🥇Kaugtöö suureneb

Räägime soodsast ja turvalisest viisist, kuidas tagada kaugtöötajate ühendamine VPN-i kaudu, vältides samas ettevõtte maine- või rahariskide tekkimist ning lisaprobleemide teket IT-osakonnale ja ettevõtte juhtkonnale.

IT-arengu tõttu on saanud võimalikuks kaugtöötajate kaasamine üha rohkematele ametikohtadele.

Kui varasemalt olid kaugtöötajad peamiselt loominguliste ametite esindajad, nagu disainerid ja copywriterid, siis nüüd saavad ka raamatupidajad, juristid ning paljude teiste erialade esindajad rahulikult kodust töötada, külastades kontorit vaid vajadusel.

Kuidas iganes, tuleb töö korraldada turvalise kanali kaudu.

Lihtsaim variant. Seadistame serverisse VPN-i, töötajale antakse kasutajanimi, parool ja VPN-i sertifikaat, samuti juhised, kuidas seadistada VPN-i klient oma arvutis. Ja IT-osakond peab oma ülesande täidetuks.

Idee on hea, välja arvatud üks: see peab olema töötaja, kes oskab kõike ise seadistada. Kui jutt on kvalifitseeritud võrgurakenduste arendajast, on väga tõenäoline, et ta suudab selle ülesande täita.

Kuid raamatupidaja, kunstnik, disainer, tehnilise kirjaniku, arhitekti ja paljude teiste ametigruppide esindajad ei pea tingimata arvestama VPN-i seadistamise keerukusega. Või peab keegi nende juurde kaugühenduse kaudu sisse logima ja aitama, või tuleb keegi kohale ja seadistama kõik paika. Seega, kui neil midagi enam ei toimi, näiteks kasutajaprofiili rikke tõttu on võrgu kliendi seadistused kadunud, tuleb kõik alustada uuesti.

Mõned ettevõtted pakuvad sülearvuteid, millel on juba paigaldatud tarkvara ja konfigureeritud VPN-i klient kaugtööks. Sellisel juhul ei tohiks kasutajatel tavaliselt olla administraatori õigusi. Nii lahendatakse kaks probleemi: töötajatele tagatakse litsentseeritud tarkvara, mis sobib nende ülesannetega, ja valmis sidekanal. Samal ajal ei saa nad ise seadistusi muuta, mis vähendab tugiteenuste tõhusust.
tehnilist tuge.

Mõnel juhul on see mugav. Näiteks olemasoleva sülearvutiga saab päeval mugavalt toas olla ja öösel vaikselt köögis töötada, et kedagi mitte äratada.

Mis on peamine puudus? Sama, mis pluss — see on mobiilne seade, mida saab ümber tõsta. Kasutajad jagunevad kaheks kategooriaks: need, kes eelistavad lauaarvutit suurte jõudluse ja ekraani tõttu, ja need, kes armastavad mobiilsust.

Teise kasutajagrupp hääletab mõlema käega sülearvuti vastu. Saades ettevõtte sülearvuti, hakkavad need töötajad rõõmsalt sellega kohvikutes, restoranides ringi käima, looduses viibima ja seal töötama. Kui vaid töötaksid, mitte ei kasutaks saadud seadet lihtsalt oma isikliku arvutina sotsiaalmeedias ja muudel meelelahutustel.

Varem või hiljem kaob ettevõtte sülearvuti mitte ainult koos töökorras oleva teabega kõvakettal, vaid ka seadistatud VPN-ühendusega. Kui VPN-klientide seadetes on valik "salvesta parool" märgitud, algab aeg minutite mõõtmisega. Olukordades, kus kadumist ei avastatud kohe, ei teatatud kohe tehnilisele toele ega leitud vajalikku töötajat õigustega blokeerimiseks — see võib muutuda suureks probleemiks.

Mõnikord aitab teabe juurdepääsu piiramine. Kuid juurdepääsu piiramine ei tähenda probleemi täielikku lahendamist seadme kadumise korral; see on vaid viis andmete lekkimise ja kompromiteerimise tõttu tekkivate kahjustuste vähendamiseks.

Saab kasutada krüpteerimist või kahefaktorilist autentimist, näiteks USB-võtmega. Välimuselt tundub idee hea, nüüd, kui sülearvuti jõuab valedesse kätesse, peab selle omanik palju vaeva nägema, et andmetele ligi pääseda, sealhulgas VPN-i juurdepääsuks. Sel ajal saab ettevõtte võrku juurdepääsu blokeerida. Samal ajal avanevad eemalt töötavale kasutajale uued võimalused: unustada kas sülearvuti, võtme või mõlemad korraga. Formaalne kaitsemäär on tõusnud, kuid tehnilise toe teenistusel ei ole igav. Lisaks sellele peab nüüd iga eemalt töötaja varustama kahefaktorilise autentimise (või krüpteerimise) komplektiga.

Erinev kurb ja pikk lugu on kahjutasu tasumine kadunud või kahjustatud sülearvutite (näiteks põrandale visatud, magusa teesegu, kohvi või teiste õnnetusjuhtumite tõttu) ja kadunud juurdepääsu võtmete eest.

