Uzlabots tīkla VPN tīkls: pilnīgs ceļvedis uzņēmumiem

Informatec Digital » Resursi » Uzlabots tīkla VPN tīkls: pilnīgs ceļvedis uzņēmumiem

Kad uzņēmums aug un izplešas, aptverot vairākus birojus, mākoņvietnes un attālinātus darbiniekus , droša un ātra visa savienošana vairs nav izvēles iespēja un kļūst kritiski svarīga uzņēmējdarbībai. Tradicionālajām tiešajām VPN tehnoloģijām trūkst elastības un kļūdu tolerances, un tieši šeit noder uzlabotais tīkla VPN.

Šāda veida arhitektūra ļauj katrai vietnei vai datplūsmas avotam izveidot tiešus šifrētus tuneļus ar visām pārējām atrašanās vietām , izvairoties no sastrēgumiem vienā centrmezglā un piedāvājot augstu pieejamību, uzlabotu veiktspēju un nemanāmu integrāciju ar modernām pieejām, piemēram, nulles uzticēšanās vai hibrīdvidēm (lokālā vide + mākonis). Šajā rakstā mēs aplūkosim, kā darbojas šie tīkli, to tehniskās prasības (IPsec, IKE, BGP, maršrutētāji un ugunsmūri) un kā tie atbilst pašreizējiem tīkla Wi-Fi risinājumiem un pārvaldītajiem pakalpojumiem.

Kas ir uzlabots tīkla VPN tīkls un kā tas atšķiras no citiem modeļiem?

Uzlabots tīkla VPN ir topoloģija, kurā katra vietne izveido VPN tuneļus ar katru citu vietni , tāpēc saziņa starp jebkuriem diviem punktiem nav atkarīga no trešās puses pieejamības vai starpnieka darbības. Šī konfigurācija ir pazīstama arī kā pilna tīkla vai decentralizēts VPN.

Klasiskā centrmezgla un spieķu dizaina vietā (visas atrašanās vietas karājas pie centrālā mezgla), uzlabotais režģis izvēlas izkliedētu arhitektūru , kas ir ideāli piemērota, ja resursi ir izkliedēti vairākās atrašanās vietās vai ja ir nepieciešami elastīgi biznesa procesi, kas turpina darboties pat tad, ja vienā atrašanās vietā ir savienojamības problēmas.

Tipiskā scenārijā katrs ugunsmūris vai drošības ierīce, piemēram, Firebox katrā vietnē, izveido IPsec tuneļus ar citām ierīcēm. Ja korporatīvais birojs nedarbojas, filiāle un izplatīšanas centrs turpina tieši sazināties, izmantojot VPN, neizmantojot galveno mītni.

Šī pieeja ļoti labi atbilst nulles uzticēšanās tīkla stratēģijām , kur drošība tiek izstrādāta, pieņemot, ka jebkura tīkla daļa var neizdoties vai tikt apdraudēta, un kur prioritāte tiek piešķirta pilnīgai šifrēšanai, segmentācijai un noturībai.

Lietošanas gadījumi: no daudzvietu uzņēmuma līdz hibrīdvidei ar mākoņpakalpojumiem

Ļoti bieži uzlabots tīkla VPN lietošanas gadījums ir organizācija ar vairākām atrašanās vietām: piemēram, izvietošanas iestāde (Colo), korporatīvais galvenais birojs (Corp), izplatīšanas centrs (Dist) un neliels attālināts birojs (RMT). Šajā kontekstā katrai vietnei ir nepieciešama tieša un droša piekļuve citu vietņu resursiem.

Šāda veida projektā unikāli resursi var atrasties vienā no atrašanās vietām (piemēram, kritiska ERP sistēma galvenajā mītnē vai uzņēmuma failu serveris ), tāpēc ir svarīgi nodrošināt uzticamu savienojamību starp visām vietnēm . Jo vairāk attālinātu biroju tiek pievienoti, jo svarīgāk ir tas, lai sistēma atbalstītu jaunu mezglu pievienošanu, neveicot visu pārkonfigurēšanu.

Ja lielākā daļa resursu ir koncentrēti vienuviet, klasiska centralizēta arhitektūra joprojām var būt jēgpilna . Tomēr, ja dati un lietojumprogrammas ir izkliedētas vai ja ir biznesa procesi, kuriem nepieciešama tieša saziņa starp vietnēm (piemēram, pastāvīga sinhronizācija starp loģistikas centriem), pilnībā integrēts tīkls piedāvā lielāku elastību un kļūdu toleranci.

