Wir zeigen Ihnen eine kostengünstige und sichere Möglichkeit, remote Mitarbeiter über VPN zu verbinden, ohne das Unternehmen in reputative oder finanzielle Risiken zu stürzen und keine zusätzlichen Probleme für die IT-Abteilung und die Unternehmensführung zu schaffen.
Mit der Entwicklung der IT ist es möglich geworden, remote Mitarbeiter für immer mehr Positionen zu gewinnen.
Früher waren unter den Fernarbeitern hauptsächlich Vertreter kreativer Berufe wie Designer und Texter anzutreffen, doch heute können auch Buchhalter, Juristen und viele andere Fachleute problemlos von zu Hause aus arbeiten und das Büro nur bei Bedarf aufsuchen.
Aber in jedem Fall ist es notwendig, die Arbeit über einen gesicherten Kanal zu organisieren.
Die einfachste Option. Wir richten VPN auf dem Server ein, der Mitarbeiter erhält einen Login, ein Passwort und ein Schlüsselzertifikat für das VPN sowie eine Anleitung zur Einrichtung des VPN-Clients auf seinem Computer. Und die IT-Abteilung sieht ihre Aufgabe als erledigt an.
Die Idee ist grundsätzlich nicht schlecht, allerdings gibt es einen entscheidenden Punkt: Der Mitarbeiter muss in der Lage sein, alles selbstständig zu konfigurieren. Bei einem qualifizierten Entwickler für Netzwerkanwendungen ist es sehr wahrscheinlich, dass er diese Aufgabe bewältigen kann.
Jedoch müssen Buchhalter, Künstler, Designer, technische Autoren, Architekten und viele andere Berufsgruppen nicht unbedingt das Wissen über die Feinheiten der VPN-Konfiguration haben. Entweder muss jemand sich remote verbinden und helfen, oder man muss persönlich vorbeikommen und alles vor Ort einrichten. Folglich, wenn etwas nicht mehr funktioniert, beispielsweise weil durch einen Benutzerprofil-Fehler die Einstellungen des Netzwerkclients verloren gegangen sind, muss alles von vorne wiederholt werden.
Einige Unternehmen stellen Laptops mit bereits installiertem Betriebssystem und konfiguriertem VPN-Client für die Remote-Arbeit bereit. Dabei sollten die Nutzer im Idealfall keine Administratorrechte besitzen. So werden zwei Probleme gelöst: Die Mitarbeiter erhalten garantiert lizenzierte Software, die ihren Anforderungen entspricht, sowie einen bereitgestellten Kommunikationskanal. Gleichzeitig können sie die Einstellungen nicht selbst ändern, was die Häufigkeit der Anfragen an
den Support reduziert.
In manchen Fällen ist das praktisch. Mit einem Laptop kann man sich tagsüber bequem im Zimmer niederlassen und nachts leise in der Küche weiterarbeiten, ohne jemanden zu wecken.
Was ist der größte Nachteil? Der gleiche Punkt, der auch ein Vorteil ist – es handelt sich um ein mobiles Gerät, das man leicht transportieren kann. Die Nutzer lassen sich in zwei Kategorien einteilen: die einen bevorzugen einen Desktop-PC wegen der Leistung und des großen Monitors, die anderen schätzen die Mobilität.
Die zweite Gruppe von Nutzern ist eindeutig für Laptops. Sobald diese Mitarbeiter ein Unternehmenslaptop erhalten, tragen sie ihn begeistert in Cafés, Restaurants oder sogar in die Natur und versuchen, von dort aus zu arbeiten. Wenn sie denn tatsächlich arbeiten würden und den Laptop nicht nur als persönlichen Computer für soziale Medien und andere Unterhaltungen nutzen würden.
Früher oder später geht das Unternehmenslaptop nicht nur zusammen mit den Arbeitsinformationen auf der Festplatte verloren, sondern auch mit dem konfigurierten VPN-Zugang. Wenn im VPN-Client die Option „Passwort speichern“ aktiviert ist, beginnt die Zeit zu laufen. In Situationen, in denen der Verlust nicht sofort bemerkt, nicht sofort der Support informiert und nicht sofort der richtige Mitarbeiter für die Sperrung gefunden wird, kann das zu einem großen Problem werden.
