11.3. Proksi-serverlar va virtual xususiy tarmoqlar

Proksi-server foydalanuvchi va tashqi tarmoq o'rtasida turuvchi vositachi bo'lib, u so'rovlarni foydalanuvchi nomidan yuboradi va javoblarni qabul qiladi. Bunday oraliq nuqta mavjudligi butun trafikni to'liq nazorat qilish imkonini beradi, chunki har bir so'rov shu nuqtadan o'tadi.

Proksi-serverlar joylashuvi va vazifasiga qarab ikki turga bo'linadi (11.6-rasm). To'g'ri proksi (forward proxy) ichki foydalanuvchilar va internet o'rtasida turadi. U chiquvchi trafikni nazorat qiladi: qaysi saytlarga kirish mumkinligini belgilaydi, mazmunni tekshiradi va tez-tez so'raladigan sahifalarni saqlab, tarmoq yuklamasini kamaytiradi. Ta'lim muassasalarida va tashkilotlarda internetdan foydalanishni tartibga solish uchun aynan shunday proksi qo'llaniladi.

Teskari proksi (reverse proxy) esa aksincha ishlaydi: u tashqi mijozlar va ichki serverlar o'rtasida turadi. Tashqi so'rovlar avval unga keladi, u esa ularni ichki serverga uzatadi. Bu yondashuvning bir necha afzalligi bor. Birinchidan, mijozlar ichki serverga to'g'ridan-to'g'ri murojaat qila olmaydi, ya'ni server yashiringan bo'ladi. Ikkinchidan, teskari proksi so'rovlarni tekshirib, shubhalilarini to'sishi mumkin. Uchinchidan, u yuklamani bir necha server o'rtasida taqsimlashi mumkin, bu esa mavjudlikni oshiradi.

Ikkala turning umumiy jihati vositachilik bo'lsa, farqi kimni himoyalashidadir: to'g'ri proksi foydalanuvchilarni, teskari proksi esa serverlarni himoyalaydi. Zamonaviy amaliyotda ilgari keng qo'llanilgan ba'zi vazifalarni, masalan serverni tashqi murojaatlardan yashirishni, aynan teskari proksi bajaradi.

Kompaniya bir necha ofisga ega bo'lsa yoki xodimlar masofadan ishlasa, tabiiy savol tug'iladi: ular ochiq internet orqali ichki resurslarga qanday xavfsiz ulanadi? Bu masalani virtual xususiy tarmoq (VPN) hal qiladi.

VPN ochiq tarmoq ustida shifrlangan tunnel yaratadi. Ma'lumot uzatishdan oldin shifrlanadi, tunnel orqali o'tadi va qabul qiluvchi tomonda ochiladi. Yo'lda uni ushlab olgan shaxs faqat tushunarsiz ma'lumotni ko'radi. Natijada geografik jihatdan uzoqdagi qurilma xuddi ichki tarmoqda joylashgandek ishlay oladi (11.7-rasm).

VPN ning ikki asosiy turi mavjud. Masofaviy kirish VPN alohida foydalanuvchi uchun mo'ljallangan: xodim o'z noutbukidan maxsus dastur orqali kompaniya tarmog'iga ulanadi va ichki resurslardan xuddi ofisdagidek foydalanadi. Sayt-sayt VPN esa ikki tarmoqni bir-biriga bog'laydi: masalan, bosh ofis va filial doimiy ravishda shifrlangan kanal orqali ulangan bo'ladi va har bir xodim alohida ulanish o'rnatishi shart emas.

VPN texnologiyasi sakkizinchi bobda ko'rilgan kriptografik usullarga tayanadi. Tunnel o'rnatishda tomonlar avval bir-birini autentifikatsiya qiladi, so'ngra kalit almashinuvi amalga oshiriladi va shundan keyingina ma'lumot uzatiladi. Bu jarayon gibrid shifrlash sxemasining bevosita qo'llanishidir.

Shu bilan birga VPN ga haddan tashqari ishonish keng tarqalgan xato hisoblanadi. VPN faqat uzatish kanalini himoyalaydi, ya'ni u ma'lumotni yo'lda o'qishdan asraydi. Biroq agar ulanayotgan qurilmaning o'zi zararlangan bo'lsa, VPN tahdidni to'g'ridan-to'g'ri kompaniya tarmog'i ichiga olib kiradi va bunda shifrlangan tunnel hujumga qulaylik ham yaratadi, chunki uning ichidagi trafikni kuzatish qiyin. Shu sababli masofaviy ulanishlarda qurilmaning holatini tekshirish va kirish huquqlarini cheklash zarur.

VPN dan tashqari uzatilayotgan ma'lumotni himoyalashning boshqa vositalari ham mavjud va ularning aksariyati oldingi boblarda ko'rilgan tushunchalarga tayanadi. Quyidagi jadval ularni umumlashtiradi (11.1-jadval).

11.1-jadval. Uzatiladigan ma'lumotni himoyalash vositalari.

Ushbu jadvaldan muhim xulosa kelib chiqadi: har bir vosita ma'lum bir uchastkani himoyalaydi. HTTPS brauzerdan serverga qadar bo'lgan yo'lni qamrab oladi, VPN qurilmadan tashkilot tarmog'igacha, Wi-Fi shifrlash esa faqat radioaloqa qismini. Shu sababli ular bir-birini almashtirmaydi, balki to'ldiradi. Masalan, mehmonxona Wi-Fi tarmog'idan foydalanayotgan xodim uchun VPN kerak, biroq bu HTTPS zarurligini bekor qilmaydi.