Īpaši izplatīts scenārijs ir lokālo tīklu un mākoņa apvienošana , piemēram, savienojot lokālos tīklus ar Azure, izmantojot VPN vārteju, un izveidojot arī virtuālu tīklu savstarpēju (VNet-to-VNet) savienojumus. Šajās hibrīdvidēs tīkla topoloģijas un uzlaboti redundances mehānismi ir galvenie pakalpojumu nepārtrauktības nodrošināšanai.

Uzlabota tīkla VPN tīkla svarīgākās tehniskās sastāvdaļas

Aiz apzīmējuma “režģa VPN” slēpjas virkne ļoti specifisku tehnisku komponentu, kas padara šo maģiju iespējamu. Plašākā nozīmē mēs runājam par uzlabotām VPN drošības funkcijām , piemēram, IPsec datu šifrēšanai un IKE (Internet Key Exchange) atslēgu apmaiņai un drošības parametru sarunām starp galapunktiem.

Tipiskā Firebox vai citā nākamās paaudzes ugunsmūra konfigurācijā katra vietne definē atzaru vārtejas un tuneļus , kas savienojas ar citu vietņu tīkliem. Piemēram, organizācijā ar četrām atrašanās vietām katrai vietnei būs trīs atzaru VPN vārtejas un trīs saistītie tuneļi (pa vienam uz katru no pārējām vietnēm).

Konfigurāciju parasti pārvalda, izmantojot īpašus rīkus (piemēram, Policy Manager programmā Fireware), kur var skatīt un pielāgot gan filiāļu vārtejas , gan filiāļu VPN tuneļus , kā arī tuneļu maršrutus, kas nepieciešami datplūsmas pārvietošanai starp lokālajiem un attālajiem apakštīkliem.

Ļoti svarīga detaļa tīkla tīklošanas scenārijos ir apkopotu apakštīklu izmantošana , definējot tuneļu maršrutus, nevis katru lokālo tīklu uzskaitot atsevišķi. Piemēram, tuneli "Colo uz RMT" var definēt tā, lai tas izmantotu apakštīklu 172.16.0.0/16, lai attēlotu visus Colo iekšējos tīklus (piemēram, 172.16.1.0 un 172.16.2.0), lai viens tuneļu maršrutu pāris varētu aptvert vairākus segmentus, nevis vairākus tuneļus.

Tas ievērojami samazina nepieciešamo tuneļu maršrutu skaitu, īpaši mazos birojos, kuriem nepieciešams sasniegt tikai ierobežotu attālo apakštīklu kopu. Tomēr, ja nepieciešama ļoti precīza datplūsmas kontrole , var definēt atsevišķus tīklus, kas prasa lielāku konfigurācijas un administrēšanas darbu.

Infrastruktūras prasības: joslas platums, aparatūra un uzticamība

Uzlabots tīkla VPN pēc definīcijas ir prasīgāks nekā vienkārša iestatīšana. Katrs tunelis ietver šifrēšanas un iekapsulēšanas procesus , tāpēc VPN izmantojamais joslas platums vienmēr būs nedaudz mazāks par saites fizisko ātrumu.

Tāpēc uzņēmumiem ir jānodrošina, ka savienojumiem starp vietnēm (optiskā šķiedra, MPLS, lielas ietilpības internets utt.) ir pietiekams joslas platums , lai atbalstītu šifrēto datplūsmu, kas plūdīs caur tuneļiem. Tas ir īpaši svarīgi vietās, kurās atrodas unikāli resursi vai kas darbojas kā sakaru centri.

Tikpat svarīgs ir katrā punktā izvietotās drošības ierīces veids (piemēram, Firebox, kas atbilst vietnes lielumam; skatiet maršrutētāja rokasgrāmatas un datu lapas ). Katrs modelis piedāvā noteiktu maksimālo VPN ātrumu un vienlaicīgu tuneļa jaudu, tāpēc nav ieteicams pārāk mazs šī aprīkojuma izmērs, lai izvairītos no sastrēgumiem.

Praktiski VPN tuneļu skaits parasti ir atkarīgs no savienojamo lokālo un attālo tīklu skaita (kā definēts tuneļu maršrutos). Tipiskā birojā aprēķins ir aptuveni lokālo tīklu skaita un attālo tīklu skaita reizinājums, ja vien netiek izmantoti apkopoti apakštīkli.