Lisaks sisaldab sülearvuti mehaanilisi osi, nagu klaviatuur, USB-pesad ja kaane kinnitamine ekraaniga — need valmistavad aja jooksul oma ressursi otsa, deformeeruvad, lõdvenevad ja vajavad remonti või vahetust (enamasti kogu sülearvuti asendamist).

Ja mis nüüd? Keelata rangelt sülearvuti välja viimine korterist ja jälgida
liikumist?

Aga miks siis anti just sülearvuti?

Üks põhjusi on see, et sülearvuti on lihtsam edasi anda. Mõtleme välja mõne muu, samuti kompaktse lahenduse.

Võib-olla on parem anda mitte sülearvutit, vaid kaitstud LiveUSB mälupulgad juba seadistatud VPN-ühendusega, mida kasutaja saab oma arvutis kasutada. Aga ka siin on loterii: kas kasutaja arvutis käivitub tarkvara või mitte? Probleem võib olla isegi vajalike draiverite puudumises.

Peame välja mõtlema, kuidas korraldada töötajate ühendamine 'kodust' töötades, soovitavalt nii, et inimene ei langeks kiusatusse ringi liikuda koos ettevõtte sülearvutiga, vaid istuks kodus ja töötaks rahulikult, ilma riskita unustada või kaotada talle usaldatud seade.

Statsionaarne VPN-ingress

Aga mida teha, kui ei pakuta lõppseadet, näiteks sülearvutit, või veel vähem eraldi USB-mälupulka, vaid võrgu väravat VPN-klientiga?

Näiteks valmis ruuter, mis toetab erinevaid protokolle ja kus on juba eelnevalt seadistatud VPN-ühendus. Kaug töötajal jääb vaid sellele oma arvuti ühendada ja tööd alustada.

Milliseid küsimusi see aitab lahendada?

Kuna seadmed, millel on seadistatud juurdepääs ettevõtte võrgule VPN kaudu, ei saa kodust välja viia.
Ühte VPN-kanalit saab ühendada mitme seadmega.

Oleme juba kirjutanud, et on tore liikuda sülearvutiga ringi kodus, kuid tihti on mugavam ja lihtsam töötada lauaarvutiga.

VPN-iga ruuteris saab ühendada nii PC, sülearvuti, nutitelefoni, tahvelarvuti kui ka isegi e-raamatud — kõik, mis toetab Wi-Fi või juhtmeühendust.

Kui vaadata olukorda laiemalt, võib see olla näiteks ühenduspunkt mini-kontoris, kus saab töötada mitme inimesega.

Selles kaitstud segmendis saavad ühendatud seadmed omavahel teavet vahetada, luues midagi nagu failide jagamise ressursse, samal ajal olles normaalsetes internetiühendustes, saata dokumente välisele printerile ja nii edasi.

Korporatiivne telefoniteenus! Kui palju tähendust on selles helis, mis torus seal kuskil kõlab! Keskne VPN-kanal mitmele seadmele võimaldab nutitelefoni ühendada Wi-Fi võrku ja kasutada IP-telefoni kõnede jaoks lühikestele numbritele korporatiivvõrgus.

Vastasel juhul peaksime mobiilile helistama või kasutama väliseid rakendusi, nagu WhatsApp, mis ei pruugi alati vastata ettevõtte julgeolekupoliitikale.

Ja kuna me rääkisime turvalisusest, siis tasub mainida veel ühte olulist asja. Riistvara VPN-lüli abil saab tugevdada kaitset, kasutades uusi funktsioone sissetuleva lüüsi kontrollimiseks. See võimaldab suurendada turvalisust ja suunata osa liikluse kaitse koormusest võrgu lüüse.

Millist lahendust saab Zyxel sellisel juhul pakkuda?

Me arvestame seadet, mille saab ajutiselt kasutada kõik töötajad, kes saavad ja soovivad kaugtööd teha.

Seetõttu peaks see seade olema:

taskukohane;
usaldusväärne (et mitte raisata raha ja aega remontimiseks);
saadaval kauplustes;
lihtne seadistada (eeldatavasti saab kasutada ilma spetsiaalselt
koolitatud spetsialisti välja kutsumata).

See ei tundu väga reaalne, eks?

Kuid selline seade on olemas, see tõeliselt eksisteerib ja on vabalt
müügil
— Zyxel ZyWALL VPN2S

VPN2S on VPN tulemüür, mis võimaldab kasutada suletud
punkt- kuni punktühendust ilma keeruliste võrguseadete seadistamiseta.

