Parleremo di un modo economico e sicuro per garantire la connessione dei dipendenti remoti tramite VPN, evitando al contempo rischi reputazionali o finanziari per l'azienda e senza creare ulteriori problemi per il dipartimento IT e la direzione aziendale.
Con lo sviluppo della tecnologia IT, è diventato possibile attrarre dipendenti remoti per un numero sempre maggiore di posizioni.
Se in passato i lavoratori remoti erano per lo più professionisti creativi, come designer e copywriter, ora anche contabili, legali e molti altri specialisti possono lavorare comodamente da casa, recandosi in ufficio solo quando necessario.
Tuttavia, è sempre necessario organizzare il lavoro attraverso un canale sicuro.
La soluzione più semplice. Configuriamo un server VPN, forniamo all'impiegato nome utente e password, un certificato chiave per la VPN e un'istruzione su come configurare il client VPN sul proprio computer. E il reparto IT considera il proprio compito completato.
L'idea non è male, tranne per un dettaglio: deve essere un dipendente in grado di configurare tutto autonomamente. Se si tratta di uno sviluppatore qualificato di applicazioni di rete, è molto probabile che riesca a gestire questa attività.
Tuttavia, un contabile, un artista, un designer, uno scrittore tecnico, un architetto e molti rappresentanti di altre professioni non devono necessariamente comprendere i dettagli della configurazione di un VPN. O devono ricevere assistenza remota da qualcuno, oppure qualcuno deve recarsi di persona per configurare tutto in loco. Pertanto, se qualcosa smette di funzionare, ad esempio, a causa di un guasto nel profilo utente che ha fatto perdere le impostazioni del client di rete, tutto deve essere ripetuto da capo.
Alcune aziende forniscono notebook già equipaggiati con software e un client VPN configurato per il lavoro remoto. In teoria, in questo caso gli utenti non dovrebbero avere diritti di amministratore. Ciò risolve due problemi: i dipendenti sono garantiti con software licenziato adatto alle loro esigenze e un canale di comunicazione pronto. Allo stesso tempo, non possono modificare autonomamente le impostazioni, il che riduce la frequenza delle richieste a
assistenza tecnica.
In alcuni casi, questo è conveniente. Ad esempio, con un laptop si può comodamente stendere nella stanza durante il giorno, e di notte lavorare silenziosamente in cucina per non svegliare nessuno.
Qual è il principale svantaggio? Lo stesso vantaggio — è un dispositivo mobile che può essere trasportato. Gli utenti si dividono in due categorie: quelli che preferiscono un PC desktop per la potenza e il grande monitor, e quelli che amano la mobilità.
Il secondo gruppo di utenti vota a favore dei laptop con entrambe le mani. Ricevendo un laptop aziendale, questi dipendenti iniziano a utilizzarlo felicemente in caffè, ristoranti, in gite nella natura e cercano di lavorare da lì. Se solo si lavorasse, e non si usasse semplicemente il dispositivo ricevuto come un computer personale per i social media e altri svaghi.
Prima o poi, il laptop aziendale si perde non solo insieme alle informazioni di lavoro sul disco rigido, ma anche con l'accesso configurato tramite VPN. Se è spuntata la casella 'salvare la password' nelle impostazioni del client VPN, il conto è iniziato a scorrere in minuti. In situazioni in cui la scomparsa non è stata subito notata, non si è tempestivamente comunicato al supporto tecnico, o non si è trovata subito la persona giusta con i permessi per il blocco — questo potrebbe rivelarsi un grosso problema.
A volte, limitare l'accesso alle informazioni può aiutare. Ma limitare l'accesso non significa risolvere completamente i problemi in caso di perdita del dispositivo, è semplicemente un modo per ridurre le perdite in caso di divulgazione e compromissione dei dati.
È possibile utilizzare la crittografia o l'autenticazione a due fattori, ad esempio con una chiave USB. In apparenza l'idea sembra valida; ora, se il laptop finisce nelle mani sbagliate, il proprietario dovrà impegnarsi per accedere ai dati, incluso l'accesso tramite VPN. Nel frattempo, sarà possibile bloccare l'accesso alla rete aziendale. E per l'utente remoto si aprono nuove possibilità: perdere il laptop, la chiave di accesso o entrambi. Formalmente, il livello di protezione è aumentato, ma il supporto tecnico avrà molto da fare. Inoltre, sarà necessario fornire a ogni lavoratore remoto un dispositivo per l'autenticazione a due fattori (o crittografia).
Una triste e lunga storia a parte è il risarcimento per laptop persi o danneggiati (caduti a terra, versati con tè dolce, caffè, e altri incidenti) e per chiavi di accesso smarrite.
