Po uwierzytelnieniu użytkownika, urządzenia lub obu system tworzy chronioną ścieżkę dla autoryzowanego ruchu. Dostęp może obejmować wybrane aplikacje i podsieci lub zapewniać szerszą łączność sieciową.
Klient może używać zainstalowanego oprogramowania lub — dla części usług webowych — przeglądarki. Konfiguracja pełnego tunelu wysyła ogólny ruch sieciowy przez organizację lub dostawcę; split tunneling wysyła przez VPN jedynie wybrany ruch. Wybory te wpływają na przepustowość, inspekcję, rozwiązywanie nazw, prywatność, ekspozycję sieci lokalnej i to, które kontrole mogą obserwować sesję.
Najważniejsze punkty
Uwierzytelnianie i rejestracjaWiąż dostęp z zarządzanymi kontami i urządzeniami, używaj odpornego na phishing uwierzytelniania wieloskładnikowego tam, gdzie to właściwe, i zabezpieczaj początkową konfigurację oraz odzyskiwanie.
Dostęp minimalnych uprawnieńOgraniczaj trasy, aplikacje, porty i funkcje administracyjne według roli i kontekstu; egzekwuj politykę ponownie po dotarciu ruchu do bramy.
Bezpieczeństwo punktu końcowego i bramyAktualizuj eksponowane usługi i klientów, chroń klucze i tokeny, oceniaj ryzyko urządzenia, rejestruj istotną aktywność i niezwłocznie odbieraj dostęp, gdy warunki się zmieniają.
Istotne ograniczenieZaszyfrowany tunel chroni ruch między swoimi punktami końcowymi, ale nie czyni zdalnego urządzenia godnym zaufania. Złośliwe oprogramowanie, skradzione sesje, niebezpieczne sieci lokalne, nadmierna autoryzacja i podatne usługi wewnętrzne pozostają ryzykami.