Анализ корпоративных VPN-шлюзов

Для чего нужны VPN-шлюзы? Имеет ли этот класс решений будущее? Какие параметры следует учитывать при защите каналов связи?

Многие организации испытывают острую необходимость в защите передаваемых данных. Массовый переход на удаленную работу только усилил эту тенденцию. Что определяет выбор VPN-шлюза — его функциональность, цена или наличие необходимых сертификатов? Давайте подробно рассмотрим эти вопросы.

Как можно настроить VPN-шлюз

Что касается практических вариантов использования криптографических шлюзов, то защита видеоканалов связи, телемедицины и безопасный доступ к официальным государственным порталам в последнее время находятся в большом спросе. В целом мы можем говорить о общем сценарии, когда пользователь получает доступ к определенным ресурсам. Это может быть защищенный канал связи с системой IDM, облачной платформой или единой точкой входа, через которую осуществляется маршрутизация к другим ресурсам.

Технически существуют два сценария использования криптографических шлюзов: site-to-site и client-to-site. Сценарий site-to-site имеет два набора требований. Первое — географически распределенная сеть: например, десяток филиалов, объединенных в общую VPN-сеть. Второй вариант — защищенный канал между двумя центрами обработки данных.

Задачи защиты корпоративных данных при передаче можно разделить на политику, основанную на VPN, и маршрутизацию, основанную на VPN. Последний вариант становится актуальным, когда количество узлов увеличивается до нескольких тысяч устройств. В случае защиты магистрали обычно используются низкоуровневые решения и топология point-to-point.

Говоря о защите высоко нагруженных каналов, нельзя ограничиваться только точечной архитектурой. Решения point-to-multipoint находятся в большом спросе на мировом рынке. Очень эффективна защита канала на уровне L2, поскольку только этот подход может гарантировать отсутствие задержек.

Следует помнить, что защита site-to-site может быть реализована как на программном, так и на аппаратном уровне. В последнем случае клиент может выбрать вариант реализации с учетом, например, скоростных характеристик защищенного канала.

Из-за увеличения количества сотрудников, работающих удаленно, также возросла потребность в сценариях client-to-client, то есть в построении VPN-соединения直接 между пользователями. Такие каналы используются для быстрой связи, видеоконференций, телефонии и других задач.

Однако не произошло значительных изменений в спросе и технологических решениях при реализации point-to-point-связи. Они используют кодировщики потоков, которые обеспечивают хорошую скорость соединения. С другой стороны, растет спрос на более эффективные каналы связи между центрами обработки данных. В некоторых случаях речь идет о соединениях с пропускной способностью более 100 ГБ, требующих целого кластера VPN-шлюзов.

Сценарий организации удаленного доступа во время пандемии показал значительный рост, и именно в этом секторе возникли основные проблемы с масштабируемостью. Не только масштаб и технологические решения изменились, такие как использование специализированных балансировщиков нагрузки для распределения нагрузки между десятками тысяч VPN-соединений, но и сроки реализации проекта стали намного короче.

Что касается того, как сценарии использования криптографических шлюзов связаны с необходимым уровнем соответствия, следует отметить, что модель угроз имеет первостепенное значение в этом вопросе. Уровень соответствия может быть явно указан в нормативной документации или самостоятельно определён организацией.

Технические нюансы выбора VPN-шлюза

Что касается различий в шифровании VPN-шлюзов и случаев их использования, следует помнить, что модель использования шлюза в значительной степени диктует уровень защиты. Существуют различные технические средства реализации уровня защиты L3; однако проектирование работающей сети L2 в этом случае проблематично, хотя и фундаментально возможно. Что касается уровня L4, то он фактически становится стандартом для доступа как к публичным ресурсам Интернета, так и к корпоративным сайтам.

Избыточность данных и отказоустойчивость являются важными критериями при выборе VPN-шлюза. Помните, что необходимо учитывать отказоустойчивость оборудования и систем управления. Важными параметрами также являются скорость переключения на резервный рабочий кластер в случае аварии и скорость восстановления системы до нормального состояния.

Довольно часто аппаратное обеспечение не имеет среднего времени между отказами, заявленного поставщиком. Поэтому для оборудования, используемого на магистрали, важно не забыть о базовых средствах отказоустойчивости, таких как двойное питание или резервные системы охлаждения.

Альтернативные решения для защиты каналов связи

Другими важными темами, которые следует затронуть здесь, являются возможные альтернативы VPN-шлюзам, а также способы интеграции решений для криптографической защиты каналов связи с другими средствами безопасности, такими как брандмауэры, для обеспечения лучшей защиты от различных угроз.

Помимо криптографических шлюзов, для защиты каналов можно использовать высокопроизводительные аппаратные устройства шифрования, а также их виртуальные аналоги, которые достаточно гибки, чтобы работать几乎 на всех уровнях модели OSI. Кроме того, существуют небольшие, одноплатные решения в формате трансивера и модули, которые можно встроить в устройства IoT.

Эксперты предсказывают, что индивидуальные криптографические шлюзы как устройства постепенно покинут рынок, уступая место интегрированным системам. Существует и другой взгляд: как правило, универсальные системы дешевле, но их эффективность ниже, чем у специализированных решений. Успешная интеграция также может быть проведена в облаке на уровне сервис-провайдера. В этом случае сервис-провайдер решает проблемы совместимости, а клиент получает универсальное решение с необходимой функциональностью.

Прогнозы рынка и перспективы

Я вижу большую потребность в увеличении скорости криптографических шлюзов, и решения этого класса будут разрабатываться для удовлетворения этого запроса. Процессы интеграции будут действовать на рынке, но результат такого движения пока неясен. Рынок VPN-шлюзов будет стимулироваться устройствами IoT, технологиями 5G и продолжающимся ростом популярности удаленной работы. Новые ниши для инструментов криптографической защиты могут быть промышленными системами управления.

Поскольку поддержка защищенных VPN-каналов на уровне предприятия требует высокого уровня экспертизы, клиенты все чаще будут менять модель использования таких решений информационной безопасности, передавая управление криптографическими шлюзами сервис-провайдерам. важной тенденцией будет увеличение внимания к компоненту UX криптографических шлюзов, повышение удобства работы с ними.

Другой взгляд заключается в том, что рынок криптографических шлюзов обречен, и в течение следующих пяти или десяти лет такие решения станут нишевым продуктом. Универсальные решения и локализованное оборудование заменят их. Тем не менее, класс шлюзов TLS будет эволюционировать.

Заключение

При выборе средств криптографической защиты каналов связи необходимо учитывать не только функциональность конкретного решения, но и его соответствие требованиям регулирующих органов. Рассматривая различные варианты VPN-шлюзов, стоит подумать о сценариях их использования, а также решить вопросы интеграции с другими системами информационной безопасности. В некоторых случаях специализированная система может лучше обеспечить безопасность; однако универсальные, многофункциональные решения часто имеют лучшую стоимость эффективности. при рассмотрении различных вариантов VPN-шлюзов стоит подумать о сценариях их использования, а также решить вопросы интеграции с другими системами информационной безопасности. В некоторых случаях специализированная система может лучше обеспечить безопасность; однако универсальные, многофункциональные решения часто имеют лучшую стоимость эффективности.