Toimipisteiden väliset ja asiakas-VPN:t

VPN:t jakautuvat kahteen päätyyppiin sen mukaan, mitä ne yhdistävät. Site-to-site VPN yhdistää kokonaisia verkkoja, kun taas client (remote-access) VPN yhdistää yhden käyttäjän laitteen verkkoon.

Molemmat muodostavat salattuja tunneleita, mutta palvelevat eri tarpeita: toimistojen yhdistämistä ja yksittäisten työntekijöiden turvallisen etäyhteyden mahdollistamista.

Site-to-site VPN yhdistää kaksi kokonaista verkkoa, kuten pääkonttorin ja sivukonttorin, internetin kautta. Tunneli muodostetaan toimipaikkojen reitittimien tai palomuurien välille. Näitä laitteita kutsutaan VPN-yhdyskäytäviksi.

Kun yhteys on muodostettu, kummankin toimipaikan laitteet viestivät kuin ne olisivat samassa verkossa, eikä yksittäisiin koneisiin tarvita ohjelmistoa. Yhdyskäytävät huolehtivat kaikesta salauksesta läpinäkyvästi.

Site-to-site-asetuksessa jokainen Site A:n laite lähettää Site B:lle tarkoitetun liikenteen paikalliselle VPN-yhdyskäytävälleen. Yhdyskäytävä salaa liikenteen ja lähettää sen tunnelia pitkin Site B:n yhdyskäytävälle, joka purkaa salauksen ja välittää liikenteen paikallisesti.

Käyttäjien ei tarvitse määrittää mitään. Yhdyskäytävien välinen aina käytössä oleva tunneli saa kaksi kaukana toisistaan sijaitsevaa toimistoa tuntumaan yhdeltä yhtenäiseltä lähiverkolta.

Client VPN yhdistää yhden laitteen verkkoon. Käyttäjä suorittaa VPN-asiakasohjelmistoa, joka muodostaa tunnelin toimiston VPN-keskittymään tai palomuuriin ja todentaa yksittäisen käyttäjän.

Tämä on perinteinen etätyöjärjestely: missä tahansa maailmassa oleva kannettava tietokone muodostaa tunnelin yrityksen verkkoon ja saa tarvittaessa suojatun pääsyn sisäisiin resursseihin.

Keskeiset erot:

• Site-to-site: yhdyskäytävästä yhdyskäytävään, aina käytössä, yhdistää kokonaisia verkkoja, ei laitekohtaista ohjelmistoa.
• Client: laitteesta yhdyskäytävään, tarvittaessa käytössä, yhdistää yhden käyttäjän, edellyttää asiakasohjelmistoa.

Käyttäkää site-to-site-ratkaisua toimipaikkojen pysyviin yhteyksiin ja client VPN -ratkaisuja liikkuville sekä etätyötä tekeville henkilöille.

Client VPN:t voivat reitittää liikennettä kahdella tavalla. Full tunnel ohjaa kaiken laitteen liikenteen VPN:n kautta, myös tavallisen verkkoselailun, mikä maksimoi tietoturvan ja hallinnan.

Split tunnel ohjaa VPN:n kautta vain yritykselle tarkoitetun liikenteen, kun taas normaali internetliikenne lähtee suoraan ulos. Split tunneling säästää kaistanleveyttä, mutta vähentää organisaation näkyvyyttä ja hallintaa käyttäjän muuhun liikenteeseen.

Organisaatiot, joissa on paljon etäkäyttäjiä, ottavat käyttöön VPN-keskittimen. Se on laite, joka on suunniteltu päättämään samanaikaisesti suuri määrä client VPN -tunneleita ja käsittelemään raskaan salaustyön.

Se todentaa käyttäjät, määrittää heille sisäiset osoitteet ja soveltaa käyttöoikeuskäytäntöjä. Usein tämä toiminto on sisäänrakennettu palomuuriin, jolloin se toimii kaikkien etätyöntekijöiden ainoana suojattuna sisäänpääsypisteenä.

Site-to-site-tunnelit todentavat yleensä kaksi yhdyskäytävää esijaetuilla avaimilla tai varmenteilla, koska päätepisteet ovat kiinteitä ja luotettuja laitteita.

Client VPN:ien on todennettava yksittäiset henkilöt, joten ne käyttävät käyttäjätunnuksia, varmenteita ja yhä useammin monivaiheista todennusta varmistaakseen ennen käyttöoikeuden myöntämistä, että etäkäyttäjä on todella se, joka hän väittää olevansa.

Valitkaa ratkaisu yhteystarpeen perusteella: sivukonttorin pysyvä yhdistäminen pääkonttoriin edellyttää site-to-site-VPN:ää, kun taas työntekijöiden turvallisen työskentelyn mahdollistaminen kotoa tai matkan päältä edellyttää client-VPN:ää.

Monet organisaatiot käyttävät molempia: toimistojen välisiä aina käytössä olevia site-to-site-yhteyksiä sekä client VPN -käyttöoikeutta liikkuvalle ja etätyötä tekevälle henkilöstölle.

Uudemmat lähestymistavat, kuten ZTNA (Zero Trust Network Access) ja SASE (Secure Access Service Edge), kehittävät etäkäyttöä. Sen sijaan että käyttäjälle myönnettäisiin laaja pääsy verkkoon, ne tarkistavat jokaisen pyynnön ja yhdistävät käyttäjän vain tiettyihin hyväksyttyihin sovelluksiin.

Ne perustuvat VPN-ajatteluun, mutta soveltavat zero trust -periaatteita ja myöntävät vähimpien oikeuksien mukaisen pääsyn sen sijaan, että käyttäjä päästettäisiin koko verkkoon.

Site-to-site VPN:t yhdistävät kokonaisia verkkoja yhdyskäytävästä yhdyskäytävään, ovat aina käytössä eivätkä edellytä asiakasohjelmistoa, joten ne sopivat toimistojen yhdistämiseen. Client VPN:t yhdistävät yksittäisiä laitteita tarvittaessa VPN-ohjelmiston avulla, joten ne sopivat etätyöntekijöille ja voivat käyttää full tai split tunneling -ratkaisua. Keskityin käsittelee useita client-tunneleita, kun taas ZTNA ja SASE uudistavat mallia.

Site-to-site VPN:t yhdistävät kokonaisia verkkoja VPN-yhdyskäytävien kautta. Ne ovat aina käytössä eivätkä edellytä ohjelmistoa, joten ne sopivat toimistojen yhdistämiseen. Client VPN:t yhdistävät yhden laitteen tarvittaessa VPN-ohjelmiston avulla ja sopivat etäkäyttäjille. Ne tukevat full tai split tunneling -ratkaisua. VPN-keskitin päättää useita client-tunneleita, ja ZTNA/SASE uudistavat etäkäyttöä.