Hướng dẫn cấu hình mạng ảo riêng tư VPN cho nhân viên

VPN doanh nghiệp tạo một đường hầm mã hóa giữa thiết bị của nhân viên và mạng công ty, cho phép truy cập tài nguyên nội bộ an toàn từ bất kỳ đâu. Một cấu hình VPN tốt cần giao thức mã hóa hiện đại, xác thực đa yếu tố, phân quyền theo vai trò thay vì cho truy cập toàn mạng, thiết bị VPN luôn được vá lỗi và nhật ký được giám sát. Bài viết này hướng dẫn quản trị viên và chủ doanh nghiệp lên kế hoạch triển khai VPN cho nhân viên theo hướng an toàn.

VPN doanh nghiệp khác gì VPN cá nhân

VPN cá nhân là dịch vụ thương mại giúp người dùng ẩn địa chỉ IP, mã hóa kết nối trên Wi-Fi công cộng. VPN doanh nghiệp (remote access VPN) có mục đích khác: kết nối nhân viên vào mạng nội bộ của tổ chức để dùng máy chủ file, phần mềm nội bộ, cơ sở dữ liệu. Bài này nói về VPN doanh nghiệp.

Bước 1: Xác định nhu cầu truy cập

Trước khi cấu hình, hãy trả lời:

• Nhân viên cần truy cập những hệ thống nào từ xa?
• Nhóm nào cần quyền gì? Kế toán, kỹ thuật, kinh doanh, quản trị viên?
• Nhân viên dùng thiết bị công ty hay thiết bị cá nhân?
• Có đối tác, nhà thầu cần truy cập không?
• Bao nhiêu người kết nối đồng thời?

Một số hệ thống có thể không cần VPN nữa nếu chuyển lên dịch vụ đám mây có xác thực mạnh. Giảm số hệ thống phải mở qua VPN cũng là giảm bề mặt tấn công.

Bước 2: Chọn giao thức và giải pháp

Nhiều doanh nghiệp dùng tính năng VPN tích hợp trong tường lửa thế hệ mới để quản lý tập trung. Xem bài cơ chế hoạt động của NGFW.

Bước 3: Xác thực mạnh

Thông tin đăng nhập VPN bị đánh cắp là một trong những con đường phổ biến để kẻ tấn công vào mạng doanh nghiệp. Bắt buộc:

• Xác thực đa yếu tố (MFA) cho mọi tài khoản VPN, không ngoại lệ cho lãnh đạo.
• Ưu tiên phương thức chống lừa đảo tốt hơn như ứng dụng xác thực có xác nhận số, khóa bảo mật phần cứng, thay vì chỉ SMS.
• Tích hợp với hệ thống danh tính trung tâm để khi nhân viên nghỉ việc, vô hiệu hóa một tài khoản là mất quyền mọi nơi.
• Chứng chỉ thiết bị nếu muốn chỉ thiết bị công ty mới kết nối được.
• Giới hạn số lần đăng nhập sai, cảnh báo khi có đăng nhập từ vị trí bất thường.

Bước 4: Phân quyền theo nguyên tắc đặc quyền tối thiểu

Lỗi phổ biến là cho mọi người dùng VPN truy cập toàn bộ mạng nội bộ. Nếu một tài khoản bị chiếm, kẻ tấn công có thể dò quét mọi thứ. Thay vào đó:

• Tạo nhóm người dùng theo vai trò.
• Mỗi nhóm chỉ được truy cập các máy chủ, cổng, ứng dụng cần thiết.
• Tách tài khoản quản trị: quản trị viên dùng tài khoản riêng với quyền cao hơn và kiểm soát chặt hơn.
• Đối tác, nhà thầu được giới hạn thời gian và phạm vi.

Nguyên tắc này được trình bày chi tiết trong bài quản lý quyền truy cập dữ liệu nhạy cảm.

Bước 5: Full tunnel hay split tunnel

• Full tunnel: toàn bộ lưu lượng của thiết bị đi qua VPN, kể cả truy cập Internet. Ưu điểm: lưu lượng đi qua các lớp kiểm tra của công ty. Nhược điểm: tốn băng thông, có thể chậm.
• Split tunnel: chỉ lưu lượng tới mạng công ty đi qua VPN, phần còn lại đi thẳng ra Internet. Ưu điểm: nhẹ, nhanh. Nhược điểm: lưu lượng Internet của thiết bị không được bảo vệ bởi công ty.

Lựa chọn phụ thuộc vào năng lực hạ tầng và mức độ bảo vệ thiết bị đầu cuối. Nếu dùng split tunnel, cần đảm bảo thiết bị có phần mềm bảo vệ và chính sách DNS an toàn.

Bước 6: Kiểm tra tình trạng thiết bị

Nhiều giải pháp VPN hỗ trợ kiểm tra thiết bị trước khi cho kết nối: hệ điều hành đã cập nhật, phần mềm chống mã độc đang chạy, ổ đĩa đã mã hóa. Thiết bị không đạt có thể bị từ chối hoặc chỉ được truy cập giới hạn. Đây là bước quan trọng nếu cho phép thiết bị cá nhân.

Bước 7: Vá lỗi và bảo vệ chính thiết bị VPN

Cổng VPN mở ra Internet là mục tiêu hấp dẫn. Các lỗ hổng trong sản phẩm VPN từng bị khai thác hàng loạt chỉ trong thời gian ngắn sau khi công bố. Cần:

• Theo dõi thông báo bảo mật của nhà cung cấp, vá ngay khi có bản cập nhật quan trọng.
• Không để giao diện quản trị thiết bị VPN truy cập được từ Internet.
• Tắt giao thức, mật mã cũ.
• Thay thế thiết bị hết hỗ trợ.

Bước 8: Ghi nhật ký và giám sát

• Ghi lại đăng nhập thành công, thất bại, thời gian, địa chỉ nguồn.
• Cảnh báo khi một tài khoản đăng nhập từ hai quốc gia trong thời gian ngắn, hoặc ngoài giờ làm bất thường.
• Rà soát định kỳ danh sách tài khoản VPN, xóa tài khoản không còn sử dụng.

Hướng dẫn cho nhân viên

Kỹ thuật tốt cần đi kèm hướng dẫn rõ cho người dùng:

• Chỉ cài phần mềm VPN từ nguồn do bộ phận IT cung cấp.
• Không chia sẻ tài khoản, không chấp nhận yêu cầu xác thực MFA mà mình không thực hiện.
• Ngắt VPN khi không làm việc.
• Bảo mật mạng Wi-Fi tại nhà; xem bài bảo mật Wi-Fi gia đình.
• Báo ngay cho IT khi mất thiết bị hoặc nghi bị lừa đảo.

Hướng tới Zero Trust

VPN truyền thống dựa trên giả định "đã vào mạng là đáng tin". Mô hình Zero Trust thay đổi giả định đó: mỗi yêu cầu truy cập đều được xác minh dựa trên danh tính, tình trạng thiết bị và ngữ cảnh. Nhiều tổ chức đang dần chuyển từ VPN truy cập toàn mạng sang truy cập theo từng ứng dụng. Dù bạn ở giai đoạn nào, áp dụng MFA, phân quyền tối thiểu và giám sát ngay trên VPN hiện tại đã là bước tiến lớn theo hướng này.