Tudo sobre VPNs

“Tudo sobre VPNs”
(Redes Privadas Virtuais)

Quais as vantagens das VPN’s?

• Interligação de redes usando a Internet
• Sempre disponível, onde quer que esteja
• Encriptação de Alto-Nível: usando IPsec
• Permite ligações para a Internet via ADSL, Cabo, 4G/LTE ou Fibra
• Baixo custo face ás linhas dedicadas
• Escalável – Aceita multiplas ligações em simultaneo
• Altamente flexivel

O que são os túneis (tunnelling)?

A função de VPN nos routers DrayTek Vigor permite interligar redes de computadores usando a Internet. Apesar desta capacidade ser possível usando apenas endereços IP públicos, é altamente inseguro. Nas ligações a VPNs, são criados “túneis” na Internet – ou seja, é criada uma ligação segura entre um ponto e outro, usando uma encriptação de Alto-Nível. Neste caso apesar da ligação ser efectuada em redes públicas (Internet), todos os dados que passarem dentro dessa ligação (Túnel) serão encriptados. Fora desse Túnel os dois routers usam endereços IP públicos (quer sejam Estáticos ou Dinâmicos), mas dentro desse mesmo túnel serão usados os endereços IP da sua Rede Local (ex: 192.168.1.1 até 192.168.1.254) ao qual não poderão ser acessíveis pela Internet. Isto tudo poderá parecer complicado (e é!) mas a analogia é simples.

A analogia…..

Veja a diferença entre uma viagem de Inglaterra para França usando um barco ou usando o Eurotunnel. Usando o barco todas as pessoas o podem ver, conseguem ver que roupa está a usar, o que está a transportar e até o podem “capturar” – não existe segurança ou privacidade. Usando o Eurotunnel, apesar de fazer o mesmo trajecto, é praticamente impossível entrar ou sair do túnel, excepto na entrada e na saída do túnel, ao qual é seguro. Um observador no exterior apenas verá um túnel, que poderá conter alguma coisa, ou nada de todo.

É possivel interligar redes Microsoft usando o routers DrayTek Vigor?

Sim ! As ligações VPN permitem interligar qualquer tipo de rede que use o protocolo TCP/IP, pelo que se estiver a usar uma rede Microsoft , quer seja peer-to-peer ou cliente/servidor sobre TCP/IP, poderá interligar utilizadores e computadores usando uma ligação VPN. O objectivo das VPNs é pôr os routers a fazerem o mais “complicado” (a parte toda de ligação e encriptação) permitindo depois o acesso á rede TCP/IP remota sem dificuldade nenhuma (como se toda a rede estivesse no mesmo local). Isto significa que poderá aceder a qualquer PC, Servidor, Linux ou até uma impressora onde quer que esteja – qualquer coisa que corra sobre o protocolo TCP/IP. Este tipo de ligações permite ser feito entre dois routers DrayTek Vigor, entre um PC e um router DrayTek Vigor (usando um cliente de VPN), com routers de outros fabricantes (que suportem VPN) ou um Servidor Windows/Cloud que esteja configurado para VPNs.

Exemplo prático:

Imagine que tem tem um escritório em Lisboa (gama de endereços IP: 192.168.0.0) e outro no Porto (gama de endereços IP: 10.0.0.0). Repare como os dois escritórios usam uma gama de endereços IP distintas. Poderá existir uma mistura de Servidores e Clientes em ambas as redes.

Ambos os escritórios usam rede Microsoft. Cada escritório tem um router DrayTek Vigor ligado à Internet (quer seja via ADSL, Cabo, 4G/LTE ou Fibra). Obviamente é preferivel uma ligação “permanente” (always-on) à Internet para ligações a VPNs.

Cada router DrayTek Vigor está configurado com os detalhes do router “remoto”. Para além da Pre-Shared Key (PSK) para IPsec ou Username e Password os detalhes mais importantes sobre o router “remoto” são: o endereço IP Privado (da rede local) e o endereço IP Público.

Veja tabela seguinte :

Visto a tabela em cima, o PC Cliente em Lisboa (192.168.0.34) consegue obviamente comunicar com o PC Servidor em Lisboa com o endereço 192.168.0.12. Se o PC Cliente em Lisboa tentar comunicar com o PC Servidor que se encontra no Escritorio do Porto (10.0.0.151) o router DrayTek Vigor sabe que esse endereço IP encontra-se no Escritório no Porto e que terá de aceder ao endereço IP público 204.153.0.18. Após a negociação entre os dois routers será criado um Túnel VPN e a partir dai poderá então haver transmissão de dados entre os dois escritórios.

