Представьте сцену из остросюжетного фильма, в которой злодей удирает с места преступления по трассе на спорткаре. Его преследует полицейский вертолёт. Автомобиль въезжает в тоннель, имеющий несколько выходов. Пилот вертолёта не знает, из какого выхода появится машина, и злодей уходит от погони.
VPN - это и есть тоннель, связывающий множество дорог. Никто извне не знает, где окажутся автомобили, въезжающие в него. Никто извне не знает, что происходит в тоннеле.
Вы наверняка не раз слышали о VPN. На Лайфхакере об этой штуке тоже . Чаще всего VPN рекомендуют потому, что с помощью сети можно получать доступ к контенту, заблокированному по географическому признаку, и в целом повысить безопасность при использовании интернета. Правда же такова, что выход в интернет через VPN может быть не менее опасным, чем напрямую.
Как работает VPN?
Скорее всего, у вас дома есть Wi-Fi-роутер. Подключённые к нему устройства могут обмениваться данными даже без интернета. Получается, у вас есть своя частная сеть, но, чтобы подключиться к ней, нужно физически быть в досягаемости сигнала роутера.
VPN (Virtual Private Network) - это виртуальная частная сеть. Она работает поверх интернета, а потому подключиться к ней можно откуда угодно.
Например, компания, в которой вы работаете, может использовать виртуальную частную сеть для удалённых сотрудников. С помощью VPN они подключаются к рабочей сети. При этом их компьютеры, смартфоны или планшеты виртуально переносятся в офис и подключаются к сети изнутри. Для входа в виртуальную частную сеть нужно знать адрес VPN-сервера, логин и пароль.
Использовать VPN довольно просто. Обычно компания поднимает VPN-сервер где-то на локальном компьютере, сервере или в дата-центре, а подключение к нему происходит с помощью VPN-клиента на пользовательском устройстве.
Сейчас встроенные VPN-клиенты есть во всех актуальных операционных системах, в том числе в Android, iOS, Windows, macOS и Linux.
VPN-соединение между клиентом и сервером, как правило, зашифровано.
Значит, VPN - это хорошо?
Да, если вы являетесь владельцем бизнеса и хотите обезопасить корпоративные данные и сервисы. Пуская сотрудников в рабочую среду только через VPN и по учётным записям, вы всегда будете знать, кто и что делал и делает.
Более того, владелец VPN может мониторить и контролировать вообще весь трафик, который идёт между сервером и пользователем.
Сотрудники много сидят во «ВКонтакте»? Можно закрыть доступ к этому сервису. Геннадий Андреевич половину рабочего дня проводит на сайтах с мемами? Вся его активность автоматически записывается в логи и станет железным аргументом для увольнения.
Зачем тогда VPN?
VPN позволяет обойти географические и законодательные ограничения.
Например, вы в России и хотите . С сожалением вы узнаёте, что этот сервис недоступен из РФ. Воспользоваться им можно, только выходя в интернет через VPN-сервер страны, в которой Spotify работает.
В некоторых странах существует интернет-цензура, ограничивающая доступ к тем или иным сайтам. Вы хотите зайти на какой-то ресурс, но в России он заблокирован. Открыть сайт можно, только выходя в интернет через VPN-сервер страны, в которой он не заблокирован, то есть практически из любой, кроме РФ.
VPN - это полезная и нужная технология, которая хорошо справляется с определённым спектром задач. Но безопасность личных данных по-прежнему зависит от добросовестности поставщика услуги VPN, вашего здравого смысла, внимательности и интернет-грамотности.
Интернет все чаще используется в качестве средства коммуникации между компьютерами, поскольку он предлагает эффективную и недорогую связь. Однако Интернет является сетью общего пользования и для того чтобы обеспечивать безопасную коммуникацию через него необходим некий механизм, удовлетворяющий как минимум следующим задачам:
конфиденциальность информации;
целостность данных;
доступность информации;
Этим требованиям удовлетворяет механизм, названный VPN (Virtual Private Network – виртуальная частная сеть) – обобщённое название технологий, позволяющих обеспечить одно или несколько сетевых соединений (логическую сеть) поверх другой сети (например, Интернет) с использованием средств криптографии (шифрования, аутентификации, инфраструктуры открытых ключей, средств для защиты от повторов и изменений передаваемых по логической сети сообщений).
Создание VPN не требует дополнительных инвестиций и позволяет отказаться от использования выделенных линий. В зависимости от применяемых протоколов и назначения, VPN может обеспечивать соединения трёх видов: хост-хост, хост-сеть и сеть-сеть .
Для наглядности представим следующий пример: предприятие имеет несколько территориально отдаленных филиалов и "мобильных" сотрудников, работающих дома или в разъезде. Необходимо объединить всех сотрудников предприятия в единую сеть. Самый простой способ – это поставить модемы в каждом филиале и организовывать связь по мере необходимости. Такое решение, однако, не всегда удобно и выгодно – порой нужна постоянная связь и большая пропускная способность. Для этого придется либо прокладывать выделенную линию между филиалами, либо арендовать их. И то и другое довольно дорого. И здесь в качестве альтернативы при построении единой защищенной сети можно применять VPN-подключения всех филиалов фирмы через Интернет и настройку VPN-средств на хостах сети.
Рис. 6.4. VPN-соединение типа сеть-сеть
Рис. 6.5. VPN-соединение типа хост-сеть
В этом случае решаются многие проблемы – филиалы могут располагаться где угодно по всему миру.
Опасность здесь заключается в том, что, во-первых, открытая сеть доступна для атак со стороны злоумышленников всего мира. Во-вторых, по Интернету все данные передаются в открытом виде, и злоумышленники, взломав сеть, будут обладать всей информацией, передаваемой по сети. И, в-третьих, данные могут быть не только перехвачены, но и заменены в процессе передачи через сеть. Злоумышленник может, например, нарушить целостность баз данных, действуя от имени клиентов одного из доверенных филиалов.
Чтобы этого не произошло, в решениях VPN используются такие средства, как шифрование данных для обеспечения целостности и конфиденциальности, аутентификация и авторизация для проверки прав пользователя и разрешения доступа к виртуальной частной сети.
VPN-соединение всегда состоит из канала типа точка-точка, также известного под названием туннель. Туннель создаётся в незащищённой сети, в качестве которой чаще всего выступает Интернет.
Туннелирование (tunneling) или инкапсуляция (encapsulation) – это способ передачи полезной информации через промежуточную сеть. Такой информацией могут быть кадры (или пакеты) другого протокола. При инкапсуляции кадр не передается в том виде, в котором он был сгенерирован хостом-отправителем, а снабжается дополнительным заголовком, содержащим информацию о маршруте, позволяющую инкапсулированным пакетам проходить через промежуточную сеть (Интернет). На конце туннеля кадры деинкапсулируются и передаются получателю. Как правило, туннель создается двумя пограничными устройствами, размещенными в точках входа в публичную сеть. Одним из явных достоинств туннелирования является то, что данная технология позволяет зашифровать исходный пакет целиком, включая заголовок, в котором могут находиться данные, содержащие информацию, которую злоумышленники используют для взлома сети (например, IP-адреса, количество подсетей и т.д.).
Хотя VPN-туннель устанавливается между двумя точками, каждый узел может устанавливать дополнительные туннели с другими узлами. Для примера, когда трём удалённым станциям необходимо связаться с одним и тем же офисом, будет создано три отдельных VPN-туннеля к этому офису. Для всех туннелей узел на стороне офиса может быть одним и тем же. Это возможно благодаря тому, что узел может шифровать и расшифровывать данные от имени всей сети, как это показано на рисунке:
Рис. 6.6. Создание VPN-туннелей для нескольких удаленных точек
Пользователь устанавливает соединение с VPN-шлюзом, после чего пользователю открывается доступ к внутренней сети.
Внутри частной сети самого шифрования не происходит. Причина в том, что эта часть сети считается безопасной и находящейся под непосредственным контролем в противоположность Интернету. Это справедливо и при соединении офисов с помощью VPN-шлюзов. Таким образом, гарантируется шифрование только той информации, которая передаётся по небезопасному каналу между офисами.
