Wir erzählen von einer kostengünstigen und sicheren Möglichkeit, entfernte Mitarbeiter über VPN zu verbinden, ohne dabei das Unternehmen in reputations- oder finanzielle Risiken zu stürzen oder zusätzliche Probleme für die IT-Abteilung und die Unternehmensführung zu schaffen.
Mit der Entwicklung der IT wurde es möglich, immer mehr entfernte Mitarbeiter für eine Vielzahl von Positionen zu gewinnen.
Früher waren unter den Fernarbeitern hauptsächlich Vertreter kreativer Berufe, wie Designer und Texter, zu finden, während heute auch Buchhalter, Unternehmensjuristen und viele andere Berufsgruppen problemlos von zu Hause aus arbeiten können, wobei sie das Büro nur bei Bedarf aufsuchen.
In jedem Fall muss die Arbeit über einen sicheren Kanal organisiert werden.
Die einfachste Variante: Wir richten einen VPN-Server ein, der Mitarbeiter erhält einen Benutzernamen und ein Passwort sowie ein Schlüsselsiegel für den VPN-Zugang und eine Anleitung, wie er den VPN-Client auf seinem Computer einrichtet. Die IT-Abteilung betrachtet ihre Aufgabe dann als erledigt.
Die Idee scheint recht gut zu sein, mit einer Ausnahme: Es muss sich um einen Mitarbeiter handeln, der in der Lage ist, alles selbst einzurichten. Bei einem qualifizierten Entwickler für Netzwerkapplikationen ist es sehr wahrscheinlich, dass er mit dieser Aufgabe zurechtkommt.
Ein Buchhalter, Künstler, Designer, technischer Schriftsteller, Architekt und viele andere Berufstätige müssen jedoch nicht unbedingt mit den Feinheiten der VPN-Einrichtung vertraut sein. Entweder muss sich jemand remote zu ihnen verbinden und helfen oder persönlich vorbeikommen und alles vor Ort einrichten. Wenn etwas bei ihnen nicht mehr funktioniert, zum Beispiel weil die Netzwerkeinstellungen des Clients aufgrund eines Fehlers im Benutzerprofil verschwunden sind, muss alles von vorn wiederholt werden.
Einige Unternehmen stellen Laptops mit bereits installierter Software und einem konfigurierten VPN-Client für die remote Arbeit zur Verfügung. In diesem Fall sollten die Benutzer theoretisch keine Administratorrechte haben. Dadurch werden zwei Probleme gelöst: Die Mitarbeiter erhalten garantiert eine lizenzierte Software, die ihren Anforderungen entspricht, sowie einen fertigen Kommunikationskanal. Sie können dabei die Einstellungen nicht selbst ändern, was die Häufigkeit der Anfragen an
den technischen Support verringert.
In einigen Fällen ist das praktisch. Zum Beispiel kann man sich tagsüber bequem im Raum mit einem Laptop niederlassen und nachts leise in der Küche arbeiten, um niemanden zu wecken.
Was ist der Hauptnachteil? Der gleiche wie der Vorteil – es ist ein tragbares Gerät, das man mitnehmen kann. Die Nutzer lassen sich in zwei Kategorien einteilen: diejenigen, die einen Desktop-PC wegen seiner Leistung und des großen Monitors bevorzugen, und die, die Mobilität lieben.
Die zweite Nutzergruppe stimmt mit beiden Händen für Laptops ab. Wenn solche Mitarbeiter ein Firmenlaptop erhalten, gehen sie erfreut damit in Cafés, Restaurants, fahren in die Natur und versuchen von dort aus zu arbeiten. Wenn sie nur arbeiten würden und den erhaltenen Laptop nicht einfach als ihren eigenen Computer für soziale Netzwerke und andere Unterhaltungen nutzen würden.
Früher oder später geht der Firmenlaptop verloren, nicht nur mit den Arbeitsinformationen auf der Festplatte, sondern auch mit dem eingerichteten Zugang über VPN. Wenn das Häkchen „Passwort speichern“ in den Einstellungen des VPN-Clients aktiv ist, dann läuft die Zeit ab. In Situationen, in denen der Verlust nicht sofort bemerkt, nicht sofort an den technischen Support gemeldet oder nicht sofort der richtige Mitarbeiter gefunden wurde, der das Blockieren autorisieren kann – kann das zu großen Problemen führen.
