Täiustatud võrgusilma VPN-võrk: täielik juhend ettevõtetele

Informatec Digital » Ressursid » Täiustatud võrgusilma VPN-võrk: täielik juhend ettevõtetele

Kui ettevõte kasvab ja laieneb mitmesse kontorisse, pilveteenuse pakkujate ja kaugtöötajate hulka , ei ole kõige turvaline ja kiire ühendamine enam valikuline ja muutub ärikriitilise tähtsusega. Traditsioonilised punkt-punkti VPN-tehnoloogiad jäävad paindlikkuse ja rikketaluvuse osas alla ootuste ning just siin tulebki mängu täiustatud võrgusilma VPN.

Selline arhitektuur võimaldab igal saidil või liikluse allikal luua otseseid krüpteeritud tunneleid kõigi teiste asukohtadega , vältides kitsaskohti ühes jaoturis ning pakkudes kõrget käideldavust, paremat jõudlust ja sujuvat integratsiooni tänapäevaste lähenemisviisidega, nagu nullusaldus või hübriidkeskkonnad (kohapealne + pilv). Selles artiklis selgitame, kuidas need võrgud töötavad, millised on nende tehnilised nõuded (IPsec, IKE, BGP, ruuterid ja tulemüürid) ning kuidas need sobivad kokku praeguste võrgusilma WiFi-lahenduste ja hallatud teenustega.

Mis on täiustatud võrgusilma VPN-võrk ja kuidas see teistest mudelitest erineb?

Täiustatud võrgusilma VPN on topoloogia, kus iga sait loob VPN-tunnelid iga teise saidiga , seega ei sõltu kahe punkti vaheline suhtlus kolmanda osapoole olemasolust ega vahendajana tegutsemisest. Seda konfiguratsiooni tuntakse ka täisvõrgu või detsentraliseeritud VPN-ina.

Klassikalise sõlmpunkti-ja-kodarate disaini (kõik asukohad ripuvad keskse jaoturi küljes) asemel valib täiustatud võrk hajutatud arhitektuuri , mis sobib ideaalselt olukordades, kus ressursid on hajutatud mitme asukoha vahel või kui on vaja vastupidavaid äriprotsesse, mis toimivad edasi ka siis, kui ühes asukohas on ühenduvusprobleeme.

Tüüpilises stsenaariumis loob iga tulemüür või turvaseade – näiteks iga asukoha Firebox – IPsec-tunnelid teistesse seadmetesse. Kui peakontor peaks maas olema, jätkavad harukontor ja jaotuskeskus otse VPN-i kaudu suhtlemist, ilma peakorterit läbimata.

See lähenemisviis sobib väga hästi nullusaldusvõrgu strateegiatega , kus turvalisus on kavandatud eeldusel, et võrgu mis tahes osa võib rikki minna või ohtu sattuda, ning kus prioriteediks on otsast lõpuni krüptimine, segmenteerimine ja vastupidavus.

Kasutusjuhud: mitme asukohaga ettevõttest kuni pilvepõhiste hübriidkeskkondadeni

Täiustatud võrgusilma VPN-i väga levinud kasutusjuhtum on organisatsioon, millel on mitu asukohta: näiteks kolokeerimiskeskus (Colo), peakontor (Corp), jaotuskeskus (Dist) ja väike kaugkontor (RMT). Selles kontekstis vajab iga asukoht otsest ja turvalist juurdepääsu teiste ressurssidele.

Sellise disaini puhul võivad ühes asukohas eksisteerida unikaalsed ressursid (näiteks kriitiline ERP peakorteris või ettevõtte failiserver ), seega on kõigi asukohtade vaheline usaldusväärne ühenduvus hädavajalik. Mida rohkem kaugemaid kontoreid lisatakse, seda olulisemaks muutub, et süsteem toetaks uute sõlmede lisamist ilma kõike ümber konfigureerimata.

Kui enamik ressursse on koondatud ühte kohta, võib klassikaline tsentraliseeritud arhitektuur siiski mõttekas olla . Kui aga andmed ja rakendused on hajutatud või kui on äriprotsesse, mis nõuavad otsest suhtlust asukohtade vahel (näiteks logistikakeskuste pidev sünkroniseerimine), pakub täielikult integreeritud võrk suuremat paindlikkust ja rikketaluvust.

