دنیای تکنولوژی ودانش آریا

نگاهی فنی به VPN

اشاره :

(VPN (Virtual Private Network یك شبكه خصوصی مجازی است كه ارتباطات كپسوله‌شده (Encapsulated)، رمزنگاری‌شده (Encrypted) و تصدیق‌شده (Authenticated) را با استفاده از سیستم مسیریابی زیرساخت شبكه از طریق یك شبكه عمومی مانند اینترنت ایجاد و مدیریت می‌كند. این ارتباط می‌تواند بین دو سیستم عادی برقرار شده و یا برای ارتباط امن سرور یك سازمان با شعب آن در سراسر جهان به‌كار رود. VPN برای كاربران تجاری بیش از یك ضرورت و بلكه نعمتی است كه راهی مطمئن، امن و در عین حال ارزان برای دسترسی به فایل‌هایشان در شبكه محل كار خود (وقتی كه آن‌ها در مسافرت، خانه و یا در راه هستند) در اختیار می‌گذارد. كاربران در حالت عادی برای تماس به‌صورت Remote (راه دور) با سرور نیاز دارند كه به‌صورت مستقیم و توسط یك ارتباط DialUp به سرور RAS متصل شوند ، اما این‌كار دو اشكال اساسی دارد ... لطفاً ادامه مقاله را بخوانید.

استفاده از RAS سرور و خط تلفن‌ برای برقراری ارتباط دو مشكل عمده دارد كه عبارتند از:

1) در صورتی‌كه RAS سرور و سیستم تماس‌گیرنده در یك استان قرار نداشته باشند، علاوه بر لزوم پرداخت هزینه زیاد، سرعت ارتباط نیز پایین خواهد آمد و این مسأله وقتی بیشتر نمود پیدا می كند كه كاربر نیاز به ارتباطی با سرعت مناسب داشته باشد.

2) در صورتی‌كه تعداد اتصالات راه دور در یك لحظه بیش از یك مورد باشد، RAS سرور به چندین خط تلفن و مودم احتیاج خواهد داشت كه باز هم مسأله هزینه مطرح می گردد.

اما با ارتباط VPN مشكلات مذكور به‌طور كامل حل می‌شود و كاربر با اتصال به ISP محلی به اینترنت متصل شده و VPN بین كامپیوتر كاربر و سرور سازمان از طریق اینترنت ایجاد می‌گردد. ارتباط مذكور می تواند از طریق خط DialUpو یا خط اختصاصی مانند Leased Line برقرار شود.

به‌هر حال اكنون مسأله این نیست كه طریقه استفاده از VPN چیست، بلكه مسأله این است كه كدامیك از تكنولوژی‌های VPN باید مورد استفاده قرار گیرند. پنج نوع پروتكل در VPN مورد استفاده قرار می گیرد كه هركدام مزایا و معایبی دارند . در این مقاله ما قصد داریم در مورد هركدام از این پروتكل‌ها بحث كرده و آنها را مقایسه كنیم . البته نتیجه گیری نهایی به هدف شما در استفاده از VPN بستگی دارد.

ارتباط سیستم‌ها در یك اینترانت

در برخی سازمان‌ها، اطلاعات یك دپارتمان خاص به‌دلیل حساسیت بالا، به‌طور فیزیكی از شبكه اصلی داخلی آن سازمان جدا گردیده است. این مسأله علیرغم محافظت از اطلاعات آن دپارتمان، مشكلات خاصی را نیز از بابت دسترسی كاربران دپارتمان مذكور به شبكه‌های خارجی به‌وجود می‌آورد.

VPN اجازه می دهد كه شبكه دپارتمان مذكور به‌صورت فیزیكی به شبكه مقصد مورد نظر متصل گردد، اما به‌صورتی‌كه توسط VPN سرور، جدا شده است (با قرار گرفتن VPN سرور بین دو شبكه).

البته لازم به یادآوری است كه نیازی نیست VPN سرور به‌صورت یك Router مسیریاب بین دو شبكه عمل نماید، بلكه كاربران شبكه مورد نظر علاوه بر این‌كه خصوصیات و Subnet شبكه خاص خود را دارا هستند به VPN سرور متصل شده و به اطلاعات مورد نظر در شبكه مقصد دست می یابند.

علاوه بر این تمام ارتباطات برقرار شده از طریق VPN، می‌توانند به منظور محرمانه ماندن رمزنگاری شوند. برای كاربرانی كه دارای اعتبارنامه مجاز نیستند، اطلاعات مقصد به‌صورت خودكار غیر قابل رویت خواهند بود .