Joonis 1. Zyxel ZyWALL VPN2S välimus

Seadmestike kokkuvõte

Riistvaralised omadused

Ports 10/100/1000 Mbps RJ-45
3 x LAN, 1 x WAN/LAN, 1 x WAN

USB-pordid
2 x USB 2.0

Ventilaatorita
Jah

Süsteemi võimekus ja jõudlus

SPI tulemüüri läbilaskevõime (Mbps)
1,5 Gbps

VPN läbilaskevõime (Mbps)
35

Maksimaalne samaaegsete sessioonide arv. TCP
50000

Maksimaalne samaaegsete IPsec VPN tunnelite arv [5]
20

Kohandatavad tsoonid
Jah

IPv6 tugi
Jah

Maksimaalne VLANide arv
16

Pehmed tarkvarafunktsioonid

Multi-WAN koormuse tasakaalustamine/varurežiim
Jah

Virtuaalne privaatvõrk (VPN)
Jah (IPSec, L2TP üle IPSec, PPTP, L2TP, GRE)

VPN klient
IPSec/L2TP/PPTP

Sisu filtreerimine
1 aasta tasuta

Tulekahju seina
Jah

VLAN/liidese grupp
Jah

Laiuse juhtimine
Jah

Sündmuste ajalugu ja seire
Jah

Cloud Helper
Jah

Kaugjuhtimine
Jah

Märkus. Tabelis esitatud andmed on mõeldud OPAL BE 1.12 või hilisema versiooni jaoks.
hilisem versioon.

Millised VPN-valikud on toetatud ZyWALL VPN2S?

Nimelt, juba nimest nähtub, et ZyWALL VPN2S seade on esmase eesmärgiga
loodud kaug-töötajate ja väikeste haru kontorite ühendamiseks VPN-i kaudu.

Lõppkasutajate jaoks on ette nähtud protokoll L2TP üle IPSec VPN.
Väikeste kontorite ühendamiseks on ette nähtud Site-to-Site IPSec VPN.
Samuti saab ZyWALL VPN2S abil luua L2TP VPN-i ühenduse
teenusepakkujaga, et tagada turvaline ligipääs Internetile.

Tuleb märkida, et see jaotus on pigem tinglik. Näiteks võib
kaugpunktis seadistada Site-to-Site IPSec VPN-i ühenduse ainulaadse
kasutajaga piiril.

Muidugi, kõik see toimub rangete VPN-algoritmide (IKEv2 ja SHA-2) abil.

Mitme WAN-i kasutamine

Kaugtöö jaoks on kõige olulisem stabiilne ühendus. Kahjuks ei saa isegi kõige usaldusväärsemalt
teenuselt ainsa ühenduse puhul seda garanteerida.

Probleemid võib jagada kaheks tüübiks:

kiiruslangus — sellele aitab Multi-WAN koormuse tasakaalustamise funktsioon, et
säilitada stabiilset ühendust soovitud kiirusel;
kanali rike — selleks on Multi-WAN varundusfunktsioon, mis tagab
rikete ajal usaldusväärsuse duplikeerimise kaudu.

Millised on selleks riistvaravõimalused:

Neljas LAN-port on võimalik seadistada täiendava WAN-portina.
USB-porti saab kasutada 3G/4G modemiga ühendamiseks, mis tagab
varuühenduse mobiilside kaudu.

Verkuse turvalisuse tõstmine

Nagu eespool mainitud, on see üks peamisi eeliseid spetsiaalsete
tsentraliseeritud seadmete kasutamisel.

ZyWALL VPN2S-l on SPI (Stateful Packet Inspection) tulemüürifunktsioon, mis aitab ennetada erinevat tüüpi rünnakuid, sealhulgas DoS (teenuse katkestamine), vale IP-aadresside rünnakud, samuti volitamata kaugjuurdepääsu süsteemidele, kahtlane võrguliik ja pakettide rünnakud.

Täiendav kaitse, mis seadme sees on, on sisukfilter, et blokeerida kasutajate juurdepääs kahtlase, ohtliku ja kolmanda osapoole sisule.

Kiire ja lihtne seadistamine 5 sammus seadistamisviisardi abil.

Kiireks ühenduse seadistamiseks on mugav seadistamisvi wizard ja graafiline
liides mitmes keeles.

Kujutis 2. Näide üksest seadistamisviisardi ekraanist.

Efektiivseks ja kiireks haldamiseks pakub Zyxel.complete paketid kaugjuhtimise utiliite, mille abil saab lihtsalt seadistada ja jälgida VPN2S.

Seadistuste kopeerimise võimalus lihtsustab mitme ZyWALL VPN2S seadme tööde ettevalmistamist, et need saaksid kaugtöötajatele edastada.

VLAN-i tugi

Kuigi ZyWALL VPN2S on mõeldud eelkõige kaugjuhtimise tööks, toetab see VLAN-i. See suurendab võrgu turvalisust, näiteks, kui on ühendatud üksikettevõtja büroo, kus on külalis-WiFi. Standardfunktsioonid VLAN-ide jaoks, nagu edastamisala piiramine, edastatava liikluse vähendamine ja turvapoliitikate rakendamine, on nõudlikud ärivõrkudes, kuid võivad leida kasutust ka väikestes ettevõtetes.

Samuti on VLAN-i tugi kasulik eraldiseisva võrgu korraldamiseks, näiteks IP telefonide jaoks.

VLAN-ide toetamiseks toetab seade ZyWALL VPN2S IEEE 802.1Q standardit.