Így védheti meg irodai infrastruktúráját a VPN
Miért érdemes VPN-en keresztül elérni az irodai vagy szerveres hálózatot?
Az otthoni munkavégzés, a távoli rendszergazdai feladatok és a több telephelyes céges működés ma már teljesen hétköznapi dolognak számítanak. Egy vállalkozás munkatársai sok esetben nem ugyanabban az épületben dolgoznak, a rendszergazdák pedig gyakran úgy üzemeltetnek szervereket, hálózati eszközöket vagy különböző szolgáltatásokat, hogy fizikailag több száz vagy akár több ezer kilométerre vannak az adott infrastruktúrától.
Ilyenkor azonban gyorsan felmerül egy alapvető kérdés: hogyan lehet úgy hozzáférni az irodai vagy szerveres hálózathoz, mintha fizikailag ott lennénk, miközben az interneten keresztül továbbított adatok biztonsága is megfelelő marad?
Erre az egyik legelterjedtebb megoldás a VPN, vagyis a Virtual Private Network használata. Egy megfelelően kialakított VPN-kapcsolat nem egyszerűen kényelmesebbé teszi a távoli munkát, hanem jelentősen csökkentheti annak szükségességét is, hogy érzékeny szolgáltatásokat közvetlenül elérhetővé tegyünk a nyilvános internet felől.
Mit jelent valójában a VPN?
A VPN lényegében egy titkosított kapcsolatot hoz létre a felhasználó eszköze és egy távoli hálózat között. Ha például egy munkatárs otthonról kapcsolódik az iroda VPN-szerveréhez, akkor a számítógépe megfelelő konfiguráció esetén úgy érheti el az irodai hálózat bizonyos erőforrásait, mintha helyben lenne.
Ez természetesen nem jelenti azt, hogy fizikailag ugyanabba a hálózati szegmensbe kerül minden eszköz, hiszen a kialakítás ennél sokkal összetettebb lehet. A felhasználó azonban hozzáférhet olyan belső IP-címekhez, szerverekhez, fájlmegosztásokhoz vagy adminisztrációs felületekhez, amelyeket az internet felől egyébként egyáltalán nem szükséges elérhetővé tenni.
A VPN egyik legnagyobb előnye tehát éppen az, hogy a belső hálózat használhatóságát részben kiterjeszthetjük a távoli felhasználókra anélkül, hogy magát a teljes belső infrastruktúrát kitennénk az internetre.
Nem minden szervernek kell látszania az internetről
Egy szerver működéséhez gyakran szükség van nyilvánosan elérhető szolgáltatásokra. Egy weboldalt kiszolgáló webszerver esetében például a HTTP és HTTPS szolgáltatásnak értelemszerűen elérhetőnek kell lennie az internet felől.
Ez azonban nem jelenti azt, hogy ugyanennek a gépnek minden adminisztrációs felületét, adatbázis-kezelő szolgáltatását vagy belső rendszerét is nyilvánosan hozzáférhetővé kell tenni.
A szerverüzemeltetés egyik alapelve, hogy lehetőleg csak azok a szolgáltatások legyenek publikusak, amelyeknek valóban szükséges annak lenniük.
Ha például egy szerver SSH-hozzáférésére kizárólag a rendszergazdának van szüksége, megfontolható, hogy az SSH-port ne legyen szabadon elérhető a teljes internetről. Ehelyett a rendszergazda először csatlakozhat VPN-en keresztül a szerverhálózathoz, majd onnan érheti el az SSH-szolgáltatást egy belső IP-címen.
Hasonló elv alkalmazható számos más adminisztrációs szolgáltatás esetében is.
A nyitott port mindig plusz támadási felület
Egy internet felé megnyitott szolgáltatást előbb-utóbb automatizált rendszerek is megtalálnak. Az interneten folyamatosan működnek olyan robotok, amelyek IP-címeket és portokat vizsgálnak, majd megpróbálják azonosítani, milyen szolgáltatás fut az adott címen.
Egy nyilvánosan elérhető SSH-porton például akár rövid idő alatt megjelenhetnek automatikus bejelentkezési próbálkozások. Ugyanez igaz számos más adminisztrációs vagy távoli hozzáférési szolgáltatásra.
