Povieme o lacnom a bezpečnom spôsobe, ako zabezpečiť pripojenie vzdialených zamestnancov cez VPN, pričom sa neohrozí reputácia ani finančné zdroje spoločnosti a nevzniknú ďalšie problémy IT oddeleniu a vedeniu spoločnosti.
S rozvojom IT je možné zamestnávať vzdialených zamestnancov na čoraz viac pozícií.
Kým predtým medzi vzdialenými pracovníkmi boli väčšinou zástupcovia kreatívnych profesií ako dizajnéri a copywriteri, dnes môžu bez problémov pracovať na diaľku aj účtovníci, právnici a mnohí zástupcovia iných profesií, navštevujúc kanceláriu len v prípade potreby.
V každom prípade je potrebné organizovať prácu cez zabezpečený kanál.
Najjednoduchšia varianta. Nastavíme VPN na serveri, zamestnancovi sa dá užívateľské meno a heslo a kľúč-certifikát od VPN, ako aj pokyny, ako nastaviť VPN klienta na svojom počítači. A IT oddelenie považuje svoju úlohu za splnenú.
Nápad sa javí ako dobrý, s jedným výnimkou: musí to byť zamestnanec, ktorý vie všetko nastaviť sám. Ak ide o kvalifikovaného vývojára sieťových aplikácií, je dosť pravdepodobné, že si s touto úlohou poradí.
Ale účtovník, umelec, dizajnér, technický autor, architekt a mnohí zástupcovia iných profesií nemusia nutne ovládať jemnosti nastavenia VPN. Buď ich niekto musí pripojiť na diaľku a pomôcť, alebo sa musí osobne dostaviť a všetko nastaviť na mieste. Zodpovedajúco, ak im niečo prestane fungovať, napríklad v dôsledku poruchy používateľského profilu, musia všetko opakovať odznova.
Niektoré spoločnosti vydávajú notebooky s už nainštalovaným softvérom a nastaveným VPN klientom na prácu na diaľku. V tomto prípade by používatelia nemali mať právo administrátora. Týmto sa vyriešia dve úlohy: zamestnanci sú zabezpečení licencovaným softvérom, ktoré vyhovuje ich úlohám, a hotovým komunikačným kanálom. Zároveň nemôžu samostatne meniť nastavenia, čo znižuje frekvenciu kontaktov na
technickú podporu.
V niektorých prípadoch je to výhodné. Napríklad, ak máte notebook, môžete sa cez deň pohodlne usadiť v izbe a v noci potichu pracovať v kuchyni, aby ste nikoho nebudili.
Aký je hlavný nevýhodný aspekt? Ten istý, ktorý je aj výhodou — je to mobilné zariadenie, ktoré je možné prenášať. Používatelia sa delia na dve skupiny: tých, ktorí preferujú desktopový počítač kvôli výkonu a veľkému monitoru, a tých, ktorí majú radi mobilnosť.
Druhá skupina používateľov oboma rukami hlasuje za notebooky. Po získaní firemného notebooku začnú takí zamestnanci radostne chodiť s ním do kaviarní, reštaurácií, ísť na výlety a snažiť sa pracovať odtiaľ. Keby len pracovali, nie len používali získané zariadenie ako svoj osobný počítač na sociálne siete a iné zábavy.
Skôr či neskôr sa firemný notebook stratí nielen spolu s pracovnými informáciami na pevnom disku, ale aj s nastaveným prístupom cez VPN. Ak je zaškrtnuté „zachovať heslo“ v nastaveniach VPN klienta, čas sa počíta na minúty. V situáciách, keď nie je okamžite zistená strata, nie je okamžite oznámené technickej podpore, a nie je rýchlo nájdený správny zamestnanec, ktorý má práva na blokovanie — to sa môže stať veľkým problémom.