Ir arī svarīgi nodrošināt uzticamu savienojamību vietnēs, kurās tiek mitināti kritiski svarīgi pakalpojumi. Lai gan režģa arhitektūra pieļauj kļūmes izolētā mezglā, ja šajā mezglā ir svarīgas lietojumprogrammas vai dati, jebkura savienojamības problēma šajā brīdī izraisīs pakalpojumu pārtraukumus pārējās vietnēs.

IPsec, IKE un drošības profili: VPN pamatā

Uzlabots tīkla VPN tīkls protokola līmenī balstās uz IPsec datu šifrēšanai un IKE (interneta atslēgu apmaiņas) kombināciju atslēgu apmaiņai un drošības parametru sarunām starp galapunktiem.

IKE ir protokols, kas izveido drošības asociāciju (SA) starp diviem punktiem; tas ir, savstarpēju vienošanos par to, kā datplūsma tiks šifrēta un autentificēta. Lai VPN darbotos droši, abu pušu IKE politikām ir jāsakrīt visos attiecīgajos parametros (autentifikācijas metode, šifrēšanas un autentifikācijas algoritmi, Difī-Helmana grupas, dzīves ilgums utt.).

Maršrutētājos, piemēram, Cisco RV110W, ir definēta IKE politika , kas cita starpā norāda apmaiņas režīmu (primārais vai agresīvais), šifrēšanas algoritmu (DES, 3DES, AES-128, AES-192, AES-256), autentifikācijas algoritmu (MD5, SHA-1, SHA2-256), iepriekš koplietoto atslēgu un Difī-Helmana grupu (piemēram, 1. grupa ar 768 bitiem, 2. grupa ar 1024 bitiem vai 5. grupa ar 1536 bitiem).

Papildus IKE politikai ir definētas VPN politikas , kas nosaka, kāda datplūsma tiek aizsargāta caur tuneli, kādi tīkla identifikatori tiek izmantoti lokālajiem un attālajiem galiem (viena IP adrese vai apakštīkls) un vai politika ir automātiska (ar IKE atslēgu un parametru sarunām) vai manuāla (visas atslēgas un SPI tiek konfigurēti manuāli abos galos).

Manuālās politikas nosaka heksadecimālās vērtības ienākošajiem un izejošajiem SPI, šifrēšanas atslēgām (Key-In un Key-Out) un integritātes algoritmiem (MD5, SHA1, SHA2-256), nodrošinot, ka attālā ierīce izmanto tieši tās pašas vērtības, lai tuneli varētu pareizi izveidot.

Paplašinātie profili: “IPsec nepieciešams”, “IPsec pēc izvēles” un notīrīt datplūsmu

Sarežģītākās tīkla tīkla vidēs papildus klasiskajai tuneļu konfigurācijai starp vietnēm bieži tiek izveidoti arī uzlaboti savienojuma profili , kas nosaka, kad IPsec izmantošana ir obligāta un kad ir atļauta brīva datplūsma.

Piemēram, var definēt trīs profilus: vienu, kurā IPsec ir obligāts (atļauta tikai šifrēta datplūsma), otru, kurā šifrēšana nav obligāta (atkarībā no galamērķa tiek pieņemta vai nu šifrēta, vai vienkārša teksta datplūsma), un trešo, kurā ir atļauta tikai nešifrēta datplūsma . Sistēmās, kuru pamatā ir ipsec.conf, šie profili tiek aprakstīti ar savienojuma blokiem (conn), kas norāda savienojuma veidu (passthrough vai transport), autentifikācijas režīmu (piemēram, rsasig ar sertifikātiem), šunta parametrus kļūmes gadījumā (drop vai passthrough) un atsauces uz RSA sertifikātiem un atslēgām.

Tipisks piemērs ir caurlaides savienojums bez autentifikācijas profilam "Nav IPsec", cits transporta savienojums ar RSA paraksta autentifikāciju un kļūmes pārtraukšanas politikām profilam "IPsec nepieciešams", un trešais transporta savienojums ar RSA parakstiem, bet ar atļautu darbību (caurlaide) kļūmes gadījumā profilam "IPsec neobligāts".