Существует множество различных решений для построения виртуальных частных сетей. Наиболее известные и широко используемые протоколы – это:
PPTP (Point-to-Point Tunneling Protocol) – этот протокол стал достаточно популярен благодаря его включению в операционные системы фирмы Microsoft.
L2TP (Layer-2 Tunneling Protocol) – сочетает в себе протокол L2F (Layer 2 Forwarding) и протокол PPTP. Как правило, используется в паре с IPSec.
IPSec(Internet Protocol Security) – официальный Интернет-стандарт, разработан сообществом IETF (Internet Engineering Task Force).
Перечисленные протоколы поддерживаются устройствами D-Link.
Протокол PPTP, в первую очередь, предназначен для виртуальных частных сетей, основанных на коммутируемых соединениях. Протокол позволяет организовать удаленный доступ, благодаря чему пользователи могут устанавливать коммутируемые соединения с Интернет-провайдерами и создавать защищенный туннель к своим корпоративным сетям. В отличие от IPSec, протокол PPTP изначально не предназначался для организации туннелей между локальными сетями. PPTP расширяет возможности PPP – протокола, расположенного на канальном уровне, который первоначально был разработан для инкапсуляции данных и их доставки по соединениям типа точка-точка.
Протокол PPTP позволяет создавать защищенные каналы для обмена данными по различным протоколам – IP, IPX, NetBEUI и др. Данные этих протоколов упаковываются в кадры PPP, инкапсулируются с помощью протокола PPTP в пакеты протокола IP. Далее они переносятся с помощью IP в зашифрованном виде через любую сеть TCP/IP. Принимающий узел извлекает из пакетов IP кадры PPP, а затем обрабатывает их стандартным способом, т.е. извлекает из кадра PPP пакет IP, IPX или NetBEUI и отправляет его по локальной сети. Таким образом, протокол PPTP создает соединение точка-точка в сети и по созданному защищенному каналу передает данные. Основное преимущество таких инкапсулирующих протоколов, как PPTP – это их многопротокольность. Т.е. защита данных на канальном уровне является прозрачной для протоколов сетевого и прикладного уровней. Поэтому, внутри сети в качестве транспорта можно использовать как протокол IP (как в случае VPN, основанного на IPSec), так и любой другой протокол.
В настоящее время за счет легкости реализации протокол PPTP широко используется как для получения надежного защищенного доступа к корпоративной сети, так и для доступа к сетям Интернет-провайдеров, когда клиенту требуется установить PPTP-соединение с Интернет-провайдером для получения доступа в Интернет.
Метод шифрования, применяемый в PPTP, специфицируется на уровне PPP. Обычно в качестве клиента PPP выступает настольный компьютер с операционной системой Microsoft, а в качестве протокола шифрования используется протокол Microsoft Point-to-Point Encryption (MPPE). Данный протокол основывается на стандарте RSA RC4 и поддерживает 40- или 128-разрядное шифрование. Для многих приложений такого уровня шифрования использование данного алгоритма вполне достаточно, хотя он и считается менее надежным, нежели ряд других алгоритмов шифрования, предлагаемых IPSec, в частности, 168-разрядный Triple-Data Encryption Standard (3DES).
Как происходит установление соединения PPTP ?
PPTP инкапсулирует пакеты IP для передачи по IP-сети. Клиенты PPTP создают управляющее туннелем соединение, которое обеспечивает работоспособность канала. Этот процесс выполняется на транспортном уровне модели OSI. После создания туннеля компьютер-клиент и сервер начинают обмен служебными пакетами.
В дополнение к управляющему соединению PPTP создается соединение для пересылки данных по туннелю. Инкапсуляция данных перед отправкой в туннель включает два этапа. Сначала создается информационная часть PPP-кадра. Данные проходят сверху вниз, от прикладного уровня OSI до канального. Затем полученные данные отправляются вверх по модели OSI и инкапсулируются протоколами верхних уровней.
Данные с канального уровня достигают транспортного уровня. Однако информация не может быть отправлена по назначению, так как за это отвечает канальный уровень OSI. Поэтому PPTP шифрует поле полезной нагрузки пакета и берет на себя функции второго уровня, обычно принадлежащие PPP, т. е. добавляет к PPTP-пакету PPP-заголовок (header) и окончание (trailer). На этом создание кадра канального уровня заканчивается. Далее, PPTP инкапсулирует PPP-кадр в пакет Generic Routing Encapsulation (GRE), который принадлежит сетевому уровню. GRE инкапсулирует протоколы сетевого уровня, например IP, IPX, чтобы обеспечить возможность их передачи по IP-сетям. Однако применение только GRE-протокола не обеспечит установление сессии и безопасность данных. Для этого используется способность PPTP создавать соединение для управления туннелем. Применение GRE в качестве метода инкапсуляции ограничивает поле действия PPTP только сетями IP.
После того как кадр PPP был инкапсулирован в кадр с заголовком GRE, выполняется инкапсуляция в кадр с IP-заголовком. IP-заголовок содержит адреса отправителя и получателя пакета. В заключение PPTP добавляет PPP заголовок и окончание.
На рис. 6.7 показана структура данных для пересылки по туннелю PPTP:
Рис. 6.7. Структура данных для пересылки по туннелю PPTP
Для организации VPN на основе PPTP не требуется больших затрат и сложных настроек: достаточно установить в центральном офисе сервер PPTP (решения PPTP существуют как для Windows, так и для Linux платформ), а на клиентских компьютерах выполнить необходимые настройки. Если же нужно объединить несколько филиалов, то вместо настройки PPTP на всех клиентских станциях лучше воспользоваться Интернет-маршрутизатором или межсетевым экраном с поддержкой PPTP: настройки осуществляются только на пограничном маршрутизаторе (межсетевом экране), подключенном к Интернету, для пользователей все абсолютно прозрачно. Примером таких устройств могут служить многофункциональные Интернет-маршрутизаторы серии DIR/DSR и межсетевые экраны серии DFL.
GRE -туннели
Generic Routing Encapsulation (GRE) – протокол инкапсуляции сетевых пакетов, обеспечивающий туннелирование трафика через сети без шифрования. Примеры использования GRE:
передача трафика (в том числе широковещательного) через оборудование, не поддерживающее определенный протокол;
туннелирование IPv6-трафика через сеть IPv4;
передача данных через публичные сети для реализации защищенного VPN-соединения.
Рис.
6.8.
Пример работы
GRE-туннеля
Между двумя маршрутизаторами A и B ( рис. 6.8 ) находится несколько маршрутизаторов, GRE-туннель позволяет обеспечить соединение между локальными сетями 192.168.1.0/24 и 192.168.3.0/24 так, как если бы маршрутизаторы A и B были подключены напрямую.
L 2 TP
Протокол L2TP появился в результате объединения протоколов PPTP и L2F. Главное достоинство протокола L2TP в том, что он позволяет создавать туннель не только в сетях IP, но и в сетях ATM, X.25 и Frame relay. L2TP применяет в качестве транспорта протокол UDP и использует одинаковый формат сообщений как для управления туннелем, так и для пересылки данных.
Как и в случае с PPTP, L2TP начинает сборку пакета для передачи в туннель с того, что к полю информационных данных PPP добавляется сначала заголовок PPP, затем заголовок L2TP. Полученный таким образом пакет инкапсулируется UDP. В зависимости от выбранного типа политики безопасности IPSec, L2TP может шифровать UDP-сообщения и добавлять к ним заголовок и окончание Encapsulating Security Payload (ESP), а также окончание IPSec Authentication (см. в разделе "L2TP over IPSec"). Затем производится инкапсуляция в IP. Добавляется IP-заголовок, содержащий адреса отправителя и получателя. В завершение L2TP выполняет вторую PPP-инкапсуляцию для подготовки данных к передаче. На рис. 6.9 показана структура данных для пересылки по туннелю L2TP.
