Zaposlenik koji se s terena spaja na računovodstveni program, direktor koji pregledava dokumente izvan ureda ili vanjski suradnik koji pristupa internom poslužitelju ne smiju imati isti opseg pristupa. Upravo tu počinje pitanje kako konfigurirati poslovni VPN: nije dovoljno omogućiti vezu prema mreži, nego precizno odrediti tko se spaja, na koje resurse i pod kojim sigurnosnim uvjetima.
VPN, odnosno virtualna privatna mreža, stvara šifrirani komunikacijski kanal između korisnika ili udaljene lokacije i poslovne infrastrukture. Ispravno postavljen VPN smanjuje rizik prisluškivanja prometa na javnim mrežama te omogućuje rad s internim sustavima bez njihovog izravnog izlaganja internetu. Loše postavljen VPN, s druge strane, može postati najkraći put prema cijeloj mreži tvrtke.
Kako konfigurirati poslovni VPN prije same instalacije
Najčešća pogreška je započeti od odabira uređaja ili VPN aplikacije. Konfiguracija treba započeti pregledom stvarnih poslovnih potreba. Koliko korisnika radi na daljinu, pristupaju li samo Microsoft 365 uslugama ili i lokalnim aplikacijama, postoje li izdvojeni uredi te moraju li vanjski partneri pristupati određenim sustavima?
Za mnoge tvrtke pristup svim mrežnim resursima nije potreban. Primjerice, djelatniku prodaje možda treba pristup CRM-u i dokumentaciji, dok administratoru treba pristup poslužiteljima, mrežnoj opremi i sustavu za sigurnosno kopiranje. Ta dva pristupa ne smiju biti jednako široka samo zato što oba korisnika koriste VPN.
U ovoj fazi treba evidentirati interne mreže, poslužitelje, poslovne aplikacije, datotečne resurse i korisničke skupine. Tako nastaje plan pristupa koji se kasnije pretvara u pravila vatrozida i VPN politike. Ako tvrtka ima više lokacija, potrebno je odlučiti hoće li se povezivati cijele mreže međusobno ili će se povezivati pojedinačni korisnici.
Odaberite model koji odgovara načinu rada
Poslovni VPN obično se postavlja u jednom od dva modela. Remote-access VPN služi pojedinačnim korisnicima koji se spajaju s prijenosnih računala na poslovnu mrežu. Site-to-site VPN povezuje dvije ili više poslovnih lokacija tako da njihovi sustavi mogu komunicirati kroz šifrirani tunel.
Manja tvrtka s nekoliko zaposlenika na terenu najčešće treba remote-access VPN. Tvrtka sa sjedištem u Zagrebu i izdvojenim uredom u drugom gradu može trebati site-to-site vezu, uz zaseban udaljeni pristup za administratore i povremene korisnike. U većim okruženjima često se koriste oba modela.
Odabir protokola ovisi o postojećoj infrastrukturi i zahtjevima. IPsec se često koristi za povezivanje lokacija i mrežne opreme, dok SSL VPN ili suvremena rješenja zasnovana na standardima poput IKEv2 mogu biti praktični za udaljene korisnike. Presudni nisu samo naziv protokola i kompatibilnost klijenta, nego podrška za višefaktorsku autentifikaciju, kvalitetno zapisivanje događaja, upravljanje certifikatima i redovita ažuriranja.
Identitet korisnika važniji je od same VPN veze
VPN račun nije obična tehnička stavka. On predstavlja identitet osobe ili sustava koji ulazi u internu infrastrukturu. Zato zajednički korisnički računi, poput općeg računa za servis ili vanjske suradnike, stvaraju ozbiljan operativni problem: nije moguće jasno utvrditi tko je pristupao sustavu niti brzo ukinuti pristup pojedinoj osobi.
Svaki korisnik treba imati vlastiti račun, vezan uz centralni imenik identiteta kada je to moguće. Za poslovna okruženja to je često Active Directory ili Microsoft Entra ID, ovisno o arhitekturi. Takav pristup olakšava dodjelu prava prema radnom mjestu, deaktivaciju računa pri odlasku zaposlenika i provedbu jedinstvenih sigurnosnih pravila.
Višefaktorska autentifikacija, odnosno MFA, trebala bi biti standard za VPN pristup. Lozinka može biti otkrivena krađom identiteta, ponovnom uporabom ili slabim upravljanjem vjerodajnicama. Dodatna potvrda putem aplikacije za autentifikaciju, sigurnosnog ključa ili drugog odobrenog faktora značajno smanjuje mogućnost neovlaštene prijave samo na temelju lozinke.
Pristup treba ograničiti i prema ulozi. Administratorima se može odobriti zaseban administrativni VPN profil uz stroža pravila, dok redovni korisnici dobivaju samo potrebne interne mreže i aplikacije. Privremeni pristup vanjskog izvođača treba imati rok trajanja i biti odobren za točno definirani opseg posla.
Segmentacija sprječava nepotrebno širenje pristupa
Nakon uspješne prijave korisnik ne bi automatski smio vidjeti cijelu poslovnu mrežu. VPN treba završavati u zasebnoj mrežnoj zoni iz koje su dopuštene samo potrebne komunikacije. To se postiže segmentacijom mreže i pravilima vatrozida.
