Avancerat Mesh VPN-nätverk: En komplett guide för företag

Informatec Digital » Resurser » Avancerat Mesh VPN-nätverk: En komplett guide för företag

När ett företag växer och sprider sig över flera kontor, molnplatser och distansarbetare , blir det inte längre valfritt att ansluta allting säkert och snabbt , utan affärskritiskt. Traditionella punkt-till-punkt-VPN-tekniker brister i flexibilitet och feltolerans, och det är där avancerad mesh-VPN kommer in i bilden.

Denna typ av arkitektur gör det möjligt för varje webbplats eller trafikkälla att etablera direkta krypterade tunnlar med alla andra platser , vilket undviker flaskhalsar i en enda hubb och erbjuder hög tillgänglighet, förbättrad prestanda och sömlös integration med moderna metoder som nollförtroende eller hybridmiljöer (lokal + moln). I den här artikeln kommer vi att gå igenom hur dessa nätverk fungerar, deras tekniska krav (IPsec, IKE, BGP, routrar och brandväggar) och hur de passar in i nuvarande mesh Wi-Fi-lösningar och hanterade tjänster.

Vad är ett avancerat mesh VPN-nätverk och hur skiljer det sig från andra modeller?

Ett avancerat mesh-VPN är en topologi där varje webbplats etablerar VPN-tunnlar med alla andra webbplatser , så kommunikationen mellan två punkter är inte beroende av att en tredje part är tillgänglig eller agerar som mellanhand. Denna konfiguration kallas också för ett full mesh- eller decentraliserat VPN.

Istället för en klassisk hub-and-spoke-design (alla platser hänger från en central hubb) väljer den avancerade mesh-plattformen en distribuerad arkitektur , perfekt när resurser är utspridda över flera platser eller när man önskar robusta affärsprocesser som fortsätter att fungera även om en plats har anslutningsproblem.

I ett typiskt scenario skapar varje brandvägg eller säkerhetsenhet – till exempel en brandbox på varje plats – IPsec-tunnlar till de andra. Om huvudkontoret går ner fortsätter filialkontoret och distributionscentret att kommunicera direkt via VPN:et, utan att gå via huvudkontoret.

Denna metod passar mycket bra in i Zero Trust Network -strategier , där säkerhet utformas med antagandet att vilken del av nätverket som helst kan misslyckas eller komprometteras, och där end-to-end-kryptering, segmentering och motståndskraft prioriteras.

Användningsfall: från företag med flera anläggningar till hybridmiljön med molnet

Ett mycket vanligt användningsfall för ett avancerat mesh-VPN är för en organisation med flera platser: till exempel en samlokaliseringsanläggning (Colo), ett huvudkontor (Corp), ett distributionscenter (Dist) och ett litet fjärrkontor (RMT). I detta sammanhang behöver varje plats direkt och säker åtkomst till de andras resurser.

I den här typen av design kan unika resurser finnas på en av platserna (till exempel ett kritiskt ERP-system på huvudkontoret eller en företagsfilserver ), så tillförlitlig anslutning mellan alla platser är avgörande. Ju fler fjärrkontor som läggs till, desto viktigare blir det att systemet stöder att lägga till nya noder utan att allt behöver konfigureras om.

När de flesta resurser är koncentrerade till en enda plats kan en klassisk centraliserad arkitektur fortfarande vara meningsfull . Men om data och applikationer är distribuerade, eller om det finns affärsprocesser som kräver direkt kommunikation mellan platser (till exempel konstant synkronisering mellan logistikcenter), erbjuder ett helt integrerat nätverk större flexibilitet och feltolerans.

Ett särskilt vanligt scenario är kombinationen av lokala nätverk och molnet , till exempel genom att ansluta lokala nätverk till Azure via VPN Gateway och även skapa virtuella nätverk-till-virtuella nätverk-anslutningar (VNet-till-VNet). I dessa hybridmiljöer är mesh-topologier och avancerade redundansmekanismer nyckeln till att säkerställa tjänstekontinuitet.

