Prywatny VPN dla firmy - WireGuard, dostęp zdalny i szyfrowanie

Panel administracyjny wystawiony do internetu

Adres zna kilka osób, ale skanery znajdują go w kilka godzin po uruchomieniu. Za VPN-em ten panel po prostu przestaje istnieć dla obcych.

Zespół pracuje z kawiarni i z hotelu

Publiczne Wi-Fi to najprostszy sposób podsłuchania ruchu. Szyfrowany tunel rozwiązuje ten problem raz, dla wszystkich urządzeń.

Dostępy rozdawane hasłami przez komunikator

Nikt nie wie, kto jeszcze ma dane do serwera. Konfiguracja imienna daje odpowiedź na to pytanie i pozwala odebrać dostęp w minutę.

Baza danych dostępna z całego świata

Zwykle dlatego, że kiedyś trzeba było się szybko połączyć. Przeniesienie takiego portu za VPN zajmuje jeden wieczór.

Pracownik odchodzi i nie wiadomo, co odciąć

Przy jednym wejściu do firmowej sieci odebranie dostępu jest jedną operacją, a nie listą systemów do przejścia.

Podwykonawca potrzebuje dostępu na dwa tygodnie

Konfiguracja z terminem ważności i dostępem tylko do jednego systemu jest bezpieczniejsza niż konto, o którym wszyscy zapomną.

Nowoczesne szyfrowanie

Ruch chroniony algorytmami ChaCha20 i AES-256, w konfiguracji bez przestarzałych trybów zgodności, które osłabiają całość.

Protokół WireGuard®

Nowoczesny protokół o małym, audytowalnym kodzie i wysokiej wydajności. Łączy się natychmiast po wybudzeniu telefonu, więc ludzie go nie wyłączają.

Brak logów aktywności

Nie rejestruję odwiedzanych adresów ani treści ruchu. Zapisywane jest tylko to, co konieczne do działania usługi, i mówię wprost co to jest.

Ochrona przed wyciekami

Kill switch oraz ochrona przed wyciekiem DNS i IPv6, żeby zerwane połączenie nie wypuściło ruchu poza tunel bez ostrzeżenia.

Dedykowany serwer

Infrastruktura tylko dla Waszej firmy, nie zasoby współdzielone z tysiącem obcych osób. Adres IP jest stały, co ułatwia białe listy.

Dostęp z każdego miejsca

Jedna konfiguracja działa na laptopie, telefonie i tablecie, w kraju i za granicą, z trasowaniem tylko ruchu firmowego, jeśli tak wolicie.

Bezpieczna praca zdalna

Zespół dostaje szyfrowany dostęp do wewnętrznych zasobów firmy niezależnie od miejsca, bez wystawiania tych zasobów do internetu.

Ochrona w sieciach publicznych

Dane pozostają zaszyfrowane także w hotelu, na lotnisku i w kawiarni, gdzie sieć jest poza jakąkolwiek kontrolą.

Dostęp do zasobów firmowych

Serwery plików, bazy danych i aplikacje wewnętrzne dostępne z dowolnej lokalizacji, ale wyłącznie dla nazwanych osób.

Łączenie oddziałów

Dwa biura, magazyn i serwerownia w jednej sieci prywatnej, bez dzierżawionego łącza i bez otwierania portów na świat.

ROZMOWA

Ile osób, jakie systemy mają być dostępne, czy potrzebne są oddziały i podwykonawcy. Z tego wychodzi wielkość serwera i sposób podziału dostępów.

KONFIGURACJA

Uruchomienie serwera, ustawienie tunelu, reguł ruchu, ochrony przed wyciekami i monitoringu. Wszystko na Waszym koncie u dostawcy, nie na moim.

KONFIGURACJE DLA LUDZI

Imienne profile dla każdej osoby i urządzenia, z zakresem dostępu wynikającym z roli. Podłączenie zajmuje minutę na urządzeniu.

TESTY

Sprawdzenie, czy nie ma wycieku DNS ani IPv6, czy kill switch działa i czy zerwane połączenie zachowuje się tak, jak powinno.

ZAMKNIĘCIE DRZWI

Najważniejszy krok: po uruchomieniu VPN-a zamykamy publiczny dostęp do paneli, baz i portów, które do tej pory były wystawione.

PRZEKAZANIE

Instrukcja dla zespołu, dokumentacja dla osoby technicznej i pokazanie, jak dodać oraz odebrać dostęp bez mojego udziału.

Mały zespół

Jeden serwer, jedno biuro, dostęp dla kilku osób. Najczęstszy start i zwykle wystarcza na długo.

Firma z oddziałami

Kilka lokalizacji w jednej sieci prywatnej, z podziałem dostępów według roli i miejsca. Najczęściej wybierany zakres.

Opieka nad dostępami

Stała obsługa: dodawanie i odbieranie dostępów, aktualizacje serwera, monitoring i reagowanie, gdy coś przestaje działać.

