The diploma thesis focuses on design of university firewall on Cisco platform. The design deals with important functionalities, which are used in the current solution. These include routing, network address translation, access control lists, VPN. The thesis furher deals with dynamic insertion rules, which are generated based on traffic analysis by Flowmon probe and its ADS module. The new design is implemented in a testing environment and its funcionality is verified. The thesis will serve like feasibility study for final implementation in the production MENDELU network.

Background. The pandemic outbreak commenced a large migration of employees from all kinds of industries from previously working in an industrial or office environment to working from home. The remote migration allowed many kinds of work to continue as usual even during a pandemic. A common tool to use when working remotely is a Virtual Private Network (VPN) that allows remote workers to connect to a Local Area Network (LAN) at the company office. Which further grants the remote worker secure access to organizations resources and services. This remote work setup has increased the complexity of the company networks and therefore also magnified the attack surface for cyber threat actors. Objectives. The objective of this thesis involves studying how the VPN security landscape looks like after the pandemic outbreak. Answering questions related to how the attacks on VPNs changed in numbers, which techniques and tactics the adversaries use against VPN security systems and then, for the thesis to “bite itself in the tail”, investigate countermeasures that can further improve the VPN security. Methods. One research method is used in two different fashions to satisfy the objectives. The research method is a Systematic Literature Review (SLR). The first SLR involves research on secondary data reports, published by cyber companies, cyber experts, or cyber departments of large IT organizations. The second SLR involves qualitative research by reading research papers related to how VPN security can be improved.  Results. In direct consequence of the remote work migration the number of VPN attacks have increased. The vulnerabilities found in VPN systems have been used extensively where even national cybersecurity organizations have urged companies to patch systems. Advanced Persistent Threat (APT) groups have leveraged the published vulnerabilities by exploiting unpatched systems and established persistent and defense-evasive access to networks that remote workers connect to with VPNs. To counter these threats and to harden the VPN systems and private networks, there are recommendations involving countermeasures such as enforced Multi Factor Authentication (MFA) and adding multiple defense layers in private networks. Conclusions. This thesis concludes that the covid-19 pandemic outbreak was the root cause to the huge remote work transition which in turn caught 99% of all organizations and home networks off guard when it comes to VPN security for remote workers. This caused huge opportunities for threat actors and state sponsored adversaries which is the main reason for the increased number of cyberattacks post covid-19 outbreak. Cyber adversaries exploited every vulnerability, bug, and misconfiguration they could find by conducting tactics and techniques like phishing, ransomware, exploiting VPN vulnerabilities and performing DDoS-attacks to the best of their abilities. This caused huge damage to organizations, governments, healthcare, and militaries all around the world. In order to increase VPN security for remote workers, small, medium or big organizations, we have developed a new VPN hardening framework.

VPN-teknologin är känd för att skydda användarens personliga integritet och säkerhet online. Genom att etablera en krypterad tunnel mellan användare och VPN-tjänstens server möjliggörs flera funktioner. Dessa funktioner kan inkludera anonym surfning genom att maskera användarens IP-adress och geografiska plats, eller tillhandahålla en säker anslutning över ett offentligt nätverk. Den systematiska litteraturstudien undersöker problemområdet inom VPN-lösningaroch försöker sammanställa relevant forskning. Två databaser användes för att hitta artiklar med hjälp av en sökterm, där 31 artiklar accepterades efter granskning. Tematisk kodning användes och fyra huvudområden identifierades: Sårbarhet i protokoll, hårdvara, mjukvara och kryptering och autentisering. Analysen visar bland annat på att det finns problem inom VPN-tekniken, speciellt inom området protokoll. Enkätstudien undersökte svenska studenters vanor kring VPN användande och hur de tror att det påverkar deras säkerhet online. Enkätstudien hade 83 deltagare, vilket gjorde att urvalet inte var representativt för den valda populationen. Enkätstudien visade att deltagarna använde sig av VPN-tjänster för att få tillgång till institutionellt innehåll, platslåst media, skydda sin personliga integritet och öka sin säkerhet online. Majoriteten av deltagarna svarade att en VPN-tjänst garanterar maskering av IP-adress och många trodde även att det skyddar mot spårning. Resultaten från de två metoderna visar att det finns ett behov av att öka användarnas medvetenhet kring VPN-teknologins för- och nackdelar samt de problem som finns. / VPN technology is known for safe guarding users' personal privacy and security online. By establishing an encrypted tunnel between users and the VPN service's server, several functions are enabled. These functions can include anonymous browsing by masking the user's IP address and geographical location, as well as providing a secure connection over a public network. The systematic literature review examines the problem domain within VPN solutions and aims to compile relevant research. Two databases were used in order to find articles using a search term, resulting in the acceptance of 31 articles after the review process. Thematic coding was applied, identifying four main areas: protocol vulnerabilities, hardware, software, and encryption and authentication. The analysis indicates the presence of issues within VPN technology, particularly in the area of protocols.The survey study investigated Swedish students' habits regarding VPN usage and their perception of its impact on their online security. The survey study had 83 participants, which means the sample was not representative of the chosen population. The survey study revealed that participants used VPN services to access institutional content, geographically restricted media, protect their personal privacy, and enhance their online security. The majority of participants responded that a VPN service guarantees IP address masking, and many believed it provides protection against tracking. The results from the two methods indicate a need to enhance users' awareness regarding the advantages and disadvantages of VPN technology, as well as the existing issues.