Рис. 6.9. Структура данных для пересылки по туннелю L2TP
Компьютер-получатель принимает данные, обрабатывает заголовок и окончание PPP, убирает заголовок IP. При помощи IPSec Authentication проводится аутентификация информационного поля IP, а ESP-заголовок IPSec помогает расшифровать пакет.
Далее компьютер обрабатывает заголовок UDP и использует заголовок L2TP для идентификации туннеля. Пакет PPP теперь содержит только полезные данные, которые обрабатываются или пересылаются указанному получателю.
IPsec (сокращение от IP Security) – набор протоколов для обеспечения защиты данных, передаваемых по межсетевому протоколу IP, позволяет осуществлять подтверждение подлинности и/или шифрование IP-пакетов. IPsec также включает в себя протоколы для защищённого обмена ключами в сети Интернет.
Безопасность IPSec достигается за счёт дополнительных протоколов, добавляющих к IP-пакету собственные заголовки – инкапсуляции. Т.к. IPSec – стандарт Интернет, то для него существуют документы RFC:
RFC 2401 (Security Architecture for the Internet Protocol) – архитектура защиты для протокола IP.
RFC 2402 (IP Authentication header) – аутентификационный заголовок IP.
RFC 2404 (The Use of HMAC-SHA-1-96 within ESP and AH) – использование алгоритма хэширования SHA-1 для создания аутентификационного заголовка.
RFC 2405 (The ESP DES-CBC Cipher Algorithm With Explicit IV) – использование алгоритма шифрования DES.
RFC 2406 (IP Encapsulating Security Payload (ESP)) – шифрование данных.
RFC 2407 (The Internet IP Security Domain of Interpretation for ISAKMP) – область применения протокола управления ключами.
RFC 2408 (Internet Security Association and Key Management Protocol (ISAKMP)) – управление ключами и аутентификаторами защищенных соединений.
RFC 2409 (The Internet Key Exchange (IKE)) – обмен ключами.
RFC 2410 (The NULL Encryption Algorithm and Its Use With IPsec) – нулевой алгоритм шифрования и его использование.
RFC 2411 (IP Security Document Roadmap) – дальнейшее развитие стандарта.
RFC 2412 (The OAKLEY Key Determination Protocol) – проверка аутентичности ключа.
IPsec является неотъемлемой частью Интернет-протокола IPv6 и необязательным расширением версии Интернет-протокола IPv4.
Механизм IPSec решает следующие задачи:
аутентификацию пользователей или компьютеров при инициализации защищенного канала;
шифрование и аутентификацию данных, передаваемых между конечными точками защищенного канала;
автоматическое снабжение конечных точек канала секретными ключами, необходимыми для работы протоколов аутентификации и шифрования данных.
Компоненты IPSec
Протокол AH (Authentication Header) – протокол идентификации заголовка. Обеспечивает целостность путём проверки того, что ни один бит в защищаемой части пакета не был изменён во время передачи. Но использование AH может вызвать проблемы, например, при прохождении пакета через NAT устройство. NAT меняет IP-адрес пакета, чтобы разрешить доступ в Интернет с закрытого локального адреса. Т.к. пакет в таком случае изменится, то контрольная сумма AH станет неверной (для устранения этой проблемы разработан протокол NAT-Traversal (NAT-T), обеспечивающий передачу ESP через UDP и использующий в своей работе порт UDP 4500). Также стоит отметить, что AH разрабатывался только для обеспечения целостности. Он не гарантирует конфиденциальности путём шифрования содержимого пакета.
Протокол ESP (Encapsulation Security Payload) обеспечивает не только целостность и аутентификацию передаваемых данных, но еще и шифрование данных, а также защиту от ложного воспроизведения пакетов.
Протокол ESP – инкапсулирующий протокол безопасности, который обеспечивает и целостность, и конфиденциальность. В режиме транспорта ESP-заголовок находится между исходным IP-заголовком и заголовком TCP или UDP. В режиме туннеля ESP-заголовок размещается между новым IP-заголовком и полностью зашифрованным исходным IP-пакетом.
Т.к. оба протокола – AH и ESP – добавляют собственные заголовки IP, каждый из них имеет свой номер (ID) протокола, по которому можно определить, что последует за IP-заголовком. Каждый протокол, согласно IANA (Internet Assigned Numbers Authority – организация, ответственная за адресное пространство сети Интернет), имеет свой собственный номер (ID). Например, для TCP этот номер равен 6, а для UDP – 17. Поэтому, очень важно при работе через межсетевой экран настроить фильтры таким образом, чтобы пропускать пакеты с ID AH и/или ESP протокола.
Для того чтобы указать, что в заголовке IP присутствует AH, устанавливается ID протокола 51, а для ESP – номер 50.
ВНИМАНИЕ : ID протокола не то же самое, что номер порта.
Протокол IKE (Internet Key Exchange) – стандартный протокол IPsec, используемый для обеспечения безопасности взаимодействия в виртуальных частных сетях. Предназначение IKE – защищенное согласование и доставка идентифицированного материала для ассоциации безопасности (SA).
SA – это термин IPSec для обозначения соединения. Установленный SA (защищенный канал, называемый "безопасной ассоциацией" или "ассоциацией безопасности" – Security Association, SA) включает в себя разделяемый секретный ключ и набор криптографических алгоритмов.
Протокол IKE выполняет три основные задачи:
обеспечивает средства аутентификации между двумя конечными точками VPN;
устанавливает новые связи IPSec (создаёт пару SA);
управляет существующими связями.
IKE использует UDP-порт с номером 500. При использовании функции NAT Traversal, как упоминалось ранее, протокол IKE использует UDP-порт с номером 4500.
Обмен данными в IKE происходит в 2 фазы. В первой фазе устанавливается ассоциация SA IKE. При этом выполняется аутентификация конечных точек канала и выбираются параметры защиты данных, такие как алгоритм шифрования, сессионный ключ и др.
Во второй фазе SA IKE используется для согласования протокола (обычно IPSec).
При настроенном VPN-туннеле для каждого используемого протокола создаётся одна пара SA. SA создаются парами, т.к. каждая SA – это однонаправленное соединение, а данные необходимо передавать в двух направлениях. Полученные пары SA хранятся на каждом узле.
Так как каждый узел способен устанавливать несколько туннелей с другими узлами, каждый SA имеет уникальный номер, позволяющий определить, к какому узлу он относится. Этот номер называется SPI (Security Parameter Index) или индекс параметра безопасности.
SA храняться в базе данных (БД) SAD (Security Association Database).
Каждый узел IPSec также имеет вторую БД – SPD (Security Policy Database) – БД политики безопасности. Она содержит настроенную политику узла. Большинство VPN-решений разрешают создание нескольких политик с комбинациями подходящих алгоритмов для каждого узла, с которым нужно установить соединение.
Гибкость IPSec состоит в том, что для каждой задачи предлагается несколько способов ее решения, и методы, выбранные для одной задачи, обычно не зависят от методов реализации других задач. Вместе с тем, рабочая группа IETF определила базовый набор поддерживаемых функций и алгоритмов, который должен быть однотипно реализован во всех продуктах, поддерживающих IPSec. Механизмы AH и ESP могут использоваться с различными схемами аутентификации и шифрования, некоторые из которых являются обязательными. Например, в IPSec определяется, что пакеты аутентифицируются либо с помощью односторонней функции MD5, либо с помощью односторонней функции SHA-1, а шифрование осуществляется с использованием алгоритма DES. Производители продуктов, в которых работает IPSec, могут добавлять другие алгоритмы аутентификации и шифрования. Например, некоторые продукты поддерживают такие алгоритмы шифрования, как 3DES, Blowfish, Cast, RC5 и др.
Для шифрования данных в IPSec может быть применен любой симметричный алгоритм шифрования, использующий секретные ключи.
