Kurumsal VPN için VPS

Kiralık bir sunucudaki kurumsal VPN, çalışanları, ofisi ve iç sistemleri tek bir özel ağda birleştirir. Uzaktan çalışanlar muhasebe programına, dosya sunucusuna ve CRM'e bu ağ üzerinden bağlanır, şubeler şifreli bir bağlantıyla veri paylaşır, yöneticiler de sunuculara internete açık bir SSH yerine ağın içinden erişir. Otel, havalimanı ve kafe Wi-Fi'ında dizüstü bilgisayarların bağlantısını şifrelemek de işlerinden biridir. Bunun için güçlü bir sunucu gerekmez: önemli olan bant genişliği, trafik, sanallaştırma türü ve erişimlerin nasıl verildiğidir.

Protokol: WireGuard, OpenVPN veya IPsec

WireGuard en hızlı ve en basit seçenektir: kısa bir yapılandırma, parola yerine anahtarlar, Windows, macOS, Linux, iOS ve Android için istemciler. Çalışanların uzaktan erişimi ve iki üç ofisin birbirine bağlanması için uygundur. Gereksinimler ve tarifeler WireGuard için VPS sayfasında.

OpenVPN daha yavaştır ama TCP üzerinden de çalışır, kendi sertifika otoritenizin sertifikalarını doğrular ve LDAP ya da Active Directory'ye bağlanır; çalışan hesapları zaten merkezi olarak yönetiliyorsa bu işinizi kolaylaştırır. Tek iş parçacığında şifrelediği için çekirdek sayısından çok frekans önemlidir: OpenVPN için VPS seçkisine bakın.

IPsec (strongSwan, IKEv2) lokasyonlar arası bağlantı için tercih edilir: ofis yönlendiricileri ve güvenlik duvarları onu hazır destekler, Windows ve macOS'un yerleşik istemcileri de öyle; çalışanların ayrı bir program kurmasına gerek kalmaz.

Çalışan sayısına göre kaynaklar

• 10–15 kişiye kadar: 1 çekirdek ve 1 GB bellek, WireGuard ya da OpenVPN ile basit bir kullanıcı yönetim paneline fazlasıyla yeter.
• 15–50 kişi: 2 çekirdek ve 2 GB, özellikle OpenVPN için; bütün departman aynı anda çalıştığında tek çekirdek darboğaz olur.
• 50 kişiden fazla veya birkaç şube: 2–4 çekirdek, en az 1 Gbit/s port ve yedekte ikinci bir sunucu. Tek ağ geçidi devre dışı kalırsa bütün şirket iç sistemlerine erişemez.
• Disk neredeyse önemsizdir: 10–20 GB sisteme, yapılandırmalara ve birkaç aylık günlüklere yeter.

Sanallaştırma yalnızca KVM olmalı. OpenVZ ve LXC'de çekirdek modülü yüklenemez ve ağ yığını tam yapılandırılamaz; bu yüzden WireGuard ve IPsec orada ya hiç çalışmaz ya da yavaş çalışır. Yukarıdaki tabloda zaten yalnızca KVM var.

Bant genişliği ve trafik

Kurumsal VPN'den yalnızca iç sistemlere giden istekler geçmez; rapor dışa aktarımları, yedekler, dosya eşitleme ve görüntülü toplantılar da ondan geçer. Ortak dosyalarla çalışan ve görüşme yapan on kişi ayda kolayca birkaç yüz gigabayt harcar, şubeler arası çoğaltma ise terabaytlar ekler. Bu yüzden seçkide trafik sınırı olmayan tarifeler var; hepsi sınırsız trafikli VPS sayfasında. Port hızına da bakın: 100 Mbit/s aynı anda bağlı herkes arasında paylaşılır, bir ekip ya da ofis için 1 Gbit/s alın. Bazı sağlayıcılarda «sınırsız» adil kullanım anlamına gelir, sürekli yükte hız düşürülebilir; ödemeden önce koşulları okuyun.

Sunucu nerede olmalı

Ağ geçidini onu kullananlara yakın koyun: ofise, çalışanların çoğuna ya da erişilen iç sistemlere. Her fazladan on milisaniye uzak masaüstünde, muhasebe programında ve sesli görüşmelerde hissedilir. Ekip birkaç şehre veya ülkeye dağılmışsa, oralardan sağlayıcının test IP'sine ya da looking glass'ına ping ölçün; aynı veri merkezine giden rota operatörden operatöre değişir. Bir şirketin ayrılmış bir IPv4 adresine ihtiyacı vardır: NAT ve paylaşılan adresli tarifeler çalışanlardan gelen bağlantıları kabul etmek için elverişsizdir.

Şirketin tamamı VPN'e bağımlıysa ikinci bir sunucuyu başka bir veri merkezinde tutun ve çalışanlara yedek bağlantı profilini önceden dağıtın. Tünelden yalnızca iç sistemlerin adreslerini geçirmek çoğu zaman yeterlidir; dizüstü bilgisayarların güncellemeleri ve videoları da ağ geçidinden geçerse kanal gereksiz yere dolar. Ağ geçidi internetten erişilebilir olduğu için sistemi ve VPN sunucusunu düzenli olarak güncelleyin, yılda bir değil.

Günlükler, erişim denetimi ve KVKK

Her çalışana ortak bir parola yerine kendi anahtarını ya da sertifikasını verin; böylece ayrılan biri, diğerlerine dokunmadan bir dakikada devre dışı bırakılır. Bağlantı günlüğü tutun (kim, ne zaman, hangi adresten), sunucunun kendisine yalnızca SSH anahtarıyla girişe izin verin ve gereksiz portları güvenlik duvarıyla kapatın. Tünelin içinde her gruba yalnızca gereken alt ağları açın: muhasebeye finans programını, geliştiricilere test sunucularını.

VPN'den müşterilerin veya çalışanların kişisel verileri geçiyorsa KVKK geçerlidir, AB'deki kişilerin verileri için ayrıca GDPR. Sağlayıcı veri işleyen konumuna geçer; onunla bir veri işleme sözleşmesi yapın ve yurt dışına aktarım kurallarını hesaba katın. IP adresleri içeren bağlantı günlükleri de kişisel veridir: iç politikanızda bir saklama süresi belirleyin ve daha uzun tutmayın.