Eriti levinud stsenaarium on kohapealsete võrkude ja pilve kombineerimine , näiteks ühendades kohapealsed võrgud Azure'iga VPN-lüüsi kaudu ja luues ka virtuaalseid võrke virtuaalseks võrguks (VNet-to-VNet) ühendusi. Nendes hübriidkeskkondades on võrgutopoloogiad ja täiustatud koondamismehhanismid teenuse järjepidevuse tagamiseks võtmetähtsusega.

Täiustatud võrgusilma VPN-võrgu olulised tehnilised komponendid

Sildi „võrgusilma VPN” taga peitub rida väga spetsiifilisi tehnilisi komponente, mis selle maagia võimalikuks teevad. Laiemalt öeldes räägime täiustatud VPN-i turvafunktsioonidest, nagu IPsec andmete krüptimiseks ja IKE (Internet Key Exchange) võtmete vahetamiseks ja turvaparameetrite läbirääkimiseks lõpp-punktide vahel.

Tüüpilises Fireboxi või muus järgmise põlvkonna tulemüüri konfiguratsioonis määratleb iga sait haruväravad ja tunnelid , mis ühenduvad teiste saitide võrkudega. Näiteks nelja asukohaga organisatsioonis on igal saidil kolm haru VPN-lüüsi ja kolm seotud tunnelit (üks iga teise saidiga).

Konfiguratsiooni hallatakse tavaliselt spetsiaalsete tööriistade abil (näiteks Fireware'i poliitikahaldur), kus saab vaadata ja reguleerida nii haruvõrke kui ka haru VPN-tunneleid , samuti tunnelimarsruute, mida on vaja liikluse edastamiseks kohalike ja kaugete alamvõrkude vahel.

Võrgusilma võrkude stsenaariumides on väga oluline detail tunnelimarsruutide määratlemisel koondatud alamvõrkude kasutamine, selle asemel et iga kohalikku võrku eraldi loetleda. Näiteks saab tunneli "Colo-RMT" määratleda nii, et see kasutab alamvõrku 172.16.0.0/16, et esindada kõiki Colo sisemisi võrke (nt 172.16.1.0 ja 172.16.2.0), nii et üks tunnelimarsruutide paar saab katta mitu segmenti mitme tunneli asemel.

See vähendab drastiliselt vajalike tunnelimarsruutide arvu, eriti väikestes kontorites, mis peavad jõudma vaid piiratud hulga kaugete alamvõrkudeni. Kui aga on vaja väga täpset liikluse juhtimist , saab määratleda individuaalsed võrgud, mis aga nõuab suuremat konfigureerimis- ja haldustööd.

Infrastruktuuri nõuded: ribalaius, riistvara ja töökindlus

Täiustatud võrgusilma VPN on definitsiooni järgi nõudlikum kui lihtne seadistus. Iga tunnel hõlmab krüpteerimis- ja kapseldamisprotsesse , seega on VPN-i kasutatav ribalaius alati mõnevõrra väiksem kui ühenduse füüsiline kiirus.

Seetõttu peavad ettevõtted tagama, et saitidevahelistel ühendustel (kiudoptika, MPLS, suure mahutavusega internet jne) on piisav ribalaius , et toetada tunnelite kaudu voolavat krüptitud liiklust. See on eriti oluline kohtades, kus asuvad unikaalsed ressursid või mis toimivad sidekeskustena.

Sama oluline on igas punktis kasutatava turvaseadme tüüp (näiteks saidi suurusele vastav Firebox; vaadake ruuteri kasutusjuhendeid ja andmelehti ). Igal mudelil on kindel maksimaalne VPN-kiirus ja samaaegne tunneli läbilaskevõime, seega pole kitsaskohtade vältimiseks soovitatav seda seadet aladimensioneerida.

Praktikas sõltub VPN-tunnelite arv tavaliselt ühendatavate kohalike ja kaugvõrkude arvust (nagu on määratletud tunneli marsruutides). Tüüpilises kontoris on arvutus ligikaudne kohalike võrkude arv korrutatud kaugvõrkude arvuga, välja arvatud juhul, kui kasutatakse koondatud alamvõrke.