Протоколы защиты передаваемого потока (AH и ESP) могут работать в двух режимах – в транспортном режиме и в режиме туннелирования . При работе в транспортном режиме IPsec работает только с информацией транспортного уровня, т.е. шифруется только поле данных пакета, содержащего протоколы TCP / UDP (заголовок IP-пакета не изменяется (не шифруется)). Транспортный режим, как правило, используется для установления соединения между хостами.
В режиме туннелирования шифруется весь IP-пакет, включая заголовок сетевого уровня. Для того чтобы его можно было передать по сети, он помещается в другой IP-пакет. По существу, это защищённый IP-туннель. Туннельный режим может использоваться для подключения удалённых компьютеров к виртуальной частной сети (схема подключения "хост-сеть") или для организации безопасной передачи данных через открытые каналы связи (например, Интернет) между шлюзами для объединения разных частей виртуальной частной сети (схема подключения "сеть-сеть").
Режимы IPsec не являются взаимоисключающими. На одном и том же узле некоторые SA могут использовать транспортный режим, а другие – туннельный.
На фазе аутентификации вычисляется контрольная сумма ICV (Integrity Check Value) пакета. При этом предполагается, что оба узла знают секретный ключ, который позволяет получателю вычислить ICV и сравнить с результатом, присланным отправителем. Если сравнение ICV прошло успешно, считается, что отправитель пакета аутентифицирован.
В режиме транспорта AH
весь IP-пакет, за исключением некоторых полей в заголовке IP, которые могут быть изменены при передаче. Эти поля, значения которых для расчета ICV равняются 0, могут быть частью службы (Type of Service, TOS), флагами, смещением фрагмента, временем жизни (TTL), а также заголовком контрольной суммы;
все поля в AH;
полезные данные пакетов IP.
AH в режиме транспорта защищает IP-заголовок (за исключением полей, для которых разрешены изменения) и полезные данные в исходном IP-пакете (рисунок 3.39).
В туннельном режиме исходный пакет помещается в новый IP-пакет, и передача данных выполняется на основании заголовка нового IP-пакета.
Для туннельного режима AH при выполнении расчета в контрольную сумму ICV включаются следующие компоненты:
все поля внешнего заголовка IP, за исключением некоторых полей в заголовке IP, которые могут быть изменены при передаче. Эти поля, значения которых для расчета ICV равняются 0, могут быть частью службы (Type of Service, TOS), флагами, смещением фрагмента, временем жизни (TTL), а также заголовком контрольной суммы;
все поля AH;
исходный IP-пакет.
Как видно на следующей иллюстрации, режим туннелирования AH защищает весь исходный IP-пакет за счет дополнительного внешнего заголовка, который в режиме транспорта AH не используется:
Рис. 6.10. Туннельный и транспортный режимы работы протокола АН
В режиме транспорта ESP аутентифицирует не весь пакет, а обеспечивает защиту только полезных данных IP. Заголовок ESP в режиме транспорта ESP добавляется в IP-пакет сразу после заголовка IP, а окончание ESP (ESP Trailer), соответственно, добавляется после данных.
Режим транспорта ESP шифрует следующие части пакета:
полезные данные IP;
Алгоритм шифрования, который использует режим шифрования цепочки блоков (Cipher Block Chaining, CBC) имеет незашифрованное поле между заголовком ESP и полезной нагрузкой. Это поле называется вектором инициализации IV (Initialization Vector) для расчета CBC, которое выполняется на получателе. Так как это поле используется для начала процесса расшифровки, оно не может быть зашифрованным. Несмотря на то, что у злоумышленника есть возможность просмотра IV, он никак не сможет расшифровать зашифрованную часть пакета без ключа шифрования. Для предотвращения злоумышленниками изменения вектора инициализации, он охраняется контрольной суммой ICV. В этом случае ICV выполняет следующие расчеты:
все поля в заголовке ESP;
полезные данные, включая открытый текст IV;
все поля в ESP Trailer, за исключением поля данных проверки подлинности.
Туннельный режим ESP инкапсулирует весь исходный IP-пакет в заголовок нового IP, заголовок ESP и ESP Trailer. Для того чтобы указать, что в заголовке IP присутствует ESP, устанавливается идентификатор протокола IP 50, причем исходный заголовок IP и полезные данные остаются без изменений. Как и в случае с туннельным режимом AH, внешний IP-заголовок базируется на конфигурации туннеля IPSec. В случае использования туннельного режима ESP область аутентификации IP-пакета показывает, где была поставлена подпись, удостоверяющая его целостность и подлинность, а зашифрованная часть показывает, что информация является защищенной и конфиденциальной. Исходный заголовок помещается после заголовка ESP. После того, как зашифрованная часть инкапсулируется в новый туннельный заголовок, который не зашифровывается, осуществляется передача IP-пакета. При отправке через общедоступную сеть такой пакет маршрутизируется на IP-адрес шлюза принимающей сети, а уже шлюз расшифровывает пакет и отбрасывает заголовок ESP с использованием исходного заголовка IP для последующей маршрутизации пакета на компьютер, находящийся во внутренней сети. Режим туннелирования ESP шифрует следующие части пакета:
Для туннельного режима ESP расчет ICV производится следующим образом:
все поля в заголовке ESP;
исходный IP-пакет, включая открытый текст IV;
все поля заголовка ESP, за исключением поля данных проверки подлинности.
исходный IP-пакет;
Рис. 6.11. Туннельный и транспортный режим протокола ESP
Рис. 6.12. Сравнение протоколов ESP и AH
Резюме по применению режимов IPSec :
Протокол – ESP (AH).
Режим – туннельный (транспортный).
Способ обмена ключами – IKE (ручной).
Режим IKE – main (aggressive).
Ключ DH – group 5 (group 2, group 1) – номер группы для выбора динамически создаваемых ключей сеанса, длина группы.
Аутентификация – SHA1 (SHA, MD5).
Шифрование – DES (3DES, Blowfish, AES).
При создании политики, как правило, возможно создание упорядоченного списка алгоритмов и Diffie-Hellman групп. Diffie-Hellman (DH) – протокол шифрования, используемый для установления общих секретных ключей для IKE, IPSec и PFS (Perfect Forward Secrecy – совершенная прямая секретность). В таком случае будет использована первая позиция, совпавшая на обоих узлах. Очень важно, чтобы всё в политике безопасности позволяло добиться этого совпадения. Если за исключением одной части политики всё остальное совпадает, узлы всё равно не смогут установить VPN-соединение. При настройке VPN-туннеля между различными системами нужно выяснить, какие алгоритмы поддерживаются каждой стороной, чтобы была возможность выбора наиболее безопасной политики из всех возможных.
Основные настройки, которые включает в себя политика безопасности:
Симметричные алгоритмы для шифрования/дешифрования данных.
Криптографические контрольные суммы для проверки целостности данных.
Способ идентификации узла. Самые распространенные способы – это предустановленные ключи (pre-shared secrets) или СА-сертификаты.
Использовать ли режим туннеля или режим транспорта.
Какую использовать группу Diffie-Hellman (DH group 1 (768-bit); DH group 2 (1024-bit); DH group 5 (1536-bit)).
Использовать ли AH, ESP, или оба вместе.
Использовать ли PFS.
Ограничением IPSec является то, что он поддерживает только передачу данных на уровне протокола IP.
Существуют две основные схемы применения IPSec, отличающиеся ролью узлов, образующих защищенный канал.
В первой схеме защищенный канал образуется между конечными хостами сети. В этой схеме протокол IPSec защищает тот узел, на котором выполняется:
Рис. 6.13. Создание защищенного канала между двумя конечными точками
Во второй схеме защищенный канал устанавливается между двумя шлюзами безопасности. Эти шлюзы принимают данные от конечных хостов, подключенных к сетям, расположенным за шлюзами. Конечные хосты в этом случае не поддерживают протокол IPSec, трафик, направляемый в публичную сеть, проходит через шлюз безопасности, который выполняет защиту от своего имени.
Рис. 6.14. Создание защищенного канала между двумя шлюзами
Для хостов, поддерживающих IPSec, возможно использование как транспортного, так и туннельного режимов. Для шлюзов разрешается использование только туннельного режима.
