Parleremo di un modo economico e sicuro per garantire la connessione dei dipendenti remoti tramite VPN, senza compromettere la reputazione o le finanze dell'azienda e senza creare problemi aggiuntivi per il dipartimento IT e la direzione dell'azienda.
Con lo sviluppo dell'IT, è diventato possibile attrarre dipendenti remoti per un numero crescente di posizioni.
Se in passato i lavoratori remoti erano principalmente rappresentanti di professioni creative, come designer e copywriter, ora anche contabili, consulenti legali e molte altre professioni possono tranquillamente lavorare da casa, recandosi in ufficio solo se necessario.
In ogni caso, è necessario organizzare il lavoro attraverso un canale protetto.
La soluzione più semplice. Impostiamo un VPN sul server, forniamo all'impiegato nome utente e password, oltre a una chiave e un certificato VPN, insieme a istruzioni su come configurare il client VPN sul proprio computer. E il dipartimento IT considera il proprio compito completato.
L'idea sembra buona, tranne per un dettaglio: deve essere un dipendente in grado di configurare tutto da solo. Se si tratta di un sviluppatore qualificato di applicazioni di rete, è molto probabile che riesca a portare a termine questo compito.
Ma un contabile, un artista, un designer, un tecnico della scrittura, un architetto e molte altre professioni non devono necessariamente comprendere le complessità della configurazione della VPN. O qualcuno deve connettersi a loro da remoto e aiutarli, oppure devono essere visitati di persona per configurare tutto sul posto. Di conseguenza, se qualcosa smette di funzionare, ad esempio a causa di un malfunzionamento del profilo utente che ha fatto perdere le impostazioni del client di rete, sarà necessario ripetere tutto dall'inizio.
Alcune aziende forniscono laptop con già installato software e client VPN configurato per il lavoro remoto. In teoria, in questo caso, gli utenti non dovrebbero avere diritti da amministratore. In questo modo si risolvono due problemi: i dipendenti sono garantiti di avere software licenziato adatto alle loro necessità, e un canale di comunicazione pronto. Inoltre, non possono modificare le impostazioni da soli, il che riduce la frequenza delle richieste di assistenza.
tecnologica.
In alcuni casi è comodo. Ad esempio, avere un laptop consente di sistemarsi con calma in soggiorno durante il giorno e di lavorare silenziosamente in cucina di notte per non disturbare nessuno.
Qual è il principale svantaggio? Esattamente lo stesso del vantaggio: è un dispositivo mobile che può essere trasportato. Gli utenti si dividono in due categorie: quelli che preferiscono il desktop per la potenza e il grande monitor e quelli che amano la mobilità.
Il secondo gruppo di utenti vota con entrambe le mani a favore dei laptop. Ricevuto un laptop aziendale, questi dipendenti iniziano a girare felicemente con esso nei caffè, nei ristoranti, a fare gite in natura e tentare di lavorare da lì. Se solo lavorassero realmente, invece di utilizzare il dispositivo ricevuto come un computer personale per i social media e altre distrazioni.
Prima o poi, il laptop aziendale viene perso non solo insieme alle informazioni di lavoro sul disco rigido, ma anche con le impostazioni di accesso VPN. Se c'è l'opzione "salva la password" nelle impostazioni del client VPN, il tempo inizia a contare. In situazioni in cui la scomparsa non viene immediatamente notata e non si avvisa subito il servizio clienti, e non si trova subito il dipendente giusto con i privilegi per bloccarlo, questo può trasformarsi in un grande guaio.
A volte è utile limitare l'accesso alle informazioni. Ma limitare l'accesso non significa risolvere completamente il problema in caso di perdita del dispositivo; è solo un modo per ridurre i danni in caso di divulgazione e compromissione dei dati.
È possibile utilizzare la crittografia o l'autenticazione a due fattori, ad esempio con una chiave USB. Esternamente, l'idea sembra buona; ora, se il laptop finisce in mani sbagliate, il proprietario dovrà faticare per accedere ai dati, incluso l'accesso tramite VPN. Nel frattempo, sarà possibile chiudere l'accesso alla rete aziendale. E per l'utente remoto si aprono nuove possibilità: perdere o il laptop, o la chiave d'accesso, o tutto e due. Formalmente il livello di sicurezza è aumentato, ma il servizio di assistenza tecnica non si annoierà. Inoltre, ora sarà necessario acquistare un set per l'autenticazione a due fattori (o crittografia) per ogni lavoratore remoto.
Una storia triste e lunga riguarda il risarcimento dei danni per laptop smarriti o danneggiati (tragitti sul pavimento, inzuppati di tè dolce, caffè e altri incidenti) e le chiavi di accesso smarrite.
Oltre a tutto questo, il laptop contiene parti meccaniche, come la tastiera, le porte USB, la cerniera dello schermo: tutto ciò consuma le proprie risorse nel tempo, si deforma, si allenta e deve essere riparato o sostituito (spesso si tratta della sostituzione dell'intero laptop).