Šo profilu apvienošana ar atbilstošajiem maršrutiem ļauj ieviest adaptīvas drošības stratēģijas , kur noteiktas kritiskās plūsmas vienmēr ir jāšifrē, bet citas var cirkulēt vienkāršā tekstā augstas uzticamības iekšējos tīklos vai oportūnistiski izmantot IPsec, ja to atļauj abi gali.

VPN politikas konfigurācijas detalizēta informācija

Katrai VPN politikai papildus IKE parametriem ir jānorāda, kura datplūsma tiks iekapsulēta tunelī . Avota un mērķa tīkli parasti tiek izvēlēti, izmantojot tādus identifikatorus kā "Viens" (viens resursdators) vai "Apakštīkls".

Ja ir atlasīta opcija “Viena”, politika attiecas uz konkrētu IP adresi (piemēram, konkrētu serveri). Ja ir definēta opcija “Apakštīkls”, politika aptver adrešu diapazonu, ko nosaka tīkla IP adreses un apakštīkla maskas kombinācija ; ierīces aizsargā VPN, ja to IP adreses ietilpst šajā diapazonā.

Automatizētu politiku gadījumā papildus drošības asociācijas darbības laikam (sekundēs) tiek atlasīti šifrēšanas un integritātes algoritmi, un pēc izvēles tiek iespējota pilnīga pārsūtīšanas slepenība (PFS) ar papildu Difī-Helmana grupu. Tas pievieno drošības slāni, ģenerējot jaunas sesijas atslēgas, kas nav atkarīgas tikai no galvenās atslēgas.

Jebkurā scenārijā ir jānodrošina, lai dzīves ilgumi, šifrēšanas algoritmi, integritātes algoritmi, PFS grupas un pat atlasītā IKE politika sakristu abos tuneļa galos. Pretējā gadījumā sarunas neizdosies vai tunelis avarēs, kad beigsies SA termiņš un tiks mēģināts atkārtoti vienoties.

Profesionālas klases maršrutētāji bieži piedāvā papildu funkcijas, piemēram, mirušu līdzinieku noteikšanu (DPD) , kas uzrauga, vai līdzinieks joprojām ir aktīvs, un noņem novecojušus ierakstus, lai atbrīvotu resursus. DPD parasti ļauj pielāgot pārbaužu biežumu un taimautu, pirms līdzinieks tiek uzskatīts par "mirušu".

Augsta pieejamība mākonī: Azure VPN vārteja uzlabotā režģa vidē

Kad uzlabots tīkla VPN savieno lokālos tīklus ar Azure infrastruktūru , tiek izmantota Azure VPN Gateway un tās dažādās redundances opcijas. Pēc noklusējuma katra Azure VPN Gateway instance sastāv no divām instancēm aktīvās gaidīšanas režīma konfigurācijā.

Plānotas apkopes vai neparedzētu incidentu gadījumā, ja aktīvā instance kļūst nepieejama, rezerves instance pārņem darbību, un vietņu savstarpējās (S2S) vai virtuālo tīklu savstarpējās (V2N) tuneļi tiek automātiski atjaunoti. Plānotu darbības pārtraukumu gadījumā atkopšana parasti aizņem 10–15 sekundes; neplānotu kļūmju gadījumā tas var ilgt 1–3 minūtes. Punktu-vietņu (P2S) VPN klienta savienojumu gadījumā sesijas tiek pārtrauktas, un lietotājiem ir jāatjauno savienojums.

Lai uzlabotu savienojumu pieejamību starp lokālo tīklu un Azure, var izvēlēties vairākas shēmas: izmantot vairākas lokālās VPN ierīces (piemēram, instalējot divus VPN ), konfigurēt VPN vārtejas instances aktīvi aktīvā režīmā pakalpojumā Azure vai apvienot abas, lai nodrošinātu dubultu redundanci, kas lieliski iederas tīkla topoloģijā.

Ar vairākām lokālajām VPN ierīcēm no katras ierīces tiek izveidoti vairāki S2S savienojumi ar Azure vārteju, definējot atsevišķu lokālo tīkla vārteju katrai ierīcei, katram ar unikālu publisku IP adresi un BGP partnera adresi . Izmantojot BGP un vienādas izmaksas par mehānismu (ECMP), datplūsma tiek paralēli sadalīta vairākos aktīvos tuneļos.