Viktiga tekniska komponenter i ett avancerat mesh VPN-nätverk

Bakom etiketten ”mesh VPN” döljer sig en rad mycket specifika tekniska komponenter som gör magin möjlig. I stort sett talar vi om avancerade VPN-säkerhetsfunktioner som IPsec för datakryptering och IKE (Internet Key Exchange) för nyckelutbyte och förhandling av säkerhetsparametrar mellan slutpunkter.

I en typisk Firebox- eller annan nästa generations brandväggskonfiguration definierar varje plats grengateways och tunnlar som ansluter till de andra platsernas nätverk. Till exempel, i en organisation med fyra platser kommer varje plats att ha tre VPN-gateways för grenar och tre tillhörande tunnlar (en till var och en av de andra platserna).

Konfiguration hanteras vanligtvis via specifika verktyg (som Policy Manager i Fireware), där du kan visa och justera både filialgateways och filial-VPN-tunnlar , samt de tunnelvägar som behövs för att trafik ska kunna röra sig mellan lokala och fjärranslutna subnät.

En mycket viktig detalj i mesh-nätverksscenarier är användningen av aggregerade delnät när tunnelrutter definieras istället för att lista varje lokalt nätverk separat. Till exempel kan tunneln "Colo till RMT" definieras för att använda delnätet 172.16.0.0/16 för att representera alla Colos interna nätverk (t.ex. 172.16.1.0 och 172.16.2.0), så att ett enda par tunnelrutter kan täcka flera segment istället för att kräva flera tunnlar.

Detta minskar drastiskt antalet tunnelrutter som krävs, särskilt på små kontor som bara behöver nå en begränsad uppsättning fjärrundernät. Men om mycket fin trafikkontroll krävs kan individuella nätverk definieras, vilket innebär mer konfigurations- och administrationsarbete.

Infrastrukturkrav: bandbredd, hårdvara och tillförlitlighet

Ett avancerat mesh-VPN är per definition mer krävande än en enkel installation. Varje tunnel involverar krypterings- och inkapslingsprocesser , så VPN:ets användbara bandbredd kommer alltid att vara något mindre än länkens fysiska hastighet.

Därför måste företag se till att länkarna mellan platserna (fiber, MPLS, högkapacitetsinternet etc.) har tillräcklig bandbredd för att stödja den krypterade trafiken som kommer att flöda genom tunnlarna. Detta är särskilt viktigt på platser som innehåller unika resurser eller som fungerar som kommunikationsnav.

Den typ av säkerhetsenhet som används vid varje punkt (till exempel en Firebox som är lämplig för platsens storlek; se routerns manualer och datablad ) är lika viktig. Varje modell erbjuder en specifik maximal VPN-hastighet och samtidig tunnelkapacitet, så det är inte lämpligt att underdimensionera denna utrustning om flaskhalsar ska undvikas.

I praktiken beror antalet VPN-tunnlar vanligtvis på antalet lokala och fjärranslutna nätverk som ska anslutas (enligt definitionen i tunnelvägarna). I ett typiskt kontor approximerar beräkningen antalet lokala nätverk multiplicerat med antalet fjärranslutna nätverk, såvida inte aggregerade delnät används.

Det är också viktigt att säkerställa tillförlitlig anslutning på webbplatser som är värd för kritiska tjänster. Även om mesh-arkitekturen tolererar fel i en isolerad nod, om den noden innehåller viktiga applikationer eller data, kommer eventuella anslutningsproblem vid den tidpunkten att resultera i avbrott för resten av webbplatserna.

IPsec, IKE och säkerhetsprofiler: hjärtat i VPN:t

Ett avancerat mesh-VPN-nätverk förlitar sig, på protokollnivå, på kombinationen av IPsec för datakryptering och IKE (Internet Key Exchange) för nyckelutbyte och förhandling av säkerhetsparametrar mellan slutpunkter.

IKE är protokollet som upprättar en säkerhetsassociation (SA) mellan två punkter; det vill säga den ömsesidiga överenskommelsen om hur trafiken ska krypteras och autentiseras. För att ett VPN ska fungera tillförlitligt måste IKE-policyerna i båda ändar matcha i alla relevanta parametrar (autentiseringsmetod, krypterings- och autentiseringsalgoritmer, Diffie-Hellman-grupper, livslängd etc.).