Установка и поддержка VPN
Как упоминалось выше, установка и поддержка VPN-туннеля выполняется в два этапа. На первом этапе (фазе) два узла договариваются о методе идентификации, алгоритме шифрования, хэш-алгоритме и группе Diffie-Hellman. Они также идентифицируют друг друга. Всё это может пройти в результате обмена тремя нешифрованными сообщениями (т.н. агрессивный режим, Aggressive mode ) или шестью сообщениями, с обменом зашифрованной информацией об идентификации (стандартный режим, Main mode ).
В режиме Main Mode обеспечивается возможность согласований всех параметров конфигурации устройств отправителя и получателя, в то время как в режиме Aggressive Mode такой возможности нет, и некоторые параметры (группа Diffie-Hellman, алгоритмы шифрования и аутентификации, PFS) должны быть заранее одинаково настроены на каждом устройстве. Однако, в данном режиме меньше и число обменов, и число пересылаемых при этом пакетов, в результате чего требуется меньше времени для установки сеанса IPSec.
Рис. 6.15. Обмен сообщениями в стандартном (а) и агрессивном (б) режимах
Предполагая, что операция завершилась успешно, создаётся SA первой фазы – Phase 1 SA (также называемый IKE SA ) и процесс переходит ко второй фазе.
На втором этапе генерируются данные ключей, узлы договариваются об используемой политике. Этот режим, также называемый быстрым режимом (Quick mode), отличается от первой фазы тем, что может установиться только после первого этапа, когда все пакеты второй фазы шифруются. Правильное завершение второй фазы приводит к появлению Phase 2 SA или IPSec SA и на этом установка туннеля считается завершённой.
Сначала на узел прибывает пакет с адресом назначения в другой сети, и узел инициирует первую фазу с тем узлом, который отвечает за другую сеть. Допустим, туннель между узлами был успешно установлен и ожидает пакеты. Однако узлам необходимо переидентифицировать друг друга и сравнить политику по прошествие определённого периода времени. Этот период называется время жизни Phase One или IKE SA lifetime.
Узлы также должны сменить ключ для шифрования данных через отрезок времени, который называется временем жизни Phase Two или IPSec SA lifetime.
Phase Two lifetime короче, чем у первой фазы, т.к. ключ необходимо менять чаще. Нужно задать одинаковые параметры времени жизни для обоих узлов. Если не выполнить этого, то возможен вариант, когда изначально туннель будет установлен успешно, но по истечении первого несогласованного промежутка времени жизни связь прервётся. Проблемы могут возникнуть и в том случае, когда время жизни первой фазы меньше аналогичного параметра второй фазы. Если настроенный ранее туннель прекращает работу, то первое, что нуждается в проверке – это время жизни на обоих узлах.
Еще следует отметить, что при смене политики на одном из узлов изменения вступят в силу только при следующем наступлении первой фазы. Чтобы изменения вступили в силу немедленно, надо убрать SA для этого туннеля из базы данных SAD. Это вызовет пересмотр соглашения между узлами с новыми настройками политики безопасности.
Иногда при настройке IPSec-туннеля между оборудованием разных производителей возникают затруднения, связанные с согласованием параметров при установлении первой фазы. Следует обратить внимание на такой параметр, как Local ID – это уникальный идентификатор конечной точки туннеля (отправителя и получателя). Особенно это важно при создании нескольких туннелей и использовании протокола NAT Traversal.
Dead Peer Detection
В процессе работы VPN, при отсутствии трафика между конечными точками туннеля, или при изменении исходных данных удалённого узла (например, смена динамически назначенного IP-адреса), может возникнуть ситуация, когда туннель по сути таковым уже не является, становясь как бы туннелем-призраком. Для того чтобы поддерживать постоянную готовность к обмену данными в созданном IPSec-туннеле, механизм IKE (описанный в RFC 3706) позволяет контролировать наличие трафика от удалённого узла туннеля, и в случае его отсутствия на протяжении установленного времени, посылается hello- сообщение (в межсетевых экранах D-Link посылается сообщение "DPD-R-U-THERE"). При отсутствии ответа на это сообщение в течение определённого времени, в межсетевых экранах D-Link заданного настройками "DPD Expire Time", туннель демонтируется. Межсетевые экраны D-Link после этого, используя настройки "DPD Keep Time" ( рис. 6.18 ), автоматически пытаются восстановить туннель.
Протокол NAT Traversal
IPsec-трафик может маршрутизироваться по тем же правилам, что и остальные IP-протоколы, но так как маршрутизатор не всегда может извлечь информацию, характерную для протоколов транспортного уровня, то прохождение IPsec через NAT-шлюзы невозможно. Как упоминалось ранее, для решения этой проблемы IETF определила способ инкапсуляции ESP в UDP, получивший название NAT-T (NAT Traversal).
Протокол NAT Traversal инкапсулирует трафик IPSec и одновременно создает пакеты UDP, которые NAT корректно пересылает. Для этого NAT-T помещает дополнительный заголовок UDP перед пакетом IPSec, чтобы он во всей сети обрабатывался как обычный пакет UDP и хост получателя не проводил никаких проверок целостности. После поступления пакета по месту назначения заголовок UDP удаляется, и пакет данных продолжает свой дальнейший путь как инкапсулированный пакет IPSec. Таким образом, с помощью механизма NAT-T возможно установление связи между клиентами IPSec в защищённых сетях и общедоступными хостами IPSec через межсетевые экраны.
При настройке межсетевых экранов D-Link в устройстве-получателе нужно отметить два пункта:
в полях Remote Network и Remote Endpoint указать сеть и IP-адрес удаленного устройства-отправителя. Необходимо разрешить преобразование IP-адреса инициатора (отправителя) с помощью технологии NAT (рисунок 3.48).
при использовании общих ключей с несколькими туннелями, подключенными к одному удаленному межсетевому экрану, которые были преобразованы с помощью NAT в один и тот же адрес, важно убедиться в том, что Local ID является уникальным для каждого туннеля.
Local ID может быть одним из:
Auto – в качестве локального идентификатора используется IP-адрес интерфейса исходящего трафика.
IP – IP-адрес WAN-порта удаленного межсетевого экрана
DNS – DNS-адрес
Понятие частных виртуальных сетей, сокращенно обозначаемых как VPN (от английского появилось в компьютерных технологиях относительно недавно. Создание подключения такого типа позволило объединять компьютерные терминалы и мобильные устройства в виртуальные сети без привычных проводов, причем вне зависимости от места дислокации конкретного терминала. Сейчас рассмотрим вопрос о том, как работает VPN-соединение, а заодно приведем некоторые рекомендации по настройке таких сетей и сопутствующих клиентских программ.
Что такое VPN?
Как уже понятно, VPN представляет собой виртуальную частную сеть с несколькими подключенными к ней устройствами. Обольщаться не стоит - подключить десятка два-три одновременно работающих компьютерных терминалов (как это можно сделать в «локалке») обычно не получается. На это есть свои ограничения в настройке сети или даже просто в пропускной способности маршрутизатора, отвечающего за присвоение IP-адресов и
Впрочем, идея, изначально заложенная в технологии соединения, не нова. Ее пытались обосновать достаточно давно. И многие современные пользователи компьютерных сетей себе даже не представляют того, что они об этом знали всю жизнь, но просто не пытались вникнуть в суть вопроса.
Как работает VPN-соединение: основные принципы и технологии
Для лучшего понимания приведем самый простой пример, который известен любому современному человеку. Взять хотя бы радио. Ведь, по сути, оно представляет собой передающее устройство (транслятор), посреднический агрегат (ретранслятор), отвечающий за передачу и распределение сигнала, и принимающее устройство (приемник).
Другое дело, что сигнал транслируется абсолютно всем потребителям, а виртуальная сеть работает избранно, объединяя в одну сеть только определенные устройства. Заметьте, ни в первом, ни во втором случае провода для подключения передающих и принимающих устройств, осуществляющих обмен данными между собой, не требуются.
