V nasazeních zaměřených na bezpečnost brány či klienti VPN běžně autentizují protistrany a používají k ochraně provozu přes nedůvěryhodnou cestu kryptografický protokol jako IPsec nebo Transport Layer Security. Přesné vlastnosti zabezpečení závisí na typu a konfiguraci VPN.
VPN se rovněž používá pro poskytovatelem zajišťované služby vrstvy 2 či 3, které oddělují předávání zákazníků, aniž by nutně provoz šifrovaly. Topologie zahrnují individuální vzdálený přístup a spoje brána–brána mezi lokalitami. Každý návrh musí definovat své body připojení a hranici důvěry, povolené prostředky, chování předávání či směrování, resolving jmen, přidělování adres a navazující politiku; tunelované návrhy musí navíc definovat koncová zařízení tunelu a selektory provozu.
Klíčové body
Cíle ochranyUveďte, zda návrh poskytuje důvěrnost, integritu, autentizaci protistran, ochranu proti replay, oddělení provozu, nebo jen některé z těchto vlastností.
Politika přístupuAutentizujte příslušné uživatele, zařízení či brány a omezte dosažitelné sítě a služby, místo aby se členství v tunelu považovalo za neomezenou důvěru.
ProvozPoužívejte aktuální protokoly a kryptografii, chraňte přihlašovací údaje a klíče, monitorujte navazování a používání, patchujte exponované brány a plánujte odvolání a obnovu.
Důležité omezeníKryptografická ochrana tunelu normálně končí na jeho koncových zařízeních, zatímco samotné oddělení předávání neposkytuje důvěrnost ani integritu. VPN neprokazuje, že uživatel, koncové zařízení, cíl nebo aplikace je bezpečný, a široké trasy mohou rozšířit dopad kompromitovaného zařízení.