Természetesen megfelelő tűzfalszabályokkal, erős hitelesítéssel, kulcsalapú bejelentkezéssel, többfaktoros azonosítással és automatikus tiltási rendszerekkel jelentősen csökkenthető a kockázat. Ettől függetlenül azonban továbbra is igaz, hogy egy olyan szolgáltatást, amelyet az internet felől egyáltalán nem lehet elérni, más típusú támadási felületként kell kezelni, mint egy nyilvánosan hozzáférhető portot.
Egy jól kialakított VPN-rendszer ezért lehetőséget ad arra, hogy az adminisztrációs szolgáltatások egy jelentős része kizárólag a VPN-hálózatról legyen elérhető.
A szerveradminisztráció sokkal jobban leválasztható
Komolyabb infrastruktúrák esetében célszerű különválasztani a publikus szolgáltatásokat és az üzemeltetéshez szükséges belső hozzáférést.
Egy webszerver például továbbra is kiszolgálhat weboldalakat a nyilvános IP-címén, miközben az adminisztrációs felülete vagy az SSH-hozzáférése csak egy külön belső hálózaton keresztül érhető el.
Ebben a felépítésben a rendszergazda először létrehozza a VPN-kapcsolatot, majd a szervert annak belső címén éri el. Ez a működés logikailag sokkal jobban elválasztja egymástól a szolgáltatási és az adminisztrációs hálózatot.
Az 1b.hu által üzemeltetett vagy felügyelt szerveres infrastruktúrák esetében is fontos szempont lehet, hogy egy rendszer távoli menedzsmentje ne automatikusan azt jelentse, hogy minden kezelőfelületet közvetlenül ki kell tenni az internetre. A VPN ilyen esetben egy további biztonsági rétegként használható a hálózati architektúrában.
Irodai környezetben is komoly előnye lehet
A VPN nem csak szervertermek és rendszergazdák számára hasznos. Egy átlagos céges irodában is számos olyan szolgáltatás működhet, amelyhez távolról időnként hozzá kell férni.
Lehet ilyen például egy belső fájlszerver, egy vállalatirányítási rendszer, egy belső webalkalmazás, egy hálózati adattároló vagy akár egy nyomtató adminisztrációs felülete.
Ezeket a szolgáltatásokat általában nem célszerű egyenként publikussá tenni az internet felé.
A VPN segítségével a munkatárs először biztonságosan csatlakozhat az irodai hálózathoz, majd jogosultságainak megfelelően használhatja a számára engedélyezett belső rendszereket.
A felhasználó oldaláról ez sok esetben rendkívül egyszerű. Elindítja a VPN-klienst, létrejön a kapcsolat, majd a belső erőforrásokat ugyanazon vagy hasonló módon tudja elérni, mint az irodában.
Titkosított kapcsolat jön létre az interneten keresztül
A VPN másik fontos tulajdonsága a titkosítás.
Ha egy felhasználó például szállodai, repülőtéri vagy más nyilvános hálózatról dolgozik, különösen fontos, hogy a vállalati infrastruktúrával folytatott kommunikáció megfelelő védelemmel történjen.
A modern VPN-protokollok titkosított alagutat hoznak létre a kliens és a VPN végpontja között. Az adatforgalom ezen a kapcsolaton halad keresztül, ezért az internet köztes hálózatai nem egyszerű, olvasható formában látják a továbbított tartalmat.
Természetesen maga a VPN sem jelent minden körülmények között automatikus biztonságot. Nagyon sok múlik azon, hogy milyen protokollt használunk, hogyan kezeljük a kulcsokat, milyen hitelesítés működik, milyen jogosultságokat kapnak a felhasználók, valamint milyen hálózati szabályokat alakítunk ki.
A rosszul konfigurált VPN ugyanúgy problémát jelenthet, mint bármely más rosszul beállított hálózati szolgáltatás.
WireGuard és a modern VPN-ek
Az elmúlt években különösen népszerűvé vált a WireGuard, amely egy modern, viszonylag egyszerű felépítésű VPN-technológia. Kifejezetten jól használható olyan környezetekben, ahol szervereket, telephelyeket vagy egyedi rendszergazdai eszközöket szeretnénk egymással biztonságosan összekapcsolni.
A WireGuard egyik előnye, hogy megfelelő konfiguráció mellett rendkívül gyors és alacsony többletterheléssel működik. Emiatt szerveres környezetben is jól használható.
