Zakelijke VPN-gateways: veilige toegang op afstand en zero trust

Een zakelijke VPN-gateway biedt medewerkers of vestigingen een versleutelde verbinding met het netwerk van een organisatie. Zo’n gateway blijft nuttig voor systemen die netwerkconnectiviteit nodig hebben, maar versleuteling is slechts één onderdeel van veilige toegang. Identiteitscontroles, apparaatbeheer, patchbeheer en beperkingen op wat elke verbinding kan bereiken, zijn minstens zo belangrijk.

De juiste vraag bij de aanschaf is praktisch: wie heeft toegang nodig tot welke bronnen, vanaf welke apparaten, en hoe voorkomt de organisatie dat een gecompromitteerd account schade aanricht? Begin daarmee voordat u appliances, clouddiensten of geadverteerde doorvoersnelheden vergelijkt.

VPN’s voor externe toegang en site-to-site-VPN’s

Een VPN voor externe toegang verbindt een individueel apparaat met de omgeving van de organisatie. Een site-to-site-VPN verbindt netwerken, bijvoorbeeld die van een vestiging en een datacenter. Deze oplossingen zijn bedoeld voor verschillende situaties en moeten daarom verschillende toegangsbeleidsregels hebben. Een vestigingsverbinding mag niet automatisch elk apparaat onbeperkte toegang geven tot elke toepassing.

IPsec en oplossingen op basis van TLS zijn gangbare opties, maar alleen de naam van het protocol zegt niets over de beveiliging van een implementatie. De configuratie, ondersteunde softwareversies, het certificaatbeheer en de manier waarop de leverancier op kwetsbaarheden reageert, zijn allemaal van invloed op het resultaat.

Neem identiteits- en apparaatcontroles mee in het ontwerp

Verplicht multifactorauthenticatie voor toegang op afstand en geef waar mogelijk de voorkeur aan phishingbestendige methoden. Scheid beheerderstoegang van het dagelijkse gebruik door medewerkers, trek toegangsrechten direct in wanneer medewerkers vertrekken en beperk gebruikers tot de bronnen die ze voor hun functie nodig hebben. Beheerde apparaten geven de organisatie bovendien meer controle over updates, endpointbeveiliging en lokale gegevens.

Deze controles moeten ook van kracht blijven nadat de verbinding tot stand is gebracht. Een geauthenticeerde gebruiker kan nog steeds een gecompromitteerd apparaat of te ruime toegangsrechten hebben. Netwerksegmentatie en autorisatie op applicatieniveau helpen voorkomen dat één gecompromitteerde sessie leidt tot onbeperkte toegang tot de rest van de omgeving.

VPN’s en zero-trusttoegang

Zero trust is een architectuurbenadering, geen afzonderlijk product dat een netwerk veilig maakt. NIST SP 800-207 beschrijft een aanpak die uitgaat van bronnen en toegangsbeslissingen, in plaats van impliciet vertrouwen op basis van de netwerklocatie. Een VPN-tunnel kan onderdeel zijn van die omgeving, maar alleen verbinding maken via een gateway mag niet worden beschouwd als voldoende autorisatie.

Toegang die op applicaties is gericht, kan de noodzaak verminderen om externe gebruikers toegang te geven tot een breed intern netwerk. Dit kan voor sommige webapplicaties een betere oplossing zijn, terwijl oudere systemen of vestigingsverbindingen nog steeds een netwerktunnel nodig hebben. De richtlijnen van UK NCSC voor ZTNA bieden een bruikbaar kader om deze overgang te beoordelen. Organisaties kunnen een combinatie van benaderingen hanteren terwijl ze oudere afhankelijkheden vervangen.

Beoordeel de prestaties onder realistische omstandigheden

Vergelijk de versleutelde doorvoer, het aantal gelijktijdige sessies, de snelheid waarmee verbindingen tot stand komen en het gedrag bij failover met de beveiligingsinstellingen die u wilt gebruiken. De ruwe snelheid van een netwerkinterface is niet hetzelfde als de bruikbare versleutelde doorvoer. Geen enkele netwerklaag kan een vertraging van nul garanderen: versleuteling, routering, netwerkcongestie en fysieke afstand dragen allemaal bij aan de latentie.

Test de toepassingen die belangrijk zijn voor de organisatie, zoals gesprekken, bestandsoverdrachten en interactieve systemen. Een ontwerp dat een grote bestandsoverdracht moeiteloos aankan, kan tijdens een druk videogesprek toch een onaangename ervaring opleveren. Voer ook een failovertest uit, zodat het team weet wat er met actieve sessies gebeurt wanneer een gateway of verbinding uitvalt.

Behandel de gateway als een kritiek systeem

Gateways die rechtstreeks met internet zijn verbonden, moeten een duidelijke verantwoordelijke hebben, draaien op een ondersteunde softwareversie en beschikken over een snel patchproces. Beperk de toegang tot beheerinterfaces, houd toegangsgebeurtenissen in de gaten en zorg voor een geteste herstelprocedure. De gezamenlijke richtlijnen van CISA over moderne beveiliging van netwerktoegang leggen uit waarom organisaties traditionele ontwerpen voor toegang op afstand opnieuw moeten beoordelen in combinatie met nieuwere benaderingen.

Plan het vernieuwen van certificaten, het maken van configuratieback-ups en noodtoegang voordat zich een storing voordoet. Redundante apparatuur is alleen nuttig als ook de bijbehorende afhankelijkheden zijn meegenomen, waaronder identiteitsdiensten, stroomvoorziening en internetverbindingen. Beheerde diensten kunnen de operationele werklast verminderen, maar de organisatie moet nog steeds zorgen voor duidelijke verantwoordelijkheden en inzicht in wijzigingen en incidenten.

Een duurzame aanpak kiezen

Behoud een zakelijke VPN waar netwerkconnectiviteit noodzakelijk is en gebruik beperktere toegang tot applicaties waar dat beter bij de werkzaamheden past. Het beste ontwerp combineert de juiste verbindingsmethode met solide identiteitscontroles, segmentatie en doorlopend onderhoud. Een VPN-abonnement voor consumenten heeft een ander doel en mag niet worden voorgesteld als vervanging voor beheerde toegang tot bedrijfssystemen.