E ora cosa? È necessario vietare severamente di portare via il laptop dall'appartamento e monitorare
il movimento?
E perché è stato fornito proprio un laptop?
Una delle ragioni è che è più facile trasferire un laptop. Cerchiamo di inventare qualcos'altro, che sia anch'esso compatto.
Si possono fornire non laptop, ma chiavette USB Live con connessione VPN già configurata, e l'utente utilizzerà il proprio computer. Ma anche qui è una lotteria: si avvierà la configurazione software sul computer dell'utente o no? Il problema potrebbe essere la semplice mancanza dei driver necessari.
Dobbiamo trovare un modo per organizzare la connessione dei dipendenti in "smart working", preferibilmente evitando che qualcuno venga tentato di portare il laptop aziendale in giro per la città, per farlo lavorare tranquillamente a casa senza il rischio di dimenticare o perdere il dispositivo affidato.
Accesso fisso tramite VPN
E se invece di fornire un dispositivo finale, ad esempio un laptop, o tantomeno una chiavetta usb separata per la connessione, si fornisse un gateway di rete con un client VPN integrato?
Ad esempio, un router pronto all'uso, che supporta vari protocolli, con una connessione VPN già configurata. All'impiegato distante rimarrebbe solo da collegare il proprio computer e iniziare a lavorare.
Quali domande aiuta a risolvere questo?
- Le attrezzature con accesso configurato alla rete aziendale tramite VPN non vengono portate fuori di casa.
- È possibile collegare più dispositivi a un unico canale VPN.
Abbiamo già scritto sopra che è piacevole avere la possibilità di muoversi con un laptop per l'appartamento, ma spesso è più semplice e comodo lavorare con un computer desktop.
E si possono collegare al VPN del router sia PC che laptop, smartphone, tablet e persino un e-reader: tutto ciò che supporta l'accesso Wi-Fi o via cavo Ethernet.
Se si guarda la situazione in modo più ampio, può trattarsi, ad esempio, di un punto di accesso per un mini-ufficio, dove possono lavorare diverse persone.
All'interno di un segmento protetto del genere, i dispositivi collegati possono scambiarsi informazioni, è possibile organizzare una sorta di risorsa di file sharing, mantenendo al contempo un accesso normale a Internet, inviando documenti a una stampante esterna e così via.
Voce aziendale! Che suono straordinario quello che risuona dall’apparecchio da qualche parte! Un canale VPN centralizzato per più dispositivi consente di connettere uno smartphone tramite la rete Wi-Fi e utilizzare la voce IP per le chiamate ai numeri brevi all'interno della rete aziendale.
Diversamente, sarebbe necessario chiamare tramite mobile o utilizzare applicazioni esterne come WhatsApp, il che non sempre è in linea con la politica di sicurezza aziendale.
E dato che abbiamo parlato di sicurezza, vale la pena menzionare un altro fatto importante. Con un gateway VPN hardware è possibile rafforzare la protezione utilizzando nuove funzionalità di controllo sul gateway d'ingresso. Questo consente di aumentare la sicurezza e di trasferire parte del carico di protezione del traffico sul gateway di rete.
Quale soluzione può offrire Zyxel in questo caso?
Stiamo considerando un dispositivo che sarà fornito in prestito temporaneo a tutti i dipendenti che possono e vogliono lavorare da remoto.
Pertanto, un dispositivo di questo tipo deve essere:
- economico;
- affidabile (per non spendere tempo e denaro per riparazioni);
- disponibile per l'acquisto nei punti vendita;
- facile da configurare (previsto per l'uso senza richiedere un tecnico specializzato).
Sembra non molto realistico, vero?
Tuttavia, un dispositivo del genere esiste, è reale e disponibile.
— Zyxel ZyWALL VPN2S
VPN2S è un firewall VPN che consente di utilizzare una connessione privata
point-to-point senza una configurazione complessa dei parametri di rete.
Figura 1. Aspetto del Zyxel ZyWALL VPN2S
Breve specifica del dispositivo
Caratteristiche hardware
Porte 10/100/1000 Mbps RJ-45
3 x LAN, 1 x WAN/LAN, 1 x WAN
Porte USB
2 x USB 2.0
Assenza di ventola
Capacità e prestazioni di sistema
Sì
Banda passante del firewall SPI (Mbps)
1.5 Gbps
Banda passante VPN (Mbps)
Numero massimo di sessioni simultanee TCP
35
Numero massimo di tunnel IPsec VPN [5]
50000
Zone personalizzabili
20
Supporto IPv6
Sì
Supporto IPv6
Sì
Numero massimo di VLAN
16
Funzionalità principali del software
Equilibrio di carico Multi-WAN/Fallimento
Sì
Rete privata virtuale (VPN)
Sì (IPSec, L2TP over IPSec, PPTP, L2TP, GRE)
Client VPN
IPSec/L2TP/PPTP
Filtraggio dei contenuti
1 anno gratuito
Firewall
Sì
VLAN/Gruppo di interfacce
Sì
Gestione della larghezza di banda
Sì
Registro eventi e monitoraggio
Sì
Cloud Helper
Sì
Gestione remota
Sì
Nota. I dati nella tabella si riferiscono a firmware OPAL BE 1.12 o successivo
a una versione più recente.