Oltre a tutto, il laptop contiene parti meccaniche come la tastiera, le porte USB, il montaggio dello schermo — tutto ciò, col tempo, consuma la propria risorsa, si deforma, si allenta e necessita di riparazione o sostituzione (più frequentemente della sostituzione dell'intero laptop).
E adesso? È assolutamente vietato portare il laptop fuori dall'appartamento e monitorare
il movimento?
E perché allora è stato proprio fornito un laptop?
Una delle ragioni è che il laptop è più facile da trasferire. Pensiamo a qualcos'altro, anch'esso compatto.
Si potrebbero fornire non laptop, ma chiavette USB Live con già configurato il collegamento VPN, permettendo all'utente di utilizzare il proprio computer. Ma anche qui è una lotteria: il software funzionerà sul computer dell'utente o no? Il problema potrebbe risiedere semplicemente nell'assenza dei giusti driver.
È necessario pensare a come organizzare la connessione dei dipendenti da remoto, cercando che la persona non cada nella tentazione di portare in giro il laptop aziendale per la città, ma resti a casa e lavori tranquillamente senza il rischio di dimenticare o perdere il dispositivo a lui affidato.
Accesso VPN su postazione fissa
E se invece di fornire un dispositivo finale, come un laptop, o addirittura una singola chiavetta USB per la connessione, utilizzassimo un gateway di rete con client VPN integrato?
Ad esempio, un router pronto all'uso che supporta vari protocolli e ha già una connessione VPN configurata. L'impiegato remoto deve solo collegare il proprio computer e iniziare a lavorare.
Quali problemi aiuta a risolvere questo?
- I dispositivi con accesso configurato alla rete aziendale tramite VPN non vengono portati fuori casa.
- È possibile collegare più dispositivi a un singolo canale VPN.
Abbiamo già accennato che è piacevole poter muoversi con un laptop per casa, ma spesso è più semplice e comodo lavorare con un computer desktop.
A una VPN su un router possono collegarsi sia PC, laptop, smartphone, tablet e persino un e-reader: tutto ciò che supporta l'accesso Wi-Fi o Ethernet cablato.
Se consideriamo la situazione in modo più ampio, questo potrebbe essere un punto di connessione per un mini-ufficio, dove possono lavorare più persone.
All'interno di un segmento protetto, i dispositivi collegati possono scambiarsi informazioni, è possibile organizzare qualcosa come una risorsa di scambio file, mantenendo al contempo un accesso normale a Internet, inviare documenti da stampare a una stampante esterna, e così via.
Telefonia aziendale! Quanto significato racchiude questo suono, che risuona dall'apparecchio dall'altra parte! Un canale VPN centralizzato per più dispositivi consente di collegare lo smartphone tramite rete Wi-Fi e utilizzare la telefonia IP per chiamate a numeri brevi all'interno della rete aziendale.
Altrimenti, si dovrebbe chiamare un cellulare o utilizzare applicazioni esterne come WhatsApp, il che non sempre è in linea con la politica aziendale sulla sicurezza.
E poiché abbiamo parlato di sicurezza, è importante sottolineare un altro aspetto non trascurabile. Con un gateway VPN hardware è possibile aumentare la sicurezza attraverso l'uso di nuove funzionalità di controllo al gateway d'ingresso. Questo consente di migliorare la sicurezza e di spostare parte del carico di protezione del traffico sul gateway di rete.
Che soluzione può offrire Zyxel in questo caso
Stiamo considerando un dispositivo da concedere in uso temporaneo a tutti i dipendenti che possono e vogliono lavorare da remoto.
Pertanto, questo dispositivo deve essere:
- economico;
- affidabile (per non sprecare tempo e denaro in riparazioni);
- disponibile per l’acquisto nei negozi;
- facile da configurare (si prevede di utilizzarlo senza la necessità di chiamare un
tecnico specializzato).
Sembra poco realistico, vero?
Tuttavia, un dispositivo del genere esiste, è reale e viene venduto
— Zyxel ZyWALL VPN2S
Il VPN2S è un firewall VPN che consente una connessione privata
point-to-point senza la complessità della configurazione della rete.
Figura 1. Aspetto del Zyxel ZyWALL VPN2S
Specifiche brevi del dispositivo
Caratteristiche hardware
Porte 10/100/1000 Mbps RJ-45
3 x LAN, 1 x WAN/LAN, 1 x WAN
Porte USB
2 x USB 2.0
Senza ventola
Sì
Capacità e prestazioni del sistema
Larghezza di banda del firewall SPI (Mbps)
1.5 Gbps
Larghezza di banda VPN (Mbps)
35
Numero massimo di sessioni simultanee. TCP
50000
Numero massimo di tunnel IPsec VPN simultanei [5]
20
Zone personalizzabili
Sì
Supporto per IPv6
Sì
Numero massimo di VLAN
16
Funzioni principali del software
Bilanciamento di carico Multi-WAN/Failover
Sì
Rete privata virtuale (VPN)
Sì (IPSec, L2TP su IPSec, PPTP, L2TP, GRE)
Client VPN
IPSec/L2TP/PPTP
Filtraggio dei contenuti
1 anno gratuito
Firewall
Sì
VLAN/Gruppo di interfacce
Sì
Gestione della larghezza di banda
Sì
Registro eventi e monitoraggio
Sì
Cloud Helper
Sì
Gestione remota
Sì
Nota. I dati nella tabella si riferiscono al microcodice OPAL BE 1.12 o superiore
versione successiva.
