Быстро, но не дружелюбно

Быстрейшие средства для виртуальных частных сетей получили наивысшие баллы в наших тестах на производительность, однако как только дело дошло до взаимодействия различных продуктов, картина оказалась не столь определенной.

Вы хотели бы использовать Internet в качестве глобальной корпоративной сети, но беспокоитесь за сохранность передаваемых данных? Не волнуйтесь. Протестировав 15 VPN-продуктов, мы обнаружили, что все они обеспечат надежную защиту информации, передаваемой по каналам Всемирной сети.

Однако приготовьтесь к нелегкому выбору, поскольку ни одно из предлагаемых решений не вышло победителем сразу по всем показателям — производительности, взаимодействию и управлению. Если вы энтузиаст высоких скоростей, продукты VPNware VSU-1100 2.51 фирмы VPNet и PathBuilder S580 компании 3Com превзойдут самые смелые ваши ожидания. Тем, кто вынужден возиться с оборудованием разных поставщиков, можно смело порекомендовать cIPro System 3.30 — разработку компании RADGUARD, обладающую наилучшей совместимостью, какая только возможна в слабо стандартизованном мире VPN. А если больше всего вас волнует сфера администрирования, то не раздумывая выбирайте Conclave 1.52 производства Internet Dynamics: в соответствующем тесте этот продукт не оставил никаких шансов конкурентам. Правда, что касается взаимодействия, то тут ему еще расти и расти. Наконец, задавшись целью удержаться в рамках ограниченного бюджета, почему бы не начать с устройства Ravlin 10/5100 3.0.2, предлагаемого компанией RedCreek?

Впрочем, подождите — ведь это еще не все. Может, хочется получить инструмент для построения VPN с интегрированным брандмауэром? Мы протестировали пять претендентов на это звание. Или вам по душе чисто программные решения? Тогда назовите операционную среду — Windows NT, NetWare, Unix...

Да, нелегко ограничить набор критериев в такой многогранной области, как VPN. Мы потратили без малого шесть недель в попытках выявить победителя среди продуктов для виртуальных частных сетей. В конце концов «Голубая лента» досталась модели cIPro System фирмы RADGUARD. Показав неплохие результаты в других категориях, это устройство заметно превзошло конкурентов в тесте на совместимость, который оказался самым крепким орешком для большинства поставщиков. И хотя предлагаемые RADGUARD средства управления никак не отнесешь к разряду выдающихся, cIPro продемонстрировал производительность, близкую к максимальной зарегистрированной, а также заметно большую гибкость, чем основная часть тестировавшихся изделий.

Еще три продукта безусловно заслуживают упоминания в самом начале обзора. Несильно отстал от победителя VPNware фирмы VPNet (табл. 1). Вошедший в тройку самых быстродействующих изделий, он обладает хорошими средствами администрирования, достаточно гибок, да и способность к взаимодействию с разработками других поставщиков оказалась выше среднего уровня.

Примечания.

Приведенные оценки выставлены по десятибалльной шкале. Проценты указывают вес отдельных критериев в итоговой оценке.

* Способность к взаимодействию для шлюза фирмы Lucent не тестировалась, поэтому в качестве оценки проставлен средний результат (5) по всем остальным продуктам.

Заслуживают похвал и пакет VPN-1 Gateway Solution, предлагаемый вместе с платой ускорителя VPN-1 компанией Check Point Software, и модель Ravlin фирмы RedCreek — надежное устройство с хорошими возможностями взаимодействия, которое подвела лишь довольно заурядная производительность.

В ходе тестирования мы исследовали работу средств VPN на предмет обеспечения связи между локальными сетями через слабо защищенную среду вроде Internet. Большая их часть представляет собой устройства с минимальным набором функций брандмауэра. В отдельных разработках (LanRover VPN Gateway 6.6 корпорации Intel и VPN Gateway 2.0 компании Lucent Technologies) реализованы более сложные технологии брандмауэров и интегрированные средства VPN. Продукты Conclave производства Internet Dynamics, VPN-1 Gateway фирмы Check Point и Raptor Firewall/VPN Server компании Axent являются брандмауэрами, в которые добавлены отдельные средства поддержки виртуальных частных сетей. Устройство PathBuilder S580 корпорации 3Com — это обычный маршрутизатор со вспомогательными функциями VPN, а Microsoft и Novell предложили нам протестировать средства VPN, интегрированные в состав соответствующих операционных систем.

