Nota Applicativa. Cisco Easy VPN

Transcript

1 Nota Applicativa Cisco Easy VPN Descrizione applicazione Nell implementazione delle reti private virtuali o VPN (Virtual Private Network), per i dipendenti in telelavoro e per i piccoli uffici di filiale, la semplicità diventa un fattore critico, soprattutto quando non sono disponibili risorse tecniche per la configurazione della VPN sui router dei siti remoti. L implementazione delle VPN nelle reti delle grandi aziende o delle PMI, con i prodotti Cisco Systems, ora è diventata più che mai facile. Le funzionalità Cisco Easy VPN Remote e Cisco Easy VPN Server offrono infatti flessibilità, scalabilità e facilità d uso per le VPN site-tosite e ad accesso remoto. Cisco Easy VPN Remote permette ai router Cisco Systems con software Cisco IOS V.12.2(4)YA (o versioni successive), ai Cisco PIX Firewall ed ai client hardware Cisco Systems di fungere da client VPN remoti. Cisco Easy VPN Remote è disponibile sui router delle serie Cisco 800, ubr900 e 1700, sui firewall Cisco PIX 501 e sul client hardware Cisco VPN I dispositivi possono ricevere policy di sicurezza predefinite e parametri di configurazione dal terminatore VPN della sede centrale e minimizzare così le operazioni di configurazione VPN nella sede remota. I parametri come gli indirizzi IP interni, le maschere di sottorete interne, gli indirizzi DHCP e WINS dei server e le flag per lo split tunneling vengono trasferiti sul dispositivo remoto. Una soluzione conveniente e ideale soprattutto per gli uffici remoti con scarso supporto IT o per le grandi implementazioni CPE, per le quali non è conveniente configurare singolarmente i numerosi dispositivi remoti. Cisco Easy VPN Remote semplifica la configurazione delle VPN ed aiuta le aziende a ridurre i costi e a minimizzare quelli relativi al supporto IT locale. Cisco Easy VPN Server è disponibile sui router della serie Cisco 800, Cisco 1700 e ubr900, sui firewall Cisco PIX 501 e sul client hardware Cisco VPN

2 Cisco Easy VPN Server, disponibile con il software Cisco IOS V.12.2(8)T o versioni successive, aumenta la compatibilità dei prodotti VPN Cisco Systems e permette ai concentratori Cisco VPN, ai firewall Cisco PIX e ai router Cisco Systems di agire da terminatori VPN nelle VPN site-to-site o ad accesso remoto. La funzionalità permette di inviare le policy di sicurezza, definite sul terminatore, ai dispositivi degli uffici remoti che utilizzano Cisco Easy VPN Remote. Inoltre, un dispositivo con Easy VPN Server può vedere i tunnel VPN attivati da utenti mobili e remoti con il software client Cisco VPN sui propri PC. Una flessibilità che consente agli utenti remoti e mobili, come i venditori in viaggio o i dipendenti in telelavoro, di accedere alle Intranet di piccole aziende o di filiali enterprise, su cui risiedono dati e applicazioni critiche. Cisco Easy VPN Server è disponibile su numerosi router delle serie Cisco ubr900, 1700, 2600, 3600, 7100 e 7200 con software Cisco IOS V.12.2(8)T, o versioni successive, sui concentratori VPN della serie Cisco VPN 3000 e sui firewall Cisco PIX. Implementazione PMI Una piccola e media impresa con installati router Cisco Systems con Cisco Easy VPN Server o dispositivi di sicurezza Cisco Systems nella sede principale, o terminatori, può collegare in assoluta sicurezza piccoli uffici di filiale e dipendenti in telelavoro e mobili. Il router con funzioni di terminatore deve avere policy di sicurezza configurate che determinano i parametri VPN come gli algoritmi di codifica e di autenticazione, che verranno poi utilizzati per la comunicazione con i dispositivi remoti. Dopo aver definito le policy di sicurezza del terminatore è possibile implementare nei piccoli uffici di filiale i dispositivi Cisco Systems con Cisco Easy VPN Remote. Nella fase di inizializzazione, dal terminatore vengono inviate ai dispositivi di filiale le policy di sicurezza, eliminando così per gli utenti remoti la necessità di aggiornare continuamente la configurazione. Dopo aver creato le VPN, è possibile scambiare con sicurezza dati, video e voce su connessioni sicure ed affidabili senza installare sui PC degli utenti di filiale il software client VPN. I dipendenti in telelavoro che utilizzano i router Cisco Systems con Cisco Easy VPN Remote o dispositivi di sicurezza Cisco Systems possono accedere anche al router Cisco Easy VPN Server sul terminatore, mediante connessioni VPN sicure. Come nel caso degli uffici di filiale, le policy di sicurezza del terminatore vengono inviate ai dispositivi remoti con interventi minimi sulla configurazione. I dipendenti mobili con software client VPN sui propri PC possono stabilire con facilità connessioni VPN verso il dispositivo con funzionalità Cisco Easy VPN Server tramite il loro ISP. In pratica, chi viaggia per lavoro, per esempio, può accedere con sicurezza ai dati ed alle applicazioni aziendali, in qualsiasi momento, dai POP (Point-of-Presence) del proprio ISP. Dipendente mobile con client software VPN sul notebook Ufficio remoto con router della serie Cisco 800 o Cisco 1700 con Easy VPN Remote Router della serie Cisco 1700, Cisco 2600 o Cisco 3600 con funzioni di terminatori client Cisco VPN Gli utenti non tecnici possono utilizzare GUI CRWS per impostare le funzionalità Easy VPN Dipendenti in telelavoro con DSL o modem via cavo e Cisco 806 o ubr900 con Easy VPN Remote Figura 1 Implementazione PMI 2

