Gdy pracownik z domu nie może otworzyć programu księgowego, handlowiec potrzebuje dokumentów z serwera, a administrator musi pilnie zareagować na awarię, pojawia się to samo pytanie: RDP czy VPN? W praktyce nie zawsze jest to wybór jednego rozwiązania. RDP i VPN realizują różne zadania, a właściwie zaprojektowany dostęp zdalny często wykorzystuje oba mechanizmy jednocześnie.
Dla firmy najważniejsze nie jest to, która technologia brzmi nowocześniej. Liczy się możliwość bezpiecznej pracy, kontrola nad danymi, przewidywalność kosztów oraz ograniczenie ryzyka przestoju lub incydentu cyberbezpieczeństwa.
RDP i VPN – czym różnią się w praktyce?
RDP, czyli Remote Desktop Protocol, umożliwia zdalne połączenie z konkretnym komputerem lub serwerem z systemem Windows. Użytkownik widzi pulpit urządzenia znajdującego się w biurze albo centrum danych i pracuje na nim tak, jakby siedział przed jego ekranem. Programy, pliki i dane pozostają na komputerze docelowym, natomiast przez internet przesyłany jest głównie obraz pulpitu oraz polecenia z klawiatury i myszy.
To dobre rozwiązanie, gdy pracownik musi korzystać ze specjalistycznej aplikacji zainstalowanej lokalnie, systemu ERP, programu projektowego albo środowiska, którego nie można wygodnie udostępnić przez przeglądarkę. RDP pozwala również ograniczyć kopiowanie danych na prywatne urządzenia, o ile organizacja odpowiednio skonfiguruje przekierowanie dysków, schowka i drukarek.
VPN, czyli wirtualna sieć prywatna, działa inaczej. Tworzy szyfrowany tunel między urządzeniem użytkownika a siecią firmową. Po zestawieniu połączenia komputer pracownika może uzyskać dostęp do wskazanych zasobów wewnętrznych: serwerów plików, aplikacji, drukarek sieciowych czy systemów działających wyłącznie w biurze.
VPN nie jest zatem zdalnym pulpitem. Jest bezpieczną drogą do sieci firmowej. Dopiero przez tę drogę użytkownik może korzystać z RDP, otwierać foldery sieciowe lub łączyć się z innymi zatwierdzonymi usługami.
RDP czy VPN w firmie – odpowiedź zależy od sposobu pracy
Jeżeli pracownik potrzebuje przede wszystkim dostępu do jednego komputera lub aplikacji, sam zdalny pulpit może być najbardziej wygodny. Przykładem jest księgowa pracująca w systemie finansowym zainstalowanym na serwerze terminalowym albo konstruktor korzystający z mocnego komputera biurowego do pracy z dużymi projektami.
Jeżeli zespół musi korzystać z wielu zasobów sieciowych, takich jak katalogi działowe, urządzenia, aplikacje wewnętrzne i systemy administracyjne, lepiej sprawdza się VPN z dostępem ograniczonym do konkretnych grup użytkowników. Pracownik otrzymuje wtedy kontrolowany dostęp do infrastruktury, nie zaś otwartą furtkę do całej sieci.
W wielu organizacjach właściwym modelem jest VPN plus RDP. Użytkownik najpierw uwierzytelnia się w sieci VPN, a następnie łączy się z przypisanym komputerem lub serwerem za pomocą RDP. Taki układ pozwala nie wystawiać usługi zdalnego pulpitu bezpośrednio do internetu i lepiej kontrolować, kto oraz z jakiego urządzenia uzyskuje dostęp.
Nie należy też zakładać, że VPN zawsze będzie wygodniejszy. Przy słabszym łączu internetowym otwieranie dużych plików bezpośrednio z firmowego serwera może działać wolno. W takim przypadku praca przez RDP bywa efektywniejsza, ponieważ plik pozostaje w lokalizacji firmowej, a użytkownik przesyła jedynie obraz sesji.
Największe ryzyko: RDP dostępny bezpośrednio z internetu
Usługi zdalnego pulpitu są częstym celem automatycznych ataków. Cyberprzestępcy skanują internet w poszukiwaniu otwartych portów RDP, a następnie próbują odgadywać hasła, wykorzystywać błędne konfiguracje lub podatności w nieaktualnym oprogramowaniu. Przejęte konto z dostępem administracyjnym może prowadzić do kradzieży danych, szyfrowania serwerów przez ransomware i wielodniowego przestoju pracy.
Samo ustawienie silnego hasła nie rozwiązuje problemu. Bezpieczny dostęp zdalny powinien opierać się na kilku warstwach zabezpieczeń. Należą do nich przede wszystkim uwierzytelnianie wieloskładnikowe, aktualizacje systemów, ograniczenie uprawnień, kontrola urządzeń oraz rejestrowanie zdarzeń.
