Bezpieczny dostęp zdalny¶

Dlaczego należy korzystać z VPN¶

Wystawianie usług administracyjnych i wewnętrznych bezpośrednio do internetu to częsta, lecz niebezpieczna praktyka. Klasycznym przypadkiem jest publicznie dostępny pulpit zdalny (RDP), który jest najczęstszym wektorem ataku prowadzącym do infekcji oprogramowaniem ransomware. Atakujący mogą przeprowadzać ataki słownikowe lub ataki socjotechniczne do kradzieży poświadczeń, a także wykorzystywać wycieki haseł.

VPN rozwiązuje ten problem - zamiast udostępniać publicznie wybrane usługi, użytkownik łączy się do bramy VPN, poprzez którą po uwierzytelnieniu tworzony jest szyfrowany tunel do sieci wewnętrznej.

Więcej informacji na temat usług dostępnych publicznie:

• Odporność infrastruktury - Usługi dostępne publicznie

Rodzaje połączeń VPN¶

Połączenia VPN dzieli się na trzy podstawowe typy, różniące się zakresem zastosowań oraz sposobem konfiguracji:

Technologie VPN¶

Wybór technologii determinuje warstwę działania, sposób uwierzytelniania, zachowanie wobec translacji adresów (NAT) oraz wydajność. Najpopularniejsze to IPsec, SSL/TLS oraz WireGuard.

IPsec¶

IPsec (ang. Internet Protocol Security) to zestaw protokołów działających na warstwie trzeciej modelu OSI (warstwa sieciowa). Umożliwia szyfrowanie ruchu przesyłanego w warstwach wyższych, niezależnie od aplikacji, która go generuje.

W trybie dostępu zdalnego (ang. remote access) klient IPsec, po zestawieniu połączenia, otrzymuje wirtualny adres IP z puli adresowej przydzielonej dla połączeń zdalnych. W trybie sieć-sieć (ang. site-to-site) tunele łączą całe podsieci między peerami i nie występuje w nim przydzielanie adresów klientom.

Przykładowe rozwiązania klienckie to: FortiClient IPsec VPN, Cisco Secure Client.

SSL/TLS¶

Rozwiązania określane potocznie jako SSL VPN wykorzystują protokoły SSL/TLS do szyfrowanego połączenia. Po uwierzytelnieniu następuje uzgodnienie parametrów szyfrowania, a cały ruch przesyłany jest tunelem.

W zależności od potrzeb i architektury wyróżnia się dwa główne warianty:

• SSL Portal VPN (dostęp przez przeglądarkę) - nie wymaga instalacji dedykowanego oprogramowania. Użytkownik loguje się przez standardową przeglądarkę internetową do zabezpieczonego portalu (HTTPS), z poziomu którego uzyskuje dostęp do wybranych aplikacji webowych, poczty czy intranetu.
• SSL Tunnel VPN (pełny tunel) - wymaga zainstalowania klienta VPN na urządzeniu. Tworzy szyfrowany tunel dla całego ruchu sieciowego, umożliwiając bezpieczne korzystanie nie tylko z aplikacji webowych, ale również z innych protokołów i usług (np. RDP, SSH, zasoby plikowe SMB).

Przykładowe rozwiązania: OpenVPN, FortiClient SSL VPN, Cisco Secure Client, Palo Alto GlobalProtect.

WireGuard¶

WireGuard to nowoczesny protokół VPN, który powstał jako lżejsza i szybsza alternatywa dla rozwiązań takich jak IPsec czy OpenVPN. Charakteryzuje się minimalistycznym podejściem do kryptografii - wymusza korzystanie wyłącznie z nowoczesnych algorytmów (m.in. ChaCha20, Curve25519, Poly1305), bez opcji negocjowania starszych standardów. Jako warstwę transportową wykorzystuje bezpołączeniowy protokół UDP. Kluczową cechą protokołu jest mechanizm automatycznego roamingu punktów końcowych - brama dynamicznie aktualizuje publiczny adres IP i port klienta na podstawie poprawnie uwierzytelnionych pakietów. Z perspektywy użytkownika pozwala to na płynne przełączanie się między sieciami (np. z domowego Wi-Fi na połączenie komórkowe LTE) bez zrywania sesji i konieczności ponownego łączenia.