Но и тут есть свои тонкости. Дело в том, что изначально радиосигнал являлся незащищенным, то есть его может принять любой радиолюбитель с работающим прибором на соответствующей частоте. Как работает VPN? Да точно так же. Только в данном случае роль ретранслятора играет маршрутизатор (роутер или ADSL-модем), а роль приемника - стационарный компьютерный терминал, ноутбук или мобильное устройство, имеющее в своем оснащении специальный модуль беспроводного подключения (Wi-Fi).
При всем этом данные, исходящие из источника, изначально шифруются, а только потом при помощи специального дешифратора воспроизводятся на конкретном устройстве. Такой принцип связи через VPN называется туннельным. И этому принципу в наибольшей степени соответствует мобильная связь, когда перенаправление происходит на конкретного абонента.
Туннелирование локальных виртуальных сетей
Разберемся в том, как работает VPN в режиме туннелирования. По сути своей, оно предполагает создание некой прямой, скажем, от точки «A» до точки «B», когда при передаче данных из центрального источника (роутера с подключением сервера) определение всех сетевых устройств производится автоматически по заранее заданной конфигурации.
Иными словами, создается туннель с кодированием при отправке данных и декодированием при приеме. Получается, что никакой другой юзер, попытавшийся перехватить данные такого типа в процессе передачи, расшифровать их не сможет.
Средства реализации
Одними из самых мощных инструментов такого рода подключений и заодно обеспечения безопасности являются системы компании Cisco. Правда, у некоторых неопытных админов возникает вопрос о том, почему не работает VPN-Cisco-оборудование.
Связано это в первую очередь только с неправильной настройкой и устанавливаемыми драйверами маршрутизаторов типа D-Link или ZyXEL, которые требуют тонкой настройки только по причине того, что оснащаются встроенными брэндмауэрами.
Кроме того, следует обратить внимание и на схемы подключения. Их может быть две: route-to-route или remote access. В первом случае речь идет об объединении нескольких распределяющих устройств, а во втором - об управлении подключением или передачей данных с помощью удаленного доступа.
Протоколы доступа
Что касается протоколов, сегодня в основном используются средства конфигурации на уровне PCP/IP, хотя внутренние протоколы для VPN могут различаться.
Перестал работать VPN? Следует посмотреть на некоторые скрытые параметры. Так, например, основанные на технологии TCP дополнительные протоколы PPP и PPTP все равно относятся к стекам протоколов TCP/IP, но для соединения, скажем, в случае использования PPTP необходимо использовать два IP-адреса вместо положенного одного. Однако в любом случае туннелирование предполагает передачу данных, заключенных во внутренних протоколах типа IPX или NetBEUI, и все они снабжаются специальными заголовками на основе PPP для беспрепятственной передачи данных соответствующему сетевому драйверу.
Аппаратные устройства
Теперь посмотрим на ситуацию, когда возникает вопрос о том, почему не работает VPN. То, что проблема может быть связана с некорректной настройкой оборудования, понятно. Но может проявиться и другая ситуация.
Стоит обратить внимание на сами маршрутизаторы, которые осуществляют контроль подключения. Как уже говорилось выше, следует использовать только устройства, подходящие по параметрам подключения.
Например, маршрутизаторы вроде DI-808HV или DI-804HV способны обеспечить подключение до сорока устройств одновременно. Что касается оборудования ZyXEL, во многих случаях оно может работать даже через встроенную сетевую операционную систему ZyNOS, но только с использованием режима командной строки через протокол Telnet. Такой подход позволяет конфигурировать любые устройства с передачей данных на три сети в общей среде Ethernet с передачей IP-трафика, а также использовать уникальную технологию Any-IP, предназначенную для задействования стандартной таблицы маршрутизаторов с перенаправляемым трафиком в качестве шлюза для систем, которые изначально были сконфигурированы для работы в других подсетях.
Что делать, если не работает VPN (Windows 10 и ниже)?
Самое первое и главное условие - соответствие выходных и входных ключей (Pre-shared Keys). Они должны быть одинаковыми на обоих концах туннеля. Тут же стоит обратить внимание и на алгоритмы криптографического шифрования (IKE или Manual) с наличием функции аутентификации или без нее.
К примеру, тот же протокол AH (в английском варианте - Authentication Header) может обеспечить всего лишь авторизацию без возможности применения шифрования.
VPN-клиенты и их настройка
Что касается VPN-клиентов, то и здесь не все просто. Большинство программ, основанных на таких технологиях, используют стандартные методы настройки. Однако тут есть свои подводные камни.
Проблема заключается в том, что как ни устанавливай клиент, при выключенной службе в самой «операционке» ничего путного из этого не выйдет. Именно поэтому сначла нужно задействовать эти параметры в Windows, потом включить их на маршрутизаторе (роутере), а только после приступать к настройке самого клиента.
В самой системе придется создать новое подключение, а не использовать уже имеющееся. На этом останавливаться не будем, поскольку процедура стандартная, но вот на самом роутере придется зайти в дополнительные настройки (чаще всего они расположены в меню WLAN Connection Type) и активировать все то, что связано с VPN-сервером.
Стоит отметить еще и тот факт, что сам придется устанавливать в систему в качестве сопутствующей программы. Зато потом его можно будет использовать даже без ручной настройки, попросту выбрав ближайшую дислокацию.
Одним из самых востребованных и наиболее простых в использовании можно назвать VPN клиент-сервер под названием SecurityKISS. Устанавливается программа зато потом даже в настройки заходить не нужно, чтобы обеспечить нормальную связь для всех устройств, подключенных к раздающему.
Случается, что достаточно известный и популярный пакет Kerio VPN Client не работает. Тут придется обратить внимание не только на или самой «операционки», но и на параметры клиентской программы. Как правило, введение верных параметров позволяет избавиться от проблемы. В крайнем случае придется проверить настройки основного подключения и используемых протоколов TCP/IP (v4/v6).
Что в итоге?
Мы рассмотрели, как работает VPN. В принципе, ничего сложного в самом подключении ли создании сетей такого типа нет. Основные трудности заключаются в настройке специфичного оборудования и установке его параметров, которые, к сожалению, многие пользователи упускают из виду, полагаясь на то, что весь процесс будет сведен к автоматизму.
С другой стороны, мы сейчас больше занимались вопросами, связанными с техникой работы самих виртуальных сетей VPN, так что настраивать оборудование, устанавливать драйверы устройств и т. д. придется с помощью отдельных инструкций и рекомендаций.
Топливный элемент – это электрохимическое устройство, подобное гальваническому элементу, но отличающееся от него тем, что вещества для электрохимической реакции подаются в него извне - в отличие от ограниченного количества энергии, запасенного в гальваническом элементе или аккумуляторе.
Рис. 1. Некоторые топливные элементы
Топливные элементы осуществляют превращение химической энергии топлива в электричество, минуя малоэффективные процессы горения, идущие с большими потерями. Они в результате химической реакции преобразовывают водород и кислород в электричество. В результате этого процесса образуется вода и выделяется большое количество теплоты. Топливный элемент очень похож на аккумулятор, который можно зарядить и затем использовать накопленную электрическую энергию. Изобретателем топливного элемента считают Вильяма Р. Грува, который изобрел его еще в 1839 году. В этом топливном элементе в качестве электролита использовался раствор серной кислоты, а в качестве топлива - водород, который соединялся с кислородом в среде окислителя. До недавнего времени топливные элементы использовались только в лабораториях и на космических аппаратах.
Рис. 2.
В отличие от других генераторов электроэнергии, таких как двигатели внутреннего сгорания или турбины, работающие на газе, угле, мазуте и пр., топливные элементы не сжигают топливо. Это означает отсутствие шумных роторов высокого давления, громкого шума при выхлопе, вибраций. Топливные элементы вырабатывают электричество путем бесшумной электрохимической реакции. Другой особенностью топливных элементов является то, что они преобразуют химическую энергию топлива напрямую в электричество, теплоту и воду.