Niekedy pomáha rozdelenie prístupu k informáciám. Ale rozdelenie prístupu neznamená úplne vyriešiť problémy pri strate zariadenia; je to iba spôsob, ako znížiť straty pri vyzradení a kompromitácii dát.
Môžete použiť šifrovanie alebo dvojfaktorovú autentifikáciu, napríklad s USB kľúčom. Navonok sa táto myšlienka zdá byť dobrá, teraz ak sa notebook dostane do cudzích rúk, jeho vlastník bude musieť vyvinúť úsilie, aby získal prístup k údajom, vrátane prístupu cez VPN. Počas tejto doby môžete stihnúť zablokovať prístup do firemnej siete. Pred vzdialeným používateľom sa otvárajú nové možnosti: stratiť buď notebook, alebo kľúč na prístup, alebo oboje naraz. Formálne sa úroveň ochrany zvýšila, ale technickej podpore sa nebude nudiť. Okrem toho, pre každého vzdialeného zamestnanca bude potrebné zakúpiť súpravu pre dvojfaktorovú autentifikáciu (alebo šifrovanie).
Samostatný smutný a dlhý príbeh – vymáhanie škody za stratené alebo poškodené notebooky (zhodené na zem, zalité sladkým čajom, kávou a iné nehody) a stratené prístupové kľúče.
Okrem iného obsahuje notebook mechanické časti, ako sú klávesnica, USB konektory, upevnenie veka s obrazovkou – to všetko časom vyvíja svoj zdroj, deformuje sa, uvoľňuje a podlieha opravám alebo výmene (často výmene celého notebooku).
A čo teraz? Priísne zakázať vynášanie notebooku z bytu a sledovať
pohyb?
A prečo potom vydávali práve notebook?
Jedným z dôvodov je, že notebook je jednoduchšie odovzdať. Poďme vymyslieť niečo iné, tiež kompaktné.
Môžeme vydávať nie notebook, ale chránené USB kľúče LiveUSB s už nastaveným pripojením VPN, a používateľ by používal svoj počítač. Ale aj tu je to lotéria: spustí sa softvérová verzia na počítači používateľa alebo nie? Problém môže byť v elementárnom nedostatku potrebných ovládačov.
Musíme prísť na to, ako zorganizovať pripojenie zamestnancov na 'home office', pričom by bolo žiadúce, aby osoba neodolávala pokušeniu potulovať sa s firemným notebookom po meste, ale sedela doma a pokojne pracovala bez rizika, že niekde zabudne alebo stratí zverené mu zariadenie.
Stacionárny prístup cez VPN
A čo ak nevydáme koncové zariadenie, napríklad notebook, alebo ešte dokonca nie samostatný USB kľúč na pripojenie, ale sieťové brány s VPN klientom na palube?
Napríklad hotový router, ktorý podporuje rôzne protokoly, v ktorom už je predpripravené VPN pripojenie. Odstránenému zamestnancovi zostáva len pripojiť k nemu svoj počítač a začať pracovať.
Aké otázky to pomáha vyriešiť?
- Technika s nastaveným prístupom do firemnej siete cez VPN sa nevynáša z domu.
- Môžete pripojiť niekoľko zariadení k jednému VPN kanálu.
Už sme písali, že je príjemné mať možnosť pohybovať sa s notebookom po byte, ale často je jednoduchšie a pohodlnejšie pracovať s desktopovým počítačom.
A k VPN na routeri môžete pripojiť aj PC, aj notebook, aj smartfón, aj tablet a dokonca aj elektronickú knihu – všetko, čo podporuje prístup cez Wi-Fi alebo káblový Ethernet.
Ak sa pozrieme na situáciu širšie, môže to byť napríklad pripojovacia stanica pre mini-kanceláriu, kde môže pracovať niekoľko ľudí.
Vo vnútri takéhoto zabezpečeného segmentu môžu pripojené zariadenia zdieľať informácie, môžete zorganizovať niečo ako výmenný server súborov, pričom budete mať normálny prístup na Internet, posielať dokumenty na tlač na vonkajšiu tlačiareň a tak ďalej.