Трудный урок совместимости

Для продуктов большинства категорий, которые нам приходилось тестировать ранее, способность к взаимодействию считалась чем-то само собой разумеющимся, однако виртуальные частные сети — это особая история. Развертывая крупные сети VPN, заказчики довольно быстро убеждаются в том, что ни один из производителей не в состоянии предложить решение, которое подходило бы для всех используемых сетевых и операционных сред, а потому взаимная совместимость изделий разных поставщиков становится ключевым требованием. Фирмы-разработчики, своевременно осознавшие актуальность решения этой проблемы, в конечном счете будут процветать; а вот те, которые упорно пытаются ее игнорировать, обречены на забвение.

Тест на взаимодействие очень скоро перестал казаться нам простеньким развлечением. По мере того как росло число установленных в лаборатории устройств, проверка их способности «общаться» друг с другом отнимала все больше и больше времени. Так, тестирование последнего продукта на совместную работу со всеми остальными «испытуемыми» потребовало двух полных дней.

Хотя результаты подобного теста сильно зависят от конкретных изделий и применяемых рабочих профилей, одно можно утверждать со всей определенностью: до подлинной универсальной совместимости пока еще очень далеко. Одна из причин подобного положения дел состоит в том, что у производителей просто нет возможности тщательно протестировать свои разработки на предмет взаимодействия с продуктами других фирм, а менеджеры по маркетингу ведут среди заказчиков активную пропаганду целесообразности приобретения всех изделий у одного поставщика.

Достаточно сказать, что даже победитель данного теста — устройство cIPro фирмы RADGUARD способно взаимодействовать лишь с малой частью имевшихся в нашем распоряжении изделий (табл. 2). И полученный им высокий балл отражает скорее только тот факт, что результаты, продемонстрированные другими разработками, оказались еще хуже. Фактически, оценки, приведенные в таблице, следует считать относительными, а не такими, которые соответствовали бы беспристрастной абсолютной шкале.

Примечания.

+ взаимодействуют,

+/- взаимодействуют частично,

- не взаимодействуют.

Разработки компаний Internet Dynamics, Microsoft и Novell несовместимы со спецификациями IKE и поэтому неспособны взаимодействовать с продуктами других производителей. Тестирование совместимости шлюза VPN Gateway 2.0 фирмы Lucent не проводилось из-за того, что нам не удалось вовремя запустить его в работу.

Справедливости ради надо признаться, что в данном тесте мы были особенно придирчивы. От поставщиков требовалось обеспечить поддержку алгоритмов шифрования Data Encryption Standard (DES) и Triple-DES, а также протоколов IPSec и Internet Key Exchange (IKE). При этом мы задались простой целью — убедиться в том, что продукты разных фирм в состоянии «общаться» друг с другом, используя общие профили. Как выяснилось, некоторым из них эта задача оказалась не по зубам. Например, устройство LanRover фирмы Intel не могло взаимодействовать с другими продуктами, если мы устанавливали специально выбранный профиль, хотя оно неплохо справилось с простейшим тестом на восстановление соединений.

Высокие оценки, полученные устройством cIPro, а также пакетами VPNware и F-Secure VPN+ 4.0 связаны с наличием у них разнообразных функций регистрации и анализа событий. Конечно, это еще не совместимость в строгом смысле слова, однако прекрасные средства регистрации позволили нам быстро запустить эти продукты в работу и добиться их взаимодействия с рядом других изделий. В отличие от модели Permit Gateway 4520 компании TimeStep, которая неизменно выдавала сообщение об ошибке шифрования (invalid payload), что бы мы с ней ни делали, перечисленные выше продукты генерировали подробные отчеты о текущем состоянии сети и ожидаемой динамике его изменения. Если бы каждый производитель реализовал средства регистрации событий на таком уровне, какой предлагает фирма Data Fellows, процедура тестирования заметно упростилась бы.

