VPN (virtuální privátní síť)

Příklady z praxe

1. 01

   Přístup k databázi bez veřejného portu

   Produkční PostgreSQL běží v privátní podsíti a nemá žádnou veřejnou IP. Vývojář se připojí firemní VPN, dostane adresu z interního rozsahu a databázi otevře, jako by seděl v kanceláři. Bez tunelu je port 5432 z internetu neviditelný, takže odpadá celá třída útoků hrubou silou.

   # po připojení VPN se interní rozsah směruje do tunelu
   $ ip route | grep tun0
   10.20.0.0/16 dev tun0 scope link
   $ psql -h 10.20.4.11 -U analytik warehouse

2. 02

   WireGuard mezi dvěma pobočkami

   Malá firma propojí server v Praze a v Brně jedním WireGuard rozhraním. Konfigurace se vejde do několika řádků, každá strana zná veřejný klíč té druhé a povolené rozsahy. Tiskárny i NAS jsou pak dostupné z obou míst bez veřejného vystavení.

   [Interface]
   Address = 10.9.0.1/24
   PrivateKey = <klic-praha>
   ListenPort = 51820
   
   [Peer]
   PublicKey = <verejny-klic-brno>
   AllowedIPs = 10.9.0.2/32, 192.168.20.0/24
   Endpoint = brno.example.com:51820
   PersistentKeepalive = 25

Časté omyly

MýtusS VPN jsem na internetu anonymní.

Ve skutečnostiVPN skryje provoz před poskytovatelem připojení a nahradí zdrojovou IP adresu, ale přihlášené účty, cookies a otisk prohlížeče identifikují uživatele dál. Provozovatel VPN navíc vidí přesně to, co dřív viděl operátor.

MýtusVPN je zbytečná, když všechno běží přes HTTPS.

Ve skutečnostiHTTPS chrání obsah jednotlivých relací, nikoli fakt, kam se připojujete, a nedá přístup ke službám, které vůbec nejsou vystavené do internetu. VPN řeší dosažitelnost vnitřní sítě, ne jen důvěrnost.

MýtusKdyž jsem v tunelu, jsem v bezpečí.

Ve skutečnostiVPN ověřuje připojení, ne to, co se v něm děje. Nakažené zařízení uvnitř tunelu má přímou cestu k interním systémům, proto se doplňuje segmentací sítě a ověřováním na úrovni jednotlivých služeb.

Časté dotazy

Zpomaluje VPN internetové připojení?

VPN prakticky vždy něco ubere, protože provoz jde oklikou přes další server a přibývá režie šifrování i zapouzdření. Nejvíc se projeví latence: pokud je VPN server v jiné zemi, každý požadavek urazí cestu navíc. Moderní protokoly jako WireGuard mají malou výpočetní režii a na běžné lince rozdíl v propustnosti bývá jednotky procent, zatímco starší softwarová řešení s pomalým šifrováním dokážou linku srazit výrazně. Roli hraje i kapacita koncentrátoru, přes který se připojují všichni zaměstnanci naráz.

Jaký je rozdíl mezi VPN a proxy serverem?

VPN pracuje na síťové vrstvě a přesměruje veškerý provoz zařízení včetně DNS, aktualizací systému i aplikací, které o ní vůbec nevědí. Proxy server naproti tomu obsluhuje jen konkrétní aplikaci, typicky prohlížeč nastavený na HTTP nebo SOCKS proxy, a zbytek systému chodí napřímo. Proxy také nemusí provoz vůbec šifrovat, kdežto u VPN je šifrovaný tunel definiční vlastností. Pro přístup do firemní sítě je proto proxy nedostatečná, pro jednorázové obejití geografického omezení v prohlížeči naopak stačí.

Kdy VPN nestačí a je čas na Zero Trust?

VPN nestačí ve chvíli, kdy se aplikace rozpadnou mezi vlastní datové centrum a několik cloudů, protože pak neexistuje jediný perimetr, za který by se dalo vstoupit. Druhým signálem jsou dodavatelé a zařízení, kterým firma nechce dát plný přístup do vnitřní sítě, ale jen k jedné aplikaci. Zero Trust přistupuje k problému jinak: každý požadavek se ověřuje podle identity uživatele, stavu zařízení a kontextu, nikoli podle toho, že klient prošel jednou branou.

