Bezpieczny dostęp zdalny do systemów firmy: VPN i jego alternatywy

Jak dać pracownikom dostęp do systemów firmy z domu, delegacji czy oddziału, nie otwierając drzwi wszystkim innym? Najczęściej słyszymy odpowiedź „VPN”, ale to tylko jedna z możliwości. Wybór zależy od tego, z jakich systemów korzystają pracownicy, na jakich urządzeniach pracują i jak dużą kontrolę chcesz mieć nad połączeniem.

Czego nie robić: otwarty port na serwer

Zanim porównamy warianty, jedna przestroga. Wystawienie zdalnego pulpitu serwera prosto do internetu, przez przekierowanie portu na routerze, wciąż się zdarza i jest bardzo ryzykowne. Automaty bez przerwy skanują takie usługi i próbują odgadnąć hasła. Od tego miejsca zaczyna się wiele incydentów z ransomware.

Jeśli w Twojej firmie działa taki dostęp, jego zastąpienie powinno trafić na początek listy zadań.

Wariant 1: klasyczny VPN

VPN tworzy szyfrowany tunel między komputerem pracownika a siecią firmową. Po połączeniu laptop zachowuje się tak, jakby stał w biurze.

Po stronie plusów: użytkownik widzi wszystkie zasoby sieci wewnętrznej, łącznie ze starszymi aplikacjami. Technologia jest dojrzała i obsługuje ją większość zapór biznesowych, a przy kilku użytkownikach koszt jest przewidywalny.

Minusy są równie konkretne:

• po połączeniu użytkownik ma często szeroki dostęp do sieci, więc zainfekowany laptop staje się zagrożeniem dla całej firmy,
• wydajność zależy od łącza w biurze, zwłaszcza od przepustowości w górę,
• samo urządzenie VPN wymaga aktualizacji, bo luki w bramach VPN bywają aktywnie wykorzystywane.

VPN dobrze pasuje do sytuacji, w której pracownicy mają firmowe laptopy i muszą sięgać do zasobów lokalnych, np. plików na serwerze lub systemu ERP zainstalowanego w biurze. Nie myl go z darmowymi VPN-ami konsumenckimi z internetu. Te służą do ukrywania ruchu przed operatorem, a nie do łączenia z siecią firmy, więc do pracy zdalnej się nie nadają.

Wariant 2: zdalny pulpit przez bramę

Pracownik nie łączy się z całą siecią, tylko z konkretnym pulpitem lub aplikacją uruchomioną na serwerze. Ruch przechodzi przez bramę, która przyjmuje połączenia szyfrowane i wymaga uwierzytelnienia, często wieloskładnikowego.

Dane nie opuszczają serwera, a na laptopie widać tylko obraz. Ten wariant radzi sobie z wolnymi łączami i z programami, które źle działają przez VPN, np. z bazami danych wrażliwymi na opóźnienia. Jest też bezpieczniejszy, gdy ktoś łączy się z prywatnego komputera, na którym nie kontrolujesz aktualizacji ani oprogramowania.

Koszt to serwer terminalowy, licencje dostępowe i administracja. Praca z grafiką lub multimediami bywa mniej wygodna.

Wariant 3: aplikacje w chmurze bez dostępu do sieci

Jeśli poczta, pliki i komunikacja są w Microsoft 365, a system ERP działa w chmurze, pracownik w ogóle nie musi łączyć się z siecią biurową. Loguje się bezpośrednio do usług, a ochronę zapewniają konta, MFA i zasady dostępu warunkowego.

Znika wąskie gardło w postaci łącza biurowego i można pracować z dowolnego miejsca. Trzeba jednak przenieść systemy do chmury i starannie przemyśleć uprawnienia. Nie każdy program branżowy da się tak udostępnić.