Quali opzioni VPN supporta ZyWALL VPN2S
Infatti, dal nome si evince che il dispositivo ZyWALL VPN2S è stato progettato principalmente
per connettere lavoratori remoti e mini-uffici tramite VPN.
- Per gli utenti finali è previsto il protocollo L2TP Over IPSec VPN.
- Per collegare mini-uffici è prevista la connessione tramite VPN IPSec Site-to-Site.
- Inoltre, con ZyWALL VPN2S è possibile stabilire una connessione VPN L2TP con
un provider di servizi per un accesso sicuro a Internet.
Va notato che questa suddivisione è piuttosto convenzionale. Ad esempio, è possibile impostare su
un punto remoto una connessione VPN IPSec Site-to-Site con un singolo
utente all'interno del perimetro.
Naturalmente, tutto ciò avviene utilizzando rigorosi algoritmi VPN (IKEv2 e SHA-2).
Utilizzo di più WAN
Per il lavoro remoto è fondamentale avere una linea stabile. Sfortunatamente, con una sola
linea di comunicazione, anche da parte del fornitore più affidabile, ciò non può essere garantito.
I problemi possono essere classificati in due categorie:
- calo di velocità — la funzione di bilanciamento del carico Multi-WAN aiuta a
mantenere una connessione stabile alla velocità richiesta; - guasto della linea — a questo serve la funzione di failover Multi-WAN per
garantire la resilienza tramite ridondanza.
Quali possibilità hardware ci sono per questo:
- La quarta porta LAN può essere configurata come porta WAN aggiuntiva.
- La porta USB può essere utilizzata per collegare un modem 3G/4G, fornendo
un canale di riserva tramite rete cellulare.
Aumento della sicurezza di rete
Come accennato prima, questo è uno dei principali vantaggi dell'uso di dispositivi centralizzati.
Nel ZyWALL VPN2S è presente una funzione di firewall SPI (Ispezione dei pacchetti stateful) per contrastare attacchi di vario tipo, inclusi DoS (Denial of Service), attacchi con indirizzi IP falsi e accesso remoto non autorizzato ai sistemi, traffico di rete sospetto e pacchetti.
Il ZyWALL VPN2S è dotato di una funzionalità di firewall SPI (Stateful Packet Inspection) per contrastare attacchi di vario tipo, inclusi DoS (Denial of Service), attacchi con IP falsificati, oltre a prevenire l'accesso remoto non autorizzato ai sistemi, traffico di rete sospetto e pacchetti.
Come ulteriore protezione, il dispositivo è dotato di Content filtering per bloccare l'accesso degli utenti a contenuti sospetti, pericolosi e inappropriati.
Configurazione rapida e semplice in 5 passaggi tramite il wizard di configurazione.
Per una configurazione veloce della connessione, è disponibile un comodo wizard di configurazione e un'interfaccia grafica in più lingue.
interfaccia in più lingue.
Figura 2. Esempio di uno degli schermi del wizard di configurazione.
Per una gestione rapida ed efficace, Zyxel offre un pacchetto completo di strumenti per l'amministrazione remota, attraverso cui è possibile configurare e monitorare facilmente il VPN2S.
La possibilità di duplicare le impostazioni semplifica notevolmente la preparazione al lavoro di più dispositivi ZyWALL VPN2S per l'invio ai dipendenti remoti.
Supporto VLAN
Sebbene il ZyWALL VPN2S sia progettato per il lavoro remoto, supporta anche le VLAN. Questo consente di migliorare la sicurezza della rete, ad esempio, se si connette un ufficio di un libero professionista che ha una rete Wi-Fi per ospiti. Le funzionalità standard delle VLAN, come la limitazione dei domini broadcast, la riduzione del traffico trasmesso e l'applicazione di politiche di sicurezza, sono richieste nelle reti aziendali, ma possono trovare applicazione anche nelle piccole imprese.
Inoltre, il supporto VLAN è utile per organizzare una rete separata, ad esempio, per la telefonia IP.
Per supportare il funzionamento con le VLAN, il dispositivo ZyWALL VPN2S supporta lo standard IEEE 802.1Q.
In sintesi
Il rischio di perdere un dispositivo mobile con un canale VPN configurato richiede soluzioni diverse rispetto alla distribuzione di laptop aziendali.
L'uso di gateway VPN compatti ed economici consente di organizzare facilmente il lavoro dei dipendenti remoti.
Il modello ZyWALL VPN2S è originariamente progettato per connettere dipendenti remoti e piccoli uffici.
Link utili
→
→
→
→
→
Fonte: habr.com
