LAN, VLAN, VPNDMZ

LAN, VLAN, VPN

Локальна мережа (LAN) - це комп'ютерна мережа, яка взаємоз'єднує комп'ютери в межах обмеженої території, такої як резиденція, школа, лабораторія, університетське містечко або офісний будинок. На відміну від цього, широкосмугова мережа (WAN) охоплює не лише більшу географічну відстань, але також взагалі включає орендовані телекомунікаційні схеми.

VLAN (англ. Virtual Local Area Network) - віртуальна локальна мережа.
VLAN або віртуальна локальна мережа є підкатегорією VPN. Де Конструкції VPN коливаються від рівня 1 до 3 рівня, VLAN є чисто шаром 2 конструювання. VLAN дозволяє групувати комп'ютери, які не обов'язково підключаються до одного і того ж перемикача. VLAN дозволяє перемістити комп'ютери географічно, зберігаючи однакові зв'язки та ресурси, такі як спільні папки та інші. VLAN також може бути використаний для виділення комп'ютерів у великій локальній мережі на менші мережі для кожного офісу чи відділу та захист даних, щоб вони не діяли так, як якщо вони знаходяться в тій же мережі, навіть якщо вони перебувають у одному комутаторі.

VPN (англ. Virtual Private Network) - віртуальна приватна мережа.
Незважаючи на набагато ширший спектр додатків, VPN зазвичай пов'язаний з технологіями, які дозволяють працівникам компанії віддаленого доступу до ресурсів компанії, таких як файли та електронні сервери. VPN також використовує механізми захисту, щоб дані не були скомпрометовані після його виходу та подорожей через Інтернет. Користувачам часто доводиться аутентифікувати свою особу за допомогою імені користувача та пароля, щоб отримати доступ. Інші мережі також вимагають, щоб пристрій, до якого ввімкнено користувач, було позначено як надійний пристрій, перш ніж надавати доступ. Ті, хто не на довірчому пристрої, не мають доступу, навіть якщо вони мають правильне ім'я користувача та пароль.

DMZ (комп'ютерні мережі)

У комп'ютерних мережах DMZ (демілітаризована зона) - це фізична або логічна підмережа, яка відділяє внутрішню локальну мережу (LAN) від інших ненадійних мереж, як правило, до Інтернету. Зовнішні сервери, ресурси та служби знаходяться в DMZ, тому вони доступні через Інтернет, але решта внутрішньої мережі залишаються недоступними. Це забезпечує додатковий рівень безпеки локальної мережі, оскільки це обмежує можливість безпосередньо отримувати доступ до внутрішніх серверів та даних через Інтернет.

Будь-яка послуга, яка надається користувачам в Інтернеті, повинна бути розміщена в DMZ. Найпоширенішими з цих служб є: Веб, Пошта, DNS, FTP та VoIP.

Мета ДМЗ - додати додатковий рівень безпеки в локальній мережі, що дозволяє мінімізувати збиток в разі атаки на один із загальнодоступних сервісів: зовнішній зловмисник має прямий доступ тільки до обладнання в ДМЗ.

Архітектура і реалізація

Є різні способи проектування мережі з DMZ. Два найбільш поширених способи мають один або  2 міжмережевих екрани.
Міжмережевий екран, мережевий екран - програмний або програмно-апаратний елемент комп'ютерної мережі, що здійснює контроль і фільтрацію мережевого трафіку, що проходить через нього, відповідно до заданих правил .

Інші назви :
Брандмауер (нім. Brandmauer - протипожежна стіна);
Файрвол (англ. Firewall - протипожежна стіна) .

Конфігурація з одним мережевим екраном

Для створення мережевої архітектури, що містить DMZ, може бути використаний єдиний брандмауер із принаймні трьома мережевими інтерфейсами.: один - для з'єднання з провайдером (WAN), другий - з внутрішньою мережею (LAN), третій - з ДМЗ. Подібна схема проста в реалізації, однак висуває підвищені вимоги до обладнання та адміністрування: брандмауер повинен обробляти весь трафік, що йде як в ДМЗ, так і у внутрішню мережу. При цьому він стає єдиною точкою відмови, а в разі його злому (або помилки в налаштуваннях) внутрішня мережа виявиться вразливою безпосередньо із зовнішнього.

Конфігурація з двома міжмережевими екранами

Більш безпечним підходом є використання двох брандмауерів для створення DMZ. : один з них контролює з'єднання з зовнішньої мережі в ДМЗ, другий - з ДМЗ у внутрішню мережу. У такому випадку для успішної атаки на внутрішні ресурси повинні бути скомпрометовані два пристрої. Крім того, на зовнішньому екрані можна налаштувати більш повільні правила фільтрації на рівні додатків, забезпечивши посилений захист локальної мережі без негативного впливу на продуктивність внутрішнього сегмента.

Ще більш високий рівень захисту можна забезпечити, використовуючи два брандмауери двох різних виробників і (бажано) різної архітектури - це зменшує ймовірність того, що обидва пристрої будуть мати однакову вразливість. Наприклад, випадкова помилка в налаштуваннях з меншою ймовірністю з'явиться в конфігурації інтерфейсів двох різних виробників; діра в безпеці, знайдена в системі одного виробника, з меншою ймовірністю опиниться в системі іншого. Недоліком цієї архітектури є більш висока вартість.

Пиклади vpn да dmz:

https://drive.google.com/open?id=16zO2iNzDpguxJFriV6GusFqhkaOVMSMG
https://drive.google.com/open?id=1Owa5YjiNx9peWkHGy5aWsKslpfFyhyob