JARINGAN PRIBADI VIRTUAL VPN

Ringkasan
• 1–Pengenalan Jaringan Pribadi Virtual VPN
• 2–Prinsip kerja VPN
o2.1–Prinsip umum
o2.2–Fitur-fitur VPN
• 3–Protokol yang digunakan untuk melakukan koneksi VPN
o3.1–Pengingat tentang PPP
o3.2–Protokol PPTP
o3.3–Protokol L2TP
o3.4–Protokol IPSec
o3.5–Protokol MPLS
o3.6–Protokol SSL
• 4–Perbandingan berbagai protokol
o4.1–VPN-SSL, sebuah inovasi pemasaran?
o4.2–PPTP
o4.3–L2TP / IPSec
o4.4–MPLS
o4.5–MPLS / IPSec
• 5–Kesimpulan

1–Pengantar Jaringan Pribadi Virtual VPN

Aplikasi dan sistem terdistribusi semakin menjadi bagian integral dari
pemandangan sejumlah besar perusahaan. Teknologi ini telah dapat berkembang
berkat kinerja yang semakin meningkat dari jaringan lokal. Namun keberhasilan
dari aplikasi-aplikasi ini juga telah menampilkan salah satu kendala mereka. Memang, jika aplikasi-aplikasi tersebut
distribusi menjadi alat utama sistem informasi perusahaan,
comment assurer leur accès sécurisé au sein de structures parfois réparties sur de
jarak geografis yang besar? Secara konkret, bagaimana sebuah cabang dari sebuah
perusahaan dapat mengakses data yang terletak di server induk
jarak beberapa ribu kilometer? VPN mulai diimplementasikan
untuk menjawab jenis masalah ini. Namun masalah lainnya adalah
aplikasi dan VPN saat ini telah mengambil tempat yang penting dalam jaringan
informatika dan informatika terdistribusi. Kami akan melihat di sini apa itu
karakteristik utama VPN melalui sejumlah penggunaan tipe.
Kami kemudian akan tertarik pada protokol yang memungkinkan penerapannya.
2–Prinsip kerja VPN

2.1–Prinsip umum
Jaringan VPN bergantung pada protokol yang disebut "protokol tunneling". Ini
protokol memungkinkan informasi perusahaan beredar secara terenkripsi
dari satu ujung ke ujung lainnya terowongan. Dengan demikian, pengguna merasa terhubung
langsung di jaringan perusahaan mereka.
Prinsip tunneling terdiri dari membangun jalur virtual setelah mengidentifikasi
pengirim dan penerima. Selanjutnya, sumber mengenkripsi data dan mengirimkannya
dengan meminjam Jalan virtual ini. Untuk memastikan akses yang mudah dan murah ke
intranet atau ekstranet perusahaan, jaringan pribadi virtual akses mensimulasikan sebuah
jaringan pribadi, padahal mereka sebenarnya menggunakan infrastruktur akses bersama,
seperti Internet.
Data yang akan ditransmisikan dapat didukung oleh protokol yang berbeda
d'IP. Dalam hal ini, protokol tunneling mengenkapsulasi data dengan menambahkan
entête. Tunneling adalah serangkaian proses pengenkapsulan, transmisi dan
de désencapsulation.

2.2–Fitur-fitur VPN
Ada 3 jenis standar penggunaan VPN. Dengan mempelajari pola penggunaan ini,
adalah mungkin untuk mengisolasi fitur-fitur penting dari VPN.

2.2.1– VPN Akses

VPN akses digunakan untuk memungkinkan pengguna yang bergerak mengakses ke

jaringan pribadi. Pengguna menggunakan koneksi Internet untuk membangun koneksi
VPN. Ada dua kasus:

• Pengguna meminta penyedia layanan untuk membuatkan koneksi.

dikenkripsi ke server jarak jauh: ia berkomunikasi dengan Nas (Akses Jaringan
Server) dari penyedia layanan dan itu adalah Nas yang menetapkan koneksi yang terenkripsi.
 • Pengguna memiliki perangkat lunak kliennya sendiri untuk VPN di mana ia mengatur
langsung komunikasi secara terenkripsi ke jaringan
perusahaan.
Kedua metode memiliki kelebihan dan kekurangan masing-masing:

• Yang pertama memungkinkan pengguna untuk berkomunikasi di beberapa jaringan secara

membuat beberapa terowongan, tetapi memerlukan penyedia akses yang menawarkan
NAS kompatibel dengan solusi VPN yang dipilih oleh perusahaan. Selain itu,
Permintaan koneksi oleh Nas tidak dienkripsi yang dapat menimbulkan masalah.
masalah keamanan.
• Pada metode kedua Masalah ini menghilang karena keseluruhan dari
informasi akan dikenkripsi segera setelah koneksi terjalin. Namun, ini
solusi memerlukan setiap pelanggan untuk membawa perangkat lunak bersamanya
yang memungkinkan untuk menetapkan komunikasi terenkripsi. Kami akan melihat bahwa untuk
beberapa perusahaan menerapkan VPN berbasis
SSL, teknologi yang diterapkan di sebagian besar browser Internet
marché.
Apa pun metode koneksi yang dipilih, jenis penggunaan ini menunjukkan dengan baik
pentingnya dalam VPN untuk memiliki otentikasi yang kuat bagi pengguna. Ini
autentikasi dapat dilakukan melalui verifikasi "login / kata sandi", melalui sebuah
algoritma yang disebut "Token aman" (penggunaan kata sandi acak) atau oleh
sertifikat digital.

2.2.2– Intranet VPN

VPN intranet digunakan untuk menghubungkan setidaknya dua intranet satu sama lain. Jenis ini dari
jaringan sangat berguna di dalam perusahaan yang memiliki beberapa lokasi
jauh. Yang paling penting dalam jenis jaringan ini adalah untuk menjamin keamanan dan
integritas data. Beberapa data yang sangat sensitif dapat dibawa untuk
bertransisi melalui VPN (basis data klien, informasi keuangan...).
teknik kriptografi diterapkan untuk memverifikasi bahwa data tidak telah
tidak dimodifikasi. Ini adalah autentikasi pada tingkat paket untuk memastikan
validitas data, identifikasi sumbernya serta non-penyangkalan mereka.
Sebagian besar algoritma yang digunakan mengandalkan tanda tangan digital yang merupakan
ditambahkan ke paket. Privasi data juga dibangun di atas
algoritma kriptografi. Teknologi di bidang ini cukup maju
untuk memungkinkan keamanan yang hampir sempurna. Biaya material dari peralatan
kriptografi dan dekripsi serta batasan hukum melarang penggunaan suatu
pengkodean "tak terhindarkan". Umumnya untuk kerahasiaan, pengkodean itu sendiri
dapat menjadi sedang hingga rendah, tetapi akan dikombinasikan dengan teknik lain seperti
enkapsulasi Ip dalam Ip untuk memastikan keamanan yang cukup.