Azure VPN vārtejas aktīvajā-aktīvajā režīmā katrai vārtejas instancei ir sava publiska IP adrese, un tā izveido S2S IPsec/IKE tuneli ar lokālo VPN ierīci, veidojot divus tuneļus, kas faktiski pieder vienam un tam pašam savienojumam. Pakalpojumā Azure abi tuneļi tiek izmantoti vienlaicīgi, palielinot pieejamību un nodrošinot labāku datplūsmas sadali.

Pilnīgs tīkls starp lokālo vidi un Azure: dubulta redundanci

Visizturīgākais uzlabota tīkla VPN risinājums, kas apvieno mākoņa un lokālo vidi, ir konfigurēt divkāršu redundanci : aktīvi aktīvus vārtejus pakalpojumā Azure un vienlaikus vairākas VPN ierīces lokālajā tīklā. Rezultāts ir sava veida pilnīgs tīkls ar četriem IPsec tuneļiem starp Azure virtuālo tīklu un lokālo vidi.

Šajā projektā visi vārtejas un tuneļi tiek uzturēti aktīvi Azure pusē, un datplūsma tiek sadalīta pa četrām saitēm . Katra TCP/UDP plūsma parasti seko vienam un tam pašam tunelim no Azure perspektīvas, bet apvienotās plūsmas tiek sadalītas pa četrām saitēm, kas nedaudz uzlabo kopējo veiktspēju un, pats galvenais, nodrošina ļoti augstu kļūdu toleranci.

Lai ieviestu šo topoloģiju, ir nepieciešamas divas lokālā tīkla vārtejas un divi dažādi savienojumi divām lokālajām VPN ierīcēm, ko vienmēr dublē BGP , lai nodrošinātu vienlaicīgu savienojumu ar to pašu lokālo tīklu, izmantojot vairākus savienojumus.

To pašu pieeju var piemērot virtuālo tīklu savienojamībai pakalpojumā Azure: katrā virtuālajā tīklā tiek izveidoti aktīvi aktīvi vārtejas un savienotas viena ar otru, lai iegūtu arī četrus aktīvus tuneļus starp virtuālajiem tīkliem. Šajā gadījumā BGP ir neobligāts, ja vien tranzīta datplūsma nav jānovirza caur šo savienojumu.

Izmantojot šāda veida arhitektūru, mākoņtīkli vairs nav tikai lokālā tīkla satelīti un kļūst par pilnvērtīgiem mezgliem VPN tīklā , nodrošinot lielu elastību, pārvietojot darba slodzes, līdzsvarojot lietojumprogrammas un izstrādājot biznesa nepārtrauktības plānus.

Mesh Wi-Fi un VPN: ideāla kombinācija korporatīvajā tīklā

"Mesh" jēdziens neaprobežojas tikai ar VPN. Wi-Fi jomā tādi risinājumi kā eero un tā TrueMesh tehnoloģija ir pierādījuši, ka vairāku savstarpēji savienotu piekļuves punktu izmantošana ir ļoti efektīvs veids, kā novērst mirušās zonas, samazināt pārtraukumus un samazināt nevēlamo buferizāciju mājas un mazo biroju vidē.

Tā vietā, lai viens Wi-Fi maršrutētājs mēģinātu aptvert visu māju vai biroju, tīkla Wi-Fi tīkls izkliedē vairākas eero ierīces visā telpā, ļaujot klientiem vienmēr izveidot savienojumu ar tuvāko un stabilāko piekļuves punktu . TrueMesh inteliģenti novirza datplūsmu, pamatojoties uz tādiem faktoriem kā mezglu fiziskais izkārtojums, traucējumi no kaimiņu tīkliem un pievienoto ierīču slodze.

Atkarībā no interneta lietojuma tiek ieteikti dažādi modeļi: eero 6+ kā pieejama gigabitu sistēma, eero Pro 6E savienojumiem līdz 2 Gbps un daudzām vienlaicīgām ierīcēm vai eero Max 7 pieredzējušiem lietotājiem ar Wi-Fi 7, simtiem ierīču un maksimālai veiktspējai, kam nepieciešams gan vadu, gan bezvadu savienojums.

Visas šīs ierīces ir saderīgas ar lielākajiem interneta pakalpojumu sniedzējiem un savā starpā, ļaujot pakāpeniski paplašināt vai uzlabot Wi-Fi tīklu . Turklāt tās saņem automātiskus programmatūras atjauninājumus ar drošības ielāpiem un funkciju uzlabojumiem, kas ir ļoti svarīgi, ja Wi-Fi ir galvenais piekļuves punkts korporatīvajam VPN.