La sécurisation inhérente aux échanges dans les environnements dynamiques et distribués, dépourvus d’une coordination centrale et dont la topologie change perpétuellement, est un défi majeur. Dans le cadre de cette thèse, on se propose en effet de définir une infrastructure de sécurité adaptée aux contraintes des systèmes P2P actuels. Le premier volet de nos travaux consiste à proposer un intergiciel, appelé SEMOS, qui gère des sessions sécurisées et mobiles. SEMOS permet en effet de maintenir les sessions sécurisées actives et ce, même lorsque la configuration réseau change ou un dysfonctionnement se produit. Cette faculté d’itinérance est rendue possible par la définition d’un nouveau mécanisme de découplage afin de cloisonner l’espace d’adressage de l’espace de nommage ; le nouvel espace de nommage repose alors sur les tables de hachage distribuées (DHT). Le deuxième volet définit un mécanisme distribué et générique d’échange de clés adapté à l’architecture P2P. Basé sur les chemins disjoints et l’échange de bout en bout, le procédé de gestion des clés proposé est constitué d’une combinaison du protocole Diffie-Hellman et du schéma à seuil(k, n) de Shamir. D’une part, l’utilisation des chemins disjoints dans le routage des sous-clés compense l’absence de l’authentification certifiée, par une tierce partie, consubstantielle au protocole Diffie-Hellman et réduit, dans la foulée, sa vulnérabilité aux attaques par interception. D’autre part, l’extension de l’algorithme Diffie-Hellman par ajout du schéma à seuil (k, n) renforce substantiellement sa robustesse notamment dans la segmentation des clés et/ou en cas de défaillances accidentelles ou délibérées dans le routage des sous-clés. Enfin, les sessions sécurisées mobiles sont évaluées dans un réseau virtuel et mobile et la gestion des clés est simulée dans un environnement générant des topologies P2P aléatoires. / Securing communications in distributed dynamic environments, that lack a central coordination point and whose topology changes constantly, is a major challenge.We tackle this challenge of today’s P2P systems. In this thesis, we propose to define a security infrastructure that is suitable to the constraints and issues of P2P systems. The first part of this document presents the design of SEMOS, our middleware solution for managing and securing mobile sessions. SEMOS ensures that communication sessions are secure and remain active despite the possible disconnections that can occur when network configurations change or a malfunction arises. This roaming capability is implemented via the definition of a new addressing space in order to split up addresses for network entities with their names ; the new naming space is then based on distributed hash tables(DHT). The second part of the document presents a generic and distributed mechanism for a key exchange method befitting to P2P architectures. Building on disjoint paths andend-to-end exchange, the proposed key management protocol consists of a combination of the Diffie-Hellman algorithm and the Shamir’s (k, n) threshold scheme. On the onehand, the use of disjoint paths to route subkeys offsets the absence of the third party’s certified consubstantial to Diffie-Hellman and reduces, at the same time, its vulnerability to interception attacks. On the other hand, the extension of the Diffie-Hellman algorithm by adding the threshold (k, n) scheme substantially increases its robustness, in particular in key splitting and / or in the case of accidental or intentional subkeys routing failures. Finally, we rely on a virtual mobile network to assess the setup of secure mobile sessions.The key management mechanism is then evaluated in an environment with randomly generated P2P topologies.