مبانی Tunneling

Tunneling یا سیستم ایجاد تونل ارتباطی با نام كپسوله كردن (Encapsulation) نیز شناخته می‌شود كه روشی است برای استفاده از زیرساخت یك شبكه عمومی جهت انتقال اطلاعات. این اطلاعات ممكن است از پروتكل‌های دیگری باشد. اطلاعات به‌جای این‌كه به‌صورت اصلی و Original فرستاده شوند، با اضافه كردن یك Header (سرایند) كپسوله می‌شوند.

این سرایند اضافی كه به پكت متصل می‌شود، اطلاعات مسیریابی را برای پكت فراهم می كند تا اطلاعات به‌صورت صحیح، سریع و فوری به مقصد برسند. هنگامی كه پكت‌های كپسوله شده به مقصد رسیدند، سرایندها از روی پكت برداشته شده و اطلاعات به‌صورت اصلی خود تبدیل می‌شوند. این عملیات را از ابتدا تا اتمام كار Tunneling می‌نامند.

نگهداری تونل

مجموعه عملیات متشكل از پروتكل نگهداری تونل و پروتكل تبادل اطلاعات تونل به‌نام پروتكل Tunneling شناخته می‌شوند . برای این‌كه این تونل برقرار شود، هم كلاینت و هم سرور می‌بایست پروتكل Tunneling یكسانی را مورد استفاده قرار دهند. از جمله پروتكل‌هایی كه برای عملیات Tunneling مورد استفاده قرار می‌گیرند PPTP و L2TP هستند كه در ادامه مورد بررسی قرار خواهند گرفت.

پروتكل نگهداری تونل

پروتكل نگهداری تونل به‌عنوان مكانیسمی برای مدیریت تونل استفاده می‌شود. برای برخی از تكنولوژی‌هایTunneling مانند PPTP و L2TP یك تونل مانند یك Session می‌باشد، یعنی هر دو نقطه انتهایی تونل علاوه بر این‌كه باید با نوع تونل منطبق باشند، می‌بایست از برقرار شدن آن نیز مطلع شوند.

هرچند بر خلاف یك Session، یك تونل دریافت اطلاعات را به‌صورتی قابل اطمینان گارانتی نمی‌كند و اطلاعات ارسالی معمولاً به‌وسیله پروتكلی بر مبنای دیتاگرام مانندUDP هنگام استفاده از L2TP یا TCP برای مدیریت تونل و یك پروتكل كپسوله كردن مسیریابی عمومی اصلاح شده به‌نام GRE برای وقتی كه PPTP استفاده می گردد، پیكربندی و ارسال می‌شوند.

ساخته شدن تونل

یك تونل باید قبل از این‌كه تبادل اطلاعات انجام شود، ساخته شود. عملیات ساخته شدن تونل به‌وسیله یك طرف تونل یعنی كلاینت آغاز می‌شود و طرف دیگر تونل یعنی سرور، تقاضای ارتباط Tunneling را دریافت می‌كند. برای ساخت تونل یك عملیات ارتباطی مانند PPP انجام می‌شود.

سرور تقاضا می‌كند كه كلاینت خودش را معرفی كرده و معیارهای تصدیق هویت خود را ارائه نماید. هنگامی كه قانونی بودن و معتبر بودن كلاینت مورد تأیید قرار گرفت، ارتباط تونل مجاز شناخته شده و پیغام ساخته شدن تونل توسط كلاینت به سرور ارسال می‌گردد و سپس انتقال اطلاعات از طریق تونل شروع خواهد شد.

برای روشن شدن مطلب، مثالی می‌زنیم. اگر محیط عمومی را، كه غالبا نیز همین‌گونه است، اینترنت فرض كنیم، كلاینت پیغام ساخته شدن تونل را از آدرس IP كارت شبكه خود به‌عنوان مبدا به آدرس IP مقصد یعنی سرور ارسال می‌كند. حال اگر ارتباط اینترنت به‌صورت DialUp از جانب كلاینت ایجاد شده باشد، كلاینت به‌جای آدرس NIC خود، آدرس IP را كه ISP به آن اختصاص داده به‌عنوان مبدا استفاده خواهد نمود.

