Windows 7 SSTP VPN

Bir zamanlar yaşadığımız problemlerin zamanla çözülüyor olması yüzümüzü güldürmeye yeten nedenlerden biridir. Bu bağlamda teknolojik gelişmeleri yakından takip etmek ise bizler için önemli bir hal alır. Burada bu problemlerden sadece biri olan VPN’deki gelişime bakacağız.

Windows 7 'nin desteklediği özellikler bitmek bilmiyor. Bu makalemde bu özelliklerden biri olan SSTP VPN'i anlatmaya çalışacağım.

Yakın zamandan günümüze kadar kullanılmaya halen devam edilen VPN (Virtual Private Network), bir lokasyona uzaktan erişimde kullanılan teknolojinin adıdır. Firmaların yaygın olarak kullandığı bu teknoloji, tünelleme (bir protokol türündeki veri paketinin başka bir protokol paketi içinde kapsüllenmesi işlemi) yaparak internet üzerinden şifreli ve güvenli bir veri iletişimi sunmaktadır. VPN, tünelleme için şimdiye kadar PPTP (Point-to-Point Tunnelling Protocol) ve L2TP (Layer 2 Tunnelling Protocol) ‘ye dayalı çözümler sunuyordu. Artık bunlara yeni bir protokol olan SSTP (Secure Socket Tunnelling Protocol) de eklendi. Bu protokol istemci tarafında ilk olarak Windows Vista SP1 ile gelmiş olmasına rağmen Windows 7 bünyesinde de desteklenmektedir. Bunun yanında yukarıdaki üç protokol de ortak özellik olarak PPP (Point-to-Point) özellliklerini temel almaktadırlar.

Bu protokollerden sırasıyla söz edersek, PPTP ile network üzerinden aktarım yaparken PPP frame’lerini IP paketleri içerisinde GRE (Generic Routing Encapsulation) kullanarak kapsülleme, ve MSCHAPv2 ya da EAP-TLS şifreleme anahtarlarını kullanarak da MPPE (Microsoft Point-to-Point Encyption) ile şifreleme gerçekleştirilir (Şekil 1). PPTP, remote access ve site-to-site VPN bağlantılarında kullanılabilir.

Şekil 1 – PPTP Paketinin Yapısı

L2TP ile network üzerinden aktarım yaparken PPP frame’lerini IP paketleri içerisinde L2TP ve Ipsec kullanarak kapsülleme, IKE (Internet Key Exchange) şifreleme anahtarlarını kullanarak da şifreleme gerçekleştirilmektedir (Şekil 2). Bu protokol site-site VPN yapılandırmalarında tercih edilir.

Şekil 2 – L2TP Paketinin Yapısı

SSTP ile ise network üzerinden aktarım yaparken PPP frame’lerini IP paketleri içerisinde TCP 443 üzerinden tünelleme yaparak kapsülleme, ve HTTPS protokolünün SSL kanalı ile de şifreleme gerçekleştirilmektedir (Şekil 3). Site-to-site VPN’i desteklemez.

Şekil 3 – SSTP Paketinin Yapısı

Buraya kadar bu protokollerin işleyişlerine kısaca değindim. Şimdi biraz da SSTP VPN ‘e neden gerek duyulduğunun cevabını irdeleyelim.

Windows 95’ten günümüze en çok tercih edilen VPN protokollerinden biri de PPTP’dir. Tercih edilmesinin sebebi hızlı olması ve kurulumu için ekstra bir yazılım gerektirmemesidir. Bunun yanında L2TP ise PPTP’ye göre sertifika bazlı çalışan daha güvenilir bir bağlantı sunuyor. Ancak bu ikisinde de yaşanan ortak problem gerçekleştirilecek VPN bağlantısında. Bir uzak bağlantı gerçekleştirilmesi için önce ortamdaki firewall, web proxy, NAT gibi yapılandırmalardan geçiş yapılabilmesi gerekmektedir. PPTP ve L2TP bu konuda maalesef ki yöneticilerin başını ağrıtır durumdadır. Bağlantının gerçekleştirilmesi için ilgili aygıtta yapılandırmalarını yapmaları gerekmektedir. Örneğin, L2TP veya PPTP için eğer ki VPN istemcimiz NAT’ın arkasında konumlandırıldıysa ve NAT üzerinde sunucu ve istemci için gerekli ayarlamalar yapılmamışsa (ör: ilgili portlara izin vermek) VPN bağlantısı diye bir şey olmaz ne yazık ki. Bu durum sadece NAT ile de kalmıyor tabi ki network yapımızda bulunan ISA/TMG (Internet Security and Acceleration/Threat Management Gateway) sunucu gibi diğer aygıtların da yapılandırılması gerekmektedir.

