Огляд корпоративних VPN-шлюзів

Для чого потрібні VPN-шлюзи? Чи має цей клас рішень майбутнє? Які параметри слід враховувати при захисті каналів зв’язку?

Багато організацій відчувають термінову потребу захистити передавані дані. Масова трансформація до віддаленої роботи лише посилила цю тенденцію. Що визначає вибір VPN-шлюзу — його функціональність, ціна чи наявність необхідних сертифікатів? Давайте детально розглянемо ці питання.

Як можна сконфігурувати VPN-шлюз

Відносно практичних варіантів використання криптографічних шлюзів, захист відеоканалів зв’язку, телемедицини та безпечний доступ до офіційних державних порталів останнім часом стали особливо актуальними. Загалом ми можемо говорити про загальний сценарій, коли користувач отримує доступ до певних ресурсів. Це може бути безпечний канал зв’язку з системою IDM, хмарною платформою або єдиною точкою входу, через яку здійснюється маршрутизація до інших ресурсів.

Технічно існують два сценарії використання криптографічних шлюзів: site-to-site і client-to-site. Сценарій site-to-site має два набори вимог. Перший — географічно розподілена мережа: наприклад, десяток філіалів, об’єднаних у спільну VPN-мережу. Другий варіант — безпечний канал між двома дата-центрами.

Завдання захисту корпоративних даних під час передачі можна розділити на політично-орієнтований VPN і маршрутно-орієнтований VPN. Останній варіант стає актуальним, коли кількість вузлів збільшується до декількох тисяч пристроїв. У разі захисту магістралі тоді низькорівневі рішення та топологія «точка-точка» зазвичай використовуються.

Говорячи про захист високозавантажених каналів, не можна обмежитися лише архітектурою «точка-точка». Рішення архітектури «точка-багатьох точок» зараз дуже популярні на світовому ринку. Дуже ефективним є захист каналу на рівні L2, оскільки тільки такий підхід може гарантувати відсутність затримок.

Слід пам’ятати, що захист site-to-site може бути реалізований як на програмному, так і на апаратному рівні. У другому випадку клієнт може вибрати варіант реалізації, наприклад, щодо швидкісних характеристик захищеного каналу.

Через зростання кількості працівників, які працюють віддалено, також зросла потреба у сценаріях «клієнт-клієнт», тобто у побудові безпосереднього VPN-з’єднання між користувачами. Такі канали використовуються для швидкої комунікації, відеоконференцій, телефонії та інших завдань.

Однак не відбулися суттєві зміни у попиті та технологічних рішеннях при реалізації комунікації «точка-точка». Вони використовують кодувальники потоків, які забезпечують хорошу швидкість з’єднання. З іншого боку, зростає попит на більш ефективні канали зв’язку між дата-центрами. У деяких випадках це стосується з’єднань із пропускною здатністю понад 100 ГБ, що вимагає цілої кластери VPN-шлюзів.

У свою чергу, сценарій організації віддаленого доступу під час пандемії показав значний ріст, і саме в цьому секторі виникли основні проблеми зі масштабованістю. Не тільки масштаб і технологічні рішення змінилися, наприклад, використання спеціалізованих балансувальників навантаження для розподілу навантаження між десятками тисяч VPN-з’єднань, але й термін реалізації проєктів став значно коротшим.

Відносно того, як сценарії використання криптографічного шлюзу пов’язані з необхідним рівнем відповідності, слід зазначити, що модель загроз має первинне значення в цьому питанні. Рівень відповідності можна явно вказати у регуляторній документації або самостійно визначити організацією.

Технічні нюанси вибору VPN-шлюзу

Відносно відмінностей у шифруванні VPN-шлюзів і випадків їхнього використання слід пам’ятати, що модель використання шлюзу визначає рівень захисту. Існують різні технічні засоби реалізації рівня захисту L3; однак створення робочої мережі L2 в цьому випадку проблематичне, хоча й фундаментально можливе. Відносно рівня L4 він фактично стає стандартом для доступу як до публічних Інтернет-ресурсів, так і до корпоративних сайтів.