Топливные элементы высокоэффективны и не производят большого количества парниковых газов, таких как углекислый газ, метан и оксид азота. Единственным продуктом выброса при работе топливных элементов являются вода в виде пара и небольшое количество углекислого газа, который вообще не выделяется, если в качестве топлива используется чистый водород. Топливные элементы собираются в сборки, а затем в отдельные функциональные модули.
Топливные элементы не имеют движущихся частей (по крайней мере, внутри самого элемента), и поэтому они не подчиняются закону Карно. То есть они будут иметь больший, чем 50%, КПД и особенно эффективны при малых нагрузках. Таким образом, автомобили с топливными элементами могут стать (и уже доказали это) более экономичными, чем обычные автомобили в реальных условиях движения.
Топливный элемент обеспечивает выработку электрического тока постоянного напряжения, который может использоваться для привода в действие электродвигателя, приборов системы освещения и других электрических систем в автомобиле.
Есть несколько типов топливных элементов, различающихся используемыми химическими процессами. Топливные элементы обычно классифицируются по типу используемого в них электролита.
Некоторые типы топливных элементов являются перспективными для применения их в качестве силовых установок электростанций, а другие - для портативных устройств или для привода автомобилей.
1. Щелочные топливные элементы (ЩТЭ)
Щелочной топливный элемент - это один из самых первых разработанных элементов. Щелочные топливные элементы (ЩТЭ) – одна из наиболее изученных технологий, используемая с середины 60-х годов ХХ века агентством НАСА в программах «Аполлон» и «Спейс Шаттл». На борту этих космических кораблей топливные элементы производят электрическую энергию и питьевую воду.
Рис. 3.
Щелочные топливные элементы – одни из самых эффективных элементов, используемых для генерации электричества, эффективность выработки электроэнергии доходит до 70%.
В щелочных топливных элементах используется электролит, то есть водный раствор гидроксида калия, содержащийся в пористой стабилизированной матрице. Концентрация гидроксида калия может меняться в зависимости от рабочей температуры топливного элемента, диапазон которой варьируется от 65°С до 220°С. Носителем заряда в ЩТЭ является гидроксильный ион (ОН-), движущийся от катода к аноду, где он вступает в реакцию с водородом, производя воду и электроны. Вода, полученная на аноде, движется обратно к катоду, снова генерируя там гидроксильные ионы. В результате этого ряда реакций, проходящих в топливном элементе, производится электричество и, как побочный продукт, теплоту:
Реакция на аноде: 2H2 + 4OH- => 4H2O + 4e
Реакция на катоде: O2 + 2H2O + 4e- => 4OH
Общая реакция системы: 2H2 + O2 => 2H2O
Достоинством ЩТЭ является то, что эти топливные элементы - самые дешевые в производстве, поскольку катализатором, который необходим на электродах, может быть любое из веществ, более дешевых, чем те, что используют в качестве катализаторов для других топливных элементов. Кроме того, ЩТЭ работают при относительно низкой температуре и являются одними из самых эффективных.
Одна из характерных особенностей ЩТЭ – высокая чувствительность к CO2, который может содержаться в топливе или воздухе. CO2 вступает в реакцию с электролитом, быстро отравляет его, и сильно снижает эффективность топливного элемента. Поэтому использование ЩТЭ ограничено закрытыми пространствами, такими как космические и подводные аппараты, они работают на чистом водороде и кислороде.
2. Топливные элементы на расплаве карбоната (РКТЭ)
Топливные элементы с расплавленным карбонатным электролитом являются высокотемпературными топливными элементами. Высокая рабочая температура позволяет непосредственно использовать природный газ без топливного процессора и топливного газа с низкой теплотворной способностью топлива производственных процессов и из других источников. Данный процесс разработан в середине 60-х годов ХХ века. С того времени была улучшена технология производства, рабочие показатели и надежность.
Рис. 4.
Работа РКТЭ отличается от других топливных элементов. Данные элементы используют электролит из смеси расплавленных карбонатных солей. В настоящее время применяется два типа смесей: карбонат лития и карбонат калия или карбонат лития и карбонат натрия. Для расплавки карбонатных солей и достижения высокой степени подвижности ионов в электролите, работа топливных элементов с расплавленным карбонатным электролитом происходит при высоких температурах (650°C). КПД варьируется в пределах 60-80%.
При нагреве до температуры 650°C соли становятся проводником для ионов карбоната (CO32-). Эти ионы проходят от катода на анод, где происходит объединение с водородом с образованием воды, диоксида углерода и свободных электронов. Данные электроны направляются по внешней электрической цепи обратно на катод, при этом генерируется электрический ток, а в качестве побочного продукта – теплота.
Реакция на аноде: CO32- + H2 => H2O + CO2 + 2e
Реакция на катоде: CO2 + 1/2O2 + 2e- => CO32-
Общая реакция элемента: H2(g) + 1/2O2(g) + CO2(катод) => H2O(g) + CO2(анод)
Высокие рабочие температуры топливных элементов с расплавленным карбонатным электролитом имеют определенные преимущества. Преимущество - возможность применять стандартные материалы (листовую нержавеющую сталь и никелевый катализатор на электродах). Побочную теплоту можно использовать для получения пара высокого давления. Высокие температуры реакции в электролите также имеют свои преимущества. Применение высоких температур требует большого времени для достижения оптимальных рабочих условий, при этом система медленнее реагирует на изменение расхода энергии. Данные характеристики позволяют использовать установки на топливных элементах с расплавленным карбонатным электролитом в условиях постоянной мощности. Высокие температуры препятствуют повреждению топливного элемента окисью углерода, «отравлению» и пр.
Топливные элементы с расплавленным карбонатным электролитом подходят для использования в больших стационарных установках. Промышленно выпускаются теплоэнергетические установки с выходной электрической мощностью 2,8 МВт. Разрабатываются установки с выходной мощностью до 100 МВт.
3. Топливные элементы на основе фосфорной кислоты (ФКТЭ)
Топливные элементы на основе фосфорной (ортофосфорной) кислоты стали первыми топливными элементами для коммерческого использования. Данный процесс был разработан в середине 60-х годов ХХ, испытания проводились с 70-х годов ХХ века. В итоге были увеличены стабильность и рабочие показатели и снижена стоимость.
Рис. 5.
Топливные элементы на основе фосфорной (ортофосфорной) кислоты используют электролит на основе ортофосфорной кислоты (H3PO4) с концентрацией до 100%. Ионная проводимость ортофосфорной кислоты является низкой при низких температурах, поэтому эти топливные элементы используются при температурах до 150-220 °C.
Носителем заряда в топливных элементах данного типа является водород (H+, протон). Схожий процесс происходит в топливных элементах с мембраной обмена протонов (МОПТЭ), в которых водород, подводимый к аноду, разделяется на протоны и электроны. Протоны проходят по электролиту и объединяются с кислородом, получаемым из воздуха, на катоде с образованием воды. Электроны направляются по внешней электрической цепи, при этом генерируется электрический ток. Ниже представлены реакции, в результате которых генерируется электрический ток и тепло.
Реакция на аноде: 2H2 => 4H+ + 4e
Реакция на катоде: O2(g) + 4H+ + 4e- => 2H2O
Общая реакция элемента: 2H2 + O2 => 2H2O
КПД топливных элементов на основе фосфорной (ортофосфорной) кислоты составляет более 40% при генерации электрической энергии. При комбинированном производстве тепловой и электрической энергии, общий КПД составляет около 85%. Помимо этого, учитывая рабочие температуры, побочную теплоту можно быть использовать для нагрева воды и генерации пара атмосферного давления.
Высокая производительность теплоэнергетических установок на топливных элементах на основе фосфорной (ортофосфорной) кислоты при комбинированном производстве тепловой и электрической энергии является одним из преимуществ данного вида топливных элементов. В установках используется окись углерода с концентрацией около 1,5%, что значительно расширяет возможность выбора топлива. Простая конструкция, низкая степень летучести электролита и повышенная стабильность - также преимущества таких топливных элементов.