Primjerice, korisnici VPN-a mogu pristupati aplikacijskom poslužitelju i datotečnim resursima, ali ne i upravljačkom sučelju mrežnih preklopnika, sigurnosnim sustavima, backup spremištu ili drugim osjetljivim segmentima. Administrativni pristup tim sustavima treba dodatno ograničiti na ovlaštene osobe, uređaje i protokole.
Takva segmentacija ima i praktičnu vrijednost. Ako se na korisničkom računalu pojavi sigurnosni incident, ograničen opseg mrežnog pristupa smanjuje mogućnost da problem zahvati cijelu infrastrukturu. Jednako vrijedi za pogrešno konfiguriran uređaj ili kompromitirani račun vanjskog suradnika.
Full tunnel ili split tunnel?
Kod full tunnel konfiguracije sav promet udaljenog korisnika prolazi kroz poslovnu mrežu prije izlaska na internet. To omogućuje primjenu poslovnih sigurnosnih pravila, filtriranja i nadzora na cjelokupan promet. Nedostatak je veće opterećenje internetske veze i VPN uređaja, osobito kada korisnici rade s prometno zahtjevnim uslugama.
Split tunnel kroz VPN šalje samo promet namijenjen internim resursima, dok ostali internetski promet ide izravno preko lokalne veze korisnika. Time se rasterećuje poslovna infrastruktura, ali je kontrola nad prometom izvan tunela manja. Ne postoji univerzalno ispravan izbor. Za uređaje kojima upravlja tvrtka i koji imaju odgovarajuću zaštitu split tunnel može biti opravdan. Za administrativne račune, osjetljive podatke ili uređaje s višim rizikom full tunnel je često razumnije rješenje.
Sigurnost krajnjih uređaja dio je VPN konfiguracije
VPN štiti prijenos podataka, ali ne popravlja sigurnosno stanje računala s kojeg se korisnik spaja. Ako je uređaj bez ažuriranja, bez zaštite krajnje točke ili ga koristi više osoba, sam šifrirani tunel ne uklanja rizik.
Prije odobravanja pristupa treba definirati minimalne uvjete za službene uređaje: ažuriran operativni sustav, aktivna zaštita krajnje točke, zaključavanje zaslona, šifriranje diska i odvojeni korisnički računi. Gdje infrastruktura to podržava, pristup se može uvjetovati usklađenošću uređaja. Uređaj koji ne zadovoljava pravila ne dobiva VPN pristup dok se nedostatak ne otkloni.
Posebnu pažnju zahtijevaju privatna računala. Mogu biti prihvatljiva za ograničen pristup pojedinim cloud uslugama, ali pristup lokalnim poslužiteljima, financijskim aplikacijama ili administrativnim alatima treba procijeniti znatno strože. U mnogim slučajevima sigurnije je osigurati upravljani službeni uređaj nego širiti iznimke u pravilima.
Testiranje, zapisivanje i održavanje nakon puštanja u rad
VPN konfiguracija nije završena kada se prvi korisnik uspješno spoji. Potrebno je testirati radi li pristup upravo onako kako je planirano. Redovni korisnik treba provjeriti dostupnost svojih aplikacija, ali i nedostupnost resursa za koje nema ovlasti. Administrator treba provjeriti MFA, prekid sesije, ponašanje nakon pogrešne prijave, zapisivanje događaja i pravila vatrozida.
Dnevnički zapisi trebaju omogućiti pregled uspješnih i neuspješnih prijava, korištenih računa, izvorišnih adresa, trajanja sesija i administratorskih promjena. Zapisi nisu sami sebi svrha. Korisni su kada treba istražiti neuobičajenu prijavu, potvrditi tko je imao pristup sustavu ili utvrditi zašto korisnik ne može raditi.
Potrebno je redovito ažurirati VPN uređaj, operativni sustav i klijentski softver. Također treba pregledavati aktivne račune, uklanjati zastarjele pristupe i periodično provjeravati jesu li pravila i dalje usklađena s organizacijom rada. Tvrtke često zaborave upravo taj dio pa privremeni pristup ostane aktivan mnogo dulje nego što je bilo planirano.
Dobra dokumentacija smanjuje vrijeme zastoja kada se promijeni administrator, otvori nova lokacija ili dođe do incidenta. Ona treba sadržavati mrežnu shemu, način autentifikacije, dodijeljene mrežne raspone, pravila pristupa, odgovorne osobe i postupak oporavka konfiguracije. Konfiguraciju VPN uređaja treba uključiti u redoviti backup, uz provjeru može li se doista vratiti.
Poslovni VPN ima stvarnu vrijednost tek kada korisniku daje potreban pristup, a ne više od toga. Ako nemate interne resurse za planiranje segmentacije, MFA pravila, nadzor i održavanje, iskusni IT partner može pomoći uspostaviti rješenje koje neće otežavati rad zaposlenicima niti nepotrebno širiti sigurnosni rizik.