Korporátna telefónia! Koľko v tomto zvuku, ktorý znie v slúchadle niekde tam! Centralizovaný VPN kanál pre niekoľko zariadení umožňuje pripojiť smartphone cez Wi-Fi a používať IP telefóniu na volanie na krátke čísla v rámci korporátnej siete.
Inak by bolo potrebné volať na mobil alebo používať externé aplikácie, ako je WhatsApp, čo nie vždy súhlasí s korporátnou politikou bezpečnosti.
A keďže sme sa už bavili o bezpečnosti, stojí za zmienku ešte jeden dôležitý fakt. S hardvérovým VPN bránou je možné posilniť ochranu použitím nových funkcií kontroly na vstupnej bráne. To zvyšuje bezpečnosť a prenáša časť záťaže na ochranu prevádzky na sieťovú bránu.
Aké riešenie môže Zyxel ponúknuť v tomto prípade?
Zvážime zariadenie, ktoré bude dočasne poskytnuté všetkým zamestnancom, ktorí môžu a chcú pracovať na diaľku.
Preto by takéto zariadenie malo byť:
- lacné;
- spoľahlivé (aby sa neutrácalo peniaze a čas na opravy);
- dostupné na zakúpenie v obchodných sieťach;
- jednoduché na nastavenie (očakáva sa použitie bez volania špeciálne
vyškoleného odborníka).
Znie to nepravdepodobne, však?
Avšak takéto zariadenie existuje, skutočne existuje a voľne
— Zyxel ZyWALL VPN2S
VPN2S je VPN firewall, ktorý umožňuje používať súkromné pripojenie
point-to-point bez zložitých nastavení sieťových parametrov.
Obrázok 1. Vzhľad Zyxel ZyWALL VPN2S
Krátka špecifikácia zariadenia
Hardvérové vlastnosti
Porty 10/100/1000 Mbps RJ-45
3 x LAN, 1 x WAN/LAN, 1 x WAN
USB porty
2 x USB 2.0
Bez ventilátora
Áno
Kapacita a výkon systému
Priepustnosť firewallu SPI (Mbps)
1.5 Gbps
Priepustnosť VPN (Mbps)
35
Maximálny počet súbežných relácií TCP
50000
Maximálny počet súbežných tunelov IPsec VPN [5]
20
Prispôsobiteľné zóny
Áno
Podpora IPv6
Áno
Maximálny počet VLAN
16
Hlavné funkcie softvéru
Multi-WAN Load Balance/Failover
Áno
Virtuálna privátna sieť (VPN)
Áno (IPSec, L2TP over IPSec, PPTP, L2TP, GRE)
VPN klient
IPSec/L2TP/PPTP
Filtrovanie obsahu
1 rok zadarmo
Firewall
Áno
VLAN/skupina rozhraní
Áno
Správa šírky pásma
Áno
Žurnál udalostí a monitorovanie
Áno
Cloud Helper
Áno
Diaľkové ovládanie
Áno
Poznámka. Údaje v tabuľke sa týkajú mikrokódu OPAL BE 1.12 alebo novšej verzie.
novšej verzie.
Aké možnosti VPN podporuje ZyWALL VPN2S
Ako naznačuje názov, zariadenie ZyWALL VPN2S bolo navrhnuté predovšetkým
na prepojenie vzdialených zamestnancov a malých pobočiek pomocou VPN.
- Pre koncových používateľov je k dispozícii protokol L2TP Over IPSec VPN.
- Na pripojenie malých kancelárií je navrhnuté prepojenie Site-to-Site IPSec VPN.
- S pomocou ZyWALL VPN2S je možné nastaviť L2TP VPN spojenie s
poskytovateľom servisu pre bezpečný prístup na Internet.
