Turvallinen etäkäyttöyhteys

Abstract

Tämän opinnäytetyön tarkoitus on toteuttaa Päijät-Hämeen koulutuskonsernille tietoturvallinen, helppokäyttöinen ja kustannustehokas etäkäyttöyhteys ensisijaisesti opetushallinnollisiin tarpeisiin. Tähän asti mahdollisuus etätyöskentelyyn on ollut vain harvojen saatavilla, sillä yhteydet on toteutettu kiinteillä ADSL -yhteyksillä suoraan koulutus konsernin sisäverkkoon. Mahdollisuuksia toteuttaa etätäityöskentely on muutamia: kiinteät yhteydet, kuten ADSL, tai jo valmista infrastruktuuria esim. internetiä, hyödyntävät ratkaisut, kuten IPsec tai SSL VPN. Kiinteät yhteydet tarjoavat aina samanlaatuisen yhteyden, mutta eivät ole kustannustehokkaita, koska yhteys on aina vuokrattava palvelun tarjoajalta. Tällöin ainoat mahdollisimman monen käyttäjän saavutettavissa oleva kustannustehokas ratkaisu on, joko IPsec- tai SSL VPN -tekniikalla toteutettu etäkäyttöratkaisu. Koska, etäkäyttöjärjestelmältä haluttiin korkeaa tietoturvaa, otettiin asiakaskoneissa käyttöön tietokoneen tunnistavat sertifikaatit. Vain sellaiset tietokoneet, joilla on sertifikaatti voivat kirjautua järjestelmään. Lisäksi otettiin käyttöön vahva käyttäjän tunnistus kertakäyttöisillä salasanoilla. Järjestelmissä luotaviin yhteyksiin käytettiin vahvoja salausalgoritmeja. Valinta SSL VPN- ja IPsec -ratkaisun välillä kääntyi Juniper Secure Access SSL VPN -järjestelmän hyväksi. IPsec ratkaisu ei ole optimaalinen laajassa mittakaavassa, koska yhteys vaatii asiakaskoneisiin asiakasohjelmien asennuksen ja konfiguroinin. SSL VPN toimii yleensä WWW-selaimella, mutta tarvitsee lisäksi asiakaskoneisiin asennettavia alijärjestelmiä, liikenteen tunneloimista varten yrityksen sisäverkkoon. Asennuksen jälkeen alijärjestelmät eivät kuitenkaan vaadi konfigurointia, vaan asetustiedot tulevat SSL VPN -palvelimelta. Lisäksi toteutettiin IP -secjärjestelmän kaltainen OpenVPN SSL VPN -järjestelmä, joka toimii asiakkaalla lähes ilman konfigurointia, joka tekee siitä helposti ylläpidettävän. Kahden SSL VPN -ratkaisun välillä päätettiin kohdentaa Juniper Secure Access opetushallinnollisiin tarpeisiin järjestelmän tarjoamien helppojen roolijakojen takia. Roolijaolla saadaan helposti kohdennettua oikeat palvelut, oikeille asiakkaille. OpenVPN kohdennettiin ylläpidollisiin tarpeisiin, koska järjestelmä mahdollistaa laajat oikeudet Päijät-Hämeen koulutuskonsernin sisäverkkoon.

The goal of this thesis was to create a safe, easy-to-use and cost-efficient system for remote working for the educational purposes of the Lahti Region Educational Consortium. Until now only a few people have had the possibility for remote working because connections have been made possible by dedicated ADLS lines directly to the internal network of the Lahti Region Educational Consortium. Nowadays there are a few ways to create remote working systems: fixed lines, like ADSL, or technologies that use internet, like IPsec or SSL VPN. Fixed lines always offer connections of uniform quality but are not so cost-efficient and mobile. Instead, IPsec and SSL VPN systems are cost-efficient because they do not need any dedicated infrastructure and are not fixed to any physical location. Therefore these techniques were chosen for this thesis. The system that was set to be built also had to have high security. Therefore certificates for computers and one-time passwords for system users were adopted. Only systems with the right certificate can connect to the remote work system. Data which is to be sent between the user and the remote end was encrypted with strong ciphers. The Juniper Secure Access SSL VPN system was chosen instead of the IPsec system because it provides much better administrative control for a large-scale VPN infrastructure. The IPsec system requires manual client software installation and configuration to customer computers, which requires administration. SSL VPN is used by a WWW browser but it also requires some client software for tunnelling data between the client and the remote system. Software in SSL VPN does not require any configurations. An IPsec-like OpenVPN SSL VPN system was also established. OpenVPN differs from IPsec in some ways. OpenVPN requires almost no configurations and it operates in user space instead of kernel space. Both SSL VPN systems remain in use after the establishment. Juniper offers easy casting for different roles. When using roles, it is easy to provide right services to the right users. Therefore Juniper Secure Access was reserved for educational purposes. OpenVPN was reserved for administrative purposes because it can provide much wider access to the internal network.