Manchmal hilft es, den Zugang zu Informationen einzuschränken. Aber den Zugang einzuschränken bedeutet nicht, das Problem beim Verlust eines Geräts vollständig zu lösen; es ist lediglich ein Weg, um Verluste durch Offenlegung und Kompromittierung von Daten zu reduzieren.
Sie können Verschlüsselung oder eine Zwei-Faktor-Authentifizierung nutzen, zum Beispiel mit einem USB-Schlüssel. Auf den ersten Blick sieht die Idee gut aus. Sollte der Laptop in falsche Hände geraten, wird es für den Besitzer schwierig, auf die Daten zuzugreifen – einschließlich des Zugriffs über VPN. In der Zwischenzeit kann der Zugang zum Unternehmensnetzwerk gesperrt werden. Gleichzeitig eröffnen sich neue Risiken für den Remote-Nutzer: Entweder wird der Laptop, der Schlüssel oder beides gleichzeitig verloren. Formal hat sich der Sicherheitslevel erhöht, aber der Support wird dennoch beschäftigt sein. Darüber hinaus muss für jeden Remote-Nutzer jetzt ein Set für die Zwei-Faktor-Authentifizierung (oder Verschlüsselung) beschafft werden.
Eine separate, traurige und lange Geschichte ist die Schadensregulierung für verlorene oder beschädigte Laptops (z.B. fallen gelassene Geräte, die mit süßem Tee oder Kaffee übergossen wurden, sowie andere Unglücke) und verlorene Zugangsschlüssel.
Neben all dem enthält ein Laptop mechanische Teile wie die Tastatur, USB-Anschlüsse und das Gehäuse, das mit dem Bildschirm verbunden ist – all dies nutzt sich im Laufe der Zeit ab, verformt sich, wackelt und muss repariert oder ersetzt werden (meistens wird der gesamte Laptop ersetzt).
Und was jetzt? Strengstens verbieten, den Laptop aus der Wohnung zu nehmen und die
Bewegungen verfolgen?
Warum wurde dann gerade ein Laptop ausgegeben?
Ein Grund dafür ist, dass ein Laptop einfacher zu übertragen ist. Lassen Sie uns etwas anderes finden, das ebenfalls kompakt ist.
Man könnte keine Laptops ausgeben, sondern geschützte USB-Sticks mit einem bereits konfigurierten VPN-Zugang, sodass der Benutzer seinen eigenen Computer verwendet. Doch auch hier ist es ein Glücksspiel: Funktioniert die Software auf dem Computer des Benutzers oder nicht? Das Problem könnte in einem grundlegenden Fehlen der notwendigen Treiber liegen.
Es muss eine Möglichkeit gefunden werden, wie Mitarbeiter im Homeoffice verbunden werden können, wobei es wünschenswert ist, dass die Person nicht dem Drang nachgibt, mit dem Unternehmenslaptop in der Stadt herumzulaufen, sondern zu Hause sitzt und ruhig ohne Risiko arbeitet, das ihm anvertraute Gerät irgendwo zu vergessen oder zu verlieren.
Stationärer VPN-Zugang
Was wäre, wenn man nicht das Endgerät, wie etwa einen Laptop, oder gar einen separaten USB-Stick zur Verbindung bereitstellt, sondern ein Netzwerkgateway mit einem integrierten VPN-Client?
Zum Beispiel ein fertiger Router, der Unterstützung für verschiedene Protokolle bietet und bereits für die VPN-Verbindung konfiguriert ist. Der entfernte Mitarbeiter muss nur seinen Computer anschließen und kann sofort arbeiten.
Welche Fragen löst das?
- Geräte mit eingerichtetem Zugang zum Unternehmensnetzwerk über VPN werden nicht aus dem Haus entfernt.
- Es können mehrere Geräte mit einem VPN-Kanal verbunden werden.
Wie bereits erwähnt, ist es angenehm, mit einem Laptop in der Wohnung umherzugehen, aber oft ist es einfacher und bequemer, mit einem Desktop-Computer zu arbeiten.
An das VPN auf dem Router können sowohl PCs als auch Laptops, Smartphones, Tablets und sogar E-Reader angeschlossen werden – alles, was den Zugriff über Wi-Fi oder kabelgebundenes Ethernet unterstützt.
Wenn man die Situation weiter betrachtet, könnte es beispielsweise ein Verbindungspunkt für ein Mini-Büro sein, in dem mehrere Personen arbeiten können.