Természetesen továbbra is léteznek más megoldások, például az OpenVPN vagy az IPsec különböző változatai. Hogy melyiket érdemes választani, az mindig az adott hálózattól, a használt eszközöktől és az elvárt kompatibilitástól függ.
Nem önmagában a protokoll neve határozza meg egy rendszer biztonságát, hanem a teljes konfiguráció.
Telephelyeket is össze lehet kapcsolni VPN segítségével
A VPN nem feltétlenül egyetlen felhasználó és egy vállalati hálózat közötti kapcsolatot jelent.
Két különálló iroda, egy szerverterem és egy iroda, vagy akár több adatközpont is összekapcsolható VPN segítségével. Ezt gyakran site-to-site VPN-nek nevezik.
Ilyen esetben például az egyik telephely 10.10.10.0/24 hálózata VPN-en keresztül kommunikálhat egy másik telephely 10.20.20.0/24 hálózatával. A két hálózat fizikailag teljesen külön helyen található, az összeköttetés mégis úgy konfigurálható, hogy meghatározott rendszerek közvetlenül kommunikálhassanak egymással.
Ez különösen hasznos lehet biztonsági mentések, központi menedzsment, monitoring vagy több telephelyen működő vállalati rendszerek esetében.
Nem kell mindenkinek mindent elérnie
Egy jól felépített VPN-rendszer esetében rendkívül fontos a jogosultságok megfelelő kezelése.
Attól, hogy valaki VPN-kapcsolatot kap a vállalati hálózathoz, még egyáltalán nem következik, hogy a teljes infrastruktúrát el kell tudnia érni.
A pénzügyi rendszer felhasználója például elérheti kizárólag a pénzügyi szervert, miközben semmilyen hozzáférést nem kap a szerverek adminisztrációs hálózatához. A rendszergazda ezzel szemben hozzáférhet a menedzsment hálózathoz, de ennek sem szükséges automatikusan minden más belső hálózatra kiterjednie.
A tűzfalak, VLAN-ok, routing szabályok és VPN-jogosultságok kombinációjával rendkívül pontosan meghatározható, hogy egy adott felhasználó vagy eszköz mely rendszereket érheti el.
Ez sokkal biztonságosabb megközelítés annál, mintha egy sikeres VPN-bejelentkezés után automatikusan a teljes hálózat elérhetővé válna.
A VPN nem helyettesíti a tűzfalat
Fontos félreértés, hogy ha egy vállalat VPN-t használ, akkor már nincs szüksége komolyabb tűzfalszabályokra.
Valójában ennek éppen az ellenkezője igaz.
A VPN a hálózat biztonsági rendszerének csak az egyik eleme. Mellette továbbra is szükség van megfelelő tűzfalszabályokra, naplózásra, frissítésekre, jogosultságkezelésre, erős hitelesítésre és lehetőség szerint többfaktoros azonosításra.
A VPN-t úgy érdemes elképzelni, mint egy ellenőrzött bejáratot a belső hálózat felé. Attól azonban, hogy valaki belépett ezen a bejáraton, a hálózaton belül még nem kell minden ajtónak nyitva lennie.
Mi történik, ha egy VPN-fiók illetéktelen kézbe kerül?
A VPN egyik legfontosabb biztonsági kérdése a hitelesítés.
Ha egy támadó megszerzi egy felhasználó VPN-hozzáférését, bizonyos körülmények között ugyanúgy bekerülhet a vállalati hálózatba, mint a jogos felhasználó. Ezért a VPN esetében különösen fontos az erős hitelesítés.
A jelszó mellett ezért érdemes többfaktoros azonosítást alkalmazni, ahol erre lehetőség van. Kulcsalapú rendszereknél pedig megfelelően kell kezelni a privát kulcsokat, és azonnal vissza kell vonni azoknak az eszközöknek a jogosultságát, amelyek elvesztek, leselejtezésre kerültek vagy már nem használhatók.
Egy VPN-rendszert ugyanúgy folyamatosan karban kell tartani, mint bármely más infrastruktúrát.
A naplózás a VPN-nél is fontos
Üzemeltetési szempontból hasznos lehet tudni, hogy mikor, melyik felhasználó vagy eszköz kapcsolódott a vállalati hálózathoz.