Digitālā māja, drošība un centralizēta pārvaldība ar eero

Papildus pamata savienojamībai mūsdienu eero sistēmas integrē viedās mājas funkcijas , pateicoties saderībai ar Thread, Zigbee un Matter (izmantojot Alexa kā kontrolieri). Praksē tas nozīmē, ka daudzas viedās mājas ierīces var tieši izveidot savienojumu ar eero tīklu, neizmantojot papildu centrmezglus.

Lietotne eero ļauj konfigurēt Thread ierīci, piemēram, iespējojot šo opciju sadaļā Tīkla iestatījumi → Thread , vai izmantot Zigbee centrmezglu, integrējot savus eero un Amazon kontus sadaļā Amazon Connected Home. Kad tas ir izdarīts, varat pievienot saderīgas ierīces, izmantojot lietotni Alexa vai jebkuru tīklā esošo Echo skaļruni.

Ikdienas pārvaldībai eero atvieglo ierīču administrēšanu: varat piešķirt ierīcēm atsevišķus profilus (piemēram, lai grupētu katra ģimenes locekļa ierīces), lietot Wi-Fi pauzes grafikus (ļoti noderīgi, lai ierobežotu lietošanu noteiktā laikā) un viegli pārdēvēt katru ierīci, lai tās identificētu, neradot nekādas problēmas.

Ir iespējams arī iespējot paziņojumus , lai saņemtu brīdinājumus, kad tīklam pievienojas jauna ierīce, un izveidot atsevišķu viesu tīklu ar savu vārdu un paroli, tādējādi saglabājot galveno tīklu izolētāku un kontrolētāku.

Apvienojumā ar VPN pakalpojumiem, piemēram, VPN piekļuvi, kas iekļauta Guardian eero Plus abonementā, lietotājam ir papildu šifrēšanas slānis , izveidojot savienojumu no mobilā tālruņa vai planšetdatora ar ārējiem tīkliem, kas lieliski papildina korporatīvos tīkla VPN.

Papildu drošības pakalpojumi: eero Plus un VPN gala lietotājiem

Eero Plus abonements pievieno virkni uzlabotu drošības funkciju, kas paredzētas gala lietotājiem un mazām organizācijām: uzlabotu aizsardzību, vecāku kontroli, rezerves internetu un integrāciju ar trim labi zināmām lietojumprogrammām: 1Password (paroļu pārvaldnieks), Malwarebytes (ļaunprogrammatūras aizsardzība) un Guardian (VPN pakalpojums).

Izmantojot satura filtrus, vecāki var definēt ierobežojumus pēc kategorijas — iepirkšanās, sociālie mediji, tērzēšana un ziņojumapmaiņa, straumēšana —, lai konkrētām ierīcēm būtu piekļuve tikai atbilstošam saturam. Šāda veida kontrole īpaši labi darbojas vidēs, kur Wi-Fi tīklam un korporatīvajam VPN ir viena un tā pati mājas infrastruktūra.

Rezerves interneta funkcija ļauj eero automātiski izveidot savienojumu ar mobilo tīklāju vai citu pieejamu tīklu, kad primārais pakalpojumu sniedzējs nedarbojas, un jūs varat izvēlēties, kuras ierīces paliek savienotas pārtraukuma laikā, lai optimizētu pieejamo joslas platumu.

Personiskās drošības jomā integrācija ar Malwarebytes piedāvā aizsardzību pret tiešsaistes draudiem līdz pat trim saderīgām ierīcēm, savukārt 1Password atvieglo drošu akreditācijas datu pārvaldību un glabāšanu , kas ir svarīgi, strādājot ar korporatīvo VPN piekļuvi, administrēšanas paneļiem un mākoņpakalpojumiem.

Visbeidzot, Guardian piedāvā lietotājam orientētu VPN , kam var piekļūt tieši no eero lietotnes un kas šifrē datplūsmu no ierīces (mobilā tālruņa vai planšetdatora) uz internetu, kas ir ideāli piemērots savienojumiem no publiskiem vai neuzticamiem Wi-Fi tīkliem. Lai gan šāda veida VPN neaizstāj modernu korporatīvo tīkla tīklu, tas ļoti labi papildina lietotāja aizsardzību.