Przykładowe implementacje to natywny klient WireGuard, a także platformy budujące sieci typu mesh (wykorzystujące WireGuard jako warstwę transportową), takie jak Tailscale.

Uwierzytelnianie użytkowników¶

Sama technologia VPN to tylko kanał komunikacyjny. To, w jaki sposób uzyskuje się do niego dostęp, decyduje o bezpieczeństwie rozwiązania. Sposób uwierzytelniania zależy od architektury w organizacji, jednak to właśnie na etapie wdrożenia dochodzi do niebezpiecznych błędów w konfiguracji.

Uwierzytelnianie scentralizowane¶

Jeśli organizacja posiada scentralizowane uwierzytelnienie oparte na LDAP, brama VPN może uwierzytelniać użytkowników z wykorzystaniem tego serwisu. Dzięki temu poświadczenia są zarządzane w jednym miejscu, a zmiana hasła lub zablokowanie konta w AD automatycznie blokuje również dostęp VPN.

W integracji bramy VPN z LDAP/AD, łączy się ona z usługą uwierzytelniającą przy pomocy specjalnego konta (ang. bind credentials), a następnie weryfikuje poświadczenia użytkownika. Więcej informacji na temat centralnego uwierzytelnienia: Odporność infrastruktury - konfiguracja bezpiecznego dostępu administratora

Uwierzytelnianie niescentralizowane¶

Jeśli organizacja nie posiada centralnego katalogu, brama VPN może prowadzić własną, lokalną bazę użytkowników.

W przypadku lokalnej bazy użytkowników na bramie VPN, administrator musi ręcznie zarządzać kontami. Taki model, choć prosty we wdrożeniu, niesie ze sobą zagrożenia dla bezpieczeństwa. Osobna baza to kolejna rzecz, którą należy weryfikować. Częstym błędem jest pozostawianie kont byłych pracowników (tzw. kont sierocych) oraz niewłaściwe zarządzanie ich uprawnieniami. W takim scenariuszu należy również pamiętać o wdrożeniu polityki haseł dla bramy VPN, aby była ona spójna z polityką bezpieczeństwa organizacji.

Uwierzytelnianie wieloskładnikowe (MFA)¶

Uwierzytelnianie wieloskładnikowe (ang. Multi-Factor Authentication, MFA) wymaga od użytkownika przedstawienia co najmniej dwóch różnych czynników z trzech kategorii:

• co wiesz - hasło, PIN,
• co masz - telefon, token sprzętowy, klucz kryptograficzny,
• kim jesteś - odcisk palca, twarz.

Uwierzytelnianie wieloskładnikowe zapobiega atakom opartym wyłącznie na kradzieży hasła (wycieki, ataki słownikowe). Warto jednak pamiętać, że tradycyjne metody MFA (jak kody SMS czy aplikacje TOTP) nie dają stuprocentowej gwarancji w przypadku zaawansowanych ataków phishingowych. Odporność na phishing zapewniają obecnie rozwiązania oparte na standardzie FIDO2, takie jak klucze sprzętowe oraz nowoczesne klucze dostępu.

Rodzaje drugiego czynnika¶

Dobrym kompromisem między bezpieczeństwem a kosztami wdrożenia są aplikacje typu TOTP:

• działają bez dostępu do internetu na urządzeniu,
• są łatwe do wdrożenia,
• nie wymagają zakupu sprzętu.

Tokeny sprzętowe (FIDO2/U2F) zapewniają najwyższy poziom bezpieczeństwa, lecz wymagają zakupu, dystrybucji i zastąpienia w przypadku zgubienia.