En la presente tesina se realiza una descripción de la tecnología de Conmutación Multi-Protocolo mediante etiquetas usando una red privada virtual para la comunicación de una entidad empresarial. Se realizó una descripción de la tecnología MPLS con VPN mostrando sus cualidades, ventajas y desventajas, se promueve la esta tecnología a la red de comunicación de datos de la empresa tenga un performance y confidencialidad en los datos transmitidos, diseñando un esquema así como la infraestructura que podría ser usada en esta implementación, con características modulares las cuales permitirá a la empresa ir creciendo a la medida de que su tráfico o demanda de transporte vaya aumentando al igual que la integración de las demás extensiones se amerita el caso; para el diseño nos ayudaremos del programa de simulación “GNS3” el mismo que se hará un bosquejo de la configuración y modelo para la transmisión de sucursal a matriz y viceversa. This thesis is a description of MPLS VPN using a communication from the business entity. Was a description of MPLS VPN showing his qualities, advantages and disadvantages, promotes the introduction of this technology to the data communication network of the company to have a performance traffic and confidentiality of the data transmitted, designing scheme as well as the infrastructure that could be used in this implementation, modular features which allow the company to grow to the extent that their traffic and transport demand will increase as the integration of other extensions are merited case, to help us design simulation program "GNS3" the same to be made a sketch of the model configuration and transmission branch to parent and vice versa.

There are many disadvantages (cost, lack of security, difficult to manage large networks, support to non-sensitive applications, delay, etc.) associated with traditional networking, IP network, ATM and Frame relay networking. To solve this, an MPLS-based VPN networking is introduced that can work with existing deployed backbones and allow organizations to interconnect the dispersed sites and remote workers through secure links by using public internet. In this thesis, we are trying to build a better understanding to MPLS VPN and we researched to analyze the behavior of OSPF and RIPv2 based MPLS-BGP VPN architectures by using intense VoIP traffic. Then it comes with an OPNET simulation process and scenarios for MPLS-BGP VPN. At last, the conclusion is made: OSPF based MPLS-BGP VPN architecture has lower VPN delay, background traffic Flow delay, LSP delay and point-to-point Queuing delay, and has better performance in VPN load and VPN throughput that can acquire customer satisfaction and confidence as compared to the RIPv2 based MPLS-BGP VPN architecture. / Det finns många nackdelar (kostnader, bristande säkerhet, svåra att hantera stora nätverk, stöd till icke-känsliga tillämpningar, delay, etc.) i samband med traditionella nätverk, IP-nätverk, ATM och Frame Relay nätverk. För att lösa detta, är ett MPLS-baserat VPN nätverk införs som kan arbeta med befintliga sättas samman och låter organisationer för att förbinda de spridda platser och distansarbetare genom säkra länkar genom att använda publika Internet. I denna avhandling försöker vi bygga en bättre förståelse för MPLS VPN och vi forskat för att analysera beteendet hos OSPF och RIPv2 baserad MPLS-VPN BGP arkitekturer med hjälp av intensiv VoIP-trafik. Då kommer med en OPNET simulering process och scenarier för MPLS-BGP VPN. Äntligen är den slutsatsen: OSPF bygger MPLS-VPN BGP arkitektur har lägre VPN dröjsmål bakgrund trafikflödet dröjsmål, LSP dröjsmål och punkt-till-punkt Queuing dröjsmål, och har bättre prestanda i VPN-belastning och VPN som kan få kunden tillfredsställelse och förtroende jämfört med RIPv2 baserad MPLS-VPN BGP arkitektur.

Att försörja sig som streamingpersonlighet på Internet är något som vuxit explosionsartatpå senare tid. Detta leder också till att man blir ett tydligt mål för attacker. Detta arbetehar belyst den problematik som DDoS-attacker skapar när de riktas mot hemanvändare.Olika lösningar på detta problem gås igenom och analyseras. Tester har utförts för attbelysa enkelheten i attacken samt hur den påverkar hemanvändares hårdvara. Testernahar resulterat i att VPN är en kompetent lösning men innehåller även nackdelar. / To make a living as streaming personality on the Internet is something that has grownexponentially in recent times. This also leads to one becoming a clear target for attacks.This work has highlighted the problems that DDoS-attacks create when they are aimedat home users. Various solutions to this problem are reviewed and analyzed. Tests havebeen conducted to illustrate the simplicity of the attack and how it affects home usershardware. The result of the tests has shown that VPN is a competent solution but also hasits disadvantages.

The object of this thesis is to solve a problem with MAN net malfunction. MAN net worked without bigger problems. At certain moment it lost the ability to ensure data transmission. The thesis deals with the transmission technology analysis, it´s security and analysis of possible causes of MAN net malfunction. The result is a proposal of arrangements leading towards removal of the malfunction.