I routrar som Cisco RV110W definieras en IKE-policy som bland annat anger utbytesläget (primärt eller aggressivt), krypteringsalgoritmen (DES, 3DES, AES-128, AES-192, AES-256), autentiseringsalgoritmen (MD5, SHA-1, SHA2-256), den fördelade nyckeln och Diffie-Hellman-gruppen (till exempel grupp 1 på 768 bitar, grupp 2 på 1024 bitar eller grupp 5 på 1536 bitar).

Utöver IKE-policyn definieras VPN-policyer som avgör vilken trafik som skyddas genom tunneln, vilka nätverksidentifierare som används för lokala och fjärranslutna ändarna (enskild IP-adress eller subnät) och om policyn är automatisk (med IKE-förhandling av nycklar och parametrar) eller manuell (alla nycklar och SPI konfigureras manuellt i båda ändar).

Manuella policyer anger hexadecimala värden för inkommande och utgående SPI, krypteringsnycklar (Key-In och Key-Out) och integritetsalgoritmer (MD5, SHA1, SHA2-256), vilket säkerställer att fjärrenheten använder exakt samma värden så att tunneln kan etableras korrekt.

Avancerade profiler: ”IPsec krävs”, ”IPsec valfritt” och rensa trafik

I mer sofistikerade mesh-nätverksmiljöer skapas, utöver den klassiska konfigurationen av tunnlar mellan platser, ofta avancerade anslutningsprofiler som avgör när användning av IPsec är obligatorisk och när fri trafik är tillåten.

Till exempel kan tre profiler definieras: en där IPsec är obligatorisk (endast krypterad trafik är tillåten), en annan där kryptering är valfri (antingen krypterad eller klartexttrafik accepteras beroende på destinationen), och en tredje som endast tillåter okrypterad trafik . I system baserade på ipsec.conf beskrivs dessa profiler med anslutningsblock (conn) som anger anslutningstyp (passthrough eller transport), autentiseringsläge (t.ex. rsasig med certifikat), shuntparametrar vid fel (drop eller passthrough) och referenser till RSA-certifikat och nycklar.

Ett typiskt exempel är att ha en genomströmningsanslutning utan autentisering för profilen "Ingen IPsec", en annan transportanslutning med RSA-signaturautentisering och policyer för felavslutning för "IPsec krävs", och en tredje transportanslutning med RSA-signaturer men med tillåtande beteende (genomströmning) vid fel för "IPsec valfritt".

Genom att kombinera dessa profiler med lämpliga rutter kan adaptiva säkerhetsstrategier implementeras , där vissa kritiska flöden alltid måste krypteras, medan andra kan cirkulera i klartext på interna nätverk med hög tillförlitlighet, eller opportunistiskt utnyttja IPsec när båda ändar tillåter det.

VPN-policykonfiguration i detalj

För varje VPN-policy är det, utöver IKE-parametrarna, nödvändigt att ange vilken trafik som ska inkapslas i tunneln . Käll- och destinationsnätverk väljs vanligtvis med hjälp av identifierare som "Enkel" (enskild värd) eller "Subnät".

Om "Enkel" väljs gäller policyn för en specifik IP-adress (till exempel en specifik server). Om ett "Subnät" definieras täcker policyn ett adressintervall som bestäms av kombinationen av nätverks-IP och subnätmask ; enheter skyddas av VPN när deras IP-adress faller inom det intervallet.

När det gäller automatiserade policyer väljs, utöver säkerhetsassociationens livslängd (i sekunder), krypterings- och integritetsalgoritmer, och Perfect Forward Secrecy (PFS) aktiveras valfritt med en ytterligare Diffie-Hellman-grupp. Detta lägger till ett säkerhetslager genom att generera nya sessionsnycklar som inte enbart är beroende av huvudnyckeln.

I alla scenarier måste det säkerställas att livslängder, krypteringsalgoritmer, integritetsalgoritmer, PFS-grupper och till och med den valda IKE-policyn matchar i båda ändar av tunneln. Annars kommer förhandlingen att misslyckas, eller så kommer tunneln att krascha när SA:n löper ut och ett försök görs att omförhandla.