نگهداری تونل

در برخی از تكنولوژی‌های Tunneling مانند L2TP و PPTP، تونل ساخته شده باید نگهداری و مراقبت شود . هر دو انتهای تونل باید از وضعیت طرف دیگر تونل باخبر باشند. نگهداری یك تونل معمولا از طریق عملیاتی به‌نام نگهداری فعال (KA) اجرا می‌گردد كه طی این پروسه به‌صورت دوره زمانی مداوم از انتهای دیگر تونل آمارگیری می‌شود. این‌كار هنگامی كه اطلاعاتی در حال تبادل نیست، انجام می پذیرد.

پروتكل تبادل اطلاعات تونل

زمانی كه یك تونل برقرار می‌شود، اطلاعات می‌توانند از طریق آن ارسال گردند. پروتكل تبادل اطلاعات تونل، اطلاعات را كپسوله كرده تا قابل عبور از تونل باشند. وقتی كه تونل كلاینت قصد ارسال اطلاعات را به تونل سرور دارد، یك سرایند (مخصوص پروتكل تبادل اطلاعات) را بر روی پكت اضافه می‌كند. نتیجه این‌كار این است كه اطلاعات از طریق شبكه عمومی قابل ارسال شده و تا تونل سرور مسیریابی می‌شوند.

تونل سرور پكت‌ها را دریافت كرده و سرایند اضافه شده را از روی اطلاعات برداشته و سپس اطلاعات را به‌صورت اصلی درمی آورد.

انواع تونل

تونل‌ها به دو نوع اصلی تقسیم می‌گردند: اختیاری و اجباری.

تونل اختیاری

تونل اختیاری به‌وسیله كاربر و از سمت كامپیوتر كلاینت طی یك عملیات هوشمند، پیكربندی و ساخته می‌شود. كامپیوتر كاربر نقطه انتهایی تونل بوده و به‌عنوان تونل كلاینت عمل می‌كند. تونل اختیاری زمانی تشكیل می‌شود كه كلاینت برای ساخت تونل به سمت تونل سرور مقصد داوطلب شود.

هنگامی‌كه كلاینت به‌عنوان تونل كلاینت قصد انجام عملیات دارد، پروتكل Tunneling موردنظر باید بر روی سیستم كلاینت نصب گردد. تونل اختیاری می‌تواند در هریك از حالت‌های زیر اتفاق بیفتد:

- كلاینت ارتباطی داشته باشد كه بتواند ارسال اطلاعات پوشش گذاری شده را از طریق مسیریابی به سرور منتخب خود انجام دهد .

- كلاینت ممكن است قبل از این‌كه بتواند تونل را پیكربندی كند، ارتباطی را از طریق DialUp برای تبادل اطلاعات برقرار كرده باشد. این معمول‌ترین حالت ممكن است. بهترین مثال از این حالت، كاربران اینترنت هستند. قبل از این‌كه یك تونل برای كاربران بر روی اینترنت ساخته شود، آن‌ها باید به ISP خود شماره‌گیری كنند و یك ارتباط اینترنتی را تشكیل دهند.

تونل اجباری

تونل اجباری برای كاربرانی پیكر بندی و ساخته می شود كه دانش لازم را نداشته و یا دخالتی در ساخت تونل نخواهند داشت. در تونل اختیاری، كاربر، نقطه نهایی تونل نیست. بلكه یك Device دیگر بین سیستم كاربر و تونل سرور، نقطه نهایی تونل است كه به‌عنوان تونل كلاینت عمل می‌نماید.

اگر پروتكل Tunneling بر روی كامپیوتركلاینت نصب و راه اندازی نشده و در عین حال تونل هنوز مورد نیاز و درخواست باشد، این امكان وجود دارد كه یك كامپیوتر دیگر و یا یك Device شبكه دیگر، تونلی از جانب كامپیوتر كلاینت ایجاد نماید.

این وظیفه‌ای است كه به یك متمركزكننده دسترسی (AC) به تونل، ارجاع داده شده است. در مرحله تكمیل این وظیفه، متمركزكننده دسترسی یا همان AC باید پروتكل Tunneling مناسب را ایجاد كرده و قابلیت برقراری تونل را در هنگام اتصال كامپیوتر كلاینت داشته باشد. هنگامی‌كه ارتباط از طریق اینترنت برقرار می شود، كامپیوتر كلاینت یك تونل تأمین شده (NAS (Network Access Service را از طریق ISP احضار می‌كند.

به‌عنوان مثال یك سازمان ممكن است قراردادی با یك ISP داشته باشد تا بتواند كل كشور را توسط یك متمركزكننده دسترسی به‌هم پیوند دهد. این AC می‌تواند تونل‌هایی را از طریق اینترنت برقرار كند كه به یك تونل سرور متصل باشند و از آن طریق به شبكه خصوصی مستقر در سازمان مذكور دسترسی پیدا كنند.

