Máte kanceláriu v Bratislave a sklad v Senci? Účtovný program beží na serveri v centrále, ale pracovať s ním potrebujú aj ľudia na pobočke? Presne na toto slúži IPsec VPN — technológia, ktorá dve vzdialené firemné siete bezpečne spojí do jednej, aj keď medzi nimi leží verejný internet.
V článku Čo je VPN a prečo ju vaša firma potrebuje sme vysvetlili, čo VPN je všeobecne. Dnes sa pozrieme na jej najrozšírenejší „firemný“ typ. Bez technického žargónu, len to, čo by mal majiteľ firmy vedieť, aby sa vedel správne rozhodnúť a položiť IT partnerovi tie správne otázky.
Čo je IPsec VPN (jednoducho vysvetlené)
IPsec (z anglického Internet Protocol Security) je medzinárodný štandard na šifrovanie dát, ktoré putujú internetom. Najčastejšie sa používa na takzvané site-to-site prepojenie — trvalé spojenie dvoch alebo viacerých firemných lokalít. Firewall v centrále a firewall na pobočke si medzi sebou vytvoria šifrovaný „tunel“ a všetko, čo ním prechádza, je pre okolitý svet nečitateľné.
Analógia: Predstavte si, že medzi centrálou a pobočkou denne jazdí kuriér s dokumentmi. Bez VPN by išiel otvoreným autom a dokumenty by mal voľne na sedadle — ktokoľvek na križovatke by do nich mohol nahliadnuť. IPsec z neho urobí obrnený transport: dokumenty sú v zapečatenom kufríku, ktorý vie otvoriť len príjemca, a pečať navyše prezradí, ak by sa ho niekto po ceste pokúsil otvoriť alebo vymeniť obsah.
Dôležité je, že zamestnanci o tuneli vôbec nevedia. Na pobočke si jednoducho otvoria zdieľaný disk alebo účtovný program a funguje to, akoby sedeli v centrále. Nemusia nič zapínať ani sa nikam prihlasovať — tunel beží nepretržite na pozadí.
Ako IPsec funguje — v dvoch krokoch
Technicky je IPsec pomerne zložitý, no princíp sa dá zhrnúť do dvoch fáz:
Podanie ruky a dohoda
Oba firewally si najprv overia, že sú naozaj tí, za koho sa vydávajú (pomocou spoločného tajného kľúča alebo certifikátu). Potom sa dohodnú, akým šifrovaním budú komunikovať a vymenia si jednorazové kľúče. Tejto fáze sa hovorí IKE.
Bezpečný prenos dát
Každý balík dát sa zašifruje a dostane „pečať“, ktorá overí, že ho nikto cestou nezmenil. Kľúče sa navyše pravidelne automaticky menia, takže ani prípadné prelomenie jedného kľúča neodhalí celú komunikáciu.
Výsledkom sú tri veci, na ktorých záleží: dôvernosť (nikto cudzí dáta neprečíta), integrita (nikto ich nezmení bez povšimnutia) a overenie identity (útočník sa nevie vydávať za vašu pobočku).
Site-to-site vs. vzdialený prístup: aký je rozdiel?
Firemná VPN sa používa v dvoch základných situáciách a je dobré ich rozlišovať:
- Site-to-site (lokalita s lokalitou) — trvalé prepojenie celých sietí, napríklad centrály s pobočkou, skladom alebo prevádzkou. Toto je hlavná doména IPsec.
- Vzdialený prístup (remote access) — jednotlivý zamestnanec sa z notebooku pripája z domu alebo zo služobnej cesty. Aj tu sa dá použiť IPsec (najčastejšie vo variante IKEv2), no často sa volí SSL VPN alebo WireGuard, ktoré sa jednoduchšie používajú cez rôzne siete hotelov či kaviarní.
IPsec, SSL VPN alebo WireGuard? Porovnanie
Ak sa s IT partnerom rozprávate o VPN, pravdepodobne padnú tieto tri pojmy. Tu je ich zjednodušené porovnanie z pohľadu firmy:
| Kritérium | IPsec VPN | SSL VPN | WireGuard |
|---|---|---|---|
| Typické použitie | Trvalé prepojenie centrály, pobočiek a cloudu | Vzdialený prístup zamestnancov | Vzdialený prístup aj menšie prepojenia lokalít |
| Podpora zariadení | Takmer každý firemný firewall a cloud (Azure, AWS) | Závisí od výrobcu firewallu, často vlastný klient | Rýchlo rastúca, no nie na každom firewalle |
| Spolupráca rôznych značiek | Výborná — štandard, ktorému rozumejú všetci výrobcovia | Obmedzená, väčšinou v rámci jedného výrobcu | Dobrá, ak ho obe strany podporujú |
| Náročnosť nastavenia | Vyššia — veľa parametrov, ktoré sa musia zhodovať | Stredná | Nízka — jednoduchá konfigurácia |
| Prechod cez verejné Wi-Fi | Občas blokovaný v hoteloch a kaviarňach | Spravidla bez problémov | Väčšinou bez problémov |
V praxi sa často kombinujú: IPsec prepája lokality medzi sebou a zamestnanci na cestách sa pripájajú cez SSL VPN alebo WireGuard.
Kedy firma IPsec VPN potrebuje
IPsec má zmysel zvážiť vždy, keď potrebujete, aby dve miesta „videli“ do jednej siete. Najčastejšie situácie, s ktorými sa stretávame u firiem v Bratislave, Senci a okolí:
- Pobočka, sklad alebo prevádzka potrebuje pracovať s dátami alebo programom na serveri v centrále.