Professionella routrar erbjuder ofta extrafunktioner, som Dead Peer Detection (DPD) , som övervakar om en peer fortfarande är aktiv och tar bort föråldrade poster för att frigöra resurser. DPD låter dig vanligtvis justera kontrollfrekvensen och timeouten innan en peer anses vara "död".

Hög tillgänglighet i molnet: Azure VPN Gateway i avancerad mesh

När ett avancerat mesh-VPN ansluter lokala nätverk till Azure-infrastrukturen , kommer Azure VPN Gateway och dess olika redundansalternativ i spel. Som standard består varje Azure VPN Gateway-instans av två instanser i en aktiv standby-konfiguration.

Vid planerat underhåll eller oförutsedda incidenter, om den aktiva instansen blir otillgänglig, tar standby-instansen över och tunnlarna från plats till plats (S2S) eller virtuella nätverk till virtuella nätverk (V2N) återställs automatiskt. Vid planerade avbrott tar återställningen vanligtvis 10–15 sekunder; vid oplanerade fel kan det ta 1–3 minuter. För punkt-till-plats (P2S) VPN-klientanslutningar kopplas sessionerna från och användarna måste återansluta.

För att förbättra tillgängligheten för anslutningar mellan det lokala nätverket och Azure kan flera scheman väljas: att använda flera lokala VPN-enheter (till exempel att ha två VPN:er installerade ), konfigurera VPN Gateway-instanser i aktivt-aktivt läge i Azure, eller kombinera båda för dubbel redundans som passar perfekt in i en mesh-topologi.

Med flera lokala VPN-enheter skapas flera S2S-anslutningar från varje enhet till Azure-gatewayen, vilket definierar en distinkt lokal nätverksgateway per enhet, var och en med en unik offentlig IP-adress och BGP-peer-adress . Med hjälp av BGP och Equal Cost Per Mechanism (ECMP) distribueras trafiken parallellt över flera aktiva tunnlar.

I Azure VPN Gateways aktiva läge har varje gateway-instans sin egen offentliga IP-adress och etablerar en S2S IPsec/IKE-tunnel till den lokala VPN-enheten, vilket bildar två tunnlar som faktiskt tillhör samma anslutning. Från Azure används båda tunnlarna samtidigt, vilket ökar tillgängligheten och möjliggör bättre trafikfördelning.

Komplett mesh mellan lokalt och Azure: dubbel redundans

Det mest robusta alternativet för ett avancerat mesh-VPN som kombinerar moln- och lokala miljöer är att konfigurera dubbel redundans : aktiva gateways i Azure och, samtidigt, flera VPN-enheter i det lokala nätverket. Resultatet är en sorts komplett mesh med fyra IPsec-tunnlar mellan det virtuella Azure-nätverket och den lokala miljön.

I den här designen hålls alla gateways och tunnlar aktiva på Azure-sidan, och trafiken distribueras över de fyra länkarna . Varje TCP/UDP-flöde följer vanligtvis samma tunnel ur Azures perspektiv, men de kombinerade flödena distribueras över de fyra, vilket förbättrar den totala prestandan något och, viktigast av allt, ger mycket hög feltolerans.

För att implementera denna topologi krävs två lokala nätverksgateways och två olika anslutningar för de två lokala VPN-enheterna, alltid säkerhetskopierade av BGP för att möjliggöra samtidig anslutning till samma lokala nätverk via flera anslutningar.

Samma tillvägagångssätt kan tillämpas på virtuella nätverksanslutningar inom Azure: aktiva gateways skapas i varje virtuellt nätverk och ansluts till varandra för att också erhålla fyra aktiva tunnlar mellan de virtuella nätverken. I det här fallet är BGP valfritt, såvida inte transittrafik behöver dirigeras genom den anslutningen.

Med den här typen av arkitektur upphör molnnätverk att vara bara satelliter till det lokala nätverket och blir fullfjädrade noder i VPN-nätet , vilket ger stor flexibilitet vid flytt av arbetsbelastningar, balansering av applikationer och utformning av planer för affärskontinuitet.

Mesh Wi-Fi och VPN: en perfekt kombination i företagsnätverket

Konceptet "mesh" är inte begränsat till VPN:er. Inom Wi-Fi-området har lösningar som eero och dess TrueMesh-teknik visat att användning av flera sammankopplade åtkomstpunkter är ett mycket effektivt sätt att eliminera döda zoner, minimera bortfall och minska fruktad buffring i hemmiljöer och små kontorsmiljöer.

