Który protokół warstwy aplikacji modelu TCP/IP umożliwia klientowi bezpieczne połączenie z serwerem firmowym przez Internet, aby miał on dostęp do zasobów firmowych?
A. NAT
B. VPN
C. VLAN
D. FTP
Pytanie z egzaminu CKE, czerwiec 2020 (arkusz E.13-SG-20.06).
VPN jest tutaj właściwą odpowiedzią, bo jego zadaniem jest zestawienie bezpiecznego, szyfrowanego tunelu przez niezaufaną sieć, najczęściej Internet. Dzięki temu pracownik z domu, hotelu albo oddziału firmy może połączyć się z siecią firmową tak, jakby był podłączony lokalnie w biurze. W praktyce po uruchomieniu klienta VPN użytkownik dostaje dostęp do zasobów typu serwer plików, intranet, system ERP, drukarki sieciowe czy administracja zdalna, oczywiście zgodnie z uprawnieniami. Warto pamiętać, że VPN to bardziej technologia/usługa niż pojedynczy protokół warstwy aplikacji, ale w testach często tak się ją upraszcza. Konkretne rozwiązania mogą używać IPsec, SSL/TLS VPN, OpenVPN albo WireGuard. Dobra praktyka branżowa to stosowanie silnego szyfrowania, uwierzytelniania wieloskładnikowego MFA, certyfikatów, aktualnego klienta VPN oraz ograniczania dostępu tylko do potrzebnych podsieci. Moim zdaniem to jeden z najważniejszych tematów w sieciach, bo łączy konfigurację, bezpieczeństwo i realną pracę firmy.
W tym pytaniu łatwo pomylić kilka pojęć sieciowych, bo wszystkie brzmią technicznie i każde faktycznie występuje w sieciach komputerowych. Trzeba jednak patrzeć na cel: chodzi o bezpieczne połączenie klienta z siecią firmową przez Internet oraz dostęp do zasobów wewnętrznych. Taką funkcję spełnia VPN, czyli tunelowanie i szyfrowanie ruchu między komputerem użytkownika a infrastrukturą firmy. FTP nie pasuje, ponieważ jest protokołem do przesyłania plików. Klasyczny FTP nie szyfruje danych ani haseł, więc w sieciach produkcyjnych raczej zastępuje się go SFTP albo FTPS, ale nawet wtedy nie daje on pełnego dostępu do zasobów firmowych jak VPN. NAT też nie jest odpowiedzią, bo służy do translacji adresów IP, najczęściej prywatnych na publiczne i odwrotnie. NAT pomaga w komunikacji z Internetem, ale sam z siebie nie tworzy bezpiecznego kanału ani nie uwierzytelnia użytkownika. VLAN natomiast dzieli sieć lokalną na logiczne segmenty, na przykład osobno administracja, goście i serwery. To bardzo dobra praktyka przy projektowaniu LAN, ale VLAN działa głównie wewnątrz infrastruktury przełączników i nie zapewnia zdalnego, szyfrowanego dostępu przez Internet. Typowy błąd myślowy polega na tym, że słowo bezpieczne kojarzy się ogólnie z każdą technologią sieciową. W praktyce trzeba rozróżnić transfer plików, adresację, segmentację sieci i zdalny dostęp tunelowany. Dopiero VPN realizuje ten ostatni przypadek w sensowny i branżowo poprawny sposób.