VPN между площадками и пользовательский VPN

Существует два основных типа VPN, различающихся тем, что именно они соединяют. VPN между сайтами объединяет целые сети, а клиентский VPN (для удалённого доступа) подключает отдельное пользовательское устройство к сети.

Оба типа создают зашифрованные туннели, но решают разные задачи: объединяют офисы или предоставляют отдельным сотрудникам безопасный доступ из любого места.

VPN между сайтами соединяет две целые сети, например головной и филиальный офис, через интернет. Туннель создаётся между маршрутизаторами или межсетевыми экранами двух сайтов, которые называются шлюзами VPN.

После установления соединения устройства в каждой сети взаимодействуют так, словно находятся в одной сети, и устанавливать программное обеспечение на отдельные компьютеры не требуется. Шлюзы прозрачно выполняют всё шифрование.

При такой настройке каждое устройство на сайте A отправляет трафик, предназначенный для сайта B, своему локальному шлюзу VPN. Этот шлюз шифрует трафик и отправляет его через туннель шлюзу сайта B, который расшифровывает трафик и доставляет его в локальную сеть.

Пользователям ничего не нужно настраивать: постоянно включённый туннель между шлюзами создаёт ощущение, будто два удалённых офиса являются одной общей LAN.

Клиентский VPN подключает одно устройство к сети. Пользователь запускает клиентское программное обеспечение VPN, которое создаёт туннель к VPN-концентратору или межсетевому экрану в офисе и выполняет аутентификацию пользователя.

Это классическая схема работы из дома: ноутбук из любой точки мира подключается через туннель к корпоративной сети и получает безопасный доступ к внутренним ресурсам по мере необходимости.

Основные различия:

• VPN между сайтами: соединение между шлюзами, постоянная работа, объединение целых сетей, программное обеспечение на отдельных устройствах не требуется.
• Клиентский VPN: соединение устройства со шлюзом, включение по запросу, подключение одного пользователя, требуется клиентское программное обеспечение.

Используйте VPN между сайтами для постоянного соединения разных мест, а клиентские VPN — для мобильных и удалённых пользователей.

Клиентские VPN могут направлять трафик двумя способами. Полный туннель отправляет через VPN весь трафик устройства, включая обычный просмотр веб-страниц, что обеспечивает максимальные безопасность и контроль.

Разделённый туннель отправляет через VPN только трафик, предназначенный для компании, а обычный интернет-трафик направляется напрямую. Разделённая маршрутизация экономит пропускную способность, но уменьшает видимость и контроль организации над обычным трафиком пользователя.

Организации с большим количеством удалённых пользователей разворачивают VPN-концентратор — устройство, предназначенное для одновременного завершения большого числа туннелей клиентских VPN и обработки значительной нагрузки шифрования.

Он аутентифицирует пользователей, назначает им внутренние адреса и применяет политики доступа. Часто эта роль встроена в межсетевой экран, который становится единой защищённой точкой входа для всех удалённых сотрудников.

Туннели между сайтами обычно аутентифицируют два шлюза с помощью предварительно распределённых ключей или сертификатов, поскольку конечные точки являются фиксированными доверенными устройствами.

Клиентские VPN должны аутентифицировать отдельных людей, поэтому используют учётные данные пользователей, сертификаты и всё чаще многофакторную аутентификацию, чтобы перед предоставлением доступа убедиться, что удалённый пользователь действительно тот, за кого себя выдаёт.

Выбирайте тип в зависимости от задачи подключения: для постоянного соединения филиала с головным офисом нужен VPN между сайтами, а для безопасной работы сотрудников из дома или в поездках — клиентский VPN.

Многие организации используют оба типа: постоянно включённые соединения между офисами и доступ через клиентский VPN для мобильных и удалённых сотрудников.

Новые подходы, такие как ZTNA (доступ к сети с нулевым доверием) и SASE (граничный сервис безопасного доступа), развивают удалённый доступ. Вместо предоставления широкого доступа к сети они проверяют каждый запрос и подключают пользователей только к конкретным разрешённым приложениям.

Эти подходы развивают идеи VPN, но применяют принципы нулевого доверия, предоставляя доступ с минимальными привилегиями вместо подключения пользователя ко всей сети.

VPN между сайтами постоянно соединяет целые сети от шлюза к шлюзу, не требуя клиентского программного обеспечения, поэтому подходит для объединения офисов. Клиентские VPN подключают отдельные устройства по запросу с помощью программного обеспечения VPN, что удобно для удалённых сотрудников, и могут использовать полную или разделённую маршрутизацию. Концентратор обрабатывает множество клиентских туннелей, а ZTNA и SASE модернизируют эту модель.

Проверьте свои знания о типах VPN.

VPN между сайтами соединяют целые сети через шлюзы VPN, работают постоянно и не требуют программного обеспечения, объединяя офисы. Клиентские VPN подключают одно устройство по запросу с помощью программного обеспечения VPN и подходят удалённым пользователям, поддерживая полную или разделённую маршрутизацию. VPN-концентратор завершает множество клиентских туннелей, а ZTNA/SASE модернизируют удалённый доступ.