- Servery v cloude (Microsoft Azure, AWS a pod.) majú byť dostupné z kancelárie rovnako bezpečne, ako keby stáli v serverovni.
- Spolupráca s dodávateľom — napríklad dodávateľ informačného systému potrebuje trvalý a kontrolovaný prístup len k jednému serveru.
- Kamerový systém alebo dochádzkový terminál na inej adrese, ktorý sa má spravovať centrálne a nesmie byť voľne vystavený na internete.
- Firma rastie a pribúdajú lokality — IPsec sa dá rozšíriť z dvoch miest na celú sieť pobočiek.
⚠ Na čo si dať pozor: VPN nastavená pred rokmi nemusí byť dnes bezpečná
VPN brány firewallov patria medzi najčastejšie ciele útočníkov, pretože sú vždy dostupné z internetu. Pri auditoch najčastejšie nachádzame tieto problémy:
- Zastarané šifrovanie — algoritmy ako DES, 3DES, MD5 či SHA-1 a slabé skupiny výmeny kľúčov sa dnes už nepovažujú za bezpečné.
- Slabý zdieľaný kľúč — krátke heslo typu „firma2019“ ako jediná ochrana tunela.
- Neaktualizovaný firmvér firewallu — výrobcovia pravidelne opravujú kritické zraniteľnosti práve vo VPN časti.
- Tunel „všetko pre všetkých“ — pobočka má prístup do celej siete centrály, hoci potrebuje len jeden server.
- Nikto nesleduje výpadky — tunel spadne v piatok večer a firma to zistí až v pondelok, keď sklad nemôže vystavovať dodacie listy.
Neviete, ako je nastavená VPN vo vašej firme?
Skontrolujeme šifrovanie, firmvér aj pravidlá prístupu medzi lokalitami a v zrozumiteľnej reči vám povieme, čo je v poriadku a čo treba riešiť.
Chcem kontrolu VPN5 otázok, ktoré by ste mali položiť svojmu IT
Nemusíte rozumieť technickým detailom. Stačí, ak od svojho IT správcu alebo partnera dostanete jasné odpovede na tieto otázky:
- Kedy bol naposledy aktualizovaný firmvér firewallu, na ktorom VPN beží?
- Používa tunel moderné šifrovanie (napríklad AES a IKEv2), alebo staršie nastavenia?
- Ku ktorým serverom a službám má pobočka cez tunel prístup — a potrebuje ho naozaj ku všetkým?
- Ako sa dozvieme, keď tunel prestane fungovať?
- Existuje dokumentácia nastavenia, ak by sa IT správca zmenil?
Ak na niektorú otázku nedostanete jasnú odpoveď, je to signál, že sieť si zaslúži bližší pohľad. Ďalšie praktické kroky nájdete aj v článku Ako zabezpečiť firemnú sieť pred kybernetickými útokmi.
Ako prebieha nasadenie IPsec VPN
- Analýza — zistíme, ktoré lokality, servery a služby je potrebné prepojiť a aké máte internetové prípojky.
- Kontrola zariadení — overíme, či súčasné routery a firewally IPsec zvládnu výkonovo aj bezpečnostne, prípadne navrhneme vhodnú náhradu.
- Návrh pravidiel — určíme, kto a k čomu bude mať cez tunel prístup. Platí zásada: len to, čo je naozaj potrebné.
- Konfigurácia a testovanie — tunel nastavíme s moderným šifrovaním a otestujeme mimo pracovnej doby, aby nebola narušená prevádzka.
- Monitoring a dokumentácia — tunel zaradíme do nepretržitého monitoringu a celé nastavenie zdokumentujeme.
Ak riešite aj centrálnu správu používateľov naprieč pobočkami, IPsec ide ruka v ruke s Active Directory — zamestnanci sa potom prihlasujú rovnakým účtom v centrále aj na pobočke.
Časté otázky
Je IPsec to isté ako VPN?
Nie celkom. VPN je všeobecný pojem pre šifrované spojenie cez internet. IPsec je jeden konkrétny spôsob (protokol), ako takú VPN postaviť. Najčastejšie sa používa na trvalé prepojenie dvoch firemných sietí, napríklad centrály a pobočky.
Je IPsec VPN bezpečná?
Áno, ak je správne nastavená. IPsec je osvedčený štandard, ktorý používajú banky aj veľké firmy. Riziká vznikajú pri zastaraných šifrovacích algoritmoch, slabom zdieľanom kľúči a neaktualizovanom firmvéri firewallu.
Spomalí IPsec VPN firemný internet?
Bežnú prácu zamestnanci nespozorujú. Šifrovanie mierne zaťažuje firewall, preto je dôležité, aby zariadenie zvládalo potrebný výkon. Rýchlosť tunela je zároveň obmedzená pomalšou z oboch internetových prípojok.
Potrebujem na IPsec VPN špeciálne zariadenie?
Na každej strane tunela potrebujete router alebo firewall, ktorý IPsec podporuje. Väčšina firemných firewallov to vie, lacné domáce routery od poskytovateľa internetu často nie, prípadne len v obmedzenej miere.
Dá sa cez IPsec prepojiť firma s cloudom Microsoft Azure alebo AWS?
Áno. Veľkí cloudoví poskytovatelia ponúkajú VPN brány, ktoré sa s firemnou sieťou prepájajú práve cez IPsec. Servery v cloude sú potom dostupné rovnako ako servery v kancelárii.