Протокол РРТР

Протокол РРТР (Point-to-Point Tunneling Protocol), разработанный компанией Microsoft при поддержке других компаний, предназначен для создания защищенных виртуальных каналов при доступе удаленных пользователей к локальным сетям через Интернет. Он предполагает создание криптозащищенного туннеля на канальном уровне модели OSI как для случая прямого соединения удаленного компьютера с открытой сетью, так и для случая подсоединения его к открытой сети по телефонной линии через провайдера.

Протокол РРТР получил практическое распространение благодаря компании Microsoft, реализовавшей его в своих ОС Windows NT/2000. Некоторые производители МЭ и шлюзов VPN также поддерживают этот протокол. Протокол РРТР позволяет создавать защищенные каналы для обмена данными по протоколам IP, IPX или NetBEUI. Данные этих протоколов упаковываются в кадры РРР и затем инкапсулируются посредством протокола РРТР в пакеты протокола IP, с помощью которого переносятся в зашифрованном виде через любую сеть TCP/IP.

Пакеты, передаваемые в рамках сессии РРТР, имеют следующую структуру (рис. 1):
• заголовок канального уровня, используемый внутри Интернета, например заголовок кадра Ethernet;
• заголовок IP, содержащий адреса отправителя и получателя пакета;
• заголовок общего метода инкапсуляции для маршрутизации GRE (Generic Routing Encapsulation);
• исходный пакет РРР, включающий пакет IP, IPX или NetBEUI.

Рис. 1. Структура пакета для пересылки по туннелю РРТР

Принимающий узел сети извлекает из пакетов IP кадры РРР, а затем извлекает из кадра РРР исходный пакет IP, IPX или NetBEUI и отправляет его по локальной сети конкретному адресату. Многопротокольность инкапсулирующих протоколов канального уровня, к которым относится протокол РРТР, является их важным преимуществом перед протоколами защищенного канала более высоких уровней. Например, если в корпоративной сети используются IPX или NetBEUI, применение протоколов IPSec или SSL просто невозможно, поскольку они ориентированы только на один протокол сетевого уровня IP.

Такой способ инкапсуляции обеспечивает независимость от протоколов сетевого уровня модели OS1 и позволяет осуществлять защищенный удаленный доступ через открытые IP-сети к любым локальным сетям (IP, IPX или NetBEUI), Согласно протоколу РРТР при создании защищенного виртуального канала производится аутентификация удаленного пользователя и шифрование передаваемых данных (рис. 2).

Для аутентификации удаленного пользователя могут использоваться различные протоколы, применяемые для РРР. В реализации РРТР, включенной компанией Microsoft в Windows 98/ NT/2000, поддерживаются следующие протоколы аутентификации: протокол распознавания по паролю PAP (Password Authentication Protocol), протокол распознавания при рукопожатии MSCHAP (Microsoft Challenge-Handshaking Authentication Protocol) и протоколраспознавания EAP-TLS (Extensible Authentication Protocol — Transport Layer Security). При использовании протокола PAP идентификаторы и пароли передаются по линии связи в незашифрованном виде, при этом только сервер проводит аутентификацию клиента. При использовании протоколов MSCHAPи EAP-TLS обеспечиваются защита от повторного использования злоумышленником перехваченных пакетов с зашифрованным паролем и взаимная аутентификация клиента и VPN-сервера.

Шифрование с помощью РРТР гарантирует, что никто не сможет получить доступ к данным при пересылке через Internet. Протокол шифрования МРРЕ (Microsoft Point-to-Point Encryption) совместим только с MSCHAP (версии 1 и 2) и EAP-TLS и умеет автоматически выбирать длину ключа шифрования при согласовании параметров между клиентом и сервером. Протокол МРРЕ поддерживает работу с ключами длиной 40, 56 или 128 бит. Протокол РРТР изменяет значение ключа шифрования после каждого принятого пакета.

Для протокола РРТР определены две основные схемы применения:
1) схема туннелирования при прямом соединении удаленного компьютера с Интернетом;
2) схема туннелирования при подключении удаленного компьютера к Интернету по телефонной линии через провайдера.

Рассмотрим реализацию 1-й схемы туннелирования (рис. 3). Удаленный пользователь устанавливает удаленное соединение с локальной сетью с помощью клиентской части сервиса удаленного доступа RAS (Remote Access Service), входящего в состав Windows 98/NT. Затем пользователь обращается к серверу удаленного доступа локальной сети, указывая его IP-адрес, и устанавливает с ним связь по протоколу РРТР.

Функции сервера удаленного доступа может выполнять пограничный маршрутизатор локальной сети. На компьютере удаленного пользователя должны быть установлены клиентская часть сервиса RAS и драйвер РРТР, которые входят в состав Windows 98/NT, а на сервере удаленного доступа локальной сети — сервер RAS и драйвер РРТР, входящие в состав Windows NT Server. Протокол РРТР определяет несколько служебных сообщений, которыми обмениваются взаимодействующие стороны. Служебные сообщения передаются по протоколу TCP. После успешной аутентификации начинается процесс защищенного информационного обмена. Внутренние серверы локальной сети могут не поддерживать протокол РРТР, поскольку пограничный маршрутизатор извлекает кадры РРР из пакетов IP и посылает их по локальной сети в необходимом формате — IP, IPX или NetBIOS.

2-я схема туннелирования не получила широкого распространения.