Vietņu savstarpējais VPN: stabila dizaina pamatprincipi

Korporatīvā kontekstā katrs uzlabots tīkla VPN tīkls pamatā ir veidots no vairākiem vietņu VPN . Lai šie savienojumi būtu stabili un viegli lietojami plašā mērogā, ir svarīgi rūpēties par piecām galvenajām komponentēm.

Pirmais ir tehnoloģiskā drošība uzņēmumos : spēcīgu kriptogrāfisko algoritmu (AES ar 128/192/256 bitu atslēgām, SHA-2) izmantošana, atbilstoša atslēgu pārvaldība, PFS, DPD un laba drošības nodrošināšanas prakse perimetra ierīcēs.

Otrais pīlārs ir darbības vienkāršība : konsekventas politikas visās atrašanās vietās, atkārtoti izmantojamas konfigurācijas veidnes, centralizēti pārvaldības un uzraudzības rīki, kā arī skaidri procesi jaunu atrašanās vietu pievienošanai vai parametru mainīšanai.

Treškārt, tā ir vienkārša un droša mērogojamība , kas nozīmē iespēju pievienot atrašanās vietas, nepārveidojot visu topoloģiju, izmantojot tādas metodes kā apakštīkla apvienošana, BGP izmantošana dinamiskajai maršrutēšanai un izvietošanas automatizācija.

Pēdējie divi pīlāri ir uzņēmējdarbības nepārtrauktība — nodrošinot, ka mezgla vai saites kļūme neatstāj vietnes izolētas — un elastīga ieviešana , proti, spēja izvietot VPN dažādās vidēs (lokālā vidē, publiskajā mākonī, vairākos mākoņos), vienlaikus saglabājot konsekventu drošības politiku.

Pārvaldīti VPN pakalpojumi un īpaši drošības produkti

Daudzām organizācijām, īpaši tām, kurām nav lielas iekšējās tīkla un drošības komandas, pārvaldītu VPN pakalpojumu izmantošana var būt ļoti saprātīgs lēmums. Šie pakalpojumi daļu sarežģītības uztic ārpakalpojumiem: topoloģijas dizainu, aparatūras izvēli, IPsec/IKE politikas konfigurēšanu, uzraudzību visu diennakti, incidentu reaģēšanu un pastāvīgu apkopi.

Drošības pakalpojumu sniedzēji, piemēram, Fortinet, piedāvā īpašus produktus un pakalpojumus vietņu VPN un uzlabotu tīkla tīklu izveidei un pārvaldībai, integrējot ugunsmūrus, SD-WAN, dziļu pakešu pārbaudi, tīmekļa filtrēšanu un citus aizsardzības slāņus. Tādā veidā VPN vairs nav vienkāršs "šifrēts tunelis" un kļūst par vienu no slāņveida drošības arhitektūras sastāvdaļām.

Lielos tīklos ar desmitiem vai simtiem vietņu šie risinājumi ievērojami samazina darbības slodzi: tie ļauj definēt globālas politikas , izvietot tās vairākās ierīcēs, pārvaldīt sertifikātus, programmaparatūras atjauninājumus un konfigurācijas izmaiņas organizētā veidā, kā arī iegūt centralizētu visu tuneļu statusa pārskatāmību.

Neatkarīgi no tā, vai izvēlaties iekšējo pārvaldību vai ārpakalpojumu, galvenais ir tas, lai tīkla VPN neatpaliktu no organizācijas: atbalstot jaunas atrašanās vietas, jaunus mākoņpakalpojumus, datplūsmas pieaugumus un drošības vajadzību izmaiņas, nekļūstot par šķērsli uzņēmējdarbībai.

Uzlabota tīkla VPN izstrāde un darbība ietver izkliedētas arhitektūras apvienošanu vairākās vietnēs, rūpīgu IPsec/IKE konfigurāciju, augstas pieejamības stratēģijas (gan lokāli, gan mākonī), uzticamu tīkla Wi-Fi pamatu un daudzos gadījumos papildu drošības un pārvaldības pakalpojumus. Integrējot visus šos elementus — sākot no “IPsec obligāts/neobligāts” profiliem un aktīvās-aktīvās redundances līdz BGP, tādiem risinājumiem kā eero Plus un profesionālām ugunsmūra platformām —, organizācijas var izveidot drošus, mērogojamus un pret kļūmēm izturīgus tīklus, kas savieno birojus, mājas un mākoņus, nezaudējot veiktspēju vai elastību.