VPN és belső hálózat WireGuarddal

Amit a VPN-eddel megoldunk

A road-warrior hozzáférés a csapatod otthonról vagy útközben dolgozó tagjainak jár: bejelentkeznek a WireGuardba, és onnantól úgy férnek hozzá a belső szolgáltatásokhoz, mintha az irodai hálózaton lennének. A site-to-site kapcsolat az irodát vagy a fejlesztői környezetet köti össze a szerverekkel. A szerverek közötti belső hálózat pedig azt biztosítja, hogy az adatbázis, a cache és az admin panel sosem kap nyilvános IP-t, csak titkosított, privát elérést.

• Road-warrior hozzáférés a csapatnak, eszközönkénti kulccsal
• Site-to-site kapcsolat iroda és szerverek között
• Belső háló szerverek között: adatbázis, cache, sorok, admin panelek
• Split tunnel alapértelmezésként, csak a szükséges forgalomra

Bevált gyakorlatok, amelyeket alkalmazunk

Egy VPN önmagában nem biztonsági megoldás, ha a mögötte lévő szabályok lazák. Ezt a listát minden bevezetésnél alkalmazzuk, és a te dokumentációdban rögzítjük, a hozzáférési naplók olvasásának módjával együtt. A cél, hogy egy elveszett laptop vagy egy kilépő munkatárs sose jelentsen hetekig nyitva maradó hozzáférést, hanem percek alatt visszavonható legyen. Ezt a listát minden csapatnál ugyanúgy alkalmazzuk, a csapat méretétől függetlenül, kis induló vállalkozástól a nagyobb szervezetig.

• Admin szolgáltatások (SSH, adatbázis, panelek) csak VPN-en vagy privát hálózaton
• Eszközönkénti kulcsok, rendszeres rotációval és azonnali visszavonással
• Split tunnel alapértelmezésként, minimalizált nyilvános kitettséggel
• Bástyaszerver a belépési pontok szűkítésére
• Hozzáférési naplózás, mindenkire nézve visszakereshetően

Több tényezős hitelesítés és kulcskezelés

A WireGuard önmagában erős, modern titkosítást ad, de a hozzáférés minősége a kulcskezelésen múlik. Minden eszközhöz külön kulcspárt generálunk, a belépéshez pedig többtényezős hitelesítést kapcsolunk a hozzáférés-kezelő rétegben. Amikor valaki elhagyja a csapatot, vagy egy eszköz elveszik, a kulcsa azonnal visszavonható, anélkül, hogy a többi felhasználó kapcsolatát érintené. Ez az egyik legnagyobb különbség egy régi típusú, megosztott jelszavas VPN-hez képest.

• Kulcspár eszközönként, sosem megosztott hitelesítő adat
• Többtényezős hitelesítés a hozzáférés-kezelő rétegben
• Azonnali visszavonás, a többi felhasználó érintése nélkül

A beleértett órák és a bevezetés

A WireGuard telepítése, a kulcskezelés kialakítása és a belső hálózat felépítése a havi órák terhére történik: 1–8 óra a VPS-terveken, csomagtól függően 5–10 óra a dedikált és 10 óra a GPU szervereken. Az ügyfélpanel DevOps szolgáltatások menüpontjából kéred, a javasolt határidővel. A csapattagok és a szerverek hozzáadása a bevezetés után is a rendszeres havi keretbe fér bele, tervezhető ütemben. A kereten felüli munkát külön számlázzuk.

Hogyan dolgozunk

1. Igényled a panelből

   Elmondod, hány felhasználó és milyen szerverek közötti kapcsolat kell, majd javasolsz egy határidőt a DevOps szolgáltatások menüpontban.

2. Egyeztetjük a kereteket

   Felmérjük a jelenlegi hozzáférési modellt, meghatározzuk a split tunnel szabályokat, és kijelöljük, mely szolgáltatások kerülnek kizárólag privát hálózatra.

3. Megvalósítjuk és teszteljük a hozzáférést

   Telepítjük a WireGuardot, kiosztjuk a kulcsokat, bekapcsoljuk a többtényezős hitelesítést, majd teszteljük a road-warrior és a site-to-site kapcsolatokat.

4. Dokumentálva átadjuk

   Megkapod a kulcskezelési eljárást, a hozzáférési szabályokat, a naplózás olvasásának módját és az új felhasználók hozzáadásának lépéseit.

Felhasználási esetek

Technológiák

• WireGuard
• wg-easy
• Authelia
• pfSense
• Prometheus
• Fail2ban

Gyakori kérdések

• Mi a különbség a road-warrior és a site-to-site VPN között?

  A road-warrior egyéni felhasználókat köt a belső hálózathoz, jellemzően laptopról vagy telefonról. A site-to-site két hálózatot köt össze folyamatosan, például egy irodát egy szerverparkkal. Sok cégnek mindkettőre szüksége van, és a WireGuardban egyszerre is konfigurálhatók.

• Miért ne legyen az adatbázis nyilvános IP-n, ha jelszóval védett?

  Mert egy nyilvános port automatizált scannerek célpontja, jelszótól függetlenül, és minden újabb sérülékenység első célpontja is. A privát hálózat vagy VPN mögé helyezett adatbázis csak a valóban jogosult gépekről érhető el, így egy sérülékenység sem válik azonnal kihasználhatóvá kívülről.

• Mennyire biztonságos a WireGuard más VPN-protokollokhoz képest?

  A WireGuard modern kriptográfiát használ, kisebb kódbázissal, mint az OpenVPN vagy az IPsec, ami könnyebben auditálható és gyorsabb. Emellett gyorsabb kapcsolatfelvételt és jobb teljesítményt ad mobilhálózaton is, ami a road-warrior hozzáférésnél számít.

• Hogyan vonom vissza egy kilépő munkatárs hozzáférését?

  Mivel minden eszköz saját kulcspárral rendelkezik, a visszavonás annyi, hogy töröljük az adott kulcsot a szerver konfigurációjából, ami azonnal érvénybe lép. A többi felhasználó kapcsolata nem szakad meg, és nincs szükség megosztott jelszó cseréjére.

• Mi az a split tunnel, és miért alapértelmezett nálunk?

  A split tunnel csak a belső hálózatra szánt forgalmat vezeti a VPN-en, a többi internetforgalom közvetlenül megy. Ez gyorsabb, és nem terheli feleslegesen a szervert az összes felhasználó teljes internetforgalmával. Ahol a szabályzatod mindent a VPN-en át kíván vezetni, ezt is beállítjuk.

• Mennyi időbe telik a WireGuard bevezetése egy csapatnak?

  Kisebb csapatnál jellemzően néhány óra a telepítés és a kulcskiosztás, ez a havi órák keretéből is megoldható. A site-to-site kapcsolatok és a részletes hozzáférési szabályok kialakítása tovább tart, ezért ezt gyakran külön szakaszban ütemezzük.