VPN a sieć wewnętrzna¶

Samo zestawienie szyfrowanego tunelu VPN nie oznacza, że urządzenie końcowe pracownika staje się zaufane. Komputer, który łączy się z sieci domowej lub publicznej, to potencjalne ryzyko przeniesienia zagrożeń bezpośrednio do infrastruktury. Dodatkowym zagrożeniem jest przejęcie konta VPN i nieautoryzowany dostęp. Dlatego wdrażając VPN, należy stosować zasadę najmniejszych uprawnień (ang. least privilege).

• Ruch z tunelu VPN nie powinien trafiać bezpośrednio do głównej podsieci LAN (gdzie znajdują się serwery czy stacje robocze). Brama powinna przydzielać adresy z wydzielonego segmentu przeznaczonego wyłącznie dla połączeń zdalnych.
• Pracownicy zdalni powinni mieć dostęp tylko do tych usług i portów, które są im niezbędne do pracy.
• Dostęp do wszystkich systemów wewnętrznych powinien niezależnie od VPN wymagać odrębnego zalogowania się użytkownika.
• Należy monitorować próby logowania do panelu VPN oraz ustawić blokady czasowe po nieudanych próbach logowania.

Więcej informacji w artykule: Odporność infrastruktury - Separacja sieci

Częste błędy¶

Wdrożenie VPN często powiązane jest z powtarzającymi się błędami konfiguracyjnymi i organizacyjnymi:

• Brak MFA - dostęp VPN chroniony wyłącznie hasłem to wektor ataku słownikowego i podatność na phishing. Samo hasło nie jest wystarczającą ochroną dla dostępu do całej sieci wewnętrznej.
• Publicznie wystawiony panel zarządzania bramą - interfejs administracyjny bramy VPN (strona logowania administratora, konsola zarządcza) nie może być dostępny z internetu. Dostęp do zarządzania powinien odbywać się wyłącznie z sieci wewnętrznej lub z dedykowanego segmentu zarządczego.
• Niezaktualizowane oprogramowanie - bramy VPN są celem ataków. Luki w oprogramowaniu bram prowadziły do kompromitacji urządzeń i wejścia do sieci. Należy na bieżąco śledzić pojawiające się poprawki bezpieczeństwa oraz aktualizacje i regularnie je wdrażać. Więcej informacji w artykule: Dobre praktyki - Aktualizacje.
• Bezpieczeństwo klienta VPN - większość uwagi przy wdrażaniu i utrzymaniu skupia się na bramie VPN, natomiast klient to oprogramowanie, które również może zawierać znane podatności, a co za tym idzie wymagać aktualizacji.
• Współdzielone konto administratora bramy - zarządzanie bramą VPN musi odbywać się z dedykowanego konta, oddzielnego od konta administratora domeny. Ponadto takie konto nigdy nie powinno być współdzielone przez kilku administratorów. Więcej informacji w artykule: Odporność infrastruktury - konfiguracja bezpiecznego dostępu administratora.
• Konto usługowe LDAP z uprawnieniami administratora - jak wspomniano w sekcji Uwierzytelnianie scentralizowane, konto służące do odpytywania serwisu LDAP nie może posiadać uprawnień administratora.
• Brak ograniczeń dla użytkowników - każdy uwierzytelniony użytkownik VPN uzyskuje dostęp do całej sieci wewnętrznej. Należy stosować reguły zapory ograniczające ruch z tunelu VPN do konkretnych usług i segmentów (zgodnie z zasadą najmniejszych uprawnień).
• Brak logowania i monitorowania - sesje VPN, logowania zakończone niepowodzeniem, zmiany konfiguracji bramy powinny być logowane.

Więcej informacji na temat bezpiecznego dostępu administratora:

• Odporność infrastruktury - Konfiguracja bezpiecznego dostępu administratora
• Odporność infrastruktury - Separacja sieci

Ostatnia aktualizacja artykułu: 2026-09-02.