3 L implementazione delle VPN nelle reti delle grandi aziende o delle PMI, grazie ai prodotti Cisco Systems, ora è diventata più che mai facile Implementazione enterprise Una grande azienda può connettere alla propria rete gli uffici di filiale, gli uffici remoti e i dipendenti in telelavoro mediante un router Cisco Systems con Cisco Easy VPN Server o un dispositivo di sicurezza Cisco Systems. Il router con funzioni di terminatore deve avere policy di sicurezza configurate che determinano i parametri VPN, come gli algoritmi di codifica e di autenticazione, che verranno poi utilizzati per la comunicazione con i dispositivi remoti. Dopo aver definito le policy di sicurezza del terminatore è possibile implementare negli uffici di filiale i dispositivi Cisco Systems con Cisco Easy VPN Remote. Nella fase di inizializzazione dal terminatore vengono inviate ai piccoli uffici di filiale le policy di sicurezza, eliminando così la necessità di una configurazione locale completa. Voce, video e dati possono essere scambiati con sicurezza su connessioni protette ed affidabili senza dover installare sui PC degli uffici di filiale il software client VPN. Gli utenti degli uffici remoti e i dipendenti in telelavoro che utilizzano i dispositivi con Easy VPN Remote possono accedere anche al terminatore enterprise con Easy VPN Server mediante connessioni VPN sicure. Come nel caso degli uffici di filiale, le policy di sicurezza del terminatore vengono inviate ai dispositivi remoti con interventi minimi sulla configurazione. Inoltre, gli utenti con poca esperienza tecnica dei siti remoti possono impostare facilmente le connessioni VPN senza l intervento di personale qualificato sul posto. Si ottiene così un aumento della produttività poiché i dipendenti remoti dedicano meno tempo alla configurazione dei dispositivi di rete. Dipendenti mobili con software client VPN sul notebook Ufficio di filiale con router Cisco 1700 DSL con Easy VPN Remote Router Cisco IOS con supporto per client Cisco VPN o concentratore Cisco VPN Gli utenti non tecnici possono utilizzare GUI CRWS per impostare le funzionalità Easy VPN Gli utenti in telelavoro con DSL e router Cisco 806 o ubr900 con Easy VPN Remote Figura 2 Implementazione enterprise 3

