I Made Wiryana
Suatu Wide Area Network, menghubungkan beberapa LAN pada berbagai lokasi menjadi seakan-akan menjadi satu network. Untuk menghubungkan beberapa lokasi membutuhkan dedicated line, router, dan beberapa protokol khusus. Hal ini membutuhkan SDM dan biaya untuk menjaga link tetap beroperasi. Pada beberapa lokasi situasi juga berbeda sehingga dapat membuat pendisaian menjadi lebih sulit. Artikel ini membahas kemungkinan penggunaan Internet dan Linux, sebagai komponen pembangun suatu Virtual Private Network (VPN).
Membangun suatu VPN membutuhkan pertimbangan dan pekerjaan yang cukup banyak, termasuk pemorgraman dan lain sebagainya. Suatu VPN berdasarkan dua prinsip, sesuai dengan namanya. Istilah virtual, berarti tak adanya represtasi fisik sebenarnya antara link ke dua site tersebut. Hal ini berarti tak adanya dedicated link antar ke dua lokasi yang diinterkoneksi tersebut. Sehingga tak perlu menarik kabel khusus antara ke dua lokasi. Tetapi dengan menggunakan jaringan yang telah ada yang juga digunakan oleh banyak perusahaan yang lainnya. Sehingga term virtual ini timbul dari kenyataan bahwa network ini dibangun di suatu environment yang tak hanya digunakan untuk keperluan VPN ini.
Istilah private berkatitan dengan istilah virtual. Membangun virtual network di atas infrastruktur yang dapat diakses oleh publik memberikan beberapa implikasi sekuriti. Informasi sensitif tidak ingin dibaca oleh pengguna lainnya yang tak berhak, atau misal oleh kompetitor. Sehingga harus diciptakan suatu mekanisme untuk menjaga informasi tetap bersifat terbatas. Cara satu satunya untuk mencapai ini adalah dengan menggunakan enkripsi, sehingga hanya pihak yang dipercaya saja, yang dapat mengakses informasi. Bagaimanapun juga ini memiliki beberapa implikasi hukum.
Aspek lainnya adalah otentikasi atau identifikasi bila diinginkan. Sehingga harus ditentukan cara untuk mengidentifikasikan pihak di seberang VPN yang berkomunikasi. Untuk ini dapat pula digunakan perangkat lunak enkripsi.
Integrasi Network
Langkah pertama yang dilakukan untuk melakukan ini adalah dengan mengintegrasikan jaringan lokal dari remote site ke dalam suatu jaringan yang besar. Integrasi ini harus menciptakan suatu situasi yang memungkinkan pengaksesan ke berbagai bagian dari jaringan yang terintegrasi secara transparan. Untuk mencapai hal ini, harus diatasi beberapa masalah, antara lain :
- Menentukan alamat IP
- Melakukan routing traffic dari A ke B
Setiap alamat IP di Internet haruslah unik. Karena hanya itulah cara untuk mengidentifikasi suatu host. Menggunakan alamat yang sama untuk beberapa mesin akan menghasilkan hasil yang tak dapat diperkirakan. Prinsip address yang harus unik ini hanya berlaku bagi host yang dapat diakses secara langsung dari Internet.
Sebagian alamat yang dimiliki oleh mesin pengguna ditentukan oleh ISP (Internet Service Provider). ISP akan melakukan koneksi ke Internet dan melakukan routing seluruh trafiic dari dan ke alamat IP pengguna. Sehingga alamat IP ini bersifat tetap, dan pengguna dapat menggunakannya alamat yang sama selalu, sehingga hal ini mempermudah konfigurasi. Alamat IP yang tetap biasanya digunakan oleh koneksi Internet dedicated, yaitu koneksi yang hidup 24 jam sehari. Jika suatu address bersifat dinamis, maka akan selalu berubah setiap kali user melakukan koneksi dengan Internet. Address dinamis ini biasanya digunakan untuk koneksi dial-up. Pengguna akan diberikan alamat address IP yang tersedia ketika melakukan koneksi.
Jika memiliki suatu jangkauan alamat IP (misal klas B, atau klas C), keadaan menjadi sedikit berbeda. Jangkauan ini bersifat unik, dan pengguna dapat dengan bebas menggunakan untuk membangun koneksi ini. Tetapi pada beberapa kondisi, tidak mungkin menggunakan 1 alamat IP untuk menghubungkan kantor satu ke alamat IP lainnya di kantor lainnya dengan menggukanan jangkauan address yang sama untuk keduanya. Keterbatasan ini disebabkan oleh mekanisme paket IP dirouting di Internet. Mekanisme routing ini biasanya tidak berdasarkan alamat IP sebenarnya, tetapi berdasarkan jangkauan (range) alamat IP. Jadi seluruh paket pada jangkauan tertentu akan dikirim ke satu router, dan alamat IP untuk range tertentu dikirim ke router yang lainnya.