Bir diğer konu ise gönderilecek olan veri hakkındadır. PPTP, şifreleme yaparak veri gizliliğini sağlar, ancak veri bütünlüğü veya kimlik doğrulama sağlamamaktadır. L2TP’nin ise sertifika bazlı çalıştığını ve PPTP’ye göre daha güvenilir olduğunu söylemiştik. Bunun yanında VPN bağlantısında Ipsec kullanarak veri gizliliği, veri bütünlüğü, ve veri kimlik doğrulaması sağlanmaktadır. L2TP güvenilir bir VPN bağlantısı bizlere sunmaktadır. Ancak eğer L2TP gibi güvenilirlik ve PPTP gibi de kolay kullanılabilecek bir şeyler arıyorsak, çözümümüz SSTP’dedir. SSTP ise VPN bağlantısında SSL kullanarak veri gizliği, veri bütünlüğü, ve veri kimlik doğrulamasını sağlamaktadır. Yani HTTPs oturumu üzerinden PPP paketlerini enkapsüle etmektedir. Bunun yanında yapılandırma olarak da diğerlerine göre fazla iş yükü getirmemektedir. Çünkü SSTP ile veri tünelleme yapılarak TCP 443 paylaşım portundan yollandığı için proxy, NAT veya diğer aygıtlarda bu portu açmak dışında fazladan bir iş yükü gerektirmez. Ayrıca SSTP VPN, OpenVPN gibi diğer VPN ürünlerinden de daha hızlıdır.

Peki şimdi de biraz SSTP VPN’nin çalışma mekanizmasına bakalım. İlk olarak SSTP istemcisi (Windows Vista SP1 veya Windows 7), SSTP sunucusunun (Windows Server 2008) TCP 443 numaralı portuyla bir bağlantı kurmaya çalışır. Bu işlemden sonra istemci, SSL mesajı yollayarak SSL oturumu başlatma isteğinde bulunur. İsteği alan sunucu, istemciye üretmiş olduğu sertifikadan yollar. Bu işlemin doğrulanmasından sonra istemci, SSL oturumu için kullanılacak metotu içeren bilgiyi sunucunun sertifikasının public key’i ile şifreler ve yollar. Şifreli içeriği alan sunucu kendi private key’i ile açtıktan sonra karşılıklı şifreli oturum başlatılmış olur. Daha sonra istemcinin kimlik doğrulaması da gerçekleştirildikten sonra PPP link üzerinden Ipv4 yada Ipv6 trafiği başlatılmış olur. Yani SSTP VPN gerçekleştirilmiş olur.

SSTP VPN, sunucu tarafında Windows Server 2008, istemci tarafında ise Windows Vista SP1 ve üzerini desteklemektedir. Bu özellik Vista ile çıkmış olmasına rağmen Windows 7 üzerinde de desteklenmektedir. Bu makalemde istemci (Windows 7) tarafındaki yapılandırmayı sizlerle paylaşacağım.

Şekil 4

Windows 7 masaüstünden “network” ikonuna sağ tıkladığınızda ya da “başlat” altında “denetim masasını” tıkladıktan sonra yukarıdaki işaretlilerden birini seçerek yapılandırmaya başlıyoruz.

Şekil 5

Yukarıdaki ekranda “setup new connection or network” seçeneğine tıklayarak yeni bir VPN bağlantısı kuracağız.

Şekil 6

Önümüze gelen pencereden “connect to a workplace” seçeneğini işaretleyerek gerçekleştireceğimiz bağlantıyı yapılandırmak için devam ediyoruz.

Şekil 7

Burada VPN ile bağlantı kuracağımız için üstteki seçeneğe tıklıyoruz.

Şekil 8

Burada bağlanacağımız hedef makinanın IP adresini yazıyoruz. Diğer işaretli olanlar opsiyoneldir.

Şekil 9

Burada da kimlik doğrulaması için kullanıcı adı ve şifremizi giriyoruz, opsiyonel olarak domain adını da girebiliriz.

Şekil 10

Yapacağımız bağlantı oluşturulma aşamasında.

Şekil 11

VPN bağlantısı bilgisayarımızda oluşturuldu.

Şekil 12

VPN bağlantısını yapmak için ilgili seçeneği seçiyoruz.

Şekil 13

Oluşturulmuş olan bağlantıya sağ tıklayıp özelliklerine giriyoruz.

Şekil 14

Özelliklerden “security” sekmesine geçip, oradan VPN türünü SSTP ‘ye çekiyoruz. Ve ilerliyoruz.

Şekil 15

Varolan bağlantımıza sağ tıklayıp “connect” diyoruz.

Şekil 16

Karşımıza çıkan penceredeki bilgileri doğruladıktan sonra “connect” butonuna tıklıyoruz ve bağlantımız gerçekleşmeye başlıyor.

Şekil 17

Ve son olarak gerekli doğrulamalardan sonra bağlantımız gerçekleşiyor.
Yukarıdaki yapılandırma sadece istemci tarafında gerçekleştirilmektedir. Bu uzak SSTP VPN bağlantısının yapılabilmesi için sunucu tarafında da gerekli yapılandırmaların yapılması gerekmektedir.

Sonuç olarak durumu özetleyecek olursak, VPN bağlantıların firewall gibi filtre yapan cihaz veya yazılımlara takılıp engellenmesi nedeniyle bu sorunu halledebilecek, ve bağlantılarımızın filtrelemeden kolaylıkla sıyrılacağı bir protokol geliştirilmiştir. Temel olarak SSTP, kurulacak VPN bağlantısı için HTTPs (port 443) oturumunu kullanarak SSL ile şifreleme yaparak çalışmaktadır. Böylelikle firewall, ISA server gibi filtrelemelere takılması da engellenmiş olunur.

Bu makalemde istemci tarafındaki Windows 7 üzerinde yapılandırması yapılabilen SSTP VPN’den bahsettim.

Kaynak: http://technet.microsoft.com/en-us/library/cc771298%28WS.10%29.aspx
http://www.windowsecurity.com/articles/Secure-Socket-Tunneling-Protocol.html
http://technet.microsoft.com/en-us/magazine/2007.06.cableguy.aspx