Acesso remoto via cliente VPN

Os routers DrayTek Vigor permitem ainda ligações VPNs de clientes (quer estejam ligados via ADSL, Cabo, 4G/LTE, Fibra, etc) que tenham um cliente VPN (ex: DrayTek Smart VPN) instalado no seu dispositivo (PC, Laptop, Tablet, Smartphone) não sendo obrigatório ter outro router DrayTek Vigor no outro lado, como mostra imagem em baixo:

E quanto aos endereços IP dinâmicos?

No exemplo referido, foi presuposto que cada ligação á Internet de cada escritório tivesse um endereço IP fixo (194.153.10.18 e 204.153.0.18). Isto significa que quando um dos routers precisar de fazer comunicação com o router que se encontra na rede remota, é necessário saber á partida qual o endereço IP público na Internet do router remoto. Na realidade o mais comum é o seu ISP disponibilizar endereços IP dinâmicos – que mudam regularmente. Neste caso como é que os routers poderão comunicar entre si se não souberem o endereço IP Público do router remoto ? Simples : Usando um serviço de DNS/URL dinâmicos (Dynamic DNS) !

Naturalmente estará habituado ao conceito de URL – ao qual permite ter um nome fácil de memorizar (ex: www.draytek.com) em vez de ter de se lembrar do endereço IP do servidor (ex: 104.26.11.249). Todos os URL’s estão apontados para um endereço IP. Usando o serviço gratuito da DrayTek (o DrayDDNS) ou um dos vários serviços de DNS dinâmicos disponíveis na Internet poderá ter o seu próprio URL (ex: router-porto.drayddns.com). O router actualizará o servidor de serviços de DNS dinâmicos cada vez que o seu endereço IP mudar, de modo ao seu URL (router-porto.drayddns.com) apontar sempre para o seu endereço IP actual. Para usar esta função não necessita de instalar nenhum software adicional, visto esta funcionalidade estar disponivel no próprio router DrayTek Vigor.

Quais os protocolos de VPN suportados pelos Router’s Vigor?

Os routers DrayTek Vigor suportam túneis em IPsec, IPsec XAuth, IKEv2, SSL VPN, OpenVPN, WireGuard, PPTP, L2TP e L2TP sobre IPSec. Os túneis em IPsec podem funcionar em modo AH ou em modo ESP, com ou sem autenticação e com encriptação em DES (56-bit), 3DES (168-bit) ou AES128/192/256 para maior segurança.

Que tipo de ligações são possíveis com os Router DrayTek Vigor?

Os routers DrayTek Vigor permitem estabelecer VPNs na Internet via :

• Utilizador num PC, Laptop, Tablet ou Smartphone com um cliente de VPN (ex: DrayTek Smart VPN) . Uma vez ligado o utilizador poderá aceder á rede remota através de um túnel.
• Para outro router DrayTek Vigor – Duas redes remotas interligadas através de um túnel. Os utilizadores de cada rede poderão aceder aos recursos da rede remota.
• Para um servidor Windows/Cloud configurado para VPNs.
• Para um Cisco™ Pix, Nokia™, Sonicwall™, Checkpoint™, ZyWall™ ou Watchguard™ com capaciade de VPNs.

Controlo de ligações

Os routers DrayTek Vigor suportam várias ligações em simultâneo de VPNs (ex: interligar o seu escritório até oito locais remotos). Poderá controlar as ligações efectuadas através do menu “VPN Connection Status”, onde encontrará as ligações activas e as referentes estatísticas (bytes transmitidos, etc). Exemplo :

… mas qualquer router de hoje em dia não tem suporte a VPNs?

Não! Muitos dos routers que indicam “Suporte a VPNs” apenas indicam que permitem passar ligações deste género, e não necessariamente toda a parte de autenticação e encriptação. Ou seja, necessitará de ter sempre um servidor ou cliente de VPN na rede local, enquanto que nos routers DrayTek Vigor todo o processamento de VPNs está inbutido no próprio router.

Resumo das capacidades de VPN:

• Interligação de redes e utilizadores usando a Internet
• Várias ligações VPN em simultâneo (dependendo do modelo de router DrayTek Vigor usado: 2, 32, 50, 200 ou 500 túneis)
• Vários tipos de ligações :
  • de Cliente via PC, Laptop, Tablet ou Smarphone (Teleworker) para router DrayTek Vigor usando IPsec, IKEv2, IPsec XAuth, SSL VPN, OpenVPN, WireGuard, PPTP, L2TP ou L2TP sobre IPSec
  • de Router para Router (LAN-to-LAN) usando IPsec, IKEv2, SSL VPN, etc.
• Encriptação IPSec :
  • Suporta IKE para negociação de segurança automática e key management
  • Autenticação de chaves Pre-Shared para estabelecer ligações trusted entre dois hosts
  • Algoritmos de encriptação DES (56-bit), 3DES (168-bit), AES128/192/256 e MPPE
  • Algoritmos de integração SHA-256, SHA-1 e MD5 para protocolo ESP