Adanya keterbatasan penggunaan alamat IP ini, menjadikan beberapa perusahaan melakukan strategi dengan cara memilih secara bebas alamat IP untuk penggunaan Internal, dan hal ini diperbolehkan selama diyakinkan bahwa paket dengan alamat internal ini tak pernah keluar ke jaringan Interet. Range internal ini dipilih sehingga dengan mudah sejumlah kelompok yang berbeda dapat diberikan IP sendiri sendiri. Pembagian ini bertujuan untuk mempermudah untuk melakukan route antar kantor yang berbeda, atau dengan kata lain mempermudah proses saling mengelompokkan satu grup dengan grup yang lainnya.
Jika suatu kantor dengan kantor lainnya dikoneksikan dengan menggunakan dedicated line, alamat IP ini dapat digunakan tanpa masalah yang berarti. Traffic tak akan pernah dapat mencapai Internet, sehingga dapat dipilih alamat IP yang manapun. Tetapi bila koneksi antar kantor ini dilakukan via Internet, maka akan timbul permasalahan dalam pemilihan alamat IP ini. Alamat yang digunakan tak boleh telah digunakan di Internet, sebab bisa saja alamat IP yang dipilih untuk keperluan internal, ternyata telah digunakan oleh salah satu site di Internet, sehingga routing di Internet akan mengirimkan paket ke alamat yang tidak tepat tak sesuai dengan keinginan yang dituju.
Untuk mengatasi masalah ini, digunaakan teknik yang disebut tunneling. Ini berarti paket IP lengkap yang akan dikirim akan dipaketkan lagi ke paket IP lainnya yang memiliki alamat IP sah. Prinsip tunneling tak hanya terbatas untuk protokol TCP/IP. Tetapi dapat dilakukan tunneling beragam jenis protokol ke dalam suatu paket IP (misal Netware dapat dilakukan tunneling, menggunakan paket IP, sehingga dapat diciptakan hubungan link Netware antara client dan serrver melewati Internet). Tetapi dalam bahasan ini hanya akan dibahas tunneling paket IP ke dalam paket IP atau yang disebut IPIP tunneling.
Suatu message dari host A akan dikirim ke host B. Alamat A dan B adalah hanya alamat internal, dan setiap koneksi antar keduanya menggunakan alamat X, dan Y (alamat IP yang sah). Pada prinsip tunneling, paket IP pertama akan dimasukkan sebagai pay load area, dari message yang akan dikirimkan via Internet. Dan dikirimkan menggunakan address X dan Y pada header information. Ketika message diterima oleh tunneling server di sisi lain, alamat IP sebenarnya dapat diketahui dari pay load area ini, dan barulan dikirimkan ke lokal network, ke alamat sesungguhnya (dengan menggunakan alamat IP internal). Pengiriman message ini tak terbatas pada message dari A dan ke B saja, tetapi dari satu jaringan lokal, ke jaringan lokal lainnya. Di Internet message ini hanya tampak seperti paket antara host X dan Y saja (yaitu host dengan alamat terdaftar).
Banyak metoda untuk mengimplementasikan suatu mesin Linux sebagai mesin tunneling/detunelling. Berikut ini akan dibahas kemungkinan tersebut
Ada beberapa pertimbangan dalam membentuk sistem tunnelinng ini antara alain :
- Di manakah harus diletakkan program tunneling
- Apakah tunneling dijalankan di firewall atau di mesin terpisah.
Menjalankan tunneling di firewall memiliki beberapa kerugian.
- Seluruh kode tunneling biasanya khusus untuk platform tertentu, sehingga biasanya juga untuk produk firewall tertentu pula. Sehingga bila ingin digunakan tunneling yang bersamaan dengan firewall, maka harus digunakan platform dan software firewall yang sama di kedua sisi jaringan yang dihubungkan. Persyaratan ini menjadikan solusi menjadi mahal.
- Dengan menambahkan kode program ke firewall, maka firewall menjadi lebih kompleks, sehingga lebih besar kemungkinan terjadinya error. Sering kali suatu error akan membuka celah untuk dapat digunakan oleh pihak tertentu sehingga memperoleh hak akses yang tak sah
Sebaiknya harus dipasang mesin khusus yang hanya akan menangani tunneling. Bagi client dari jaringan, mesin tunneling ini dianggap tak ubahyna hanya sebagai suatu router ke tujuan (dalam hal ini jaringan lainnya). Hal ini akan menyederhanakan kerja firewall. Akan dibutuhkan aturan filtering yang lebih sedikit, karena pada kasus minimal hanya akan ada mesin tunneling yang akan berhubungan melalui firewall. Sehingga dapat dengan mudah diblok akses dari jaringan internal langsung ke jaringan eksternal, hal ini untuk mencegah kebocoran informasi.
Dengan menggunakan mesin tunneling yang terpisah, maka akan lebih besar pilihan yang dapat dilakukan, misal dapat digunakan firewall , dan mesin tunneling dengan menggunakan Linux.
bersambung.....
Tidak ada komentar:
Posting Komentar