VPN per proteggere il traffico da un server a un sito remoto

L'idea di una VPN è che il traffico tra due endpoint è crittografato in modo sicuro e che gli endpoint sono configurati per conoscersi l'un l'altro, espandendo così la rete privata su Internet intrinsecamente non affidabile.

La crittografia sicura non è particolarmente speciale e non è richiesto alcun metodo particolare per creare una VPN. L'ipotesi è che i dati nell'Internet wild-west siano indistruttibili. Questo è vero con altri protocolli sicuri come SSL e SSH, ecc.

La VPN è speciale e comoda perché estende le risorse della tua rete privata e lo spazio degli indirizzi tramite una connessione Internet. Una VPN client-server (ad esempio, una connessione a una rete aziendale da un computer di casa) mette il client (computer di casa) sulla rete come se fosse collegato direttamente alla rete. Una VPN peer-to-peer, come quella che descrivi, rende la rete a un'estremità equamente accessibile a quelli dell'altra estremità.

In genere, un endpoint VPN è una funzionalità di o collegato al firewall e al router. Il traffico è efficiente perché a differenza delle connessioni una tantum, è persistente, quindi l'handshake di sicurezza e lo scambio di chiavi avvengono raramente. (Confrontalo con una connessione SSL tra un browser e un sito web).

Se la tua VPN è per un cliente (al contrario, per esempio in un altro ufficio della tua azienda) ciascuna parte deciderà quale traffico è consentito e quanto l'accesso A alle risorse di B, e B deve alle A. Queste diventano regole del firewall standard, le stesse che possono isolare una sottorete della rete da un'altra. La cosa bella della VPN è che una volta stabilito, chi ha accesso a ciò che può essere modificato indipendentemente dalla connessione VPN stessa.

Penso che il tuo scenario sia una configurazione VPN peer-to-peer. Esistono protocolli standard che consentono al marchio VPN A di parlare con il marchio B VPN, e ci sono alcuni buoni software VPN gratuiti là fuori (OpenVPN). Cisco, Checkpoint e altri realizzano dispositivi e software che funzionano nella maggior parte delle configurazioni e potrebbero essere più facili da gestire rispetto alla configurazione di un server per l'esecuzione di OpenVPN o di altre VPN basate su software.

Se il server che si distribuisce sul sito del cliente deve comunicare con i server aziendali in modo sicuro, una VPN da sito a sito è una buona soluzione. Di solito, le VPN site-to-site vengono stabilite tramite endpoint su ciascuna rete DMZ. Tuttavia, se sei un fornitore che implementa la tua soluzione presso una sede del cliente, potrebbe non piacerti l'idea di distribuire una scatola sulla loro DMZ per te. Inoltre, sembra che tu non stia assumendo che la rete interna dei clienti sia sicura, il che è comunque un buon presupposto.

Sulla base dei requisiti e delle considerazioni di cui sopra, consiglierei di installare un server VPN (OpenVPN su pfSense è una buona opzione) sul tuo sito e configurare i server che distribuisci con un client VPN che può connettersi e stabilire una VPN sicura per il tuo server VPN e la tua rete yoru.

Dovrai comunque chiedere al cliente di consentire al tuo server di stabilire una sessione VPN in uscita attraverso il firewall, ma questo non dovrebbe essere un problema enorme.