این پیكربندی به‌عنوان تونل اجباری شناخته می‌شود، به‌دلیل این‌كه كلاینت مجبور به استفاده از تونل ساخته شده به‌وسیله AC شده است. یك‌بار كه این تونل ساخته شد، تمام ترافیك شبكه از سمت كلاینت و نیز از جانب سرور به‌صورت خودكار از طریق تونل مذكور ارسال خواهد شد.

به‌وسیله این تونل اجباری، كامپیوتر كلاینت یك ارتباط PPP می‌سازد و هنگامی‌كه كلاینت به NAS، از طریق شماره‌گیری متصل می‌شود، تونل ساخته می‌شود و تمام ترافیك به‌طور خودكار از طریق تونل، مسیریابی و ارسال می‌گردد. تونل اجباری می تواند به‌طور ایستا و یا خودكار و پویا پیكربندی شود.

تونل‌های اجباری ایستا

پیكربندی تونل‌های Static معمولاً به تجهیزات خاص برای تونل‌های خودكار نیاز دارند. سیستم Tunneling خودكار به‌گونه‌ای اعمال می‌شود كه كلاینت‌ها به AC از طریق شماره‌گیری (Dialup) متصل می‌شوند. این مسأله احتیاج به خطوط دسترسی محلی اختصاصی و نیز تجهیزات دسترسی شبكه دارد كه به این‌ها هزینه‌های جانبی نیز اضافه می‌گردد.

برای مثال كاربران احتیاج دارند كه با یك شماره تلفن خاص تماس بگیرند، تا به یك AC متصل شوند كه تمام ارتباطات را به‌طور خودكار به یك تونل سرور خاص متصل می‌كند. در طرح‌های Tunneling ناحیه‌ای، متمركزكننده دسترسی بخشی از User Name را كه Realm خوانده می‌شود بازرسی می‌كند تا تصمیم بگیرد در چه موقعیتی از لحاظ ترافیك شبكه، تونل را تشكیل دهد.

تونل‌های اجباری پویا

در این سیستم انتخاب مقصد تونل براساس زمانی كه كاربر به AC متصل می شود، ساخته می‌شود. كاربران دارای Realm یكسان، ممكن است تونل‌هایی با مقصدهای مختلف تشكیل بدهند. البته این امر به پارامترهای مختلف آن‌ها مانند UserName، شماره تماس، محل فیزیكی و زمان بستگی دارد.

تونل‌های Dynamic، دارای قابلیت انعطاف عالی هستند. همچنین تونل‌های پویا اجازه می‌دهند كه AC به‌عنوان یك سیستم Multi-NAS عمل كند، یعنی اینكه همزمان هم ارتباطات Tunneling را قبول می كند و هم ارتباطات كلاینت‌های عادی و بدون تونل را. در صورتی كه متمركزكننده دسترسی بخواهد نوع كلاینت تماس‌گیرنده را مبنی بر دارای تونل بودن یا نبودن از قبل تشخیص بدهد، باید از همكاری یك بانك اطلاعاتی سود ببرد.

برای این‌كار باید AC اطلاعات كاربران را در بانك اطلاعاتی خود ذخیره كند كه بزرگترین عیب این مسأله این است كه این بانك اطلاعاتی به خوبی قابل مدیریت نیست.

بهترین راه‌حل این موضوع، راه‌اندازی یك سرور RADIUS است، سروری كه اجازه می‌دهد كه تعداد نامحدودی سرور، عمل شناسایی Userهای خود را بر روی یك سرور خاص یعنی همین سرور RADIUS انجام دهند، به‌عبارت بهتر این سرور مركزی برای ذخیره و شناسایی و احراز هویت نمودن كلیه كاربران شبكه خواهد بود.

پروتكل‌های VPN

عمده‌ترین پروتكل‌هایی كه به‌وسیله ویندوز 2000 برای دسترسی به VPN استفاده می شوند

عبارتند از: L2TP ،Ipsec ،PPTP ،IP-IP

البته پروتكل امنیتی SSL نیز جزء پروتكل‌های مورد استفاده در VPN به شمار می‌آید، ولی به‌علت این‌كه SSL بیشتر بر روی پروتكل‌های HTTP ،LDAP ،POP3 ،SMTP و ... مورد استفاده قرار می‌گیرد، بحث در مورد آن را به فرصتی دیگر موكول می‌كنیم.