Manchmal hilft es, den Zugang zu Informationen einzuschränken. Doch den Zugang einzuschränken – bedeutet nicht, das Problem beim Verlust des Geräts vollständig zu lösen, es ist lediglich ein Weg, um die Verluste bei der Offenlegung und Kompromittierung von Daten zu reduzieren.
Man kann Verschlüsselung oder eine Zwei-Faktor-Authentifizierung verwenden, zum Beispiel mit einem USB-Schlüssel. Nach außen sieht die Idee gut aus, nun, wenn der Laptop in fremde Hände gelangt, muss der Besitzer sich anstrengen, um Zugang zu den Daten zu erhalten, einschließlich des Zugangs über VPN. In dieser Zeit kann der Zugriff auf das Unternehmensnetzwerk gesperrt werden. Und vor dem entfernten Benutzer eröffnen sich neue Möglichkeiten: entweder den Laptop, den Schlüssel für den Zugang oder alles gleichzeitig zu verlieren. Formal hat sich das Sicherheitsniveau erhöht, aber die technische Unterstützung wird nicht untätig bleiben. Darüber hinaus muss für jeden Remote-Arbeiter jetzt ein Set für die Zwei-Faktor-Authentifizierung (oder Verschlüsselung) beschafft werden.
Eine besonders traurige und lange Geschichte ist die Schadensregulierung für verlorene oder beschädigte Laptops (die auf den Boden gefallen, mit süßem Tee oder Kaffee übergossen oder in andere unglückliche Vorfälle verwickelt sind) und verlorene Zugangsschlüssel.
Neben allem enthält ein Laptop mechanische Teile wie Tastatur, USB-Anschlüsse und die Halterung des Bildschirms — all dies nutzt sich mit der Zeit ab, verformt sich, lockert sich und benötigt Reparaturen oder Ersatz (in den meisten Fällen den gesamten Laptop).
Und was nun? Strengstens verbieten, den Laptop aus der Wohnung zu nehmen und die
Bewegung zu überwachen?
Warum wurde dann genau ein Laptop ausgegeben?
Ein Grund dafür ist, dass es einfacher ist, einen Laptop zu übergeben. Lassen Sie uns etwas anderes erfinden, das ebenfalls kompakt ist.
Man könnte nicht den Laptop, sondern geschützte LiveUSB-Sticks mit bereits konfiguriertem VPN-Zugang ausgeben, damit der Benutzer seinen eigenen Computer nutzt. Aber auch hier ist es ein Glücksspiel: Läuft die Softwarekonfiguration auf dem Computer des Benutzers oder nicht? Das Problem könnte im einfachen Fehlen der notwendigen Treiber liegen.
Es muss überlegt werden, wie man die Mitarbeiter im Homeoffice verbinden kann, wobei es wünschenswert wäre, dass die Person nicht der Versuchung nachgibt, mit dem Unternehmenslaptop durch die Stadt zu schlendern, sondern zu Hause bleibt und ruhig arbeitet, ohne das Risiko, das ihm anvertraute Gerät irgendwo zu vergessen oder zu verlieren.
Statische Verbindung über VPN
Was wäre, wenn man nicht ein Endgerät wie einen Laptop oder noch weniger einen separaten Flash-Stick für die Verbindung, sondern ein Netzwerk-Gateway mit einem eingebauten VPN-Client ausgeben würde?
Zum Beispiel ein fertiger Router, der Unterstützung für verschiedene Protokolle bietet und bei dem die VPN-Verbindung bereits voreingestellt ist. Der entfernte Mitarbeiter muss nur seinen Computer anschließen und die Arbeit beginnen.
Welche Probleme hilft das zu lösen?
- Technik mit konfiguriertem Zugang zum Unternehmensnetzwerk über VPN wird nicht aus dem Haus genommen.
- Es können mehrere Geräte an einen VPN-Kanal angeschlossen werden.
Wie bereits erwähnt, ist es angenehm, mit einem Laptop durch die Wohnung zu gehen, aber oft ist es einfacher und bequemer, mit einem Desktop-Computer zu arbeiten.
An das VPN auf dem Router können PC, Laptop, Smartphone, Tablet und sogar E-Book-Reader angeschlossen werden — alles, was Zugang über Wi-Fi oder kabelgebundenes Ethernet unterstützt.
Wenn man die Situation breiter betrachtet, kann dies zum Beispiel ein Anschluss für ein Mini-Büro sein, in dem mehrere Personen arbeiten können.