Istället för att en enda Wi-Fi-router försöker täcka hela huset eller kontoret, distribuerar ett mesh-Wi-Fi-nätverk flera eero-enheter i hela utrymmet, vilket gör att klienter alltid kan ansluta till den närmaste och mest stabila åtkomstpunkten . TrueMesh omdirigerar intelligent trafik baserat på faktorer som nodernas fysiska layout, störningar från angränsande nätverk och belastningen på anslutna enheter.

Beroende på internetanvändning rekommenderas olika modeller: eero 6+ som ett prisvärt gigabitsystem, eero Pro 6E för anslutningar upp till 2 Gbps och många samtidiga enheter, eller eero Max 7 för avancerade användare med wifi 7, hundratals enheter och maximal prestanda som behöver både trådbundet och trådlöst.

Alla dessa enheter är kompatibla med större internetleverantörer och med varandra, vilket möjliggör gradvis utbyggnad eller uppgradering av Wi-Fi-nätverket . Dessutom får de automatiska programuppdateringar med säkerhetspatchar och funktionsförbättringar – en avgörande punkt när Wi-Fi är den primära åtkomstpunkten för ett företags-VPN.

Digitalt hem, säkerhet och centraliserad hantering med eero

Utöver grundläggande anslutning integrerar moderna eero-system smarta hemfunktioner tack vare kompatibilitet med Thread, Zigbee och Matter (med Alexa som styrenhet). I praktiken innebär detta att många smarta hemenheter kan anslutas direkt till eero-nätverket utan behov av ytterligare hubbar.

Med eero-appen kan du konfigurera en Thread-enhet, till exempel genom att aktivera alternativet i Nätverksinställningar → Thread , eller utnyttja Zigbee-hubben genom att integrera dina eero- och Amazon-konton under avsnittet Amazon Connected Home. När detta är klart kan du lägga till kompatibla enheter med hjälp av Alexa-appen eller valfri Echo-högtalare i nätverket.

För den dagliga hanteringen gör eero enhetsadministrationen enkel: du kan tilldela enheter till individuella profiler (för att gruppera till exempel enheterna för varje familjemedlem), tillämpa wifi-pauscheman (mycket användbart för att begränsa användningen vid vissa tidpunkter) och enkelt byta namn på varje enhet för att identifiera dem utan att bli galen.

Det är också möjligt att aktivera aviseringar för att få varningar när en ny enhet ansluter till nätverket, och att skapa ett separat gästnätverk med eget namn och lösenord, vilket håller huvudnätverket mer isolerat och kontrollerat.

I kombination med VPN-tjänster – som VPN-åtkomst via Guardian i eero Plus-prenumerationen – får användaren ett extra krypteringslager när hen ansluter från sin mobiltelefon eller surfplatta till externa nätverk, vilket perfekt kompletterar fler mesh-VPN:er för företag.

Ytterligare säkerhetstjänster: eero Plus och VPN för slutanvändare

eero Plus-prenumerationen lägger till en rad avancerade säkerhetsfunktioner riktade mot slutanvändare och små organisationer: förbättrat skydd, föräldrakontroller, säkerhetskopiering av internet och integration med tre välkända applikationer: 1Password (lösenordshanterare), Malwarebytes (skydd mot skadlig kod) och Guardian (VPN-tjänst).

Med innehållsfilter kan föräldrar definiera begränsningar per kategori – shopping, sociala medier, chattar och meddelanden, streaming – så att specifika enheter bara har tillgång till lämpligt innehåll. Den här typen av kontroll fungerar särskilt bra i miljöer där Wi-Fi-mesh-nätverket och företagets VPN delar samma heminfrastruktur.

Funktionen Backup Internet gör att eero automatiskt kan ansluta till en mobil hotspot eller annat tillgängligt nätverk när den primära leverantören går ner, och du kan välja vilka enheter som förblir anslutna under avbrottet för att optimera tillgänglig bandbredd.