2.2.3– Ekstranet VPN

Sebuah perusahaan dapat menggunakan VPN untuk berkomunikasi dengan klien dan
mitra. Dia kemudian membuka jaringan lokalnya kepada mereka. Dalam kerangka ini, dia adalah
penting agar administrator VPN dapat melacak klien di jaringan dan
mengelola hak setiap orang atas hal ini.

2.2.4–Ringkasan karakteristik dasar dari VPN

Sebuah sistem VPN harus dapat menerapkan fungsi-fungsi berikut:

• Autentikasi pengguna. Hanya pengguna yang diizinkan yang harus dapat

mengidentifikasi diri di jaringan virtual. Selain itu, ada riwayat koneksi dan
tindakan yang dilakukan di jaringan harus disimpan.
• Manajemen alamat. Setiap klien di jaringan harus memiliki alamat pribadi.
Alamat pribadi ini harus tetap rahasia. Klien baru harus
menghubungkan dengan mudah ke jaringan dan menerima alamat.
• Enkripsi data. Saat dikirim melalui jaringan publik, data
harus dilindungi dengan enkripsi yang efektif.
• Pengelolaan kunci. Kunci enkripsi untuk klien dan server harus dapat
dihasilkan dan regenarasi.
• Dukungan multiprotokol. Solusi VPN harus mendukung protokol
yang paling banyak digunakan di jaringan publik terutama Ip.
VPN adalah sebuah prinsip: ia tidak menggambarkan penerapan efektif dari ini
karakteristik. Itulah sebabnya ada beberapa produk berbeda di pasar
Beberapa telah menjadi standar, dan bahkan dianggap sebagai norma.
3–Protokol yang digunakan untuk membuat koneksi VPN
Kita dapat mengklasifikasikan protokol yang akan kita pelajari ke dalam dua kategori:

• Protokol level 2 seperti PPTP dan L2TP.

• Protokol tingkat 3 seperti IPSec atau MPLS.
Sebenarnya ada tiga protokol tingkat 2 yang memungkinkan untuk membuat VPN: PPTP
(dari Microsoft), L2F (dikembangkan oleh CISCO) dan akhirnya L2TP. Kami tidak akan membahas dalam
studi ini bahwa PPTP dan L2TP: protokol L2F yang saat ini hampir punah.
Protokol PPTP mungkin juga akan punah tanpa dukungan dari Microsoft yang
terus mengintegrasikannya ke dalam sistem operasi Windows. L2TP adalah sebuah perkembangan
dari PPTP dan L2F, mengambil keuntungan dari kedua protokol.
Protokol lapisan 2 bergantung pada fitur yang ditentukan untuk PPP (Point
ke Protokol Point), itulah sebabnya kami akan terlebih dahulu mengingatkan cara kerjanya
protokol ini.

3.1–Pengingat tentang PPP

PPP (Point to Point Protocol) adalah protokol yang memungkinkan transfer data
sur un lien synchrone ou asynchrone. Il est full duplex et garantit l’ordre d’arrivée des
paket. Ia mengenkapsulasi paket Ip, Ipx dan Netbeui dalam frame PPP, kemudian mentransmisikan
paket-paket ini dibungkus melalui jalur titik ke titik. PPP digunakan
umumnya antara klien akses jarak jauh dan server akses jaringan (Nas).
protokol PPP didefinisikan dalam RFC 1661 didukung oleh RFC 2153.

3.1.1–Généralités
PPP adalah salah satu dari dua protokol yang berasal dari standarisasi komunikasi pada
liaisons seri (Slip menjadi yang kedua). Ini tidak hanya memungkinkan pengemasan dari
datagram, tetapi juga penyelesaian beberapa masalah terkait dengan protokol
jaringan seperti penugasan dan pengelolaan alamat (Ip, X25 dan lainnya).
Sebuah koneksi PPP terdiri terutama dari tiga bagian:

• Metode untuk mengenkapsulasi datagram pada sambungan serial. PPP menggunakan

format trame HDLC (Kontrol Tingkat Data Tinggi) dari ISO (Organisasi Internasional untuk Standardisasi)

Organisasi Standardisasi.
• Sebuahprotokol kontrol tautan (Lcp–Link Control Protocol) untuk menetapkan,
mengonfigurasi dan menguji koneksi data link.
• Beberapa protokol kontrol jaringan (Ncps–Protokol Kontrol Jaringan)
untuk menetapkan dan mengonfigurasi berbagai protokol lapisan jaringan.
3.1.2–Format dari sebuah rangka PPP

• Fanion–Séparateur dari bingkai yang sama dengan nilai 01111110. Hanya satu bendera yang
diperlukan antara 2 rangka.
• Alamat–PPP tidak memungkinkan pengalamatan individu untuk stasiun, jadi ini
champ harus 0xFF (semua stasiun). Alamat yang tidak dikenali
akan menyebabkan penghancuran jaring.
• Kontrol–Bidang kontrol harus bernilai 0x03
• Protokol - Nilai yang terkandung dalam kolom ini harus ganjil (oktet dari
berat tinggi genap). Bidang ini mengidentifikasi protokol yang terbungkus dalam bidang
informasikan dari bingkai. Nilai-nilai berbeda yang dapat digunakan ditentukan dalam
RFC "tugaskan nomor" dan mewakili berbagai protokol yang didukung
melalui PPP (Osi, Ip, Decnet IV, Ipx…), Ncp yang terkait serta Lcp.
• Data – Panjang antara 0 dan 1500 byte, Kolom ini berisi
datagram protokol tingkat atas yang ditunjukkan dalam kolom "protokol". Sa
panjang terdeteksi oleh bendera akhir bingkai, kurang dua byte dari
kontrol.
• Fcs (Urutan Pemeriksaan Frame) – Kolom ini berisi nilai checksum dari
trame. PPP memeriksa konten Fcs ketika menerima paket. Kontrol
kesalahan yang diterapkan oleh PPP sesuai dengan X25.

3.1.3– Berbagai fase dari koneksi PPP

Setiap koneksi PPP dimulai dan diakhiri dengan fase yang disebut "hubungan mati". Sejak
bahwa suatu peristiwa eksternal menunjukkan bahwa lapisan fisik siap, koneksi dilakukan
pada fase berikutnya, yaitu pembentukan hubungan. Karena PPP harus
didukung oleh sejumlah besar lingkungan, sebuah protokol spesifik telah
diperoleh dan diintegrasikan ke dalam PPP untuk seluruh fase koneksi; ini adalah Lcp (Link
Protokol Kontrol). Lcp adalah protokol yang digunakan untuk mendirikan, mengkonfigurasi, menguji, dan
menghentikan koneksi PPP. Ini memungkinkan untuk memanipulasi ukuran paket yang bervariasi dan
melakukan sejumlah pengujian pada konfigurasi. Ini memungkinkan terutama untuk
mendeteksi tautan yang berputar pada dirinya sendiri.