Wariant 4: dostęp oparty na Zero Trust

Model Zero Trust zakłada, że żadne połączenie nie jest zaufane z góry, nawet z wnętrza sieci. Każdy dostęp do konkretnej aplikacji jest sprawdzany na podstawie tożsamości użytkownika, stanu urządzenia i kontekstu. Rozwiązania tego typu, określane skrótem ZTNA, udostępniają pojedyncze aplikacje, a nie całą sieć.

Powierzchnia ataku jest tu najmniejsza, kontrola precyzyjna i dobrze widać, kto z czego korzysta. W zamian dostajesz większą złożoność i zwykle abonament. Najlepiej sprawdza się w firmach, które mają już uporządkowane tożsamości i zarządzanie urządzeniami.

Biuro projektowe, które łączy trzy warianty

MŚP często łączą warianty. Weźmy biuro projektowe, które trzyma pocztę i dokumenty w chmurze, a do programu księgowego zainstalowanego lokalnie udostępnia zdalny pulpit przez bramę z MFA. VPN zostaje tylko dla administratora. Większość pracowników w ogóle nie potrzebuje dostępu do sieci biurowej.

Przed wyborem odpowiedz sobie na kilka pytań:

1. Z jakich systemów pracownicy muszą korzystać zdalnie i gdzie te systemy działają?
2. Czy pracują na sprzęcie firmowym, czy prywatnym?
3. Ilu użytkowników pracuje zdalnie jednocześnie?
4. Jaką przepustowość ma łącze w biurze?
5. Kto będzie administrował rozwiązaniem i reagował na problemy?

Typowe problemy po wdrożeniu VPN

Nawet poprawnie skonfigurowany VPN potrafi sprawiać kłopoty w codziennej pracy. Użytkownicy najczęściej zgłaszają trzy sytuacje.

• Po połączeniu nie widać dysków sieciowych. Zwykle winna jest kolejność: system próbuje mapować dyski, zanim tunel się zestawi. Pomaga skrypt uruchamiany po połączeniu albo połączenie automatyczne przed zalogowaniem.
• Domowa sieć pracownika używa tej samej puli adresów co biuro i adresy się gryzą. Rozwiązaniem jest mniej typowa adresacja sieci firmowej.
• Cały ruch idzie przez biuro. Jeśli tunelem płyną też filmy i aktualizacje, łącze biurowe szybko się zapycha, a VPN zaczyna spowalniać pracę. Trzeba świadomie zdecydować, który ruch ma przechodzić przez VPN.

Opisz te przypadki w krótkiej instrukcji dla pracowników, żeby nie wracały za każdym razem jako pilne zgłoszenie.

Zabezpieczenia wspólne dla każdego wariantu

• Uwierzytelnianie wieloskładnikowe dla każdego dostępu zdalnego, bez wyjątków. Jak je wprowadzić, opisujemy w artykule o MFA w firmie.
• Szyfrowanie dysków laptopów, bo zgubiony komputer z zapisanym połączeniem VPN to otwarta furtka. Więcej w tekście o szyfrowaniu laptopów firmowych.
• Aktualizacje bram VPN, zapór i systemów na laptopach.
• Minimalne uprawnienia: księgowa nie potrzebuje dostępu do kamer, a handlowiec do serwera kadrowego.
• Rejestrowanie połączeń i przegląd nietypowych logowań.
• Odbieranie dostępu natychmiast po zakończeniu współpracy, zgodnie z procedurą opisaną w artykule o odejściu pracownika.

Pracodawca organizujący pracę zdalną ma też obowiązki wynikające z Kodeksu pracy, m.in. w zakresie ochrony danych i zasad korzystania ze sprzętu. Wymagania techniczne najlepiej wpisać do regulaminu pracy zdalnej lub polityki bezpieczeństwa.

Możemy przejrzeć, jak dziś Twoi pracownicy łączą się z firmą, albo zbudować dostęp zdalny od podstaw. Zacznij od rozmowy o obsłudze IT Twojej firmy.