Иногда успешному взаимодействию помогала гибкость. Так, устройства, выпускаемые RedCreek и Nortel Networks, оказались в состоянии работать с удивительно большим числом других изделий, причем для этого нам не пришлось прибегать к каким-либо особым ухищрениям. В других же случаях, напротив, ничего не помогало. Скажем, разработки Internet Dynamics, Microsoft и Novell вовсе не прошли данный тест, поскольку они не поддерживают требуемые протоколы защиты данных. В табл. 2, отражающую результаты этих испытаний, не попал и шлюз VPN Gateway 2.0 фирмы Lucent — мы потратили битых два дня только на то, чтобы заставить его работать, даже несмотря на постоянное участие технического представителя фирмы. Эти малопродуктивные временные затраты не позволили нам приступить собственно к проверке продукта Lucent на совместимость с другими устройствами.

Отдельные тесты, например проводимые Международной ассоциацией по компьютерной безопасности (ICSA), обычно дают более обнадеживающие результаты. Следует учесть, однако, что их организаторам помогают разработчики, представляющие все участвующие стороны, да к тому же экспертам предоставляется возможность предварительно пообщаться в течение целой недели. Мы же попытались воспроизвести более типичную ситуацию, в которой обычно оказывается пользователь. Именно поэтому мы пригласили по одному представителю от каждой компании-изготовителя, причем это были не инженеры, а сотрудники службы технической поддержки, традиционно работающие на выезде. Для настройки конфигурации продуктов им отводилось всего по нескольку часов. Помощь этих людей трудно переоценить, поскольку в ряде случаев нам приходилось задавать значения недокументированных переменных или детально отслеживать изменения параметров на отдельных устройствах. В то же время наши тесты носили более щадящий характер: дело в том, что от исследовавшихся продуктов требовалось продемонстрировать возможность взаимодействия в конфигурации «точка—точка» — в каждый момент только с одним устройством.

Вывод из полученных результатов неутешителен. Попытки достичь действительного взаимодействия между разными продуктами не увенчались успехом. Так, высокая оценка изделия RADGUARD связана, в частности, с возможностью запуска и остановки процесса отправки идентификатора фирмы-производителя — своеобразной новинкой в сеансах на базе протокола IPSec. Впрочем, и ее реализация неполна: данная функция поддерживается на отдельном устройстве, а не на всем туннельном соединении. Это означает, что в реальной сети cIPro скорее всего не сможет взаимодействовать с таким же количеством продуктов других изготовителей, как в случае соединений «точка—точка».

Скорость на продажу

В тесте на производительность мы попросили изготовителей использовать алгоритм Triple-DES. Тому было две причины. Во-первых, данный протокол обеспечивает защиту данных на таком уровне, который применяется в военных ведомствах. На сегодняшний день еще никому не удалось «вскрыть» поток данных, зашифрованный при помощи указанного алгоритма. Во-вторых, на рынке существуют аппаратные ускорители, ориентированные на шифрование именно по методу Triple-DES. Уровень защиты, гарантируемый Triple-DES, обеспечивает и ряд других алгоритмов, применяемых сегодня в виртуальных частных сетях (Blowfish, CAST, RC5), однако для них пока отсутствуют широко доступные аппаратные средства повышения производительности.

Шифрование данных требует немалых вычислительных ресурсов. Мы были приятно удивлены тем, что разработка компании Axent смогла обеспечить скорость шифрования 8,3 Мбит/с на стандартном персональном компьютере с 350-МГц процессором Pentium II. Однако этот показатель быстро померк на фоне 30,2 Мбит/с, которые выдал VPN Gateway 2.0 корпорации Lucent на 300-МГц процессоре Pentium II при наличии карты ускорителя (табл. 3).

Примечания.

* С аппаратным ускорителем шифрования данных.