Koneksi PPP kemudian masuk ke fase otentikasi. Langkah ini adalah

opsional dan harus dicantumkan saat fase sebelumnya.
Jika otentikasi berhasil atau tidak diminta, koneksi beralih ke
fase 'Protokol jaringan'. Ini adalah tahap di mana berbagai protokol
jaringan dikonfigurasi. Konfigurasi ini dilakukan secara terpisah untuk setiap
protokol jaringan. Ini dijamin oleh protokol kontrol jaringan (Ncp)
Pada saat ini, transfer data adalah mungkin. NPC dapat kapan saja
momen membuka atau menutup sambungan. PPP dapat mengakhiri sebuah koneksi kapan saja
momen, karena autentikasi gagal, bahwa kualitas saluran adalah
salah atau untuk alasan lain. Ini adalah Lcp yang menjamin penutupan hubungan
dengan bantuan paket terminal. Ncp kemudian diberi tahu oleh PPP tentang
penutupan sambungan.

3.2–Protokol PPTP
PPTP, yang ditentukan oleh RFC 2637, adalah protokol yang menggunakan koneksi PPP melalui
jaringan Ip dengan membuat jaringan pribadi virtual (VPN). Microsoft telah mengimplementasikan
algoritma yang tepat untuk mengintegrasikannya ke dalam versi Windows-nya. Dengan demikian, PPTP adalah
sebuah solusi yang sangat digunakan dalam produk VPN komersial karena sifatnya
integrasi ke dalam sistem operasi Windows. PPTP adalah protokol dari
tingkat 2 yang memungkinkan enkripsi data serta kompresinya.
Otentikasi dilakukan melalui protokol Ms-Chap dari Microsoft yang, setelah
Analisis kriptografi versi 1-nya, telah mengungkapkan secara publik kelemahan yang signifikan. Microsoft
telah memperbaiki kekurangan ini dan sekarang menawarkan versi 2 dari Ms-Chap yang lebih aman.
Bagian enkripsi data dilakukan melalui protokol Mppe (Microsoft
Enkripsi Titik ke Titik
Prinsip dari protokol PPTP adalah untuk membuat paket di bawah protokol PPP dan untuk mereka
mengenkapsulasi dalam datagram IP. PPTP dengan demikian menciptakan terowongan level 3 yang ditentukan oleh
protokol Gre (Generic Routing Encapsulation). Terowongan PPTP ditandai oleh
sebuah inisialisasi klien, sebuah koneksi kontrol antara klien dan server
yang disebabkan oleh penutupan terowongan oleh server. Saat melakukan sambungan,
klien terlebih dahulu melakukan koneksi dengan penyedia layanan internetnya. Ini
koneksi pertama yang dibuat adalah koneksi tipe PPP dan memungkinkan untuk mengalirkan
data di Internet. Selanjutnya, sambungan dial-up kedua dibuat. Ia
mengizinkan untuk mengenkapsulasi paket PPP dalam datagram IP. Ini adalah yang kedua
koneksi yang membentuk terowongan PPTP. Semua lalu lintas klien yang dirancang untuk Internet melewati
koneksi fisik normal, sementara lalu lintas dirancang untuk jaringan pribadi jarak jauh,
melalui koneksi virtual PPTP.
Beberapa protokol dapat dikaitkan dengan PPTP untuk mengamankan data atau
mengompresnya. Tentu saja, kita menemukan protokol yang dikembangkan oleh Microsoft dan
yang disebutkan sebelumnya. Jadi, untuk proses identifikasi, adalah mungkin untuk menggunakan
protokol Pap (Password Authentication Protocol) atau MsChap. Untuk
enkripsi data, dimungkinkan untuk menggunakan fungsi Mppe (Microsoft
Enkripsi Titik ke Titik). Akhirnya, kompresi dari ujung ke ujung dapat dilakukan
oleh Mppc (Microsoft Point to Point Compression). Berbagai protokol ini memungkinkan
untuk melakukan koneksi VPN yang lengkap, tetapi protokol berikut memungkinkan untuk
tingkat kinerja dan keandalan yang jauh lebih baik.

3.3–Protokol L2TP
L2TP, yang didefinisikan oleh RFC 2661, berasal dari konvergensi protokol PPTP dan L2F.
Saat ini sedang dikembangkan dan dievaluasi bersama oleh Cisco Systems, Microsoft,
Ascend, 3Com serta aktor kunci lainnya di pasar jaringan. Ini memungkinkan
enkapsulasi paket PPP pada tingkat lapisan 2 (Frame Relay dan Atm) dan 3
(Ip). Ketika dikonfigurasi untuk mentransmisikan data melalui IP, L2TP dapat digunakan
untuk melakukan tunneling di Internet. L2TP bergantung pada dua konsep:
koncentrator akses L2TP (Lac: L2TP AccessConcentrator) dan server jaringan
L2TP (Lns : L2TP Network Server). L2TP tidak langsung mengintegrasikan protokol untuk
enkripsi data. Itulah sebabnya IETF merekomendasikan penggunaan bersama
d’IPSec dan L2TP.

Dokumentasi yang didedikasikan untuk L2TP tersedia di situs FrameIP.

3.3.1– Konsentrator Akses L2TP (LAC : Konsentrator Akses L2TP)

Perangkat Lac memberikan dukungan fisik untuk koneksi L2TP. Lalu lintas
dalam hal ini dipindahkan ke server jaringan L2TP. Server ini dapat terintegrasi dengan
struktur jaringan yang dipertukarkan RTC atau sistem akhir PPP yang mengambil
bertanggung jawab untuk protokol L2TP. Mereka memastikan pemisahan ke dalam saluran dari semua yang
protokol yang berbasis pada PPP. Danau adalah pengirim panggilan masuk dan penerima
panggilan keluar.
3.3.2–Server jaringan L2TP (LNS: Server Jaringan L2TP)
Server jaringan L2TP atau LNS dapat berfungsi di semua platform yang mendukung
bertanggung jawab atas pengakhiran PPP. LNS mengelola protokol L2TP di sisi server. Protokol
L2TP hanya menggunakan satu media, di mana saluran L2TP tiba. Itulah sebabnya,
server jaringan LNS, hanya dapat memiliki satu antarmuka jaringan lokal (Lan)
mereka mampu menyelesaikan panggilan yang berasal dari
antarmuka PPP mana pun dari konsentrator akses Lac: async., Rnis, PPP di
Atm atau PPP pada relay frame. Lns adalah pengirim panggilan keluar dan
penerima panggilan masuk. Itu adalah Lns yang akan bertanggung jawab atas otentikasi
du terowongan.