Збереження даних і відмовостійкість є важливими критеріями вибору VPN-шлюзу. Слід пам’ятати, що необхідно враховувати відмовостійкість обладнання та систем контролю. Важливими параметрами також є швидкість перемикання на резервний робочий кластер у разі надзвичайної ситуації та швидкість відновлення системи до нормального стану.

Досить часто апаратне забезпечення не має рівня середнього часу між відмовами, заявленого постачальником. Тому для обладнання, яке використовується на магістралі, важливо не забувати про базові засоби відмовостійкості, наприклад, двойного джерела живлення або резервних систем охолодження.

Альтернативні рішення для захисту каналів зв’язку

Інші важливі питання, які слід тут обговорити, — це можливі альтернативи VPN-шлюзам, а також способи інтеграції рішень для криптографічного захисту каналів зв’язку з іншими засобами безпеки, такими як брандмауери, для забезпечення кращого захисту проти різних загроз.

Окрім криптографічних шлюзів, для захисту каналів можна використовувати високопродуктивні апаратні пристрої шифрування, а також їх віртуальні аналоги, які достатньо гнучкі для роботи майже на всіх рівнях моделі OSI. Крім того, існують компактні рішення у форматі трансивера та модулі, які можна вбудовувати в пристрої IoT.

Експерти передбачають, що окремі криптографічні шлюзи як пристрої поступово зникнуть з ринку, поступившись місцем інтегрованим системам. Є інший погляд: як правило, універсальні системи дешевші, але їх ефективність нижча, ніж у спеціалізованих рішень. Успішну інтеграцію також можна проводити в хмарі на рівні постачальника послуг. У цьому випадку постачальник послуг вирішує питання сумісності, а клієнт отримує універсальне рішення з необхідною функціональністю.

Прогнози ринку та перспективи

Я бачу велику потребу у підвищенні швидкості криптографічних шлюзів, і рішення цього класу будуть розвиватися для задоволення цього запиту. Процеси інтеграції будуть діяти на ринку, але результат такого руху ще неясний. Ринок VPN-шлюзів буде розвиватися під впливом пристроїв IoT, технологій 5G та тривалого зростання популярності віддаленої роботи. Деякі нові ніші для криптографічних засобів захисту можуть бути промисловими системами контролю.

Оскільки підтримка безпечних VPN-каналів на рівні підприємства вимагає високого рівня експертизи, клієнти все частіше будуть змінювати модель використання таких рішень інформаційної безпеки, передавши управління криптографічними шлюзами постачальникам послуг. Одним із важливих трендів буде зростання уваги до компонента UX криптографічних шлюзів, підвищення зручності роботи з ними.

Інший погляд полягає в тому, що ринок криптографічних шлюзів приречений, і протягом наступних п’яти чи десяти років такі рішення перетворяться на нішевий продукт. Універсальні рішення та локалізоване обладнання замінять їх. Тим не менш, клас шлюзів TLS буде розвиватися.

Висновок

При виборі засобів криптографічного захисту каналів зв’язку слід враховувати не тільки функціональність певного рішення, але й його відповідність вимогам регуляторів. Розглядаючи різні варіанти VPN-шлюзів, варто подумати про сценарії їхнього використання, а також вирішувати питання інтеграції з іншими системами інформаційної безпеки. У деяких випадках спеціалізована система може краще забезпечити безпеку; однак універсальні, багатофункціональні рішення часто мають кращу вартість ефективності. при розгляді різних варіантів VPN-шлюзів варто подумати про сценарії їхнього використання, а також вирішувати питання інтеграції з іншими системами інформаційної безпеки. В деяких випадках спеціалізована система може краще забезпечити безпеку; однак універсальні, багатофункціональні рішення часто мають кращу вартість ефективності.