پروتكلPPTP

پروتكل Tunneling نقطه به نقطه، بخش توسعه یافته‌ای از پروتكل PPP است كه فریم‌های پروتكل PPP را به‌صورت

IP برای تبادل آن‌ها از طریق یك شبكه IP مانند اینترنت توسط یك سرایند، كپسوله می‌كند. این پروتكل می‌تواند در شبكه‌های خصوصی از نوع LAN-to-LAN نیز استفاده گردد.

پروتكل PPTP به‌وسیله انجمنی از شركت‌های مایكروسافت، Ascend Communications ،3com ،ESI و US Robotics ساخته شد.

PPTP یك ارتباط TCP را (كه یك ارتباط Connection Oriented بوده و پس از ارسال پكت منتظر Acknowledgment آن می‌ماند) برای نگهداری تونل و فریم‌های PPP كپسوله شده توسط (GRE (Generic Routing Encapsulation كه به معنی كپسوله كردن مسیریابی عمومی است،

برای Tunneling كردن اطلاعات استفاده می‌كند. ضمناً اطلاعات كپسوله‌شده PPP قابلیت رمزنگاری و فشرده شدن را نیز دارا هستند.

تونل‌های PPTP باید به‌وسیله مكانیسم گواهی همان پروتكل PPP كه شامل (EAP ،CHAP ،MS-CHAP ،PAP)می‌شوند، گواهی شوند. در ویندوز 2000 رمزنگاری پروتكل PPP فقط زمانی استفاده می‌گردد كه پروتكل احراز هویت یكی از پروتكل‌های EAP ،TLS و یا MS-CHAP باشد.

باید توجه شود كه رمزنگاری PPP، محرمانگی اطلاعات را فقط بین دو نقطه نهایی یك تونل تأمین می‌كند و در صورتی‌كه به امنیت بیشتری نیاز باشد، باید از پروتكل Ipsec استفاده شود.

پروتكل L2TP

پروتكل L2TP تركیبی است از پروتكل‌های PPTP و (L2F (Layer 2 Forwarding كه توسط شركت سیسكو توسعه یافته است. این پروتكل تركیبی است از بهترین خصوصیات موجود در L2F و PPTP.

L2TP نوعی پروتكل شبكه است كه فریم‌های PPP را برای ارسال بر روی شبكه‌های IP مانند اینترنت و علاوه بر این برای شبكه‌های مبتنی بر X.25 ،Frame Relay و یا ATM كپسوله می‌كند.

هنگامی‌كه اینترنت به‌عنوان زیرساخت تبادل اطلاعات استفاده می‌گردد، L2TP می‌تواند به‌عنوان پروتكل

Tunneling از طریق اینترنت مورد استفاده قرار گیرد.

L2TP برای نگهداری تونل از یك سری پیغام‌های L2TP و نیز از پروتكل UDP (پروتكل تبادل اطلاعات به‌صورتConnection Less كه پس از ارسال اطلاعات منتظر دریافت Acknowledgment نمی‌شود و اطلاعات را، به مقصد رسیده فرض می‌كند) استفاده می‌كند.

در L2TP نیز فریم‌های PPP كپسوله شده می‌توانند همزمان علاوه بر رمزنگاری شدن، فشرده نیز شوند. البته مایكروسافت پروتكل امنیتی Ipsec (كه به‌طور مفصل در شماره 47 ماهنامه شبكه تحت عنوان "امنیت اطلاعات در حین انتقال به‌وسیله IPsec " معرفی شده) را به‌جای رمزنگاری PPP توصیه می كند. ساخت تونل L2TP نیز باید همانند PPTP توسط مكانیسم (PPP EAP ،CHAP ،MS-CHAP ،PAP) بررسی و تأیید شود.

PPTP در مقابلL2TP

هر دو پروتكل PPTP و L2TP از پروتكل PPP برای ارتباطات WAN استفاده می كنند تا نوعی اطلاعات ابتدایی برای دیتا را فراهم كنند و سپس یك سرایند اضافه برای انتقال اطلاعات از طریق یك شبكه انتقالی به پكت الحاق بنمایند. هرچند این دو پروتكل در برخی موارد نیز با هم تفاوت دارند. برخی از این تفاوت‌ها عبارتند از:

1- شبكه انتقال كه PPTP احتیاج دارد، باید یك شبكه IP باشد. ولی L2TP فقط به یك تونل احتیاج دارد تا بتواند ارتباط Point-to-Point را برقرار كند. حال این تونل می تواند بر روی یك شبكه IP باشد و یا بر روی شبكه‌های دیگر مانند X.25 و یا ATM ،Frame Relay.