3.4–Protokol IPSec
IPSec, ditetapkan oleh RFC 2401, adalah protokol yang bertujuan untuk mengamankan pertukaran
data pada tingkat lapisan jaringan. Jaringan Ipv4 telah banyak diterapkan dan
Migrasi ke Ipv6 tidak terhindarkan, tetapi cukup panjang, maka muncul sebagai hal yang menarik
mengembangkan teknik perlindungan data yang umum untuk Ipv4 dan Ipv6.
Mekanisme ini biasanya disebut dengan istilah IPSec untuk Keamanan Ip
Protokol. IPSec didasarkan pada dua mekanisme. Yang pertama, AH, untuk Autentikasi
Header bertujuan untuk memastikan integritas dan keaslian datagram IP. Ini tidak menyediakan
terhadap tidak ada kerahasiaan: data yang diberikan dan disampaikan oleh Protokol ini
tidak terkodekan. Yang kedua, Esp, untuk Payload Keamanan Kapsul dapat juga
memungkinkan autentikasi data tetapi terutama digunakan untuk
krip produksi informasi. Meskipun independen, kedua mekanisme ini hampir
selalu digunakan secara bersamaan. Akhirnya, protokol Ike memungkinkan untuk mengelola pertukaran atau
asosiasi antara protokol keamanan. Sebelum menggambarkan berbagai protokol ini,
kami akan memaparkan berbagai elemen yang digunakan dalam IPSec.
Dokumentasi yang didedikasikan untuk IPSEC tersedia di situs FrameIP.

3.4.1– Gambaran umum

Mekanisme yang disebutkan di atas tentunya menggunakan kriptografi dan
jadi menggunakan sejumlah parameter (algoritma enkripsi yang digunakan,
kunci, mekanisme yang dipilih...) di mana pihak ketiga yang berkomunikasi harus
menyepakati. Untuk mengelola parameter ini, IPSec menggunakan gagasan asosiasi
asosiasi keamanan (Security Association, SA).

Asosiasi keamanan IPSec adalah "koneksi" simplex yang menyediakan

layanan keamanan untuk lalu lintas yang diangkutnya. Hal ini juga dapat dianggap sebagai
struktur data yang digunakan untuk menyimpan seluruh parameter yang terkait dengan sebuah
komunikasi yang diberikan.

Sebuah SA adalah unidirectional; oleh karena itu, melindungi kedua arah dari sebuah
komunikasi klasik membutuhkan dua asosiasi, satu di setiap arah. Yang
layanan keamanan disediakan melalui penggunaan baik AH maupun Esp. Jika AH dan Esp
keduanya diterapkan pada lalu lintas yang bersangkutan, dua SA (bahkan lebih) dibentuk; kita
berbicara tentang paket (bundle) SA.
Setiap asosiasi diidentifikasi secara unik menggunakan triplet yang terdiri dari:

• Alamat tujuan paket,

• Identifikasi protokol keamanan yang digunakan (AH atau Esp),
• Indeks parameter keamanan (Security Parameter Index, SPI). Sebuah SPI adalah
sebuah blok 32 bit yang tertulis jelas di dalam header setiap paket yang dipertukarkan;
dipilih oleh penerima.
Untuk mengelola asosiasi keamanan aktif, kita menggunakan "database dari
asosiasi keamanan" (Basis Data Asosiasi Keamanan, SAD). Ini berisi semua
parameter yang berkaitan dengan setiap SA dan akan dikonsultasikan untuk mengetahui bagaimana menangani setiap
paket diterima atau akan dikeluarkan.

Perlindungan yang ditawarkan oleh IPSec didasarkan pada pilihan yang ditentukan dalam sebuah "basis dari
data kebijakan keamanan" (Basis Data Kebijakan Keamanan, SPD). Basis data ini
data ditetapkan dan dipelihara oleh pengguna, administrator sistem atau sebuah
aplikasi yang diterapkan oleh mereka. Ini memungkinkan untuk memutuskan, untuk setiap paket, apakah ia
akan diperoleh layanan keamanan, jika dia diizinkan untuk lewat atau ditolak.

3.4.2–Prinsip kerja
Skema di bawah ini menggambarkan semua elemen yang disajikan di atas (dalam biru), mereka
posisi dan interaksinya.
Kita membedakan dua situasi:

• Lalu lintas keluar

Ketika lapisan IPSec menerima data untuk dikirim, ia mulai dengan

konsultasikan basis data kebijakan keamanan (SPD) untuk mengetahui
bagaimana cara mengolah data ini. Jika basis ini menunjukkan bahwa lalu lintas harus terlihat
menerapkan mekanisme keamanan, ia mengambil karakteristik
syarat untuk SA yang bersangkutan dan akan berkonsultasi dengan basis data SA (SAD). Jika
SA yang diperlukan sudah ada, dan digunakan untuk menangani lalu lintas yang dimaksud.
Sebaliknya, IPSec memanggil IKE untuk membentuk SA baru dengan
karakteristik yang diperlukan.

• Lalu lintas masuk

Ketika lapisan IPSec menerima paket dari jaringan, ia

periksa header untuk mengetahui apakah Paket ini telah dikenakan satu atau lebih
layanan IPSec dan jika ya, apa referensi dari SA. Dia kemudian berkonsultasi
la SAD untuk mengetahui parameter yang digunakan untuk verifikasi dan/atau
pembongkaran paket. Setelah paket diperiksa dan/atau dibongkar, Spd adalah
dilikuidasi untuk mengetahui apakah asosiasi keamanan diterapkan pada paket
sesuai dengan yang dipersyaratkan oleh kebijakan keamanan.
Dalam kasus di mana paket yang diterima adalah paket Ip klasik, Spd memungkinkan untuk mengetahui apakah itu
meskipun hak untuk lewat. Sebagai contoh, paket IKE adalah pengecualian. Mereka adalah
ditangani oleh Ike, yang dapat mengirimkan peringatan administratif jika ada upaya untuk
koneksi tidak berhasil.

3.4.3–Protokol Ah (Authentication Header)

Ketiadaan privasi memastikan bahwa standar ini akan dapat
secara luas tersebar di Internet, termasuk di tempat-tempat di mana ekspor,
Impor atau penggunaan enkripsi untuk tujuan privasi adalah
dibatasi oleh hukum.
Prinsipnya adalah menambahkan kolom tambahan ke datagram IP klasik.
memungkinkan penerimaan untuk memeriksa keaslian data yang termasuk dalam
datagram. Blok data ini disebut "nilai pemeriksaan integritas"
(Nilai Pemeriksaan Integritas, Icv). Perlindungan terhadap penolakan dilakukan melalui nomor
urutan.
3.4.4–Protokol Esp (Payload Keamanan Terenkapsulasi)
Esp dapat memastikan, sesuai pilihan, satu atau beberapa layanan berikut:

• Kerahasian (kerahasiaan data dan perlindungan parsial terhadap

analisis trafik jika menggunakan mode terowongan).
• Integritas data dalam mode tidak terhubung dan autentikasi asal
data, perlindungan terhadap pemutaran ulang.
Privasi dapat dipilih secara independen dari layanan lainnya, tetapi
penggunaannya tanpa integritas/autentikasi (langsung di Esp atau dengan AH) membuat
lalu lintas rentan terhadap jenis serangan aktif tertentu yang dapat melemahkan layanan
privasi.

Bidang pengisian mungkin diperlukan untuk algoritma enkripsi blok.