Long-Term Evolution (LTE) is the latest development in wide area cellular mobile network technology. In contrast with the earlier generations of circuit-switched mobile networks, LTE is all-IP packet-switched network. Both voice and data are sent inside IP packets. Voice over IP (VoIP) is used to provide voice service to LTE users. The speech frames are encapsulated into real-time protocol (RTP) packets and sent over the network. The underlying UDP and IP layers prepend their headers to this small RTP packet resulting in a relatively high overhead. The small size of the RTP packets containing voice/audio leads to an overhead problem as the protocol overhead is in addition to the large LTE frame overhead, thus wasting network resources. This master’s thesis project proposes to multiplex RTP and data packets at the user’s device as a solution to reduce the overhead. Moreover, the capability of modern user devices to switch between several interfaces (such as LTE and WLAN), is taken into account and the multiplexing of multiple traffic flows or a single traffic flow are studied in the case of a vertical handover. Performance and cost metrics are used to evaluate different potential demultiplexing points, and then the best possible demultiplexing point is identified. The results of this evaluation show that several demultiplexing points can be used based on the operator’s needs. The increased packet payload size increases the energy efficiency of LTE and may avoid the need of the UE to switch to WLAN to save power. In addition, to ensure high quality of service for VoIP traffic, the simultaneous use of multiple interfaces is efficient if the multiplexer is enabled. The multiplexing solution proposed by this thesis is also fully compatible with any virtual private network encapsulation protocol. / Long-Term Evolution (LTE) är den senaste tekniken inom mobil långdistanskommunikation. Jämfört med tidigare generationer av kretskopplade mobila nätverk, är LTE IP paketförmedlande nätverk. Både röstsamtal och datapaket skickas enkapsulerade i IP paket. Voice over IP (VoIP) används för att transportera röstsamtal över IP nätverket. Röstsekvenser enkapsuleras i Real Time Protocol (RTP) paket och skickas över nätverket. De underliggande lagerna som UDP och IP infogar sin huvudinformation i de små RTP paketen vilket gör att kommunikationen blir ooptimerad. De små RTP paketen som innehåller ljudinformation leder till att det blir ooptimerat tillsammans med LTE i och med att man lägger på huvudinformation för varje lager. I det här examensarbetet förslår vi att multiplexa RTP och datapaket tillsammans direkt i användarens enhet för att minska huvudinformationen. Dessutom diskuterar vi möjligheten att byta mellan olika kopplingar (som LTE och WLAN) samt att multiplexa flerfaldig eller singel trafik under en vertikal överlämning. Prestanda och kostnadsmätningar används för att evaluera olika potentiella sammankopplingspunkter, för att kunna ta reda på den bästa sammankopplingspunkten.  Resultatet av detta examensarbete visar på att flera sammankopplingspunkter kan användas beroende på operatörens behov. Den ökade storleken på nyttolasten ökar effektiviteten av LTE nätverken och minskar risken för att behöva byta UE:n till WLAN för att spara energi.  Utöver det ovannämnda kan simultan användning av olika kopplingar användas för att öka kvaliteten på VoIP trafik. Multplexlösningen som föreslås i det här examensarbete är dessutom fullt kompatibel med virtuella privata nätverksenkapsulerande protokoll.

