVIDOR CIPE

Figura 29 Ambiente de teste para ferramenta CIPE.

Neste modelo a maquina Linux CIPE, possui a ferramenta instalada juntamente com
o Servidor CIPE. Como forma de manter a estrutura utilizada no modelo UNIFACS, a
maquina Linux CIPE funciona tambm como roteador, fazendo a ligao entre a rede do
cliente e a rede do servidor.

55

Aps a configurao das maquinas Linux com a ferramenta, todo o trafego do

cliente para o servidor ocorre de forma segura, pois neste momento a CIPE entra em ao
usando o gerenciamento de chaves e criptografia dos dados. No apndice B, encontram-se
informaes pertinentes a instalao e configurao da ferramenta CIPE.

56

6. CONCLUSO

Atualmente, com o crescimento das redes de computadores, para efetuarem

operaes bancrias, comrcio eletrnico e acesso remoto informaes confidenciais o
segmento de segurana de redes vem cada vez mais ganhando destaque. Os ataques e a
espionagem podem acontecer e para se prevenir tem que obrigatoriamente implementar
algum tipo de segurana.
Nesta monografia abordamos o uso da tecnologia de VPN como uma possvel
soluo para que os dados que necessitem trafegar por meios com pouca segurana possam
ficar livres de ataques e chegarem nos seus destinos inalterados e sem terem sido vistos por
pessoas no autorizadas. Foram apontadas as caractersticas da VPN, vantagens e
desvantagens, sua arquitetura e as suas topologias.
Apresentamos tambm uma anlise dos protocolos que contribuem para a
implementao das VPN, dando nfase as caractersticas herdadas dos protocolos da
camada de enlace e tratando das suas vantagens e desvantagens.
Uma anlise das ferramentas que implementam VPNs tambm foi apresentada,
foram citadas as ferramentas mais conhecidas, discutindo-se sobre as suas principais
caractersticas, as vantagens e as desvantagens de cada uma individualmente.
Passada esta fase de estudo terico, o projeto concentrou-se na implementao de
VPN usando o Sistema Operacional Linux, com um enfoque no estudo de caso baseado na
rede da Universidade Salvador UNIFACS.
Neste estudo de caso foi abordada a importncia da utilizao de uma VPN para a
comunicao segura dos dados administrativos, visando esta soluo com um custo
reduzido e utilizando, para isso, ferramentas disponveis publicamente.

57

No estudo das ferramentas para implementao da VPN, destacamos a CIPE e

Stunnel. A ferramenta CIPE apresentou aspectos positivos como facilidade de instalao e
configurao. Inicialmente encontramos problemas com a instalao da verso mais nova
(1.4.3) da ferramenta, no sendo possvel a viabilidade para este projeto, ao contrrio da
verso anterior. O aspecto negativo da ferramenta ficou por conta da escassa
documentao.
A outra ferramenta utilizada, a Stunnel, apresentou aspectos interessantes que vale
mencionar como: facilidade de instalao e configurao alm de uma boa documentao.
Outro fator importante, refere-se ao suporte. Devido ao fato da mesma ser utilizada em
outros sistemas operacionais, existe uma maior troca de informaes entre as pessoas
interessadas na ferramenta.
Do ponto de vista acadmico, o projeto obteve o propsito esperado permitindo aos
alunos envolvidos no s um aprofundamento na rea de segurana de redes, como tambm
uma base terica para continuao dos estudos na rea de redes ou em outra rea da
computao.
Do ponto de vista profissional, o projeto foi importante para consolidar
conhecimentos na rea de redes e sistemas operacionais.
Por ltimo, os autores deste projeto encontram-se a disposio dos interessados em
discutir o tema da pesquisa e os resultados obtidos, bem como daqueles que pretendem
realizar melhorias e propostas para o tema em questo.

58

APNDICE A
Segue abaixo os passos para instalao e configurao da ferramenta Stunnel verso
3.8p4 no Conectiva Linux. Para instalao da ferramenta necessrio que biblioteca
OpenSSL esteja previamente instalada. Satisfeito este pr-requisito execute os seguintes
comandos como root:
# cp stunnelx.x.tar.gz /usr/local
# tar xzvf stunnelx.x.tar.gz
# cd /usr/local/stunnelx.x
# ./configure
# make
# make install

Para executar a ferramenta oferecendo suporte aos protocolos IMAP e POP execute
os seguintes comandos como root:
# stunnel d 933 l /usr/sbin/imapd imapd
# stunnel d l /usr/sbin/popd pop3

59

APNDICE B

Segue abaixo os passos para instalao e configurao da ferramenta CIPE verso

1.3.0 no Conectiva Linux. Para instalao da ferramenta execute os seguintes comandos
como root:
# cp cipex.x.tar.gz /usr/local
# tar xzvf cipex.x.tar.gz
# cd /usr/local/cipex.x
# ./configure
# make
# make install

Para configurar a ferramenta execute os seguintes comandos como root:

# mkdir /etc/cipe
# cd /usr/local/cipexx/samples
# cp ip-up ip-down options /etc/cipe

Para configurar a ferramenta edite o arquivo options, ip-up, ip-down com as

configuraes desejadas.

60

REFERNCIAS BIBLIOGRAFICAS

1. BROWN, Steven. Implementing Virtual Private Networks. McGraw-Hill 1999.

[BRO99]

2. COELHO, Paulo. Brida. Ed. Rocco, Rio de Janeiro: 1990.

3. Conectiva Informtica Linux Total Guia de Referncia. Curitiba: Conectiva,

1998.[CON00]

4. CIPE Olaf Titz. [on line] Disponvel na INTERNET via URL:

http://sites.inka.de/~bigred/devel/cipe.html. Arquivo capturado em 01/10/2000.
[CIP00]

5. Criptografia. [on line] Disponvel na INTERNET via URL: http://www.cert.org/.

Arquivo capturado em 05/07/2000. [CER00].