Samuti on oluline tagada usaldusväärne ühenduvus kriitilisi teenuseid majutavates kohtades. Kuigi võrgusarhitektuur talub tõrkeid isoleeritud sõlmes, siis kui see sõlm sisaldab olulisi rakendusi või andmeid, põhjustab iga ühenduvusprobleem selles punktis teenusekatkestusi ülejäänud saitides.

IPsec, IKE ja turvaprofiilid: VPN-i süda

Täiustatud võrgusilma VPN-võrk tugineb protokolli tasandil IPseci (andmete krüptimine ) ja IKE (Internet Key Exchange) (võtmevahetus ja turvaparameetrite läbirääkimised lõpp-punktide vahel ) kombinatsioonile .

IKE on protokoll, mis loob kahe punkti vahel turvaühenduse (SA); see tähendab vastastikust kokkulepet liikluse krüpteerimise ja autentimise kohta. VPN-i usaldusväärseks toimimiseks peavad mõlema poole IKE-poliitikad kõigis asjakohastes parameetrites (autentimismeetod, krüpteerimis- ja autentimisalgoritmid, Diffie-Hellmani rühmad, eluiga jne) ühtima.

Sellistes ruuterites nagu Cisco RV110W on määratletud IKE-poliitika , mis näitab muuhulgas vahetusrežiimi (primaarne või agressiivne), krüpteerimisalgoritmi (DES, 3DES, AES-128, AES-192, AES-256), autentimisalgoritmi (MD5, SHA-1, SHA2-256), eelnevalt jagatud võtit ja Diffie-Hellmani rühma (näiteks rühm 1 768 bitti, rühm 2 1024 bitti või rühm 5 1536 bitti).

Lisaks IKE-poliitikale on määratletud VPN-poliitikad , mis määravad, millist liiklust tunneli kaudu kaitstakse, milliseid võrguidentifikaatoreid kasutatakse kohaliku ja kauge otsa jaoks (üks IP-aadress või alamvõrk) ning kas poliitika on automaatne (IKE-läbirääkimistega võtmete ja parameetrite üle) või käsitsi (kõik võtmed ja SPI konfigureeritakse käsitsi mõlemas otsas).

Manuaalsed eeskirjad määravad sissetuleva ja väljamineva SPI, krüpteerimisvõtmete (Key-In ja Key-Out) ning terviklikkuse algoritmide (MD5, SHA1, SHA2-256) kuueteistkümnendsüsteemis väärtused, tagades, et kaugseade kasutab täpselt samu väärtusi, et tunnel saaks õigesti luua.

Täiustatud profiilid: „IPsec nõutav”, „IPsec valikuline” ja liikluse kustutamine

Keerukamates võrgukeskkondades luuakse lisaks klassikalisele tunnelite konfiguratsioonile saitide vahel sageli ka täiustatud ühendusprofiile , mis määravad, millal on IPseci kasutamine kohustuslik ja millal on lubatud vaba liiklus.

Näiteks saab defineerida kolm profiili: ühe, kus IPsec on kohustuslik (lubatud on ainult krüptitud liiklus), teise, kus krüptimine on valikuline (sõltuvalt sihtkohast aktsepteeritakse kas krüptitud või lihttekstilist liiklust) ja kolmanda, mis lubab ainult krüpteerimata liiklust . ipsec.conf-il põhinevates süsteemides kirjeldatakse neid profiile ühendusplokkidega (conn), mis määravad ühenduse tüübi (läbipääs või transport), autentimisrežiimi (nt rsasig sertifikaatidega), šundi parameetrid rikke korral (katkestamine või läbipääs) ning viited RSA sertifikaatidele ja võtmetele.

Tüüpiline näide on läbipääsuühendus ilma autentimiseta profiili "No IPsec" puhul, teine ​​transpordiühendus RSA allkirja autentimise ja tõrke korral lõpetamise poliitikatega profiili "IPsec required" puhul ning kolmas transpordiühendus RSA allkirjadega, kuid lubava käitumisega (läbipääs) tõrke korral profiili "IPsec optional" puhul.