Inom området personlig säkerhet erbjuder integration med Malwarebytes skydd mot onlinehot på upp till tre kompatibla enheter, medan 1Password underlättar säker hantering och lagring av inloggningsuppgifter , vilket är viktigt när man arbetar med företags-VPN-åtkomst, administrationspaneler och molntjänster.

Slutligen erbjuder Guardian ett slutanvändarorienterat VPN , tillgängligt direkt från eero-appen, som krypterar trafik från enheten (mobil eller surfplatta) till internet, perfekt för anslutningar från offentliga eller opålitliga Wi-Fi-nätverk. Även om denna typ av VPN inte ersätter ett avancerat företagsnätverk, kompletterar det slutanvändarskyddet mycket väl.

Site-to-site VPN: grundpelare för en robust design

I ett företagssammanhang är varje avancerat mesh-VPN-nätverk i grunden uppbyggt av flera plats-till-plats-VPN:er . För att dessa anslutningar ska vara robusta och enkla att använda i stor skala är det viktigt att ta hand om fem nyckelkomponenter.

Det första är teknisk säkerhet i företag : användning av robusta kryptografiska algoritmer (AES med 128/192/256 bitars nycklar, SHA-2), korrekt nyckelhantering, PFS, DPD och goda säkerhetsrutiner på perimeterenheter.

Den andra pelaren är enkel användning : konsekventa policyer över olika platser, återanvändbara konfigurationsmallar, centraliserade hanterings- och övervakningsverktyg och tydliga processer för att lägga till nya platser eller ändra parametrar.

För det tredje är det enkel och säker skalbarhet , vilket innebär att kunna lägga till platser utan att omdesigna hela topologin, dra nytta av tekniker som subnätsaggregering, användning av BGP för dynamisk routing och automatisering av distribution.

De två sista pelarna är affärskontinuitet – att säkerställa att ett nod- eller länkfel inte lämnar platserna isolerade – och flexibel implementering , det vill säga möjligheten att driftsätta VPN i olika miljöer (lokal, publikt moln, flera moln) samtidigt som konsekventa säkerhetspolicyer upprätthålls.

Hanterade VPN-tjänster och dedikerade säkerhetsprodukter

För många organisationer, särskilt de som inte har ett stort internt nätverks- och säkerhetsteam, kan det vara ett mycket klokt beslut att använda hanterade VPN-tjänster . Dessa tjänster outsourcar en del av komplexiteten: topologidesign, hårdvaruval, IPsec/IKE-policykonfiguration, övervakning dygnet runt, incidenthantering och löpande underhåll.

Säkerhetsleverantörer som Fortinet erbjuder dedikerade produkter och tjänster för att bygga och hantera site-to-site VPN och avancerade mesh-nätverk, integrera brandväggar, SD-WAN, djup paketinspektion, webbfiltrering och andra skyddslager. På så sätt upphör VPN att vara en enkel "krypterad tunnel" och blir en del av en säkerhetsarkitektur i flera lager.

I stora nätverk, med dussintals eller hundratals platser, minskar dessa lösningar drastiskt den operativa belastningen: de låter dig definiera globala policyer , distribuera dem på flera enheter, hantera certifikat, firmwareuppdateringar och konfigurationsändringar på ett orkestrerat sätt och få centraliserad insyn i statusen för alla tunnlar.

Oavsett om du väljer intern hantering eller en outsourcad tjänst är nyckeln att mesh-VPN:t håller jämna steg med organisationen: det stöder nya platser, nya molntjänster, trafiktoppar och förändringar i säkerhetsbehov utan att bli ett hinder för verksamheten.

Att designa och driva ett avancerat mesh-VPN innebär att kombinera en distribuerad arkitektur över flera platser, noggrann IPsec/IKE-konfiguration, strategier för hög tillgänglighet (både lokalt och i molnet), en pålitlig mesh-Wi-Fi-grund och, i många fall, ytterligare säkerhets- och hanteringstjänster. Genom att integrera alla dessa element – ​​från "IPsec obligatoriskt/valfritt"-profiler och aktiv-aktiv redundans till BGP, lösningar som eero Plus och professionella brandväggsplattformar – kan organisationer bygga säkra, skalbara och feltoleranta nätverk som kopplar samman kontor, hem och moln utan att offra prestanda eller flexibilitet.