Innerhalb eines solchen sicheren Segments können angeschlossene Geräte Informationen austauschen. Man kann eine Art von Datei-Austauschdienst einrichten und gleichzeitig einen regulären Internetzugang haben, Dokumente an einen externen Drucker senden und so weiter.
Unternehmenskommunikation! Wie viel steckt in diesem Klang, der irgendwo am anderen Ende der Leitung zu hören ist! Ein zentralisierter VPN-Kanal für mehrere Geräte ermöglicht es, das Smartphone über das Wi-Fi-Netzwerk zu verbinden und IP-Telefonie für Anrufe zu kurzen Nummern innerhalb des Unternehmensnetzwerks zu verwenden.
Andernfalls müsste man mobil telefonieren oder externe Anwendungen wie WhatsApp verwenden, was nicht immer mit der Unternehmenssicherheitspolitik harmoniert.
Und da wir über Sicherheit sprechen, sollte man einen weiteren wichtigen Aspekt erwähnen. Mit einem Hardware-VPN-Gateway kann der Schutz durch neue Kontrollfunktionen am Eingangsgateway verstärkt werden. Dies erhöht die Sicherheit und verlagert einen Teil der Last für den Schutz des Datenverkehrs auf das Netzwerk-Gateway.
Welche Lösung kann Zyxel in diesem Fall anbieten?
Wir betrachten ein Gerät, das zur temporären Nutzung an alle Mitarbeiter ausgegeben werden kann, die remote arbeiten möchten und können.
Deshalb sollte ein solches Gerät Folgendes sein:
- kostengünstig;
- zuverlässig (damit keine Zeit und Kosten für Reparaturen verschwenderisch sind);
- über Einzelhandelsketten erhältlich;
- einfach einzurichten (es wird mit der Absicht verwendet, ohne einen speziell
geschulten Fachmann zu rufen).
Klingt nicht sehr realistisch, oder?
Es gibt jedoch ein solches Gerät, es existiert tatsächlich und ist leicht
VPN2S ist eine VPN-Firewall, die eine private point-to-point Verbindung
ohne komplexe Netzwerkkonfiguration ermöglicht.
Abbildung 1. Aussehen des Zyxel ZyWALL VPN2S
Kurze Spezifikation des Geräts
Hardwaremerkmale
Ports 10/100/1000 Mbps RJ-45
3 x LAN, 1 x WAN/LAN, 1 x WAN
USB-Ports
2 x USB 2.0
Kein Ventilator
Kapazität und Systemleistung
Ja
Durchsatz der SPI-Firewall (Mbps)
1,5 Gbps
Durchsatz VPN (Mbps)
Maximale Anzahl gleichzeitiger Sitzungen. TCP
35
Maximale Anzahl gleichzeitiger IPsec VPN-Tunnel [5]
50000
Anpassbare Zonen
20
Unterstützung von IPv6
Ja
Maximale Anzahl VLAN
Ja
Максимальное число VLAN
16
Wichtige Funktionen der Software
Multi-WAN Lastenausgleich/Failover
Ja
Virtuelles privates Netzwerk (VPN)
Ja (IPSec, L2TP über IPSec, PPTP, L2TP, GRE)
VPN-Client
IPSec/L2TP/PPTP
Inhaltsfilterung
1 Jahr kostenlos
Firewall
Ja
VLAN/Schnittstellengruppe
Ja
Bandbreitenmanagement
Ja
Ereignisprotokoll und Überwachung
Ja
Cloud-Helfer
Ja
Fernverwaltung
Ja
Hinweis. Die Daten in der Tabelle gelten für die Firmware OPAL BE 1.12 oder eine spätere Version.
поздней версии.
Welche VPN-Optionen werden von ZyWALL VPN2S unterstützt?
Wie der Name bereits andeutet, wurde das ZyWALL VPN2S Gerät primär für die Verbindung von Remote-Mitarbeitern und Mini-Niederlassungen über VPN konzipiert.
Für Endanwender steht das L2TP Over IPSec VPN-Protokoll zur Verfügung.
- Für die Verbindung von Mini-Büros wurde eine Site-to-Site IPSec VPN-Verbindung vorgesehen.
- Außerdem kann mit dem ZyWALL VPN2S eine L2TP VPN-Verbindung mit
- einem Dienstanbieter für sicheren Internetzugang aufgebaut werden.
