Umgebung durch einen VPN-Server schützen

Ein Client-to-Site-VPN-Server kann Ihnen dabei helfen, Ihre Umgebung zu sichern und Compliance-Anforderungen zu erfüllen.

Mit Sicherheitsgruppen und ACLs die Begrenzungen schützen

VPN-Server unterstützen die Integration von VPC-Sicherheitsgruppen und Zugriffssteuerungslisten (Access Control Lists, ACLs). Weitere Informationen finden Sie unter Informationen zu Sicherheitsgruppen und Netz-ACLs einrichten.

Um Ihre Umgebung vor nicht erwarteter oder nicht autorisierter Kommunikation zu schützen, konfigurieren Sie Ihre ACL- und Sicherheitsgruppenregeln so, dass der gesamte Datenverkehr standardmäßig abgewiesen wird und nur erwartete Protokolle, CIDRs oder Ports zugelassen werden. Der Abschnitt Sicherheitsgruppen und ACLs für die Verwendung mit VPN konfigurieren enthält Beispiele für Regeln, die erforderlich sind, damit der VPN-Server ordnungsgemäß funktioniert. Sie können zusätzliche Regeln verwenden, um den Zugriff über einen VPN-Serverport auf bestimmte Netze zu begrenzen und nicht über Any oder 0.0.0.0/0.

Zugriffssteuerung mit VPN-Clientauthentifizierung

Client-to-Site-VPN-Server unterstützen die Zertifikatsauthentifizierung und die Authentifizierung mit Benutzername oder Kenncode. Weitere Informationen zur erforderlichen Konfiguration für diese beiden Methoden finden Sie unter Client-to-Site-Authentifizierung einrichten und VPN-Clientauthentifizierung.

Sie können beide Authentifizierungsmethoden kombinieren, um den Clientzugriff zu authentifizieren. Verwenden Sie die folgenden Richtlinien, um optimale Ergebnisse zu erzielen.

Authentifizierung mit Benutzername oder Kenncode

Bei der Authentifizierung mit einem Benutzernamen oder Kenncode ist Folgendes zu beachten:

  • Bei dieser Option müssen sich VPN-Clientbenutzer mit der von Ihnen gewünschten MFA-Methode authentifizieren, damit ein gültiger Kenncode angefordert und für eine VPN-Verbindung verwendet werden kann. Dies kann im Abschnitt für die IAM-Authentifizierung (Verwalten > Zugriff (IAM) > Einstellungen > Authentifizierung) konfiguriert werden. Weitere Informationen finden Sie unter Mehrfaktorauthentifizierung aktivieren.
  • Für die Authentifizierung mit Benutzername oder Kenncode muss der betreffende Benutzer über die Benutzerrolle für den IAM-VPN-Server verfügen. Weitere Informationen finden Sie unter IAM-Zugriffsgruppe erstellen und die Rolle für die Verbindung zum VPN-Server erteilen. Sie müssen IAM-Zugriffsgruppen oder -Zugriffsrichtlinien konfigurieren, um diese Rolle nur für diejenigen Benutzer zu aktivieren, die VPN-Zugriff benötigen.

Authentifizierung mit Clientzertifikaten

Um sich mit Client-Zertifikaten zu authentifizieren, sollten Sie Folgendes beachten:

  • Verwenden Sie eindeutige Clientzertifikate. Die Konfiguration des VPN-Servers für die Clientzertifikatsauthentifizierung erfordert ein Clientzertifikat als Eingabe. Eindeutige Clientzertifikate, die von derselben Zertifizierungsstelle (Certificate Authority, CA) signiert wurden, können jedoch separat erstellt und für verschiedene Benutzer verwendet werden.
  • Verwenden Sie eine Zertifikatswiderrufsliste (Certificate Revocation List, CRL), um Clientzertifikate zu widerrufen. Client-to-Site-VPN-Server unterstützen CRLs zum Widerrufen von Clientzertifikaten. Weitere Informationen finden Sie unter VPN-Server erstellen.
  • Verwenden Sie keine Client-Zertifikate, die mit einer öffentlichen CA signiert sind, wie z. B. LetsEncrypt Zertifikate, die über Secrets Manager erstellt wurden. Wenn öffentliche Clientzertifikate verwendet werden, die von einer Zertifizierungsstelle signiert sind, kann jeder Benutzer ein Clientzertifikat bereitstellen und sich erfolgreich authentifizieren. Außerdem können Zertifikate, die von einer öffentlichen Zertifizierungsstelle erstellt wurden, nicht ohne weiteres durch eine Zertifikatswiderrufsliste erfasst und widerrufen werden.

Zusätzliche Konfigurationsoptionen für VPN-Server

Client-to-Site-VPN-Server unterstützen eine Reihe zusätzlicher Optionen, die Sie konfigurieren können, um die Sicherheit zu verbessern und Compliance-Anforderungen zu erfüllen. Weitere Informationen finden Sie unter VPN-Server erstellen und Überlegungen zur Planung von VPN-Servern.

Beachten Sie bei VPN-Serverkonfigurationen die folgenden Probleme:

  • VPN-Server unterstützen das Inaktivitätszeitlimit für Clients. Eine VPN-Clientverbindung wird standardmäßig nach 10 Minuten ohne aktiven Datenverkehr getrennt. Sie können das Zeitlimit bearbeiten den erforderlichen Wert für Ihre Umgebung hinzuzufügen.
  • Aktivieren Sie auf VPN-Servern den Full-Tunnel-Modus. Der Full-Tunnel-Modus bietet mehr Sicherheit und ist zu bevorzugen, wenn eine Verbindung von einem nicht vertrauenswürdiges Netz aus hergestellt wird. Im Full-Tunnel-Modus wird der gesamte Datenverkehr von einem VPN-Client zum VPN-Server weitergeleitet.
  • Konfigurieren Sie das Transportprotokoll und die VPN-Ports. In manchen Fällen ist nicht erwünscht, bekannte Ports wie TCP/443 geöffnet zu lassen. Bearbeiten Sie diese Option, um ein vom Standard abweichendes Transportprotokoll und VPN-Ports zu verwenden.
  • Konfigurieren Sie IBM Cloud Activity Tracker Event Routing für den Empfang und die Analyse von VPN-Server-Protokollen. Weitere Informationen finden Sie unter Ereignisse der Aktivitätsverfolgung.