Anda untuk menyelaraskan teks terenkripsi pada batas 4 byte.
Data otentikasi hanya ada jika layanan ini telah dipilih.
Mari kita lihat sekarang bagaimana privasi diterapkan di Esp.
L’expéditeur :

• Kapsulkan,dalam kolom "muatan berguna" dari Esp, data yang diangkut oleh
datagram asli dan kemungkinan kepala IP (mode terowongan).
• Tambahkan jika perlu sebuah pengisi.
• Enkripsi hasil (data, pengisian, panjang kolom dan header sesuai).
• Tambahkan kemungkinan data sinkronisasi kriptografi
(vektor inisialisasi) di awal kolom «muatan berguna».

3.4.5–Manajemen kunci untuk IPSec: Isakmp dan Ike

Protokol yang aman yang dijelaskan dalam paragraf sebelumnya menggunakan
algoritma kriptografi dan oleh karena itu memerlukan kunci. Salah satu masalah
fondamental penggunaan kriptografi adalah pengelolaan kunci-kunci ini. Istilah
« pengelolaan » mencakup generasi, distribusi, penyimpanan, dan penghapusan
kunci.
IKE (Internet Key Exchange) adalah sistem yang dikembangkan secara khusus untuk IPSec yang
bertujuan untuk menyediakan mekanisme autentikasi dan pertukaran kunci yang sesuai untuk
seluruh situasi yang dapat muncul di internet. Ini terdiri dari
beberapa elemen: kerangka generik Isakmp dan sebagian dari protokol Oakley dan
Skema. Ketika digunakan untuk IPSec, IKE dilengkapi dengan "domain"
d’interpretasi» untuk IPSec.

[Link]–Isakmp (Asosiasi Keamanan Internet dan Manajemen Kunci

Protokol
Isakmp memiliki peran dalam negosiasi, penetapan, modifikasi, dan penghapusan
asosiasi keamanan dan atributnya. Ini meletakkan dasar yang memungkinkan untuk
membangun berbagai protokol pengelolaan kunci (dan lebih umumnya asosiasi
keamanan). Ini memiliki tiga aspek utama :

• Ini menetapkan suatu cara untuk melanjutkan, dalam dua tahap yang disebut fase 1 dan fase 2:
dalam yang pertama, sejumlah parameter keamanan yang khusus untuk
Isakmp diatur untuk membuat saluran yang dilindungi antara kedua pihak;
Pada tahap kedua, saluran ini digunakan untuk menegosiasikan asosiasi
keamanan untuk mekanisme keamanan yang ingin digunakan (AH dan Esp)
misalnya).
• Ia mendefinisikan format pesan, melalui blok-blok yang masing-masing memiliki
peran yang jelas dan memungkinkan untuk menyusun pesan yang jelas.
• Ia menyajikan sejumlah pertukaran tipe, terdiri dari pesan-pesan seperti itu, yang
mengizinkan negosiasi yang memiliki properti berbeda: perlindungan
atau non identitas, kerahasiaan maju yang sempurna...
Isakmp dijelaskan dalam RFC 2408.
[Link] Ike (Pertukaran Kunci Internet)
IKE menggunakan Isakmp untuk membangun protokol praktis. Ini mencakup empat mode :

• Mode utama
• Mode agresif
• Mode cepat
• Le mode nouveau groupe (New Groupe Mode)
Mode Utama dan Mode Agresif digunakan selama fase 1, Mode Cepat adalah
pertukaran fase 2. Mode Grup Baru agak berbeda: Ini bukan pertukaran
fase 1, ini adalah pertukaran fase 2, tetapi itu hanya dapat terjadi setelah sebuah SA
Isakmp telah ditetapkan; itu digunakan untuk mencapai kesepakatan tentang kelompok baru untuk masa depan
pertukaran Diffie-Hellman.
a) Fase 1 : Mode Utama dan Mode Agresif
Atribut berikut digunakan oleh Ike dan dinegosiasikan selama fase 1: sebuah algoritma
enkripsi, fungsi hash, metode otentikasi dan grup
untuk Diffie-Hellman.
Tiga kunci dihasilkan pada akhir fase 1: satu untuk enkripsi, satu untuk
autentikasi dan satu untuk derivasi kunci lainnya. Kunci-kunci ini bergantung pada
kue, ketidakpastian yang dipertukarkan dan nilai publik Diffie-Hellman atau rahasia
dibagikan sebelumnya. Perhitungan mereka melibatkan fungsi hash yang dipilih untuk SA
Isakmp tergantung pada mode otentikasi yang dipilih. Rumus yang tepat adalah
dijelaskan dalam RFC 2409.
b) Fase 2 : Mode Cepat
Pesan yang dipertukarkan selama fase 2 dilindungi dalam keaslian dan
kerahasiaan berkat elemen yang dinegosiasikan selama fase 1. Keaslian dari
pesan dijamin oleh penambahan blok Hash setelah header Isakmp dan
kerahasiaan dijamin oleh enkripsi seluruh blok pesan.
Mode Cepat digunakan untuk negosiasi SA untuk protokol keamanan
diberikan seperti IPSec. Setiap negosiasi sebenarnya menghasilkan dua SA, satu di setiap
arti komunikasi.
Lebih khusus, pertukaran yang membentuk Mode ini memiliki peran sebagai berikut:

• Negosiasikan sekumpulan parameter IPSec (paket SA)

• Tukar angka acak yang digunakan untuk menghasilkan kunci baru yang
derivasi rahasia yang dihasilkan pada fase 1 dengan protokol Diffie-Hellman. Dengan cara
opsional, dimungkinkan untuk menggunakan pertukaran baru Diffie-
Hellman, untuk mengakses hak milik dari Perfect Forward Secrecy, yang tidak
tidak diberikan jika kita hanya menghasilkan kunci baru dari yang lama
dan ketidakpastian.
 • Opsional, identifikasi lalu lintas yang akan dilindungi oleh paket SA ini, dengan menggunakan
dari pemilih (blok opsional IDi dan IDr; jika tidak ada, alamat IP dari
interlocuteurs digunakan).
c) Kelompok : Grup Mode Baru
Grup yang digunakan untuk Diffie-Hellman dapat dinegosiasikan, melalui blok SA, baik
selama Mode Utama, atau kemudian melalui Mode Grup Baru. Dalam
kedua kasus, ada dua cara untuk menunjuk kelompok yang akan digunakan:

• Berikan referensi dari kelompok yang telah ditentukan: saat ini ada empat di antaranya,
empat kelompok Oakley (dua kelompok MODP dan dua kelompok EC2N).
• Berikan
karakteristik grup yang diinginkan: jenis grup (MODP, ECP, )
EC2N), bilangan prima atau polinomial tak tereduksi, pembangkit…
d) Fase dan mode
Akhirnya, jalannya negosiasi IKE mengikuti diagram berikut:

3.4.6–Dua mode operasi IPSec

Mode transport mengambil aliran tingkat transport (lapisan tingkat 4 dari model
OSI) dan melakukan mekanisme tanda tangan dan penyulitan kemudian mentransmisikan data
pada lapisan Ip. Dalam mode ini, penyisipan lapisan IPSec adalah transparan antara Tcp
et Ip. Tcp mengirimkan datanya ke IPSec seperti yang dikirimnya ke IPv4.
Kekurangan dari mode ini terletak pada kenyataan bahwa kepala luar diproduksi oleh
lapisan IP yaitu tanpa penyamaran alamat. Selain itu, fakta bahwa menyelesaikan
perlakuan oleh lapisan Ip tidak dapat menjamin tidak digunakannya opsi
Ip yang berpotensi berbahaya. Ketertarikan mode ini terletak pada kemudahan relatif.
dari pelaksanaan.
Dalam mode terowongan, data yang dikirim oleh aplikasi melewati tumpukan
protocole jusqu ’à la couche Ip incluse, puis sont envoyées vers le module IPSec.
Enkapsulasi IPSec dalam mode terowongan memungkinkan penyamaran alamat. Mode terowongan
digunakan antara dua jembatan keamanan (router, firewall, ...) sedangkan mode
Transport terletak antara dua host.

3.5–Protokol MPLS
Protokol MPLS adalah keturunan cemerlang dari "semua ip". Itu muncul sebagai sebuah
solusi untuk masalah pengalamatan datagram IP yang dikirim melalui Internet. The
prinsip pengalihan di Internet didasarkan pada tabel pengalihan. Untuk setiap paket
Router, untuk menentukan lompatan berikutnya, harus menganalisis alamat dari
tujuan paket yang terkandung dalam header tingkat 3. Kemudian ia memeriksa tabelnya
rute untuk menentukan pada antarmuka mana paket harus keluar. Mekanisme ini dari
pencarian dalam tabel routing memakan waktu CPU dan dengan
pertumbuhan ukuran jaringan dalam beberapa tahun terakhir, tabel routing dari
router terus meningkat. Protokol MPLS awalnya dikembangkan
untuk memberikan kekuatan yang lebih besar kepada saklar Ip, tetapi dengan kemunculan
teknik perpindahan seperti Cef (Cisco Express Forwarding) dan penerapan
poin baru Asic (Application Specific Interface Circuits), router Ip telah melihat
kinerja mereka meningkat tanpa menggunakan MPLS.

3.5.1–Prinsip kerja MPLS

Prinsip dasar MPLS adalah perpindahan label. Label ini, hanya angka
bilangan bulat, dimasukkan antara judul tingkat 2 dan 3, router kemudian menukar ini
label di sepanjang jaringan sampai tujuan, tanpa perlu berkonsultasi
header IP dan tabel routing mereka.

[Link]–Komutasi berdasarkan label

Teknik pertukaran label ini disebut Label Swapping. MPLS memungkinkan
untuk mendefinisikan tumpukan label (label stack), yang akan terlihat manfaatnya dengan VPN. Yang
router yang melakukan operasi penukaran label disebut Lsr untuk Label Switch
Router.

Router MPLS yang terletak di tepi jaringan (Edge Lsr), yang memiliki keduanya
antarmuka IP tradisional dan antarmuka yang terhubung ke backbone MPLS, adalah
bertanggung jawab untuk menerapkan atau mencabut label dari paket IP yang melintasi mereka.
router masuk, yang menetapkan label, disebut Ingress Lsr, sementara itu
router keluaran, yang menghapus label, disebut Egress Lsr.

[Link]–Klasifikasi paket
Di pintu masuk jaringan MPLS, paket Ip diklasifikasikan dalam Fec (Pengiriman)
Kelas Setara). Paket-paket yang termasuk dalam Fec yang sama akan mengikuti yang sama
jalur dan akan memiliki metode pengalihan yang sama. Secara khas, Fec adalah
prefix IP yang dipelajari oleh Igp yang berjalan di backbone MPLS, tetapi juga dapat
didefinisikan oleh informasi QoS (Quality Of Services). Klasifikasi paket
terjadi di pintu masuk backbone MPLS, oleh LSR Ingress. Di dalam backbone
MPLS, paket-paket diberi label dan tidak ada pengklasifikasian ulang paket yang terjadi.
Setiap Lsr mempengaruhi sebuah label lokal, yang akan digunakan sebagai input, untuk setiap Fec dan
menyebar ke tetangganya. Lsr tetangga dipelajari melalui Igp. Kumpulan Lsr
digunakan untuk Fec, yang merupakan jalur melalui jaringan, disebut Label Switch
Jalur (Lsp). Terdapat Lsp untuk setiap Fec dan Lsp bersifat unidirectional.

3.5.2–Pemanfaatan MPLS untuk VPN

Untuk memenuhi kebutuhan operator layanan VPN, pengelolaan VPN-IP di
Bantuan dari protokol MPLS telah ditentukan dalam spesifikasi yang dirujuk RFC 2547.
Terowongan dibuat antara router MPLS tepi yang dimiliki oleh
operator dan ditujukan untuk kelompok tertutup pengguna tertentu, yang merupakan
VPN. Dalam konteks MPLS/VPN, VPN adalah sekumpulan situs yang ditempatkan di bawah
otoritas administratif yang sama, atau dikelompokkan menurut kepentingan tertentu.

[Link]–Ruter P, Pe dan Ce
Terminologi khusus digunakan untuk merujuk pada router (berdasarkan
peran mereka) dalam lingkungan MPLS / VPN :
 • P (Penyedia) : router-router ini, yang membentuk inti dari backbone MPLS, tidak memiliki
tidak ada pengetahuan tentang konsep VPN. Mereka hanya meneruskan
data berkat pengalihan label;
• Pe (Provider Edge) : router ini terletak di perbatasan backbone MPLS
dan secara definisi memiliki satu atau beberapa antarmuka yang terhubung ke router klien;
• Ce (Customer Edge) : router ini milik pelanggan dan tidak memiliki
pengetahuan tentang VPN atau bahkan tentang konsep label. Setiap router "
"Tradisional" dapat menjadi router ini, terlepas dari jenis atau versinya
d’OS yang digunakan.

Skema di bawah menunjukkan lokasi router ini dalam sebuah arsitektur

MPLS :

[Link]–Router Virtual: VRF

Konsep VPN itu sendiri mengimplikasikan isolasi lalu lintas antara situs klien yang tidak dimiliki
pas pada VPN yang sama. Untuk melakukan pemisahan ini, router Pe memiliki kemampuan untuk
mengelola beberapa tabel routing berkat konsep Vrf (VPN Routing dan
Penerusan). Sebuah Vrf terdiri dari tabel routing, sebuah Fib (Penerusan
Basis Informasi) dan satu tabel Cef spesifik, independen dari Vrf lainnya dan dari
tabel routing global. Setiap Vrf ditunjuk dengan nama (contoh: MERAH, HIJAU,
dll.) di router Pe. Nama-nama diberikan secara lokal dan tidak memiliki makna apapun
terhadap router lainnya.
Chaque interface de Pe, reliée à un site client, est rattachée à une Vrf particulière. Lors
dari penerimaan paket Ip di antarmuka klien, router Pe melakukan sebuah
pemeriksaan tabel routing VRF yang terhubung dengan antarmuka dan oleh karena itu tidak
tidak merujuk pada tabel routing globalnya. Kemungkinan untuk menggunakan beberapa tabel dari
routage independen memungkinkan untuk mengelola rencana pengalamatan berdasarkan situs, bahkan dalam kasus
pengumpulan alamat antara VPN yang berbeda.