** Программное обеспечение тестировалось на компьютере с 350-МГц процессором Pentium II.

Различие между производительностью продуктов при использовании аппаратного ускорителя и без него впечатляет: после установки соответствующей платы быстродействие шлюза LanRover VPN Gateway с обычным процессором Pentium возросло с 2,7 до 8,9 Мбит/с, а программное обеспечение VPN-1 Gateway производства Check Point, инсталлированное на рабочей станции Sun SPARC 20, стало работать почти вчетверо быстрее (23,1 вместо 6 Мбит/с).

Общий вывод из теста на быстродействие довольно банален: если вам нужна высокая производительность, готовьте деньги. К возможностям устройств VPNware от VPNet и маршрутизатора PathBuilder фирмы 3Com мы оказались неподготовленными. Нам не удалось измерить реальную производительность этих продуктов, поскольку измерительное оборудование попросту зашкалило. Можно утверждать лишь, что их быстродействие при одновременном шифровании нескольких потоков по алгоритму Triple-DES превышает 60 Мбит/с, и это в стомегабитной локальной сети с реальным трафиком. Правда, за подобную рекордную производительность вам придется выложить никак не меньше 16 тыс. долл. в пересчете на одну локальную сеть.

К сожалению, с появлением технологии VPN протокол IP теряет свою привлекательность. Дополнительная служебная информация, связанная с работой виртуальной сети, увеличивает длину IP-пакетов. В свою очередь, это приводит к фрагментации пакетов, что снижает эффективность использования сетевых ресурсов. Кроме того, шифрование негативно отражается на задержках передачи, а значит, уменьшает фактическую пропускную способность сети. Показатели производительности, полученные нами в многопоточных тестах, — это наилучшие значения, которые могут наблюдаться в глобальной сети с нулевыми потерями и малой задержкой.

Но даже в таком идеализированном варианте Internet добавление процедур шифрования приводит к падению пропускной способности в среднем на 30 Мбит/с. Сформировав в действующей сети каналы VPN, будьте готовы к тому, что изрядная часть полосы пропускания просто исчезнет.

Если вы хотите установить средства поддержки виртуальных сетей на существующий брандмауэр или сервер, производительность должна интересовать вас в первую очередь. Шифрование потока T1 способно «съесть» практически все вычислительные ресурсы брандмауэра, реализованного на обычном процессоре Pentium. Поэтому, прогнозируя появление в VPN значительного объема трафика, приобретите специальные аппаратные средства шифрования или установите для этих целей выделенный сервер. С точки зрения пропускной способности наилучшее решение сегодня предлагает фирма RADGUARD: среди рассмотренных нами продуктов iCPro имеет наименьшую стоимость в пересчете на 1 Мбит/с полосы пропускания.

Мы протестировали сжатие IP-пакетов на примере Contivity Extranet Switch 1500 фирмы Nortel и VPNware компании VPNet. Применение процедур сжатия позволяет скомпенсировать нежелательный эффект роста числа пакетов после установления соединений VPN. (Этот эффект означает также, что сжатие потоков данных должно выполняться до процедуры шифрования — на уровне приложений или в самой VPN. Шифрование же, выполняемое в соединениях, не дает практически никакого выигрыша в производительности.)

Исследуя работу коммутатора Contivity фирмы Nortel с включенной функцией сжатия, мы заметили, что при обработке нескольких легко сжимаемых потоков данных пропускная способность устройства возросла с 11,9 до 26,7 Мбит/с. Продукт же компании VPNet показал совсем иные результаты: сжатие привело к уменьшению производительности с 60 Мбит/с (максимальный регистрировавшийся нами показатель) до 48,5 Мбит/с. Похоже, что снижение пропускной способности в данном случае связано с дополнительными временными затратами на передачу пакетов между специальными аппаратными средствами шифрования и центральным процессором.

Управление: самое слабое звено

Оказалось, что наибольшие различия между тестировавшимися продуктами лежат в сфере администрирования. Поставщикам VPN-продуктов, за двумя исключениями, еще предстоит изрядно потрудиться на этом поприще.