Je potrebné poznamenať, že toto rozdelenie je veľmi podmienené. Napríklad, možno na
vzdialenej lokalite nastaviť pripojenie Site-to-Site IPSec VPN s jediným
používateľom vo vnútri perimetra.
Samozrejme, všetko to je realizované s použitím prísnych VPN algoritmov (IKEv2 a SHA-2).
Používanie viacerých WAN
Pre vzdialenú prácu je najdôležitejšie mať stabilný kanál. Bohužiaľ, s jedinou
komunikáciou od najspoľahlivejšieho poskytovateľa to nemožno zaručiť.
Problémy môžeme rozdeliť do dvoch typov:
- pokles rýchlosti — pre to pomôže funkcia Multi-WAN load balancing na
udržanie stabilného pripojenia s požadovanou rýchlosťou; - nehoda na kanáli — na to slúži funkcia Multi-WAN failover pre
zabezpečenie spoľahlivosti prostredníctvom duplikovania.
Aké sú pre to hardvérové možnosti:
- Štvrtý LAN port je možné nakonfigurovať ako ďalší WAN port.
- USB port je možné využiť na pripojenie 3G/4G modemu, čo zabezpečuje
rezervný kanál vo forme mobilnej komunikácie.
Zvýšenie sieťovej bezpečnosti
Ako bolo uvedené vyššie, toto je jedna z hlavných výhod používania špeciálnych
centralizovaných zariadení.
V ZyWALL VPN2S je k dispozícii funkcia firewallu SPI (Stateful Packet Inspection) na boj proti útokom rôzneho druhu, vrátane DoS (Denial of Service), útokom s použitím zneužitých IP adries, ako aj nepridelenému vzdialenému prístupu k systémom, podozrivému sieťovému prenosu a paketom.
Ako dodato zabezpečenie zariadenie obsahuje Content filtering na blokovanie prístupu používateľov k podozrivému, nebezpečnému a cudziemu obsahu.
Rýchla a jednoduchá konfigurácia v 5 krokoch pomocou sprievodcu nastavením
Pre rýchle nastavenie pripojenia je k dispozícii pohodlný sprievodca nastavením a grafické
rozhranie v niekoľkých jazykoch.
Obrázok 2. Príklad jedného z obrazoviek sprievodcu nastavením.
Pre rýchle a efektívne riadenie Zyxel ponúka kompletný balík nástrojov na vzdialené spravovanie, pomocou ktorých je možné ľahko nastaviť VPN2S a monitorovať ho.
Možnosť duplikovania nastavení výrazne uľahčuje prípravu na prácu viacerých zariadení ZyWALL VPN2S pre vzdialených zamestnancov.
Podpora VLAN
Napriek tomu, že ZyWALL VPN2S je prispôsobený na vzdialenú prácu, podporuje VLAN. To zvyšuje bezpečnosť siete, napríklad ak je pripojená kancelária samostatného podnikateľa, kde je hosťovský Wi-Fi. Štandardné funkcie VLAN, ako obmedzenie broadcast domain, zníženie prenášaného prenosu a aplikácia bezpečnostných politík sú veľmi žiadané v podnikových sieťach, ale v malom biznise môžu byť tiež užitočné.
Podpora VLAN je tiež užitočná pre organizáciu samostatnej siete, napríklad pre IP telefóniu.
Na zabezpečenie práce s VLAN zariadenie ZyWALL VPN2S podporuje štandard IEEE 802.1Q.
Zhrnutie
Riziko straty mobilného zariadenia s nastaveným VPN kanálom si vyžaduje iné riešenia než rozdelenie firemných prenosných počítačov.
Použitie kompaktných a cenovo dostupných VPN brán umožňuje bezproblémovú organizáciu práce vzdialených zamestnancov.
Model ZyWALL VPN2S je pôvodne navrhnutý na pripojenie vzdialených zamestnancov a malých kancelárií.
Užitočné odkazy
→
→
→
→
→
Zdroj: habr.com