Egy váratlan időpontban létrejövő VPN-kapcsolat vagy egy ismeretlen eszközről érkező hozzáférési kísérlet biztonsági eseményre is utalhat.
A megfelelő naplózás, monitoring és riasztás segítségével az ilyen események gyorsabban felismerhetők.
Nagyobb rendszerekben a VPN-naplók akár központi naplókezelő vagy monitoring rendszerbe is továbbíthatók, így az üzemeltetők nem különálló eszközökön keresik az eseményeket, hanem egy központi felületen tudják áttekinteni azokat.
A VPN nem csak biztonságot, hanem egyszerűbb hálózati felépítést is adhat
Sok esetben a VPN előnye nem kizárólag az adatbiztonság.
Egy jól megtervezett belső hálózatban az adminisztrációs szolgáltatások egységesen egy menedzsment hálózaton helyezhetők el. A rendszergazdáknak nem kell minden egyes szerver esetében külön nyilvános IP-címről, egyedi portokról vagy folyamatosan változó tűzfalszabályokról gondoskodniuk.
Csatlakoznak a VPN-hez, majd belső IP-címeken keresztül elérhetik az engedélyezett rendszereket.
Ez különösen több szerver esetében teszi átláthatóbbá az infrastruktúrát.
Az 1b.hu esetében is éppen az ilyen hálózati szemlélet lehet fontos: nem csupán egyetlen szolgáltatást kell biztonságossá tenni, hanem a teljes infrastruktúrát kell úgy kialakítani, hogy a nyilvános és az üzemeltetési célú forgalom lehetőség szerint elkülönüljön egymástól.
A VPN sem csodaszer
A VPN rendkívül hasznos technológia, de önmagában nem old meg minden informatikai biztonsági problémát.
Ha egy fertőzött számítógép csatlakozik a vállalati VPN-hez, megfelelő hálózati szegmentáció nélkül akár belső rendszereket is veszélyeztethet. Ha a felhasználók gyenge jelszavakat használnak, vagy egy VPN-szerver évek óta nem kapott biztonsági frissítést, akkor maga a távoli hozzáférési rendszer válhat támadási ponttá.
Ezért a VPN bevezetését mindig egy teljes biztonsági koncepció részeként érdemes kezelni.
Ide tartozik a rendszeres frissítés, a hozzáférések ellenőrzése, a megfelelő tűzfalszabályok kialakítása, a használaton kívüli hozzáférések megszüntetése, a hálózat szegmentálása és a naplózás is.
Egyre fontosabbá válik a biztonságos távoli elérés
A vállalati infrastruktúra egyre kevésbé kötődik egyetlen fizikai helyszínhez. A munkatársak otthonról, utazás közben vagy más telephelyekről dolgoznak, miközben a vállalati rendszerek adatközpontokban, irodákban vagy különböző felhőszolgáltatóknál működhetnek.
Ebben a környezetben a távoli hozzáférés már nem különleges lehetőség, hanem az informatikai infrastruktúra alapvető része.
A kérdés ezért ma már nem az, hogy szükség van-e távoli elérésre, hanem az, hogy azt milyen módon valósítjuk meg.
Egy megfelelően megtervezett VPN-rendszer segítségével jelentősen csökkenthető azoknak a belső szolgáltatásoknak a száma, amelyeket közvetlenül elérhetővé kell tenni az interneten. Emellett titkosított kapcsolatot biztosíthat a távoli felhasználók és a vállalati infrastruktúra között, valamint lehetővé teszi a hozzáférések központi szabályozását.
A legjobb eredményt azonban akkor kapjuk, ha a VPN nem önálló megoldásként jelenik meg, hanem megfelelő tűzfallal, hálózati szegmentációval, jogosultságkezeléssel, rendszeres frissítésekkel és folyamatos monitoringgal együtt működik.
Egy jól kialakított hálózatban a felhasználónak egyszerű maradhat a távoli hozzáférés, miközben a háttérben pontosan szabályozható, hogy ki, honnan és mely rendszereket érheti el. Ez az a megközelítés, amely hosszú távon nemcsak biztonságosabbá, hanem átláthatóbbá és könnyebben üzemeltethetővé is teheti az irodai és szerveres infrastruktúrát.