Innerhalb eines solchen geschützten Segments können die angeschlossenen Geräte Informationen austauschen, man kann etwas wie eine Datei-Transfer-Plattform organisieren und gleichzeitig normalen Internetzugang haben, Dokumente an einen externen Drucker senden und so weiter.
Corporate Telephony! Wie viel steckt in diesem Klang, der irgendwo am Telefon zu hören ist! Ein zentralisierter VPN-Kanal für mehrere Geräte ermöglicht den Anschluss eines Smartphones über das Wi-Fi-Netzwerk und die Nutzung von IP-Telefonie für Anrufe an Kurzwahlnummern im Unternehmensnetzwerk.
Andernfalls müsste man auf ein Mobiltelefon anrufen oder externe Anwendungen wie WhatsApp benutzen, was nicht immer mit der Unternehmenssicherheitspolitik übereinstimmt.
Und da wir über Sicherheit sprechen, sollte ein weiterer wichtiger Punkt hervorgehoben werden. Mit einem hardwarebasierten VPN-Gateway kann der Schutz durch die Nutzung neuer Kontrollfunktionen am Eingangsgateway verstärkt werden. Das erhöht die Sicherheit und verlagert einen Teil der Last der Verkehrsschutzmaßnahmen auf das Netzwerk-Gateway.
Welche Lösung kann Zyxel in diesem Fall anbieten?
Wir betrachten ein Gerät, das allen Mitarbeitern zur vorübergehenden Nutzung zur Verfügung gestellt werden kann, die remote arbeiten möchten.
Deshalb sollte ein solches Gerät sein:
- preiswert;
- zuverlässig (um keine Zeit und Geld für Reparaturen auszugeben);
- in den Handelsnetzen erhältlich;
- einfach einzurichten (es wird angenommen, dass es ohne den Anruf eines speziell
geschulten Fachmanns verwendet wird).
Klingt nicht wirklich realistisch, oder?
Aber ein solches Gerät gibt es, es existiert wirklich und wird frei
— Zyxel ZyWALL VPN2S
VPN2S ist eine VPN-Firewall, die eine private Verbindung ermöglicht.
Point-to-Point ohne komplizierte Netzwerkkonfiguration.
Abbildung 1. Das Aussehen des Zyxel ZyWALL VPN2S
Kurze Gerätespezifikation
Hardwaremerkmale
Ports 10/100/1000 Mbps RJ-45
3 x LAN, 1 x WAN/LAN, 1 x WAN
USB-Anschlüsse
2 x USB 2.0
Lüfterlos
Ja
Kapazität und Systemleistung
Durchsatz der SPI-Firewall (Mbps)
1,5 Gbps
VPN-Durchsatz (Mbps)
35
Maximale Anzahl gleichzeitiger Sitzungen. TCP
50000
Maximale Anzahl gleichzeitiger IPsec-VPN-Tunnel [5]
20
Anpassbare Zonen
Ja
Unterstützung von IPv6
Ja
Maximale Anzahl von VLANs
16
Hauptfunktionen der Software
Multi-WAN Lastenausgleich/Fehlertoleranz
Ja
Virtuelles privates Netzwerk (VPN)
Ja (IPSec, L2TP über IPSec, PPTP, L2TP, GRE)
VPN-Client
IPSec/L2TP/PPTP
Inhaltsfilterung
1 Jahr kostenlos
Firewall
Ja
VLAN/Interface Gruppe
Ja
Bandwidth Management
Ja
Ereignisprotokoll und Überwachung
Ja
Cloud-Helfer
Ja
Fernverwaltung
Ja
Hinweis. Die in der Tabelle angegebenen Daten gelten für die Firmware OPAL BE 1.12 oder höher
.
Welche VPN-Optionen werden von ZyWALL VPN2S unterstützt?
Wie der Name schon sagt, wurde das ZyWALL VPN2S-Gerät in erster Linie
für die Verbindung von Remote-Mitarbeitern und Mini-Niederlassungen über VPN konzipiert.
- Für Endbenutzer steht das L2TP über IPSec VPN-Protokoll zur Verfügung.
- Für die Verbindung von Mini-Büros ist eine Site-to-Site IPSec VPN-Verbindung vorgesehen.
- Mit dem ZyWALL VPN2S kann auch eine L2TP VPN-Verbindung zu
einem Dienstanbieter für sicheren Internetzugang aufgebaut werden.