Nende profiilide kombineerimine sobivate marsruutidega võimaldab rakendada adaptiivseid turvastrateegiaid , kus teatud kriitilised vood peavad alati olema krüpteeritud, samas kui teised saavad ringlusse võtta lihttekstina kõrge usaldustasemega sisevõrkudes või kasutada oportunistlikult IPsec-i, kui mõlemad pooled seda lubavad.

VPN-poliitika konfigureerimise üksikasjalik kirjeldus

Iga VPN-poliitika puhul on lisaks IKE parameetritele vaja määrata ka see, millist liiklust tunnelisse kapseldatakse . Lähte- ja sihtvõrgud valitakse tavaliselt selliste identifikaatorite abil nagu „Üksik” (üksik host) või „Alamvõrk”.

Kui valitud on „Üksik“, kehtib poliitika kindlale IP-aadressile (näiteks kindlale serverile). Kui määratletud on „Alamvõrk“, hõlmab poliitika aadresside vahemikku, mis on määratud võrgu IP ja alamvõrgu maski kombinatsiooniga ; seadmed on VPN-i poolt kaitstud, kui nende IP-aadress jääb sellesse vahemikku.

Automatiseeritud poliitikate puhul valitakse lisaks turbeassotsiatsiooni elueale (sekundites) ka krüpteerimis- ja terviklikkuse algoritmid ning valikuliselt lubatakse täiuslik edasisaladus (PFS) koos täiendava Diffie-Hellmani rühmaga. See lisab turvakihi, genereerides uusi seansivõtmeid, mis ei sõltu ainult peavõtmest.

Igal juhul tuleb tagada, et eluajad, krüpteerimisalgoritmid, terviklikkuse algoritmid, PFS-rühmad ja isegi valitud IKE-poliitika kattuksid tunneli mõlemas otsas. Vastasel juhul läbirääkimised ebaõnnestuvad või tunnel jookseb kokku, kui SA aegub ja üritatakse uuesti läbirääkimisi pidada.

Professionaalsed ruuterid pakuvad sageli lisafunktsioone, näiteks surnud partneri tuvastamist (DPD) , mis jälgib, kas partner on endiselt aktiivne, ja eemaldab ressursside vabastamiseks vananenud kirjed. DPD võimaldab tavaliselt reguleerida kontrollide sagedust ja ajalõpu enne, kui partner loetakse surnuks.

Kõrge käideldavus pilves: Azure VPN Gateway täiustatud võrgus

Kui täiustatud võrgusilma VPN ühendab kohapealseid võrke Azure'i infrastruktuuriga , tulevad mängu Azure VPN Gateway ja selle mitmesugused koondamise valikud. Vaikimisi koosneb iga Azure VPN Gateway eksemplar kahest aktiivse ooterežiimi konfiguratsioonis olevast eksemplarist.

Planeeritud hoolduse või ettenägematute intsidentide korral, kui aktiivne eksemplar muutub kättesaamatuks, võtab ooterežiimis olev eksemplar üle ja saidi-saidi (S2S) või virtuaalse võrgu-virtuaalvõrgu (V2N) tunnelid taastatakse automaatselt. Planeeritud katkestuste korral võtab taastamine tavaliselt aega 10–15 sekundit; planeerimata rikete korral võib see võtta 1–3 minutit. Punkt-saidi (P2S) VPN-kliendiühenduste puhul seansid katkestatakse ja kasutajad peavad uuesti ühenduse looma.

Kohaliku võrgu ja Azure'i vaheliste ühenduste kättesaadavuse parandamiseks saab valida mitu skeemi: kasutada mitut kohalikku VPN-seadet (näiteks kahe VPN-i installimine ), konfigureerida VPN-lüüsi eksemplare Azure'is aktiivses-aktiivses režiimis või kombineerida mõlemat topeltkoondamise saavutamiseks, mis sobib ideaalselt võrgusilma topoloogiasse.

Mitme kohapealse VPN-seadme korral luuakse igast seadmest Azure'i lüüsiga mitu S2S-ühendust, mis määratlevad iga seadme kohta eraldi kohapealse võrgulüüsi, millel kõigil on unikaalne avalik IP-aadress ja BGP partneri aadress . BGP ja võrdse hinna mehhanismi (ECMP) abil jaotatakse liiklus paralleelselt mitme aktiivse tunneli vahel.

