Redundância com Sincronização de Estado em Servidores SSL VPN

Abstract

Nowadays the Internet is perceived as a common good. Available 24 hours a day, 7 days a week, 365 days a year. Availability online is a key factor for any business in today’s world. However, to achieve high availability online, a great deal of engineering work is required.When a website or online service has the objective of comunicating safely with its customers, an obvious solution exists: the use of the SSL/TLS protocol. This protocol adds a layer of protection to the information travelling between the client and the server. It is also based on proven mathematical algorithms. On the other hand, this layer also adds new challenges regarding availability. Due to the fact that the information travelling is now encrypted, operations like failover or load-balancing are now harder to implement because it is difficult to manipulate encrypted information.For organizations and users who are more concerned about online privacy there is a broader solution: the use of a Virtual Private Network (VPN). This private network enables an always encrypted connection between a client and a given remote server. The remote server acts as a gateway to the Internet, thus all the information accessed by the client goes through the “tunnel” between him and the server before reaching the Internet and vice-versa. To protect the “tunnel” a protocol like SSL/TLS is used. As a result, all the communication is encrypted and a website or online service is unable to determine the identity of the user being communicating with.This thesis has the aim of increasing the availability of a VPN connection based on the SSL/TLS protocol. The proposal is to develop a server side failover procedure. To achieve that, a cluster of servers is created and configured not only to share a IP address, but also to have one server acting as master and the others acting as backups. The backup servers receive information from the master regarding connected clients and clients tunnel state. As a consequence, if the master server stops working for any particular reason, a backup server can take its place as master and be able to maintain the ongoing connections. On the other hand, it can be considered a significant challenge to implement a transparent failover procedure when dealing with encrypted data. This thesis offers a solution capable of synchronizing VPN encrypted tunnel state information between a cluster of OpenVPN servers.

No mundo atual a Internet é percepcionada como um dado adquirido. Disponível 24 horas por dia, 7 dias por semana, 365 dias por ano. A disponibilidade de um serviço é um fator crítico para o seu sucesso. No entanto, para conseguir este feito, é necessário um grande trabalho de engenharia.Quando um website ou serviço online pretende comunicar de forma segura com os seus clientes existe uma solução óbvia, a utilização do protocolo SSL/TLS. Este acrescenta uma camada de proteção às comunicações efetuadas ao utilizar mecanismos seguros e algoritmos comprovados matematicamente. No entanto, esta camada extra aumenta os desafios ao nível da disponibilidade da ligação. Uma vez que as comunicações passam a estar cifradas, estas tornam-se mais difíceis de manipular por mecanismos de failover e load-balacing.Para organizações e utilizadores preocupados com a sua privacidade online existe uma solução mais abrangente: o uso de uma Rede Privada Virtual (VPN). Esta rede possibilita uma ligação segura entre um utilizador e um dado servidor remoto, que irá servir de intermediário entre a Internet e o utilizador. Tudo aquilo a que o utilizador aceder será pedido ao servidor para aceder por ele e, posteriormente, entregar-lhe de forma segura através da ligação, conhecida como túnel, criada entre eles. Este túnel é encriptado utilizando um protocolo de segurança como o SSL/TLS. Como resultado, o website ou serviço online não consegue determinar a origem do pedido visto que o servidor VPN oculta qual o utilizador com quem este está a trocar informação.Esta dissertação tem como objetivo aumentar a disponibilidade de uma ligação VPN baseada no protocolo SSL/TLS. Para isso procura implementar um mecanismo de mitigação de falhas do lado do servidor. Assim sendo, é criado um agregado de servidores que partilha o mesmo IP, sendo que só um está ativo em cada momento. Os servidores que estão em reserva recebem o estado das ligações entre os clientes e o servidor principal. Como consequência, existem várias máquinas prontas a tomar o lugar de servidor principal, de forma transparente, no caso de este falhar. Contudo, o maior desafio é a replicação do estado da ligação, isto devido à criptografia envolvida no processo. Nesta dissertação é apresentada uma solução capaz de sincronizar o estado da ligação entre o servidor principal e um ou mais clientes com um ou mais servidores de reserva.