Pourquoi les gens disent-ils souvent qu'ils ont deux connexions entre deux bureaux - le principal étant sur MPLS et le second sur VPN. Pourquoi ne pas exécuter un VPN sur MPLS aussi? Le MPLS est-il sécurisé? Personne ne peut-il laisser tomber le trafic?
15
Réponses:
Daniel et John ont tous deux donné de très bonnes réponses à votre question; Je vais simplement ajouter quelques éléments pratiques qui me viennent à l'esprit lorsque je lis la question.
Gardez à l'esprit que beaucoup de discussions sur la sécurité des VPN MPLS proviennent de la confiance normalement accordée aux VPN Frame Relay et ATM .
En fin de compte, la question de la sécurité se résume à une question non posée, à savoir: «À qui faites-vous confiance avec vos données stratégiques?»
Dans la plupart des cas, MPLS est un VPN, mais c'est un VPN non chiffré. Je suppose que vous voulez dire un VPN crypté, tel que PPTP , IPSec ou VPN SSL lorsque vous mentionnez "VPN". Cependant, si vous avez besoin d'un chiffrement fort , de l'intégrité des données ou d'une authentification à l'intérieur du VPN, rfc4381 MPLS VPN Security, la section 5.2 recommande de chiffrer à l'intérieur du VPN MPLS .
Cependant, les VPN chiffrés ne sont pas sans problèmes eux-mêmes; ils souffrent généralement de:
Oui, l'ecoute électronique est tout à fait possible, que vous pensiez pouvoir faire confiance à votre fournisseur. Je citerai de rfc4381 MPLS VPN Security, Section 7 :
En ce qui concerne les attaques à l'intérieur du cœur MPLS, toutes les classes VPN [non chiffrées] (BGP / MPLS, FR, ATM) ont le même problème: si un attaquant peut installer un renifleur, il peut lire les informations dans tous les VPN, et si l'attaquant a accès aux principaux appareils, il peut exécuter un grand nombre d'attaques, de l'usurpation de paquets à l'introduction de nouveaux routeurs homologues. Il existe un certain nombre de mesures de précaution décrites ci-dessus qu'un fournisseur de services peut utiliser pour renforcer la sécurité du cœur, mais la sécurité de l'architecture VPN IP BGP / MPLS dépend de la sécurité du fournisseur de services. Si le fournisseur de services n'est pas digne de confiance, le seul moyen de sécuriser complètement un VPN contre les attaques de "l'intérieur" du service VPN est d'exécuter IPsec sur le dessus, à partir des appareils CE ou au-delà.
Je mentionnerai un dernier point, qui n'est qu'une question pratique. On pourrait dire qu'il est inutile d'utiliser un VPN MPLS , si vous allez utiliser un VPN crypté sur un service Internet de base; Je ne serais pas d'accord avec cette notion. Les avantages d'un VPN chiffré via MPLS VPN fonctionnent avec un seul fournisseur:
la source
Je suppose que vous parlez de VPN MPLS. Le VPN MPLS est plus sécurisé qu'une connexion Internet ordinaire, c'est essentiellement comme une ligne louée virtuelle. Cependant, il n'exécute aucun cryptage. Il est donc exempt d'écoute à moins que quelqu'un ne configure mal le VPN, mais si vous transportez du trafic sensible, il doit toujours être chiffré. Ce type de VPN n'est pas authentifié, c'est donc un réseau privé mais pas authentifié et chiffré comme IPSEC. Si quelqu'un a un accès physique à votre réseau, il peut renifler des paquets.
Avec le VPN régulier, je suppose que vous voulez dire IPSEC. IPSEC est authentifié et chiffré selon le mode que vous utilisez. Donc, si quelqu'un met la main sur les paquets, il ne devrait toujours pas pouvoir les lire.
la source
"VPN" dans la définition la plus courante n'implique pas nécessairement la sécurité. Il en va de même pour MPLS, et les deux termes sont souvent combinés (voir "MPLS VPN") car certains aspects de MPLS peuvent fournir des fonctionnalités similaires à un VPN traditionnel (AToMPLS, EoMPLS, TDMoMPLS, etc.).
Il est tout à fait possible d'exécuter MPLS sur un tunnel VPN crypté et d'exécuter du trafic VPN crypté sur un circuit MPLS. Le MPLS lui-même n'est pas "sécurisé" mais, encore une fois, il est principalement utilisé pour les services de transport, où les protocoles sous-jacents peuvent être sécurisés.
En règle générale, le scénario que vous décrivez peut résulter d'une organisation souhaitant une connectivité diversifiée de deux fournisseurs distincts, et l'un de ces fournisseurs n'offre pas de services MPLS.
la source