Es ist anzumerken, dass diese Trennung eher hypothetisch ist. Zum Beispiel kann an
einem Remote-Standort eine Site-to-Site IPSec VPN-Verbindung mit einem einzigen
Benutzer innerhalb des Netzwerks eingerichtet werden.
Selbstverständlich alles unter Verwendung strenger VPN-Algorithmen (IKEv2 und SHA-2).
Die Verwendung mehrerer WAN
Использование нескольких WAN
Für die Remote-Arbeit ist es entscheidend, eine stabile Verbindung zu haben. Leider kann dies mit nur einer
Verbindung, selbst von einem zuverlässigen Anbieter, nicht garantiert werden.
Probleme lassen sich in zwei Kategorien einteilen:
- Geschwindigkeitsverlust — hierfür hilft die Funktion Multi-WAN Load Balancing, um
eine stabile Verbindung mit der erforderlichen Geschwindigkeit aufrechtzuerhalten; - Ausfall der Verbindung — dafür sorgt die Funktion Multi-WAN Failover, um
Zuverlässigkeit durch Redundanz zu gewährleisten.
Welche Hardwaremöglichkeiten gibt es dafür:
- Der vierte LAN-Port kann als zusätzlicher WAN-Port konfiguriert werden.
- Der USB-Port kann verwendet werden, um ein 3G/4G-Modem anzuschließen, was einen
Backup-Kanal über Mobilfunk bereitstellt.
Erhöhung der Netzwerksicherheit
Wie bereits erwähnt, ist dies eines der Hauptvorteile der Verwendung spezieller
centralisierter Geräte.
Im ZyWALL VPN2S ist eine SPI-Firewall (Stateful Packet Inspection) vorhanden, die Angriffe verschiedener Art bekämpft, einschließlich DoS (Denial of Service), Angriffe mit gefälschten IP-Adressen sowie unbefugten Remote-Zugang zu Systemen, verdächtigen Netzwerkverkehr und Paketen.
Als zusätzliche Schutzmaßnahme verfügt das Gerät über eine Inhaltsfilterung, um den Zugriff von Benutzern auf verdächtige, gefährliche und unerwünschte Inhalte zu blockieren.
Einfache und schnelle Einrichtung in 5 Schritten mit dem Einrichtungsassistenten.
Für die schnelle Verbindungseinrichtung steht ein benutzerfreundlicher Einrichtungsassistent und eine grafische Benutzeroberfläche in mehreren Sprachen zur Verfügung.
Abbildung 2. Beispiel eines der Bildschirme des Einrichtungsassistenten.
Für eine schnelle und effektive Verwaltung bietet Zyxel ein umfassendes Paket an Tools für die Remote-Administration, mit denen sich VPN2S einfach einrichten und überwachen lässt.
Die Möglichkeit zur Duplizierung der Einstellungen erleichtert die Vorbereitung mehrerer ZyWALL VPN2S-Geräte für die Bereitstellung an Remote-Mitarbeiter erheblich.
Unterstützung von VLAN.
Поддержка VLAN
Obwohl der ZyWALL VPN2S für Remote-Arbeit ausgelegt ist, unterstützt er VLAN. Dies erhöht die Netzwerksicherheit, beispielsweise wenn ein Büro eines Einzelunternehmers mit Gast-Wi-Fi angeschlossen ist. Standardfunktionen von VLAN, wie die Einschränkung von Broadcast-Domänen, die Reduzierung des Datenverkehrs und die Anwendung von Sicherheitsrichtlinien, sind in Unternehmensnetzwerken weit verbreitet, können jedoch auch im kleinen Unternehmen nützlich sein.
Zusätzlich ist die Unterstützung von VLAN hilfreich, um ein separates Netzwerk, zum Beispiel für IP-Telefonie, einzurichten.
Um die Funktion mit VLAN sicherzustellen, unterstützt das ZyWALL VPN2S den Standard IEEE 802.1Q.
Zusammenfassend
Das Risiko, ein mobiles Gerät mit konfiguriertem VPN-Kanal zu verlieren, erfordert andere Lösungen als die Bereitstellung von Unternehmens-Laptops.
Der Einsatz kompakter und kostengünstiger VPN-Gateways ermöglicht eine einfache Organisation der Arbeit für Remote-Mitarbeiter.
Das Modell ZyWALL VPN2S ist ursprünglich für die Anbindung von Remote-Mitarbeitern und kleinen Büros konzipiert.
Nützliche Links
→
→
→
→
→
Quelle: habr.com