Czym to różni się od VPN-a z reklamy?

Usługi reklamowane w internecie służą do ukrywania własnego ruchu w publicznej sieci i działają na serwerach współdzielonych z tysiącami obcych osób. Tutaj chodzi o coś innego: prywatną sieć firmy, w której Wasze systemy są dostępne tylko dla nazwanych osób, a publiczny dostęp do paneli i baz zostaje zamknięty. Serwer należy do Was, adres IP jest stały, a listę dostępów kontrolujecie sami.

Czy VPN spowolni pracę zespołu?

Przy WireGuardzie różnica jest zwykle nieodczuwalna, bo protokół ma niewielki narzut, a serwer dobieram do liczby osób i rodzaju ruchu. Jeśli zależy Wam na maksymalnej szybkości zwykłego przeglądania, można trasować przez tunel tylko ruch do systemów firmowych, a resztę puścić bezpośrednio. To ustawienie omawiamy przed wdrożeniem, bo wpływa też na poziom ochrony.

Kto jest właścicielem serwera?

Wy. Serwer stoi na Waszym koncie u dostawcy chmury albo na Waszym sprzęcie, a ja dostaję dostęp na czas prac i utrzymania. To ważne, bo oznacza, że w każdej chwili możecie przejąć infrastrukturę albo przekazać ją komuś innemu, bez negocjacji ze mną. Uzależnianie klienta od wykonawcy przy dostępach do sieci jest szczególnie złym pomysłem.

Ile osób obsłuży jeden serwer?

Mały serwer bez problemu obsługuje kilkanaście do kilkudziesięciu osób pracujących na dokumentach i systemach wewnętrznych. Granicę wyznacza nie liczba kont, a rodzaj ruchu: przesyłanie dużych plików i praca na pulpicie zdalnym obciążają łącze znacznie mocniej. Wielkość dobieram po rozmowie o tym, co ludzie faktycznie robią, i można ją później zmienić.

Czy potrzebujemy do tego administratora?

Nie do codziennego korzystania. Dodanie i odebranie dostępu jest na tyle proste, że po krótkim szkoleniu robi to osoba nietechniczna, na przykład w kadrach przy zmianach w zespole. Do aktualizacji serwera i reagowania na awarie potrzebna jest osoba techniczna, dlatego przy braku własnego administratora proponuję opiekę abonamentową.

Co, gdy serwer padnie?

Dostajecie alert z monitoringu, a konfiguracja i plan odtworzenia są udokumentowane, więc postawienie serwera od nowa jest kwestią godzin, nie dni. W wariancie z opieką reaguję na alert po swojej stronie. Ważne, żeby pamiętać o konsekwencji zamknięcia publicznego dostępu: gdy VPN nie działa, systemy są nieosiągalne także dla Was, dlatego procedura awaryjna jest częścią wdrożenia.

Audyty bezpieczeństwa

Sprawdzenie, co jeszcze jest wystawione do internetu i jak trudno to wykorzystać.

DevOps i infrastruktura

Serwery, wdrożenia, monitoring i kopie zapasowe uporządkowane raz na dobre.

Doradztwo IT

Decyzje o infrastrukturze i dostępach, gdy w firmie nie ma osoby technicznej.

Prywatny VPN dla firmy - WireGuard, dostęp zdalny i szyfrowanie | Mateusz Ulewicz

JEDNO WEJŚCIE

Buduję prywatną sieć na protokole WireGuard, w której Wasze panele, bazy i pliki są dostępne wyłącznie dla nazwanych osób. Po wdrożeniu zamykamy publiczny dostęp do tych systemów, bo to właśnie ten krok zmienia poziom bezpieczeństwa.

SZEŚĆ SYTUACJI,

Prawie każda z nich powstała, bo kiedyś trzeba było się szybko połączyć i tak zostało. To normalne, tylko nie powinno zostać na stałe.

Fundamenty

Technologia jest tu prosta i sprawdzona. Różnicę robi konfiguracja: kto ma dostęp do czego i co dzieje się, gdy połączenie się zerwie.

W standardzie

Najważniejsze punkty tej listy dotyczą ludzi, nie szyfrowania. Wspólne hasło do VPN-a psuje całą korzyść, którą daje szyfrowany tunel.

Warianty

Do wyceny dochodzi koszt serwera po Waszej stronie, zwykle kilkadziesiąt złotych miesięcznie przy małym zespole. Podaję go przed wdrożeniem.

Technologie

Wybieram rozwiązania nudne i szeroko przetestowane, bo w bezpieczeństwie nowinka bez audytów jest ryzykiem, nie przewagą.

NAPISZ, ILE OSÓB

Liczba osób i lista systemów wystarczą, żebym podał zakres, koszt serwera i termin. Przy małym zespole całość zwykle da się uruchomić w tym samym tygodniu.