В массе своей компании рассматривают VPN-устройство в качестве самостоятельного (и потому независимо администрируемого) сетевого узла. Но поскольку такие устройства используются по крайней мере парами, подобный подход нам кажется неприемлемым.

Хуже всего обстоят дела у 3Com и Compatible Systems. Управление изделиями этих поставщиков осуществляется средствами интерфейса командной строки, который демонстрирует свою явную враждебность по отношению к пользователю. (Compatible Systems предлагает и графический интерфейс, однако текущий код IntraPort 2+ не согласован с GUI. Так, предоставленный в наше распоряжение графический интерфейс не позволял формировать туннельные соединения VPN между отдельными устройствами.)

Средства администрирования для Raptor фирмы Axent и Contivity производства Nortel также не произвели на нас особого впечатления. Для управления ими использовался полностью независимый графический интерфейс, и отсутствовала хоть какая-нибудь возможность обмена информацией о конфигурации между двумя разными системами. А уж средства управления в исполнении Data Fellows собьют с толку кого-угодно: чтобы заставить оборудование этой компании работать, вам придется освоить минимум три графических интерфейса да еще организовать выделенное защищенное соединение для выдачи команд и обмена управляющей информацией.

Усилия RedCreek, RADGUARD и TimeStep по облегчению жизни сетевых администраторов оказались ненапрасными. Хотя и эти фирмы трактуют каждый из узлов виртуальной сети как независимое устройство, администратор может одновременно просмотреть сведения о состоянии нескольких узлов для приведения их конфигураций в соответствие друг другу и организации обмена общей служебной информацией. Предлагаемые графические интерфейсы дают возможность сформировать небольшое число туннельных соединений.

Check Point, VPNet и Internet Dynamics — только эти компании позволяют сетевому администратору обращаться с виртуальной сетью как с совокупностью туннельных соединений, а не как с набором разобщенных оконечных узлов.

Победителем же в данном тесте вышел пакет Conclave производства Internet Dynamics, представляющий собой объединение брандмауэра со средствами VPN. Он открывает перед администратором путь к реализации стратегий управления, основанных на неких критериях, например на требуемой степени защищенности трафика в конкретном соединении. После того как критерий определен, Conclave сам выберет способ построения виртуальной сети, гарантирующей необходимый уровень защиты данных. Если же удовлетворить сформулированное требование невозможно, трафик просто не будет пропущен. Реализованный фирмой графический интерфейс на голову выше всех остальных разработок.

Сложность алгоритмов шифрования и процедур настройки конфигурации сети VPN объясняют живейшую заинтересованность администраторов в хорошей документации. Даже небольшие различия в толковании ключевых понятий способны привести к тому, что передаваемая вами информация окажется выставленной на всеобщее обозрение.

В данном случае предлагаемая документация вызвала у нас традиционные нарекания. Производители в большинстве своем поддались модному течению — создавать системы экранной помощи, содержание которых, к сожалению, практически не выходит за рамки описания работы с экранным графическим интерфейсом. Правда, некоторые компании все же разработали как печатную, так и экранную документацию высокого качества. Например, фирма TimeStep предлагает своим заказчикам технический документ по информационной безопасности сетей VPN, содержащий едва ли не самое ясное описание протокола IPSec из тех, что нам когда-либо доводилось держать в руках. На продукт этого изготовителя стоит взглянуть уже ради того, чтобы прочитать указанный документ.

На другом конце спектра оказались корпорации Novell и Compatible Systems, документация которых столь лаконична, что уж лучше бы ее не было вовсе.

* * *

Перед тем как принять окончательную стратегию применения в своей организации технологий VPN, вам предстоит проанализировать множество факторов (табл. 4). Здесь и совместимость новых продуктов с установленным оборудованием, и вопросы администрирования, и дополнительные функциональные возможности. Общая рекомендация сводится к тому, чтобы не жалеть времени на тестирование разработок, которые в дальнейшем вы собираетесь приобрести. И помните, что проверка средств защиты данных — это только начало.

ОБ АВТОРЕ