3.5.3–Keamanan
Pemisahan aliran antara klien di router bersama yang mendukung MPLS adalah
dijamin oleh fakta bahwa hanya penemuan jaringan yang dilakukan pada tingkat lapisan 3 dan
kemudian pengalihan paket dilakukan hanya berdasarkan pada
mekanisme label (perantara antara lapisan 2 dan lapisan 3).
Tingkat keamanan sama dengan yang ada di Frame Relay dengan Dlci di tingkat 2.
Denial of service biasanya dilakukan pada tingkat 3 (Ip). Di sini, paket akan ketika
bahkan dirutekan sampai penerima melalui jaringan MPLS dengan bergantung pada
LSPs.

3.6–Protokol SSL
Baru-baru ini tiba di dunia VPN, VPN berbasis SSL menawarkan sebuah
alternatif yang menarik terhadap teknologi yang membatasi seperti VPN
yang telah dipresentasikan sampai saat ini. VPN SSL memang memiliki keuntungan besar karena tidak
memerlukan di sisi klien lebih dari sekadar peramban Internet biasa. Memang, protokol
SSL yang digunakan untuk mengamankan pertukaran perdagangan di Internet telah diimplementasikan
standar di browser modern.
SSL adalah protokol lapisan 4 (level transport) yang digunakan oleh sebuah aplikasi untuk
membangun saluran komunikasi yang aman dengan aplikasi lain.
SSL memiliki dua fitur utama: otentikasi server dan klien.
pendirian koneksi dan enkripsi data selama koneksi.

3.6.1–Fungsionalitas
Protokol SSL Handshake memulai komunikasi SSL. Setelah permintaan dari
klien, server mengirimkan sertifikatnya serta daftar algoritma yang diinginkannya
menggunakan. Klien mulai dengan memeriksa kevalidan sertifikat server. Ini dilakukan
dengan menggunakan kunci publik dari otoritas sertifikasi yang terdapat dalam peramban
klien. Klien juga memeriksa tanggal kedaluwarsa sertifikat dan juga dapat melihat
daftar pencabutan sertifikat (Certificate Revocation List). Jika semua pemeriksaan berlalu, klien
hasilkan kunci simetris dan kirim ke server. Server kemudian dapat mengirimkan sebuah tes
kepada klien, bahwa klien harus menandatangani dengan kunci pribadi yang sesuai dengan miliknya
certificat. Ceci est fait de façon à Ce que le serveur puisse authentifier le client.
Banyak parameter dipertukarkan selama fase ini: jenis kunci, nilai dari
kunci, algoritma enkripsi ...
Fase berikutnya terdiri dari pertukaran data terenkripsi (protokol Rekaman SSL).
Kunci yang dihasilkan dengan protokol Handshake digunakan untuk menjamin integritas
dan kerahasiaan data yang dipertukarkan. Tahapan berbeda dari protokol adalah:

• Segmentasi paket menjadi paket dengan ukuran tetap

• Kompresi (tetapi jarang diterapkan dalam kenyataan)
• Ajoutdu résultat de la fonction de hachage composé de la clé de cryptage, du
nomor pesan, panjang pesan, data ...
• Enkripsi paket dan hasil hash menggunakan kunci simetris
dihasilkan selama Handshake.
• Penambahan header SSL ke dalam paket.

4–Perbandingan berbagai protokol

Setiap protokol yang disajikan memungkinkan untuk membuat solusi VPN yang efektif.
Kami akan membahas di sini kekuatan dan kelemahan masing-masing protokol tersebut.

4.1–VPN-SSL, sebuah inovasi pemasaran?

Dijadikan sebagai solusi ajaib untuk memungkinkan para pengembara terhubung dengan
aplikasi terdistribusi perusahaan VPN-SSL mengalami masalah
terutama terkait dengan browser web yang digunakan.
Tujuan menggunakan browser web adalah untuk memungkinkan pengguna menggunakan sebuah
alat yang biasa mereka gunakan dan tidak memerlukan pengaturan tambahan.
Namun ketika sertifikat kedaluwarsa, pengguna harus secara manual
perbarui. Operasi ini dapat menjadi masalah bagi pengguna pemula. Selain itu di
sebagian besar peramban web tidak memungkinkan konsultasi daftar sertifikat yang dicabut
tidak diaktifkan secara default: semua keamanan SSL bergantung pada sertifikat ini, ini menimbulkan sebuah
masalah keamanan yang serius.
Tidak ada yang menghalangi klien untuk mengunduh versi modifikasi dari browsernya.
untuk dapat menggunakan fitur baru (skin, plugin…). Tidak ada yang menjamin
bahwa browser tidak telah dimodifikasi dan bahwa otoritas sertifikasinya memang baik
satu.
Akhirnya, masalah lain yang terkait dengan penggunaan browser web sebagai dasar untuk VPN adalah
spesifikasi mereka di dunia web. Sebenarnya secara default sebuah peramban hanya akan mengintersepsi hanya
komunikasi Https atau mungkin Ftps. Semua komunikasi yang berasal
tipe aplikasi lain (MS Outlook, atau sebuah basis data misalnya) tidak
tidak didukung. Masalah ini umumnya diatasi dengan menjalankan sebuah applet
Java yang didedikasikan dalam browser. Namun ini juga melibatkan pemeliharaan ini
applet (memastikan bahwa klien memiliki versi yang benar, bahwa ia dapat mengunduhnya kembali di
kebutuhan
Ide bahwa peramban web adalah platform yang ideal untuk melakukan
Akses VPN jadi perlu diperhatikan dengan serius.