6. Criptografia de 128 bits autorizada. [on line] Disponvel na INTERNET via URL:
http://www.modulo.com.br/. Arquivo capturado em 05/07/2000. [MOD00].

7. FreeS/WAN Project Home Page. [on line] Disponvel na INTERNET via URL:
http://www.freeswan.org. Arquivo capturado em 01/10/2000. [FRE00]

8. GARFINKEL, Simson; Spafford, Gene. Pratical Unix and Internet Security. O

Reilly 1996. [GAR96].

61

9. Ip in IP Tunneling Request for Comments: 1853. [on line] Disponvel na

INTERNET via URL: http://info.internet.isi.edu/in-notes/rfc/files/rfc1853.txt.
Arquivo capturado em 01/10/2000. [IPI00]

10. Internet Protocol, version 6 (IPV6) Specification. [on line] Disponvel na

INTERNET via URL: ftp://ftp.isi.edu/in-notes/rfc2460.txt Arquivo capturado em
03/11/2000. [RFC2460]

11. KAEO, Merike. Designing Network Security, Cisco Press, 1999. [KAE99]

12. Linux VPN Masquerade How To. [on line] Disponvel na INTERNET via URL:
http://www.linuxdoc.org/HOWTO/VPNMasquerade-HOWTO.html. Arquivo
capturado em 03/04/2000. [MAS00]

13. OpenSSL:The Open Source tookit for SSL/TSL. [on line] Disponvel na
INTERNET via URL: http://www.openssl.org Arquivo Capturado em 29/10/2000.
[OPE00]

14. Redes Privadas Virtuais, Tutorial. [on line] Disponvel na INTERNET via URL:
http://www.cernet.com.br/Livingston/napl/VPN.htm Arquivo Capturado em
07/04/2000. [VPN100]

15. REIS, Rafael Mateus e JNIOR, William F. S. Motta. Redes Privadas Virtuais,
Orientador: Ornellas, Euclrio Barbosa. Salvador/BA - 1997. [REI97].

16. SCHNEIER, Bruce. Applied Cryptography: Protocols, Algorithms, and Source

Code in C, 2nd Edition. 1995. [SCH95].

17. Stunnel Universal SSL Wrapper. [on line] Disponvel na INTERNET via URL:
http://www.stunnel.org. Arquivo capturado em 01/10/2000. [STU00]

62

18. SSL 3 Specification. [on line] Disponvel na INTERNET via URL:

http://www.netscape.com/eng/ssl3 Arquivo Capturado em 01/11/2000. [SSL00]

18. The Point-to-Point Protocol (PPP). [on line] Disponvel na INTERNET via URL:
ftp://ftp.isi.edu/in-notes/rfc1548.txt Arquivo capturado em 03/11/2000. [RFC1548]

19. The VPN How To. [on line] Disponvel na INTERNET via URL:
http://www.linuxdoc.org/HOWTO/mini/VPN.html. Arquivo capturado em 02/04/2000.
[VPN200]

20. TANENBAUM, Andrew S., 1944 Redes de Computadores / Andrew S.

Tanenbaum: traducao [ds 3. ed. original] Insight Servicos de Informatica. Rio de
Janeiro: Campus, 1997. [TAN97]

21. Virtual Private Network. [on line] Disponvel na INTERNET via URL:
http://www.di.ufpe.br/~flash/ais98/VPN/VPN.html. Arquivo capturado em
05/04/2000. [VPN300]

22. Virtual Private Network Consortium VPNC. [on line] Disponvel na INTERNET
via URL: http://www.vpnc.org. Arquivo capturado em 01/10/2000. [VPN400]

23. Vtun Virtual Tunnels over TCP/IP networks. [on line] Disponvel na INTERNET
via URL: http://vtun.sourceforge.net. Arquivo capturado em 01/10/2000. [VTU00]

63

GLOSSRIO
AH: Authentication Header
ATM: Asynchronous Transfer Mode

CHAP: Challenge Handshake Authentication Protocol

CIPE: Crypto IP Encapsulation

ESP: Encapsulating Security Payload

FEP: Frondend-processor
FTP: File Transfer Protocol

GRE: Generic Routing Encapsulation

HDLC: High-level Data Link Control

HTTP: HyperText Transfer Protocol

IDEA: International Data Encryption Algorithm

IETF: Internet Engineering Task Force
IKE: Internet Key Exchange
IMAP: Interactive Mail Access Protocol
IP: Internet Protocol
IPSEC: Internet Protocol Security
ISAKMP: Internet Security Association and Key Management Protocol
ISDN: Internet Service Digital Network
ISP: Internet Service Provider

64

L2F: Layer 2 Forwarding Protocol

L2TP: Layer2 Tunneling Protocol
LAC: L2TP Access Concentrator
LAN: Local Area Network
LCP: Link Control Protocol
LNC: L2TP Network Server

MPPE: Microsoft Point to Point Encryption

NAS: Network Access Server

NAT: Network Address Translation
NCP: Network Control Protocol

PAP: Password Authentication Protocol

PGP: Pretty Good Privacy
PKI: Public Key Infrastructure
POP: Post Office Protocol
PPP: Point-to-Point Protocol
PPTP: Point-to-Point Tunneling Protocol

RADIUS: Remote Authentication Dial-In Service

RFC: Request from Comment
RSA: Rivest Shamir Adlemen

SLIP: Serial Line IP

TACACS: Terminal Acess Controller Access Control System

UDP: User Datagram Protocol

VPN: Virtual Private Network

65