Je používání VPN v Česku legální?

Používání VPN je v České republice legální a běžně je vyžadují samy firmy pro vzdálenou práci. Nelegální zůstává obsah činnosti, ne tunel: VPN nezmění právní posouzení šíření chráněných děl ani neoprávněného přístupu do cizího systému. Odlišná je situace v zemích, které provoz VPN regulují nebo vyžadují licenci poskytovatele, což se týká například některých států Blízkého východu a Asie. Firemní použití navíc podléhá interním pravidlům zaměstnavatele a logování provozu má dopady na ochranu osobních údajů.

Zdroje

1. Security Architecture for the Internet Protocol(otevře se v novém okně)RFC Editor, 2005
2. Internet Key Exchange Protocol Version 2 (IKEv2)(otevře se v novém okně)RFC Editor, 2014
3. Virtual private network(otevře se v novém okně)Wikipedia
4. Zero Trust Architecture (SP 800-207)(otevře se v novém okně)NIST, 2020

Související pojmy

• FirewallFirewall je bezpečnostní prvek, který podle nastavených pravidel povoluje nebo blokuje síťovou komunikaci mezi zařízeními, sítěmi nebo aplikacemi. Může běžet jako software v operačním systému, specializované síťové zařízení, cloudová služba nebo aplikační filtr chránící web před nežádoucími požadavky a omezuje dopad chybné konfigurace.
• NATNAT je mechanismus síťového překladu, který na směrovači nebo firewallu mění IP adresy a často i porty v procházejících paketech. Umožňuje více zařízením sdílet jednu veřejnou adresu, skrývá vnitřní adresní plán a zároveň komplikuje příchozí spojení, trasování i některé protokoly vyžadující přímou konektivitu.
• TLSTLS je kryptografický protokol, který nad spolehlivým spojením (typicky TCP) vytvoří šifnovaný kanál s ověřenou identitou serveru a kontrolou neporušenosti dat. Používá ho HTTPS, e-mailové protokoly, databázová spojení i VPN. Aktuální verze TLS 1.3 zkracuje úvodní handshake na jeden okruh zpráv a odstraňuje zastaralé šifrovací algoritmy.
• 3-D Secure3-D Secure je protokol, který u online platby kartou ověří, že platí skutečně její držitel, typicky potvrzením v bankovní aplikaci. Při úspěšném ověření se zároveň přenáší odpovědnost za podvodnou transakci z obchodníka na vydavatele karty.
• API GatewayAPI Gateway je vstupní vrstva mezi klientem a sadou backendových služeb, která přijímá požadavky, směruje je na správné API, vynucuje bezpečnostní pravidla a často řeší limity, logování nebo transformace odpovědí. Pomáhá skrýt vnitřní strukturu systému a sjednotit chování pro web, mobilní aplikaci i partnery.
• Archivace dokumentůArchivace dokumentů je řízené ukládání dokumentů, které už nejsou běžně používány, ale musí zůstat čitelné, dohledatelné a prokazatelné po určenou dobu. V praxi spojuje pravidla retence, metadata, oprávnění, ochranu před změnou a postup pro bezpečné vyřazení po skončení právního nebo obchodního důvodu.
• Automatické škálováníAutomatické škálování je řízení výpočetní kapacity služby podle aktuální nebo očekávané zátěže bez ručního zásahu operátora. Systém přidává či odebírá instance, kontejnery, vlákna nebo jiné prostředky podle metrik a pravidel, aby aplikace zvládla špičky, neplatila zbytečnou rezervu a zůstala stabilní.
• BackpressureBackpressure je mechanismus, kterým pomalejší část systému dává rychlejší části najevo, že má zpomalit, počkat nebo zahodit část práce. Používá se u streamů, front, sítí a event-driven aplikací, aby se nekonečně nehromadila data v paměti a aby přetížení nespadlo až na celý proces.