4 Alta disponibilità Cisco Easy VPN è compatibile con RRI (Reverse Route Injection) e HSRP (Hot Standby Router Protocol) con IPSec. Se utilizzate insieme, le due funzionalità offrono un design di rete più affidabile per le VPN e riducono la complessità di configurazione sui dispositivi remoti. RRI permette di semplificare il design di rete per le VPN che richiedono ridondanza e routing. RRI opera con mappe crittografiche dinamiche e statiche. I percorsi creati vengono inseriti in un protocollo di routing dinamico e distribuiti ai dispositivi circostanti. In questo modo il flusso di traffico IPSec viene indirizzato al router VPN con funzionalità di terminatore corrispondente che lo fa passare attraverso la security association (SA) corretta per evitare incompatibilità con le policy IPSec ed eventuali perdite di pacchetti. HSRP serve invece a garantire un elevata disponibilità di rete con l instradamento del traffico IP dagli host sulle reti Ethernet senza dover dipendere dalla disponibilità di singoli router. IPSec può utilizzare l indirizzo IP virtuale di HSRP come identità IPSec locale o come terminale locale del tunnel. I gateway VPN remoti si collegano al router VPN locale mediante l indirizzo IP virtuale del dispositivo attivo del gruppo HSRP. In caso di fail-over il dispositivo in stand-by si appropria dell indirizzo IP di stand-by e inizia ad interagire con i dispositivi VPN remoti. RRI ed HSRP sono attivi solo per la connessione sul lato del server in un modello VPN client/server quando vengono implementati dispositivi VPN con funzione di terminatori ridondanti. RRI può essere utilizzato anche singolarmente nel caso in cui il traffico destinato a dispositivi VPN remoti debba essere instradato al terminatore VPN. Se si dispone di un gateway singolo con funzione di terminatore, dal quale passa tutto il traffico, RRI e HSRP non sono necessari. Non si consiglia di utilizzare RRI con GRE/IPSec. primario Dispositivo VPN con funzioni di terminatore primario Ufficio di filiale Dispositivo VPN remoto secondario, solo in caso di caduta del primario Dispositivo VPN con funzioni di terminatore secondario Figura 3 Alta disponibilità 4

5 Split Tunneling Cisco Easy VPN supporta lo split tunneling che consente di inviare il traffico Internet, in modo non codificato, direttamente attraverso Internet. Senza lo split tunneling tutto il traffico viene inviato al terminatore e poi instradato alle risorse di destinazione (eliminando la rete aziendale dal percorso per l accesso Web). Lo split tunneling permette di utilizzare in modo più efficiente le risorse IT aziendali e di lasciare libera la banda a chi accede a dati ed applicazioni mission critical da luoghi remoti. Traffico sicuro attraverso il Traffico non codificato attraverso l ISP Ufficio di filiale Dispositivo VPN remoto ISP Dispositivo VPN con funzioni di terminatore Figura 4 Split Tunneling Sommario Cisco Easy VPN è sinonimo di scalabilità e semplicità d uso e riduce l implementazione di applicazioni client sui singoli PC. I dipendenti delle filiali possono condividere la connettività mediante un router Cisco Systems con Cisco Easy VPN Remote o un dispositivo di sicurezza Cisco Systems, utilizzando un unico tunnel VPN dal sito remoto e permettendo al terminatore di collegare più utenti con pochi tunnel. Cisco Easy VPN Server offre una maggiore flessibilità se si utilizzano terminatori per ricevere i tunnel VPN remoti negli uffici di filiale o nelle piccole aziende. Insieme, entrambe le funzionalità Cisco Easy VPN accrescono il valore dei prodotti Cisco Systems nelle VPN delle PMI e delle grandi aziende. 5

6 Headquarters Cisco Systems, Inc. 170 West Tasman Drive San Jose, CA USA Tel: NETS (6387) Fax: Sito World Wide Web: Sede europea Cisco Systems Europe 11 rue Camille Desmoulins Issy-les-Molineaux Cedex 9, France Tel: Fax: Sede italiana Cisco Systems Italy Via Torri Bianche, Vimercate (MI) Tel: Fax: Sito World Wide Web: Filiale di Roma Cisco Systems Italy Via del Serafico, Roma Tel: Fax: Le filiali Cisco Systems nel mondo sono oltre 200. Gli indirizzi e i numeri di telefono e fax sono disponibili sul sito Cisco Connection Online all indirizzo Arabia Saudita Argentina Australia Austria Belgio Brasile Bulgaria Canada Cile Cina Colombia Corea Costarica Croazia Danimarca Emirati Arabi Filippine Finlandia Francia Germania Giappone Gran Bretagna Grecia Hong Kong India Indonesia Irlanda Israele Italia Lussemburgo Malesia Messico Norvegia Nuova Zelanda Olanda Perù Polonia Portogallo Portorico Romania Repubblica Ceca Russia Scozia Singapore Slovacchia Slovenia Spagna Stati Uniti Sud Africa Svezia Svizzera Tailandia Taiwan Turchia Ucraina Ungheria Venezuela Vietnam Zimbabwe Copyright 2002 Cisco Systems, Inc. Tutti i diritti riservati. Cisco, Cisco Systems e il logo Cisco Systems sono marchi registrati di Cisco Systems, Inc. negli Stati Uniti e in determinati altri paesi. Tutti gli altri marchi o marchi registrati sono proprietà delle rispettive aziende.