Passerelles VPN d’entreprise : accès à distance sécurisé et confiance zéro

Une passerelle VPN d’entreprise fournit aux employés ou aux agences un accès chiffré au réseau de l’organisation. Elle reste utile pour les systèmes qui nécessitent une connectivité au niveau du réseau, mais le chiffrement n’est qu’un aspect de la sécurisation des accès. La vérification des identités, la gestion des appareils, l’application des correctifs et la limitation des ressources accessibles depuis chaque connexion sont tout aussi importantes.

La bonne question à se poser lors de l’achat est concrète : qui a besoin d’accéder à quelles ressources, depuis quels appareils, et comment l’organisation va-t-elle circonscrire les dégâts si un compte est compromis ? Commencez par là avant de comparer les équipements, les services infonuagiques ou les chiffres de débit mis en avant.

VPN d’accès à distance et VPN intersites

Un VPN d’accès à distance connecte un appareil individuel à l’environnement de l’organisation. Un VPN intersites relie des réseaux, par exemple ceux d’une agence et d’un centre de données. Ces configurations répondent à des besoins différents et devraient être assorties de politiques d’accès distinctes. La connexion d’une agence ne devrait pas automatiquement donner à tous les appareils un accès sans restriction à toutes les applications.

Les solutions IPsec et celles reposant sur TLS sont courantes, mais le nom du protocole ne suffit pas à garantir la sécurité d’un déploiement. La configuration, les versions logicielles prises en charge, la gestion des certificats et la réactivité du fournisseur face aux vulnérabilités influent toutes sur le résultat.

Intégrer la vérification des identités et des appareils dès la conception

Exigez une authentification multifacteur pour l’accès à distance et privilégiez, lorsqu’elles sont prises en charge, les méthodes résistantes à l’hameçonnage. Distinguez les accès des administrateurs des usages courants des employés, révoquez rapidement les accès au départ du personnel et limitez les utilisateurs aux ressources nécessaires à leurs fonctions. Les appareils gérés permettent également à l’organisation de mieux maîtriser les mises à jour, la protection des terminaux et les données locales.

Ces contrôles devraient rester en place une fois la connexion établie. Un utilisateur authentifié peut tout de même utiliser un appareil compromis ou disposer de permissions trop étendues. La segmentation du réseau et l’autorisation au niveau des applications contribuent à empêcher qu’une session compromise ne permette de se déplacer librement dans l’environnement.

VPN et accès selon le modèle de confiance zéro

La confiance zéro est une approche architecturale, et non un produit unique qui rend un réseau sûr. NIST SP 800-207 décrit une approche axée sur les ressources et les décisions d’accès, plutôt que sur une confiance implicite fondée sur l’emplacement réseau. Un tunnel VPN peut faire partie de cet environnement, mais le simple fait de se connecter par une passerelle ne devrait pas être considéré comme une autorisation suffisante.

Un accès axé sur les applications peut réduire la nécessité d’exposer une grande partie du réseau interne aux utilisateurs à distance. Cette approche peut mieux convenir à certaines applications Web, tandis que les systèmes existants ou la connectivité des agences nécessitent toujours un tunnel réseau. Les recommandations du UK NCSC en matière de ZTNA fournissent un cadre utile pour évaluer cette transition. Les organisations peuvent adopter une approche hybride pendant qu’elles remplacent leurs dépendances aux systèmes plus anciens.

Évaluer les performances dans des conditions réalistes

Comparez le débit chiffré, le nombre de sessions simultanées, le taux d’établissement des connexions et le comportement en cas de basculement avec les paramètres de sécurité que vous comptez utiliser. La vitesse brute de l’interface n’est pas équivalente au débit chiffré réellement exploitable. Aucune couche réseau ne peut garantir une latence nulle : le chiffrement, le routage, la congestion et la distance physique contribuent tous à la latence.

Testez les applications importantes pour l’activité, notamment les appels, les transferts de fichiers et les systèmes interactifs. Une configuration qui gère aisément le transfert d’un gros fichier peut tout de même offrir une expérience peu satisfaisante lors d’un appel vidéo très sollicité. Effectuez également un exercice de basculement afin que l’équipe comprenne ce qu’il advient des sessions en cours lorsqu’une passerelle ou une connexion tombe en panne.

Considérer la passerelle comme un système critique

Les passerelles accessibles depuis Internet doivent avoir un responsable clairement désigné, exécuter une version logicielle prise en charge et faire l’objet d’un processus d’application rapide des correctifs. Limitez l’accès aux interfaces d’administration, surveillez les événements d’accès et conservez une procédure de reprise éprouvée. Les recommandations conjointes de la CISA sur la sécurité moderne des accès réseau expliquent pourquoi les organisations devraient réévaluer les architectures traditionnelles d’accès à distance parallèlement aux approches plus récentes.

Prévoyez le renouvellement des certificats, les sauvegardes de configuration et les accès d’urgence avant toute panne. Un équipement redondant n’est utile que si les dépendances connexes, notamment les services d’identité, l’alimentation électrique et les liaisons Internet, ont également été prises en compte. Les services gérés peuvent réduire la charge opérationnelle, mais l’organisation doit tout de même définir clairement les responsabilités et avoir une visibilité sur les changements et les incidents.

Choisir une approche viable à long terme

Conservez un VPN d’entreprise lorsque la connectivité réseau est nécessaire et privilégiez un accès plus restreint aux applications lorsqu’il correspond mieux aux besoins du poste. La configuration la plus robuste associe la méthode de connexion appropriée à des contrôles d’identité solides, à la segmentation et à une maintenance continue. Un abonnement à un VPN grand public répond à un autre besoin et ne devrait pas être présenté comme un substitut à un accès géré aux systèmes de l’entreprise.