4.2–PPTP
PPTP memiliki keuntungan karena sepenuhnya terintegrasi dalam lingkungan
Windows. Ini berarti khususnya bahwa akses ke jaringan lokal jarak jauh dapat dilakukan.
via le système d’authentification de Windows NT : RADIUS et sa gestion de droits et
de groupe. Namun seperti banyak produk Microsoft, keamanan adalah poin
faible du produit :

• Pengelolaan kata sandi yang buruk di lingkungan campuran win

95/NT
• Kelemahan dalam generasi kunci sesi: dilakukan dari sebuah hash
dari kata sandi daripada sepenuhnya dihasilkan secara acak. (memudahkan
serangan « kekuatan kasar »
• Kelemahan kriptografi dari protokol MsCHAP 1 yang diperbaiki dalam versi
2 tetapi tidak ada kontrol pada versi ini yang dilakukan oleh entitas
mandiri.
• Identifikasi paket tidak diimplementasikan: kerentanan terhadap serangan tipe
penipuan

4.3–L2TP / IPSec
Mekanisme keamanan yang diterapkan dalam IPSec lebih kuat dan lebih
diakui bahwa yang diterapkan oleh Microsoft dalam PPTP. Secara default, protokol L2TP
gunakan protokol IPSec. Namun jika server jarak jauh tidak mendukung L2TP
dapat menggunakan protokol keamanan lain. Oleh karena itu, perlu dipastikan bahwa
Seluruh peralatan dari VPN L2TP memang menerapkan protokol IPSec.
IPSec hanya dapat mengidentifikasi mesin dan bukan pengguna. Ini adalah
khususnya bermasalah bagi pengguna yang berpindah-pindah. Oleh karena itu, perlu direncanakan sebuah
layanan otentikasi pengguna. Dalam kasus koneksi dial-up itu adalah
identitas untuk masuk yang akan digunakan untuk mengautentikasi pengguna. Tetapi dalam
Untuk kasus koneksi melalui Internet, perlu mempersiapkan fase autentikasi.
tambahan untuk pembangunan terowongan.
Di sisi lain, IPSec tidak menawarkan mekanisme QoS yang membatasi aplikasinya:
semua aplikasi suara melalui IP atau video melalui IP adalah tidak mungkin atau akan
dibawa untuk sepenuhnya bergantung pada kondisi lalu lintas di internet
publik.
Akhirnya IPSec karena beratnya operasi enkripsi/dekripsi mengurangi
kinerja global jaringan. Pembelian perangkat khusus yang mahal adalah
sering kali sangat diperlukan.

4.4–MPLS
MPLS saat ini adalah solusi yang tampak paling matang di pasar.
kemungkinan untuk mendapatkan QoS yang dijamin oleh kontrak adalah elemen yang sangat berpengaruh
dalam keseimbangan para pengambil keputusan. Namun, hanya operator khusus yang menyediakan
Layanan ini Apa yang dapat menimbulkan masalah baru. Pertama-tama, Ini adalah
operator layanan yang menetapkan harga. Harga ini pasti termasuk margin untuk
penyedia layanan. Di sisi lain, beberapa perusahaan tidak ingin melakukan subkontrak.
komunikasi mereka ke satu operator. Memang, ledakan gelembung pasar saham
di sekitar nilai-nilai teknologi telah memicu gelombang kebangkrutan operator jaringan
dan banyak perusahaan melihat koneksi mereka terputus tiba-tiba.
Risiko ini saat ini sangat diperhatikan oleh pengambil keputusan di bidang TI.
Namun, menggunakan beberapa operator untuk pengelolaan VPN semakin mempersulit.
pengelolaan dan konfigurasi tersebut.
Akhirnya, jangkauan VPN-MPLS saat ini terbatas oleh kapasitas operator.
layanan untuk mencakup daerah geografis yang luas.

4.5–MPLS / IPSec
• Kualitas layanan
o MPLS: Memungkinkan untuk memberikan prioritas pada lalu lintas melalui kelas-kelas
de service
oIPSec: Transmisi yang dilakukan di internet publik, hanya memungkinkan
layanan « upaya terbaik »
• Biaya
oMPLS : Lebih rendah daripada jaringan Frame Relay dan Atm tetapi
lebih baik daripada VPN IP lainnya.
oIPSec : Lemah karena transfer melalui domain Internet publik
• Keamanan
 oMPLS : Sebanding dengan keamanan yang ditawarkan oleh jaringan Atm dan Frame
Relay yang ada.
oIPSec : Keamanan total berkat kombinasi sertifikat digital
dan Pki untuk otentikasi serta serangkaian opsi dari
kripte, triple DES dan AES khususnya
• Aplikasi yang kompatibel
oMPLS: Semua aplikasi, termasuk perangkat lunak perusahaan
vital yang mengharuskan kualitas layanan yang tinggi dan latensi yang rendah dan
aplikasi waktu nyata (video dan suara di IP)
oIPSec : Akses jarak jauh dan nomaden yang aman. Aplikasi di bawah IP,
terutama surat elektronik dan Internet. Tidak cocok untuk lalu lintas di
waktu nyata atau prioritas tinggi
• Etendue
oMPLS : Bergantung pada jaringan MPLS penyedia layanan
oIPSec: Sangat luas karena bergantung pada akses internet
• Evolutifitas
oMPLS: Skalabilitas tinggi karena tidak memerlukan interkoneksi
sama antara situs dan bahwa penerapan standar dapat
mengelola puluhan ribu koneksi per
VPN
oIPSec : Penerapan yang paling luas membutuhkan perencanaan
perawat tuang menjawab terutama aux masalah
interkoneksi situs ke situs dan peering
• Biaya pengelolaan jaringan
oMPLS: Tidak ada pengolahan yang diperlukan oleh routing

oIPSec : Pengolahan tambahan untuk enkripsi dan dekripsi

• Kecepatan penyebaran
oMPLS : Penyedia layanan harus menerapkan router MPLS di
bordir jaringan untuk memungkinkan akses pelanggan
oIPSec: Kemungkinan untuk menggunakan infrastruktur jaringan Ip yang ada
• Ditanggung oleh klien
oMPLS: Tidak diperlukan. MPLS adalah sebuah teknologi jaringan
oIPSec : Perangkat lunak atau perangkat keras klien yang diperlukan

5–Conclusion
Studi tentang solusi VPN ini menyoroti persaingan yang ketat di antara
protokol yang berbeda yang dapat digunakan. Namun, mungkin untuk membedakan
dua rival mengeluarkan paku dari permainan, yaitu IPSec dan MPLS. Yang terakhir adalah
lebih baik dalam banyak hal, tetapi ia juga memastikan, selain itu, pemisahan secara bersamaan
arus dan kerahasiaannya. Perkembangan pesat pasar bisa jadi
namun memberikan keuntungan kepada yang kedua. Memang, penerapan VPN melalui Ip antara
umumnya dalam kebijakan pengurangan biaya yang terkait dengan infrastruktur jaringan
perusahaan. VPN di Ip memang memungkinkan untuk menghindari sambungan sewa dari
jenis Atm atau Frame Relay. Biaya VPN Ip saat ini cukup menarik untuk
mendorong banyak perusahaan untuk melangkah. Dengan kinerja yang sama, sebuah VPN
MPLS biaya dua kali lebih murah daripada garis Atm. Tetapi jika solusi berbasis
MPLS saat ini mengambil peran utama dibandingkan teknologi IPSec.
terutama berkat kemungkinan integrasi solusi telepon melalui IP. La
kualitas layanan yang ditawarkan oleh MPLS memang mengizinkan jenis penggunaan ini. Pasar
VPN memanfaatkan antusiasme saat ini untuk teknologi-teknologi yang memungkinkan
mereka juga untuk mengurangi biaya infrastruktur komunikasi. VPN adalah
jadi diharuskan untuk mengambil tempat yang semakin besar dalam jaringan komputer.