2- L2TP قابلیت فشرده‌سازی سرایند را داراست. هنگامی‌كه فشرده‌سازی سرایند انجام می‌گیرد، L2TP با حجم 4 بایت عمل می‌كند، در حالی‌كه PPTP با حجم 6 بایت عمل می‌نماید.

3- L2TP متد احراز هویت را تأمین می‌كند، در حالی‌كه PPTP این‌گونه عمل نمی‌كند، هرچند وقتی‌كه PPTP یا L2TP از طریق پروتكل امنیتی IPsec اجرا می‌شوند، هر دو، متد احراز هویت را تأمین می‌نمایند.

4- PPTP رمزنگاری مربوط به PPP را استفاده می‌كند، ولی L2TP از پروتكل Ipsec برای رمزنگاری استفاده می‌نماید.

پروتكل Ipsec

Ipsec یك پروتكل Tunneling لایه سوم است كه از متد ESP برای كپسوله كردن و رمزنگاری اطلاعات IP برای تبادل امن اطلاعات از طریق یك شبكه كاری IP عمومی یا خصوصی پشتیبانی می‌كند. IPsec به‌وسیله متد ESP می‌تواند اطلاعات IP را به‌صورت كامل كپسوله كرده و نیز رمزنگاری كند.

به محض دریافت اطلاعات رمزگذاری شده، تونل سرور، سرایند اضافه‌شده به IP را پردازش كرده و سپس كنار می‌گذارد و بعد از آن رمزهای ESP و پكت را باز می‌كند. بعد از این مراحل است كه پكت IP به‌صورت عادی پردازش می‌شود. پردازش عادی ممكن است شامل مسیریابی و ارسال پكت به مقصد نهایی آن باشد.

پروتكل IP-IP

این پروتكل كه با نام IP-in-IP نیز شناخته می‌شود، یك پروتكل لایه سوم یعنی لایه شبكه است. مهمترین استفاده پروتكل IP-IP برای ایجاد سیستم Tunneling به‌صورت Multicast است كه در شبكه‌هایی كه سیستم مسیریابی Multicast را پشتیبانی نمی‌كنند كاربرد دارد. ساختار پكت IP-IP تشكیل شده است از: سرایند IP خارجی، سرایند تونل، سرایند IP داخلی و اطلاعات IP. اطلاعات IP می‌تواند شامل هر چیزی در محدوه IP مانند TCP ،UDP ،ICMP و اطلاعات اصلی پكت باشد.

مدیریت VPN

در بیشتر موارد مدیریت یك VPN مانند مدیریت یك RAS سرور (به‌طور خلاصه، سروری كه ارتباط‌ها و Connection های برقرار شده از طریق راه دور را كنترل و مدیریت می‌كند)، می‌باشد. البته امنیت VPN باید به دقت توسط ارتباطات اینترنتی مدیریت گردد.

مدیریت كاربران VPN

بیشتر مدیران شبكه برای مدیریت كاربران خود از یك پایگاه داده مدیریت كننده اكانت‌ها بر روی كامپیوتر DC و یا از سرور RADIUS استفاده می‌نمایند. این كار به سرور VPN اجازه می‌دهد تا اعتبارنامه احراز هویت كاربران را به یك سیستم احراز هویت مركزی ارسال كند.

مدیریت آدرس‌ها و Name Serverها

سرور VPN باید رشته‌ای از آدرس‌های IP فعال را در خود داشته باشد تا بتواند آن‌ها را در طول مرحله پردازش ارتباط از طریق پروتكل كنترل IP به‌نام IPCP به درگاه‌های VPN Server و یا Clientها اختصاص دهد.

در VPNهایی كه مبتنی بر ویندوز 2000 پیكربندی می‌شوند، به‌صورت پیش‌فرض، IP آدرس‌هایی كه به Clientهای VPN اختصاص داده می‌شود، از طریق سرور DHCP گرفته می‌شوند.

البته همان‌طور كه قبلاً گفته شد شما می‌توانید یك رشته IP را به‌صورت دستی یعنی ایستا به‌جای استفاده از DHCP اعمال كنید. ضمناًVPN Server باید توسط یك سیستم تأمین‌كننده نام مانند DNS و یا WINS نیز پشتیبانی شود تا بتواند سیستم IPCP را به مورد اجرا بگذارد