Quali opzioni VPN supporta ZyWALL VPN2S
Come suggerisce il nome, il dispositivo ZyWALL VPN2S è stato principalmente
progettato per collegare dipendenti in remoto e mini-sedi tramite VPN.
- Per gli utenti finali, è previsto il protocollo L2TP su IPSec VPN.
- Per collegare mini-uffici è prevista la connessione Site-to-Site IPSec VPN.
- Inoltre, con ZyWALL VPN2S è possibile stabilire una connessione L2TP VPN con
un fornitore di servizi per un accesso sicuro a Internet.
Va notato che questa distinzione è piuttosto relativa. Ad esempio, è possibile
configurare un collegamento Site-to-Site IPSec VPN su un punto remoto con un solo
utente all'interno del perimetro.
Naturalmente, il tutto avviene utilizzando rigorosi algoritmi VPN (IKEv2 e SHA-2).
Utilizzo di più WAN
Per il lavoro a distanza, è fondamentale avere una connessione stabile. Sfortunatamente, con un'unica
linea di connessione anche dal fornitore più affidabile, non è possibile garantirlo.
I problemi possono essere suddivisi in due categorie:
- il calo di velocità — a questo può aiutare la funzione Multi-WAN load balancing per
mantenere una connessione stabile con la velocità richiesta; - un guasto nel canale — per questo serve la funzione Multi-WAN failover per
assicurare l'affidabilità tramite la duplicazione.
Quali sono le possibilità hardware per questo:
- La quarta porta LAN può essere configurata come porta WAN aggiuntiva.
- La porta USB può essere utilizzata per collegare un modem 3G/4G, fornendo
un canale di riserva tramite la rete mobile.
Aumento della sicurezza della rete
Come accennato in precedenza, questo è uno dei principali vantaggi dell'uso di dispositivi
centralizzati specializzati.
Nel ZyWALL VPN2S è presente la funzione firewall SPI (Stateful Packet Inspection) per contrastare attacchi di vario tipo, inclusi DoS (Denial of Service), attacchi tramite indirizzi IP falsi, e accessi remoti non autorizzati ai sistemi, traffico di rete sospetto e pacchetti.
Come ulteriore protezione, il dispositivo è dotato di Content filtering per bloccare l'accesso degli utenti a contenuti sospetti, pericolosi e indesiderati.
Configurazione rapida e semplice in 5 passaggi con l'assistente di configurazione
Per una configurazione veloce della connessione, è disponibile un comodo assistente e un'interfaccia grafica in più lingue.
Figura 2. Esempio di uno degli schermi dell'assistente di configurazione.
Per una gestione rapida ed efficace, Zyxel offre un pacchetto completo di strumenti di amministrazione remota, consentendo di configurare e monitorare facilmente il VPN2S.
La possibilità di duplicare le impostazioni semplifica notevolmente la preparazione all'uso di più dispositivi ZyWALL VPN2S per l'invio ai dipendenti remoti.
Supporto VLAN
Supporto VLAN
Sebbene lo ZyWALL VPN2S sia progettato per il lavoro remoto, supporta le VLAN. Questo consente di aumentare la sicurezza della rete, per esempio se è connesso un ufficio di un imprenditore individuale che ha una rete Wi-Fi per gli ospiti. Le funzioni standard delle VLAN, come la limitazione dei domini di broadcast, la riduzione del traffico trasmesso e l'applicazione delle politiche di sicurezza, sono richieste nelle reti aziendali, ma possono trovare applicazione anche nelle piccole imprese.
Inoltre, il supporto per le VLAN è utile per creare una rete separata, ad esempio, per la telefonia IP.
Per garantire il funzionamento con le VLAN, il dispositivo ZyWALL VPN2S supporta lo standard IEEE 802.1Q.
In conclusione
Il rischio di perdita di un dispositivo mobile configurato con un canale VPN richiede soluzioni diverse rispetto alla fornitura di laptop aziendali.
L'uso di gateway VPN compatti ed economici consente di organizzare facilmente il lavoro dei dipendenti remoti.
Il modello ZyWALL VPN2S è originariamente progettato per collegare dipendenti remoti e piccoli uffici.
Link utili
→
→
→
→
→
Fonte: habr.com