Azure VPN Gateway aktiivses-aktiivses režiimis on igal lüüsi eksemplaril oma avalik IP-aadress ja see loob S2S IPsec/IKE tunneli kohapealse VPN-seadmega, moodustades kaks tunnelit, mis kuuluvad tegelikult samale ühendusele. Azure'is kasutatakse mõlemat tunnelit samaaegselt, suurendades kättesaadavust ja võimaldades paremat liikluse jaotust.

Täielik võrk kohapealse ja Azure'i vahel: topeltkoondamine

Kõige töökindlam variant täiustatud võrgusilma VPN-i jaoks, mis ühendab pilve- ja kohapealseid keskkondi, on konfigureerida topeltkoondamine : aktiivsed-aktiivsed väravad Azure'is ja samaaegselt mitu VPN-seadet kohapealses võrgus. Tulemuseks on omamoodi täielik võrk nelja IPsec-tunneliga Azure'i virtuaalse võrgu ja kohapealse keskkonna vahel.

Selles disainis hoitakse kõiki lüüsisid ja tunneleid Azure'i poolel aktiivsena ning liiklus jaotatakse nelja lingi vahel . Azure'i vaatenurgast järgib iga TCP/UDP voog tavaliselt sama tunnelit, kuid kombineeritud vood jaotatakse nelja vahel, mis parandab veidi üldist jõudlust ja mis kõige tähtsam, tagab väga kõrge rikketaluvuse.

Selle topoloogia rakendamiseks on vaja kahte kohalikku võrgulüüsi ja kahte erinevat ühendust kahe kohaliku VPN-seadme jaoks, mida alati toetab BGP , et võimaldada samaaegset ühendust sama kohapealse võrguga mitme ühenduse kaudu.

Sama lähenemisviisi saab rakendada ka Azure'i virtuaalsete võrkude omavahelisele ühenduvusele : igas virtuaalses võrgus luuakse aktiivsed-aktiivsed lüüsid, mis ühendatakse omavahel, et saada virtuaalvõrkude vahel neli aktiivset tunnelit. Sellisel juhul on BGP valikuline, välja arvatud juhul, kui transiitliiklust on vaja selle ühenduse kaudu suunata.

Sellise arhitektuuriga ei ole pilvevõrgud enam pelgalt kohaliku võrgu satelliidid, vaid saavad VPN-võrgu täieõiguslikeks sõlmedeks , pakkudes suurt paindlikkust töökoormuste teisaldamisel, rakenduste tasakaalustamisel ja äritegevuse järjepidevuse plaanide väljatöötamisel.

Mesh-Wi-Fi ja VPN: ideaalne kombinatsioon ettevõtte võrgus

„Võrgusilma” kontseptsioon ei piirdu ainult VPN-idega. WiFi valdkonnas on sellised lahendused nagu eero ja selle TrueMesh tehnoloogia näidanud, et mitme omavahel ühendatud pääsupunkti kasutamine on väga tõhus viis surnud tsoonide kõrvaldamiseks, katkestuste minimeerimiseks ja kardetud puhverdamise vähendamiseks kodu- ja väikekontorikeskkondades.

Selle asemel, et üks WiFi-ruuter üritaks katta kogu maja või kontorit, jaotab võrgusilma WiFi-võrk mitu eero-seadet üle kogu ruumi, võimaldades klientidel alati ühenduda lähima ja stabiilseima pääsupunktiga . TrueMesh suunab liiklust intelligentselt ümber selliste tegurite põhjal nagu sõlmede füüsiline paigutus, naabervõrkude häired ja ühendatud seadmete koormus.

Sõltuvalt interneti kasutusest soovitatakse erinevaid mudeleid: eero 6+ taskukohase gigabiti süsteemina, eero Pro 6E kuni 2 Gbps ühenduste ja paljude samaaegsete seadmete jaoks või eero Max 7 edasijõudnutele kasutajatele, kellel on WiFi 7, sadu seadmeid ja maksimaalne jõudlus vajab nii juhtmega kui ka juhtmevaba ühendust.

Kõik need seadmed ühilduvad suuremate internetipakkujatega ja omavahel, võimaldades WiFi-võrgu järkjärgulist laiendamist või uuendamist . Lisaks saavad nad automaatseid tarkvarauuendusi turvapaikade ja funktsioonide täiustustega – see on oluline punkt, kui WiFi on ettevõtte VPN-i peamine pääsupunkt.