Wireless Local Area Networks (WLANs) based on 802.11 technology were initially conceived with the aim of providing wireless connectivity to client devices in limited areas, such as office buildings, homes, etc. or in places where wires are too expensive to be placed. This ‘anywhere’ connectivity is said to have improved worker’s productivity by allowing one to work flexibly from various places besides one’s desk. Currently we are witnessing the growth of both public and private networks based on WLAN technology. Such hotspots are usually limited to the network owner’s premises such as her office, campus, etc. This limits the total coverage area of this network. It is often not economically feasible for a network access provider to install Access Points at all places that a network user might go. This has become a problem for many network access providers; a sensible solution would be to collectively address the problem by entering into roaming agreements as is already done by most Wide Area Wireless Network providers. Such operator specific roaming agreements can provide nearly continuous coverage over a much wider area such as an entire city. One of the goals of this project was to study potential cost effective technical solutions that provide WLAN access to City of Stockholm’s network based on 802.11 technologies; including evaluation from different technical aspects (e.g., capacity enhancements, improvements in handover latency, etc). Proper deployment and management strategies were also evaluated. Technologies permitting differentiated services for users, enabling provisioning of Voice over Wireless Local Area Network (VoWLAN) services and other interactive services were studied. Technologies for authentication, authorization and accounting were studied. Additionally technical means of providing secure access to the wireless network were investigated. Evaluation of architectures that allow inter-operator roaming were made. Today’s corporate users are increasingly mobile and there is a need to provide secure access to corporate data to these mobile users. The coverage offered by WLAN networks even with large roaming agreements would still have coverage gaps which can be reduced by relying on the 3G networks which are being widely deployed. Virtual Private Network technologies are successfully used for providing secure remote access to data and Mobile IP technology provides application persistence to mobile users even while switching between networks (e.g., WLAN to 3G). There is a need for them to co-exist in order to provide secure, mobile access to data. Such secure mobile access could also be provided without relying on the above, standardised solutions. A goal of this master’s thesis was to evaluate the technical solutions to enable such secure, mobile access to data. Current products were evaluated and a suggestion of suitable products for the City of Stockholm was given. The above solutions together would provide the City of Stockholm with secure wireless network connectivity[.] / Trådlös Lokal Areal Nätverken (WLANs) baserat på 802.11 teknologien var i början uppfattade med det sikta med av skaffande trådlös anslutning till klienten anordningen i inlemmat områdena , sådan som kontor byggnad , hemmen etc. eller på platsen var tråden är alltför dyr till vara placerat. Den här ‘var som helst’ anslutning är sa till har förbättrat arbetaren produktiv vid tillåt en till verk böjlig från olika ställen for resten en’s skrivbord. Just nu vi er vittne växten av båda allmänhet och privat nätverken baserat på WLAN teknologien. Sådan hotspots är vanligtvis inlemmat till nätverken ägare lokalerna sådan som henne kontor, läger etc. Den här gränsen den räkna samman täckningen areal av de här nätverken. Den er ofta inte ekonomisk genomförbar till installera Tillträde Meningen i det hel tåt ställen så pass nätverken förbrukaren makt gå. Den här har bli ett problem för många nätverk skaffa; en förståndig lösande skulle bli till samlad adress problemet vid inlåtande in i att ströva avtalen så är redan gjort vid mest Vid Areal Trådlös Nätverken skaffa. Sådan operatör bestämd ströva avtalen kanna skaffa nästan kontinuerlig täckningen över en mycket vid areal sådan som en hel stor stad. En om målarna av det här projektet var till att studera potential kostnad effektiv teknisk lösandet så pass skaffa WLAN tillträde till Stor stad av Stockholm nätverken baserat på 802.11 teknologerna inklusive bedömningen från olik teknisk aspekterna (e.g., utrymme förstärkningarna , förbättringarna i handover latent tillstånd etc). Rätt spridandeen och företagsledning strategisk var också värderat ut. Teknologerna tillåt skilj tjänsten för förbrukaren, sättande i stånd till tillhandahållande av Röst över Trådlös Lokal Areal Nätverken (VoWLAN) tjänsten och annan interaktiv tjänsten var studier. Teknologerna för authentication, bemyndigandena och räkenskapen var studier. Ytterligare tekniskt medel av skaffande befästa tillträde till trådlös nätverken var undersöka. Bedömningen av arkitekturen så pass tillåta begrava - operatör ströva var gjord. Idag gemensam förbrukaren är alltmer rörlig och där er en behov till skaffa befästa tillträde till gemensam datan till de här rörlig förbrukaren. Täckningen erbjudande vid WLAN nätverken evn med stor ströva avtalen skulle stilla har täckningen öppning vilken kanna bli nedsatte vid användande den 3G nätverken vilken er vida spridde. Verklig Privat nätverk teknologerna ni är lyckosam använd för skaffande befästa avlägsen tillträde till datan och Rörlig IP teknologien skaffar applicering hårdnackenheten till rörlig förbrukaren jämn fördriva tiden kopplande emellan nätverken WLAN till 3G). Där er ett behov för dem till tillpass - finnas for att skaffa befästa, rörlig tillträde till datan. Sådan befästa rörlig tillträde kunde också bli försynt utan tillit till den över, standardiserat lösandet. En målet av den här övervinna teorin var till att bedöma den teknisk lösandet till möjliggöra sådan befästa, rörlig tillträde till daton. Ström produkten var värderat ut och en förslagen av passande produkten för staden av Stockholm var givit. Den över lösandet tillsammans skulle skaffa staden av Stockholm med befästa trådlös nätverken anslutning[.]