Промышленно выпускаются теплоэнергетические установки с выходной электрической мощностью до 400 кВт. Установки мощностью 11 МВт прошли соответствующие испытания. Разрабатываются установки с выходной мощностью до 100 МВт.
4. Топливные элементы с мембраной обмена протонов (МОПТЭ)
Топливные элементы с мембраной обмена протонов считаются самым лучшим типом топливных элементов для генерации питания транспортных средств, которое способно заменить бензиновые и дизельные двигатели внутреннего сгорания. Эти топливные элементы впервые использованы НАСА для программы «Джемини». Разработаны и показаны установки на МОПТЭ мощностью от 1Вт до 2 кВт.
Рис. 6.
Электролитом в этих топливных элементах является твердая полимерная мембрана (тонкая пластмассовая пленка). При пропитывании водой этот полимер пропускает протоны, но не проводит электроны.
Топливом является водород, а носителем заряда – ион водорода (протон). На аноде молекула водорода разделяется на ион водорода (протон) и электроны. Ионы водорода проходят сквозь электролит к катоду, а электроны перемещаются по внешнему кругу и производят электрическую энергию. Кислород, который берется из воздуха, подается к катоду и соединяется с электронами и ионами водорода, образуя воду. На электродах происходят следующие реакции: Реакция на аноде: 2H2 + 4OH- => 4H2O + 4eРеакция на катоде: O2 + 2H2O + 4e- => 4OHОбщая реакция элемента: 2H2 + O2 => 2H2O По сравнению с другими типами топливных элементов, топливные элементы с мембраной обмена протонов производят больше энергии при заданном объеме или весе топливного элемента. Эта особенность позволяет им быть компактными и легкими. К тому же рабочая температура – менее 100°C, что позволяет быстро начать эксплуатацию. Эти характеристики, а также возможность быстро изменить выход энергии – лишь некоторые, делающие эти топливные элементы первым кандидатом для использования в транспортных средствах.
Другое преимущество в том, что электролитом является твердое, а не жидкое вещество. Удержать газы на катоде и аноде легче с помощью твердого электролита, поэтому такие топливные элементы более дешевы при производстве. При применении твердого электролита нет таких трудностей, как ориентация, и меньше проблем из-за появления коррозии, что повышает долговечность элемента и его компонентов.
Рис. 7.
5. Твердооксидные топливные элементы (ТОТЭ)
Твердооксидные топливные элементы являются топливными элементами с самой высокой рабочей температурой. Рабочая температура может варьироваться от 600°C до 1000°C, что позволяет использовать различные типы топлива без специальной предварительной обработки. Для работы с такими высокими температурами используемый электролит представляет собой тонкий твердый оксид металла на керамической основе, часто сплав иттрия и циркония, который является проводником ионов кислорода (О2-). Технология использования твердооксидных топливных элементов развивается с конца 50-х годов ХХ века и имеет две конфигурации: плоскостную и трубчатую.
Твердый электролит обеспечивает герметичный переход газа от одного электрода к другому, в то время как жидкие электролиты расположены в пористой подложке. Носителем заряда в топливных элементах данного типа является ион кислорода (О2-). На катоде происходит разделение молекул кислорода из воздуха на ион кислорода и четыре электрона. Ионы кислорода проходят по электролиту и объединяются с водородом, при этом образуется четыре свободных электрона. Электроны направляются по внешней электрической цепи, при этом генерируется электрический ток и побочная теплота.
Рис. 8.
Реакция на аноде: 2H2 + 2O2- => 2H2O + 4e
Реакция на катоде: O2 + 4e- => 2O2-
Общая реакция элемента: 2H2 + O2 => 2H2O
КПД производства электрической энергии - самый высокий из всех топливных элементов – около 60%. Помимо этого, высокие рабочие температуры позволяют осуществлять комбинированное производство тепловой и электрической энергии для генерации пара высокого давления. Комбинирование высокотемпературного топливного элемента с турбиной позволяет создать гибридный топливный элемент для повышения КПД генерирования электрической энергии до 70%.
Твердооксидные топливные элементы работают при очень высоких температурах (600°C-1000°C), в результате чего требуется значительное время для достижения оптимальных рабочих условий, при этом система медленнее реагирует на изменение расхода энергии. При таких высоких рабочих температурах не требуется преобразователь для восстановления водорода из топлива, что позволяет теплоэнергетической установке работать с относительно нечистым топливом, полученным в результате газификации угля или отработанных газов и т.п. Также данный топливный элемент превосходно подходит для работы с высокой мощностью, включая промышленные и крупные центральные электростанции. Промышленно выпускаются модули с выходной электрической мощностью 100 кВт.
6. Топливные элементы с прямым окислением метанола (ПОМТЭ)
Топливные элементы с прямым окислением метанола успешно применяют в области питания мобильных телефонов, ноутбуков, а также для создания переносных источников электроэнергии, на что и нацелено будущее применение таких элементов.
Устройство топливных элементов с прямым окислением метанола схоже с устройством топливных элементов с мембраной обмена протонов (МОПТЭ), т.е. в качестве электролита используется полимер, а в качестве носителя заряда – ион водорода (протон). Но жидкий метанол (CH3OH) окисляется при наличии воды на аноде с выделением СО2, ионов водорода и электронов, которые направляются по внешней электрической цепи, при этом генерируется электрический ток. Ионы водорода проходят по электролиту и вступает в реакцию с кислородом из воздуха и электронами, поступающих с внешней цепи, с образованием воды на аноде.
Реакция на аноде: CH3OH + H2O => CO2 + 6H+ + 6eРеакция на катоде: 3/2O2 + 6H+ + 6e- => 3H2O Общая реакция элемента: CH3OH + 3/2O2 => CO2 + 2H2O Разработка таких топливных элементов велась с начала90-х годов ХХ века и были увеличены их удельная мощность и КПД до 40%.
Были проведены испытания данных элементов в температурном диапазоне 50-120°C. Из-за низких рабочих температур и отсутствия необходимости использовать преобразователь такие топливные элементы являются лучшим кандидатом для применения как в мобильных телефонах и других товарах широкого потребления, так и в двигателях автомобилей. Их достоинство также - небольшие габариты.
7. Полимерные электролитные топливные элементы (ПЭТЭ)
В случае полимерных электролитных топливных элементов полимерная мембрана состоит из полимерных волокон с водными областями, в которых существует проводимость ионов воды H2O+ (протон, красный) присоединяется к молекуле воды. Молекулы воды представляют проблему изза медленного ионного обмена. Поэтому требуется высокая концентрация воды как в топливе, так и на выпускных электродах, что ограничивает рабочую температуру 100°С.
8. Твердокислотные топливные элементы (ТКТЭ)
В твердокислотных топливных элементах электролит (CsHSO4) не содержит воды. Рабочая температура поэтому составляет 100-300°С. Вращение оксианионов SO42-позволяет протонам (красный) перемещаться так, как показано на рисунке. Как правило, твердокислотный топливный элемент представляет собой бутерброд, в котором очень тонкий слой твердокислотного компаунда располагается между двумя плотно сжатыми электродами, чтобы обеспечить хороший контакт. При нагреве органический компонент испаряется, выходя через поры в электродах, сохраняя способность многочисленных контактов между топливом (или кислородом на другом конце элементы), электролитом и электродами.
Рис. 9.
9. Сравнение важнейших характеристик топливных элементов
Тип топливного элемента | Рабочая температура | Эффективность выработки электроэнергии | Тип топлива | Область применения |
Средние и большие установки |
||||
Чистый водород | установки |
|||
Чистый водород | Малые установки |
|||
Большинство видов углеводородного топлива | Малые, средние и большие установки |
|||
Переносные установки |
||||
Чистый водород | Космические исследова |
|||
Чистый водород | Малые установки |
Рис. 10.
10. Использование топливных элементов в автомобилях
Рис. 11.
Рис. 12.