Es ist anzumerken, dass diese Trennung eher theoretisch ist. Beispielsweise kann an einem
Remote-Standort eine Site-to-Site IPSec VPN-Verbindung mit einem einzigen
Benutzer innerhalb des Perimeters eingerichtet werden.
Natürlich geschieht dies unter Verwendung strenger VPN-Algorithmen (IKEv2 und SHA-2).
Nutzung mehrerer WAN
Für die Fernarbeit ist es wichtig, einen stabilen Kanal zu haben. Leider kann man mit nur einer
Verbindung, selbst bei dem zuverlässigsten Anbieter, dies nicht garantieren.
Die Probleme lassen sich in zwei Kategorien unterteilen:
- Geschwindigkeitsverlust - dagegen hilft die Funktion des Multi-WAN-Lastausgleichs für
eine stabile Verbindung mit der erforderlichen Geschwindigkeit; - Ausfall der Verbindung - dafür sorgt die Funktion der Multi-WAN-Fehlertoleranz zur
Sicherstellung der Ausfallsicherheit durch Redundanz.
Welche Hardwaremöglichkeiten gibt es dafür:
- Der vierte LAN-Port kann als zusätzlicher WAN-Port konfiguriert werden.
- Der USB-Port kann zur Verbindung eines 3G/4G-Modems verwendet werden, was einen
Backup-Kanal in Form von mobilem Internet bereitstellt.
Erhöhung der Netzwerksicherheit
Wie bereits erwähnt, ist dies eines der Hauptvorteile der Verwendung spezieller
zentralisierter Geräte.
Der ZyWALL VPN2S verfügt über eine SPI-Firewall (Stateful Packet Inspection), um Angriffe verschiedener Art abzuwehren, darunter DoS (Denial of Service), Angriffe mit gefälschten IP-Adressen sowie unbefugten Fernzugriff auf Systeme, verdächtigen Netzwerkverkehr und Pakete.
Als zusätzliche Sicherheit bietet das Gerät eine Inhaltsfilterung zur Sperrung des Zugangs von Benutzern zu verdächtigem, gefährlichem und unerwünschtem Inhalt.
Schnelle und einfache Einrichtung in 5 Schritten mit dem Einrichtungsassistenten.
Um eine Verbindung schnell einzurichten, steht ein praktischer Einrichtungsassistent mit einer grafischen
Benutzeroberfläche in mehreren Sprachen zur Verfügung.
Abbildung 2. Beispiel eines der Bildschirme des Einrichtungsassistenten.
Für eine schnelle und effektive Verwaltung bietet Zyxel ein umfassendes Paket an Tools für die Fernverwaltung, mit denen Sie VPN2S einfach einrichten und überwachen können.
Die Möglichkeit, Einstellungen zu duplizieren, erleichtert die Vorbereitung mehrerer ZyWALL VPN2S-Geräte für die Nutzung durch entfernte Mitarbeiter erheblich.
Unterstützung für VLAN.
Obwohl ZyWALL VPN2S für die Fernarbeit ausgelegt ist, unterstützt es VLAN. Dies erhöht die Netzwerksicherheit, insbesondere wenn ein Büro eines Einzelunternehmers mit einem Gäste-WLAN angeschlossen ist. Die Standardfunktionen von VLAN wie die Einschränkung von Broadcast-Domains, die Reduzierung des Datenverkehrs und die Anwendung von Sicherheitsrichtlinien sind in Unternehmensnetzwerken gefragt, können jedoch auch im kleinen Geschäft Anwendung finden.
Zudem ist die Unterstützung von VLAN nützlich, um ein separates Netzwerk, zum Beispiel für IP-Telefonie, zu organisieren.
Um das Arbeiten mit VLAN zu ermöglichen, unterstützt das Gerät ZyWALL VPN2S den Standard IEEE 802.1Q.
Zusammenfassend
Das Risiko des Verlusts eines mobilen Geräts mit einem konfigurierten VPN-Kanal erfordert andere Lösungen als die Bereitstellung von Unternehmenslaptops.
Der Einsatz kompakten und kostengünstigen VPN-Gateways ermöglicht eine einfache Organisation der Arbeit von entfernten Mitarbeitern.
Das Modell ZyWALL VPN2S ist ursprünglich für die Anbindung von entfernten Mitarbeitern und kleinen Büros konzipiert.
Nützliche Links
→
→
→
→
→
Quelle: habr.com
