Protezione dell'ambiente con il server VPN

Un server VPN client - to - site può aiutarti a proteggere il tuo ambiente e soddisfare i requisiti di conformità.

Utilizzo di gruppi di protezione e ACL per la protezione dei limiti

I server VPN supportano l'integrazione con i gruppi di sicurezza VPC e gli ACL (Access Control List). Per ulteriori informazioni, vedi Informazioni sui gruppi di sicurezza e Configurazione degli ACL di rete.

Per proteggere l'ambiente da comunicazioni non previste o non autorizzate, configurare l'ACL e le regole del gruppo di sicurezza per negare tutto il traffico per impostazione predefinita e consentire solo i protocolli, i CIDR o le porte previsti. Configurazione dei gruppi di protezione e degli ACL per l'utilizzo con VPN fornisce esempi di regole necessarie per il corretto funzionamento del server VPN. Puoi utilizzare ulteriori regole per limitare l'accesso con una porta del server VPN a reti specifiche invece di Any o 0.0.0.0/0.

Controllo accessi con autenticazione client VPN

I server VPN da client a sito supportano l'autenticazione certificato e l'autenticazione utente / codice di accesso. Per ulteriori informazioni sulla configurazione richiesta con ciascun metodo, consultare Impostazione dell'autenticazione client - to - site e Autenticazione client VPN.

È possibile utilizzare entrambi i metodi di autenticazione insieme per autenticare l'accesso client. Utilizzare le seguenti linee guida per ottenere risultati ottimali.

Autenticazione con un nome utente / codice di accesso

Per autenticarsi con un nome utente o un codice di accesso, tenere presente quanto segue:

  • Questa opzione richiede agli utenti del client VPN di autenticarsi con il metodo MFA desiderato prima che un passcode valido possa essere acquisito e utilizzato per una connessione VPN. Può essere configurato dalla sezione di autenticazione IAM (Gestisci> Accesso (IAM)> Impostazioni> Autenticazione). Per ulteriori informazioni, consultare Abilitazione dell'autenticazione multifattore.
  • L'autenticazione nome utente / codice di accesso richiede che un utente disponga del ruolo utente del server VPN IAM. Per ulteriori informazioni, vedi Creazione di un gruppo di accesso IAM e concessione del ruolo per la connessione al server VPN. Devi configurare i gruppi di accesso IAM o le politiche di accesso per abilitare questo ruolo solo per gli utenti che richiedono l'accesso VPN.

Autenticazione con certificati client

Per autenticarsi con i certificati client, tenere presente quanto segue:

  • Utilizzare certificati client univoci. La configurazione del server VPN dell'autenticazione del certificato client richiede un certificato client come input. Tuttavia, i certificati client univoci firmati dalla stessa CA (Certificate Authority) possono essere creati separatamente e utilizzati per utenti diversi.
  • Utilizzare un CRL (Certificate Revocation List) per revocare i certificati client. I server VPN da client a sito supportano CRL per revocare i certificati client. Per ulteriori informazioni, vedi Creazione di un server VPN.
  • Non utilizzare un certificato client firmato con una CA pubblica, come i certificati LetsEncrypt creati tramite Secrets Manager. L'uso di certificati client pubblici firmati dalla CA significa che chiunque può eseguire il provisioning di un certificato client e autenticarsi correttamente. Inoltre, i certificati creati con una CA pubblica non possono essere facilmente tracciati e revocati con un CRL.

Configurazioni server VPN aggiuntive

I server VPN da client a sito supportano una serie di opzioni aggiuntive che è possibile configurare per migliorare la sicurezza e soddisfare i requisiti di conformità. Per ulteriori informazioni, vedi Creazione di un server VPN e Considerazioni sulla pianificazione per i server VPN.

È necessario essere consapevoli dei seguenti problemi con le configurazioni del server VPN:

  • I server VPN supportano il timeout di inattività del client. Per impostazione predefinita, una connessione client VPN si disconnette dopo 10 minuti senza traffico attivo. È possibile modificare il timeout per aggiungere il valore richiesto.
  • Abilita la modalità tunnel completo sui server VPN. La modalità full - tunnel è più sicura e preferita, soprattutto se ci si connette da una rete non attendibile. In modalità full - tunnel, tutto il traffico proveniente da un client VPN viene instradato al server VPN.
  • Configurare il protocollo di trasporto e le porte VPN. In alcuni casi, è possibile che non si desideri lasciare aperte porte note, come TCP/443. Modificare questa opzione per utilizzare un protocollo di trasporto non predefinito e le porte VPN.
  • Configurare IBM Cloud Activity Tracker Event Routing per ricevere e analizzare i log del server VPN. Per ulteriori informazioni, vedere Eventi di monitoraggio attività.