Digitaalne kodu, turvalisus ja tsentraliseeritud haldus eero abil

Lisaks põhilisele ühenduvusele integreerivad tänapäevased eero-süsteemid nutika kodu funktsioone tänu ühilduvusele Threadi, Zigbee ja Matteriga (kasutades Alexat kontrollerina). Praktikas tähendab see, et paljud nutika kodu seadmed saavad otse eero-võrguga ühenduse luua ilma täiendavate jaoturiteta.

Eero rakendus võimaldab teil konfigureerida Threadi seadet, näiteks lubades valiku võrguseadetes → Thread või kasutada Zigbee jaoturit, integreerides oma eero ja Amazoni kontod Amazon Connected Home jaotises. Kui see on tehtud, saate ühilduvaid seadmeid lisada Alexa rakenduse või mis tahes võrgus oleva Echo kõlari abil.

Igapäevaseks haldamiseks muudab eero seadmete haldamise lihtsaks: saate seadmeid määrata individuaalsetele profiilidele (näiteks iga pereliikme seadmete grupeerimiseks), rakendada WiFi-ühenduse pausi ajakavasid (väga kasulik teatud aegadel kasutamise piiramiseks) ja iga seadet hõlpsalt ümber nimetada, et neid ilma hulluks minemata tuvastada.

Samuti on võimalik lubada teavitused , et saada teateid uue seadme võrguga liitumisel, ning luua eraldi külalisvõrk oma nime ja parooliga, hoides seeläbi põhivõrku isoleeritumana ja kontrollitumana.

Koos VPN-teenustega – näiteks eero Plus tellimuses Guardiani kaudu kaasasoleva VPN-juurdepääsuga – on kasutajal mobiiltelefonist või tahvelarvutist väliste võrkudega ühenduse loomisel täiendav krüptimiskiht , mis täiendab ideaalselt ettevõtte võrgusilma VPN-e.

Täiendavad turvateenused: eero Plus ja VPN lõppkasutajatele

Eero Plus tellimus lisab hulga täiustatud turvafunktsioone, mis on suunatud lõppkasutajatele ja väikestele organisatsioonidele: täiustatud kaitse, vanemlik kontroll, varundusinternet ja integratsioon kolme tuntud rakendusega: 1Password (paroolihaldur), Malwarebytes (pahavarakaitse) ja Guardian (VPN-teenus).

Sisufiltrite abil saavad vanemad määrata piiranguid kategooriate kaupa – ostlemine, sotsiaalmeedia, vestlused ja sõnumid, voogesitus –, nii et teatud seadmetel on juurdepääs ainult sobivale sisule. Selline kontroll toimib eriti hästi keskkondades, kus WiFi-võrk ja ettevõtte VPN jagavad sama kodutaristut.

Varundusinterneti funktsioon võimaldab eerol automaatselt ühenduse luua mobiilse leviala või muu saadaoleva võrguga, kui peamine pakkuja katkeb, ning saate valida, millised seadmed katkestuse ajal ühenduses jäävad, et optimeerida saadaolevat ribalaiust.

Isikliku turvalisuse valdkonnas pakub Malwarebytesiga integratsioon kaitset veebiohtude eest kuni kolmel ühilduval seadmel, samas kui 1Password hõlbustab volituste turvalist haldamist ja salvestamist , mis on oluline ettevõtte VPN-juurdepääsu, halduspaneelide ja pilveteenustega töötamisel.

Lõpuks pakub Guardian lõppkasutajale suunatud VPN-i , millele pääseb ligi otse eero rakendusest ja mis krüpteerib seadmest (mobiilist või tahvelarvutist) internetti suunduva liikluse, mis sobib ideaalselt avalike või ebausaldusväärsete WiFi-võrkude ühenduste jaoks. Kuigi seda tüüpi VPN ei asenda täiustatud ettevõtte võrgusilmavõrku, täiendab see lõppkasutaja kaitset väga hästi.

