Тестирование SSL-концентратора NETGEAR SSL312

Кирилл Аврорин, Игорь Федюкин

Хакер, номер #106, стр. 022

Недорогой и надежный удаленный доступ к корпоративной сети

^{Цена: $450}

Технические характеристики

• Интерфейсы: 2x LAN (RJ-45) 10/100 Мбит/сек
• Виды шифрования: DES, 3DES, MD5, ARC4, AES (ECB, CBC, XCBC, CNTR) 128/256 бит
• Безопасность: MD5, SHA-1, MAC-MDS/SHA-1, HMAC-MD5/SHA-1
• Поддержка сертификатов: RSA, Diffie-Hellman, Self
• Авторизация: RADIUS, Active Directory, LDAP

Многим современным корпоративным сетям не хватает удобного решения для постоянного удаленного доступа к локальной сети и ее ресурсам. Кроме того, на первой стадии подобная функция нужна всего нескольким сотрудникам, в связи с чем многие фирмы считают нерезонным производить дорогостоящие закупки соответствующего оборудования.

С технологической точки зрения есть масса способов решения этой проблемы, но наиболее оптимальным по соотношению цена/безопасность/простота в установке и настройке является доступ с использованием VPN-тоннеля. Причем здесь предпочтительнее использование протокола SSL, так как он в состоянии обеспечить быстрое и защищенное подключение мобильных клиентов. Учитывая, что в последнее время рынок мобильных устройств для удаленной офисной работы заметно расширился, проектировать систему дистанционного доступа к корпоративной сети без учета этого типа устройств не имеет никакого смысла.

Осталась лишь небольшая финансовая проблема - многие предлагаемые на сегодняшний день современные SSL-концентраторы стоят приличных денег. Поэтому нам показалось интересным провести тест, можно сказать, одного из первых бюджетных решений в этом классе – NETGEAR SSL312.

Технологии

Сердцем бюджетного концентратора является типичная схема, в которой все основные компоненты распаяны на одном кристалле. В качестве центрального процессора выступает модель Cavium NITROX Soho CN220-200BG276 с тактовой частотой 200 МГц. На плате интегрировано три отдельных контроллера Fast Ethernet, но в этой модели используются только два из них. Кроме сетевых адаптеров имеются полноценные порты PCI/UART/GPIOs, а также аппаратный ускоритель тоннелей по протоколам IPSec/SSL. Официально заявленная скорость работы этих тоннелей - 125 Мбит/с для IPSec и 25 Мбит/с для SSL.

Разумеется, инженеры не обошли вниманием память: на плате распаяны два чипа CMOS SDRAM производства Samsung с маркировкой K4S511632D-UC75. Объем каждого из них – 64 Мб. Тактовая частота вполне стандартна – 133 МГц при CAS, равном 3,0. Для системных нужд имеется и флeш-память MX29L V640BTTC-90G общим объемом 16 Мб.

Весьма неплохо реализованы основные функциональные возможности концентратора. Процесс авторизации максимально прост и понятен: база пользователей хранится либо в ресурсах самого концентратора, либо на внешнем RADIUS-сервере, Active Directory или LDAP. В качестве программного интерфейса выступает любой веб-браузер с поддержкой Microsoft ActiveX. Соответственно, никаких проблем авторизации возникнуть не должно, какой бы тип мобильного устройства не использовался.

К числу базовых функций концентратора, доступных после авторизации, относится управление удаленным рабочим столом, доступ к сетевому окружению Windows SMB, терминальным службам Windows (Office со всеми его приложениями), возможность захода на FTP-сервер, а также управление посредством Telnet и SSH. Всех этих средств вполне достаточно для полноценного использования сети, мобильной работы, обмена любыми видами данных (за небольшим исключением), причем на достаточно высокой скорости при обеспечении должного уровня безопасности. При этом нет необходимости устанавливать VPN-туннель, достаточно лишь встроенных в NETGER SL312 средств. Единственный его визуальный недостаток – отсутствие поддержки русского языка, что приводит к некорректному отображению файлов с названиями на кириллице. Впрочем, вероятно, уже есть необходимые прошивки и обновленные программные средства, либо эта проблема будет решена в ближайшем будущем.

Непосредственно с активацией SSL-тоннеля посредством ActiveX создается виртуальное соединение. Есть возможность выбора перенаправления всех портов или нескольких избранных.

Методика тестирования

В первую очередь мы проверяли реальную скорость работы созданного VPN-тоннеля при помощи программного пакета NetIQ Chariot и скрипта Throughput, передавая таким образом пакеты максимально возможного размера. На каждой из двух рабочих машин устанавливались endpoint-утилиты, а после этого в NetIQ Chariot запускался скрипт генерации трафика. Версия рабочей прошивки - 1.4.19.

Далее мы создали два сегмента сети (соответственно WAN и LAN), соединенных при помощи маршрутизатора D-Link DFL-800. Одна из машин, к которой был подключен NETGEAR SSL312 и на которой была запущена утилита NetIQ Chariot, помещалась в LAN-сегмент, а вторая система находилась в пределах WAN-сети. Пакеты направлялись на 443-й порт. В процессе мы уточнили реальную скорость работы, которая составила практически 100 Мбит/с, поэтому маршрутизатор ни в коем случае нельзя причислить к слабым звеньям созданной сети.

Как видно из графиков, при попытке передачи пакетов из внешней сети во внутреннюю (WAN -> LAN) скорость составила порядка 6,07 Мбит/с. Концентратор способен одновременно контролировать 25 тоннелей, чего должно вполне хватить для комфортной работы: для стандартного обмена документами, небольшими файлами и сообщениями. Достаточно этого будет и для обычного удаленного администрирования. Если подсчитать, то при одновременной работе 25 пользователей получается примерно 256 Кбит/с на каждого, однако нагрузка обычно распределяется неравномерно. Разумеется, следует помнить, что это решение с возможностью одновременной работы только 25 пользователей (целых 25 пользователей?!) подойдет лишь для компаний среднего размера.

Выводы

Что ж, проведя ряд нехитрых, но вполне достаточных тестов, мы вправе заявить, что дебют экономичного концентратора для удаленного доступа пользователей удался. NETGEAR использовала простую, но вполне оправдывающую себя схему компоновки «железной» части устройства, снабдила его неплохим (но и не идеальным) комплектом программного обеспечения, в результате чего получилось надежное, весьма функциональное и лишенное серьезных проблем решение. Мы рекомендуем его для небольших компаний, впервые столкнувшихся с необходимостью обеспечения своих работников мобильным доступом к ресурсам внутренней сети. Судя по всему, в ближайшем будущем с этой актуальной проблемой придется столкнуться все большему числу IT-директоров.

test_lab выражает благодарность за предоставленное на тестирование оборудование российскому представительству компании Netgear.