Asukoha-koha VPN: tugeva disaini alustalad

Ettevõtte kontekstis on iga täiustatud võrgusilma VPN-võrk põhimõtteliselt üles ehitatud mitmest saidi-saidi VPN-ist . Selleks, et need ühendused oleksid töökindlad ja hõlpsasti mastaapselt kasutatavad, on oluline hoolitseda viie põhikomponendi eest.

Esimene on ettevõtete tehnoloogiline turvalisus : tugevate krüptograafiliste algoritmide (AES 128/192/256-bitiste võtmetega, SHA-2) kasutamine, nõuetekohane võtmehaldus, PFS, DPD ja perimeetriseadmete head turvameetmed.

Teine sammas on kasutusmugavus : ühtsed poliitikad eri asukohtades, korduvkasutatavad konfiguratsioonimallid, tsentraliseeritud haldus- ja jälgimisvahendid ning selged protsessid uute asukohtade lisamiseks või parameetrite muutmiseks.

Kolmandaks on lihtne ja turvaline skaleeritavus , mis tähendab võimalust lisada asukohti ilma kogu topoloogiat ümber kujundamata, kasutades ära selliseid tehnikaid nagu alamvõrgu koondamine, BGP kasutamine dünaamiliseks marsruutimiseks ja juurutamise automatiseerimine.

Kaks viimast sammast on äritegevuse järjepidevus – tagades, et sõlme või lingi rike ei jäta saite isoleerituks – ja paindlik rakendamine , st võime juurutada VPN-i erinevates keskkondades (kohapealne, avalik pilv, mitu pilve), säilitades samal ajal ühtsed turvapoliitikad.

Hallatud VPN-teenused ja spetsiaalsed turvatooted

Paljude organisatsioonide jaoks, eriti nende jaoks, kellel pole suurt ettevõttesisest võrgu- ja turvameeskonda, võib hallatud VPN-teenuste kasutamine olla väga mõistlik otsus. Need teenused tellivad osa keerukusest alltöövõtjalt: topoloogia kujundamise, riistvara valiku, IPsec/IKE poliitika konfigureerimise, ööpäevaringse jälgimise, intsidentidele reageerimise ja pideva hoolduse.

Turvalisuse pakkujad, näiteks Fortinet, pakuvad spetsiaalseid tooteid ja teenuseid saidi-saidi VPN-ide ja täiustatud võrgusilmavõrkude loomiseks ja haldamiseks, integreerides tulemüüre, SD-WAN-i, süvapaketikontrolli, veebifiltreerimist ja muid kaitsekihte. Sel viisil lakkab VPN olemast lihtne "krüptitud tunnel" ja saab kihilise turvaarhitektuuri üheks komponendiks.

Suurtes võrkudes, kus on kümneid või sadu saite, vähendavad need lahendused drastiliselt operatiivkoormust: need võimaldavad teil määratleda globaalseid poliitikaid , juurutada neid mitmesse seadmesse, hallata sertifikaate, püsivara värskendusi ja konfiguratsioonimuudatusi orkestreeritud viisil ning saada tsentraliseeritud ülevaate kõigi tunnelite olekust.

Olenemata sellest, kas valite ettevõttesisese halduse või allhanke korras teenuse, on võtmetähtsusega see, et võrgusilma VPN peaks organisatsiooniga sammu pidama: toetades uusi asukohti, uusi pilveteenuseid, liikluse järsku kasvu ja turvavajaduste muutusi, ilma et see äritegevusele takistuseks muutuks.

Täiustatud võrgusilma VPN-i kavandamine ja käitamine hõlmab hajutatud arhitektuuri kombineerimist mitme saidi vahel, hoolikat IPsec/IKE konfiguratsiooni, kõrge käideldavuse strateegiaid (nii kohapeal kui ka pilves), usaldusväärset võrgusilma WiFi-vundamenti ja paljudel juhtudel täiendavaid turva- ja haldusteenuseid. Kõigi nende elementide integreerimise abil – alates „IPsec nõutav/valikuline” profiilidest ja aktiivsest-aktiivsest koondamiseni kuni BGP, selliste lahendusteni nagu eero Plus ja professionaalsete tulemüüriplatvormideni – saavad organisatsioonid luua turvalisi, skaleeritavaid ja rikketaluvaid võrke, mis ühendavad kontoreid, kodusid ja pilve, ohverdamata jõudlust või paindlikkust.