Dobrą praktyką jest udostępnianie RDP wyłącznie przez VPN albo przez odpowiednio zabezpieczoną bramę dostępu zdalnego. W większych środowiskach warto rozdzielić role użytkowników, administratorów i firm zewnętrznych. Każda z tych grup powinna otrzymywać tylko taki zakres dostępu, jaki jest potrzebny do realizacji obowiązków.
Równie istotne jest zarządzanie kontami. Konto byłego pracownika nie może pozostać aktywne, a jedno wspólne konto dla całego działu nie daje możliwości ustalenia, kto wykonał konkretną operację. Indywidualne konta, zasada minimalnych uprawnień i regularny przegląd dostępów porządkują bezpieczeństwo bez utrudniania codziennej pracy.
VPN nie powinien otwierać całej sieci
VPN bywa traktowany jako prosty przełącznik: użytkownik łączy się i widzi wszystko, co znajduje się w firmowej sieci. Z punktu widzenia bezpieczeństwa to zbyt szeroki model. Jeśli prywatny komputer pracownika zostanie zainfekowany, szeroki dostęp VPN może ułatwić atakującemu przemieszczanie się po środowisku IT.
Dlatego konfiguracja VPN powinna uwzględniać podział sieci na strefy oraz polityki dostępu. Dział handlowy nie musi widzieć systemów finansowych, a zewnętrzny serwisant nie potrzebuje dostępu do wszystkich serwerów. W wielu przypadkach wystarczy dostęp do jednej aplikacji, jednego folderu lub określonego komputera.
Warto też określić, z jakich urządzeń można łączyć się z firmą. Laptop zarządzany przez organizację, z aktualnym systemem, szyfrowaniem dysku i ochroną antywirusową, daje znacznie większą kontrolę niż dowolny komputer domowy. Przy pracy na urządzeniach prywatnych należy szczególnie ostrożnie podejść do transferu plików, drukowania dokumentów oraz zapisywania haseł w przeglądarce.
Jak dobrać model dostępu dla konkretnych stanowisk?
Punktem wyjścia powinny być procesy, nie technologia. Należy ustalić, kto pracuje zdalnie, z jakich systemów korzysta, jakie dane przetwarza i jakie skutki miałby brak dostępu przez kilka godzin. Inne potrzeby ma zarząd potrzebujący bezpiecznego wglądu w dokumenty, inne dział księgowości, a jeszcze inne administratorzy infrastruktury.
Dla pracowników biurowych korzystających z Microsoft 365, poczty i aplikacji dostępnych w chmurze klasyczny VPN może być potrzebny tylko sporadycznie. Dla użytkowników systemów działających na lokalnych serwerach bardziej uzasadniony może być zdalny pulpit. Z kolei administratorzy wymagają dostępu uprzywilejowanego, odseparowanego od standardowej pracy biurowej i objętego dodatkowymi mechanizmami kontroli.
Trzeba uwzględnić również liczbę użytkowników oraz rozwój organizacji. Rozwiązanie działające przy pięciu osobach może przestać być czytelne i bezpieczne przy pięćdziesięciu. Wtedy rośnie znaczenie centralnego zarządzania tożsamością, wieloskładnikowego uwierzytelniania, monitoringu logowań i dokumentacji procedur.
Błędy, które pozornie oszczędzają czas
Najczęstszy błąd to wystawienie RDP do internetu, ponieważ pozwala szybko połączyć się z komputerem w biurze. Podobnie ryzykowne jest używanie tych samych haseł w wielu systemach, rezygnacja z MFA oraz brak aktualizacji serwerów i urządzeń sieciowych.
Problemem jest również dostęp przyznawany na stałe dostawcom, byłym pracownikom lub osobom zastępującym nieobecnego kolegę. Uprawnienia tymczasowe powinny mieć termin ważności, a ich zakres trzeba regularnie sprawdzać. W środowisku firmowym bezpieczeństwo nie jest jednorazowym wdrożeniem. Wymaga nadzoru, reagowania na zmiany i aktualnej wiedzy o tym, kto ma dostęp do danych.
Dobrze zaprojektowany model RDP i VPN powinien być dla pracownika prosty, ale dla firmy przewidywalny i mierzalny. Rabiks pomaga uporządkować ten obszar od analizy potrzeb, przez konfigurację dostępu i zabezpieczeń, aż po bieżące utrzymanie środowiska.
Właściwa decyzja nie polega na wyborze popularniejszego skrótu. Polega na takim zaprojektowaniu dostępu zdalnego, aby pracownicy mogli wykonywać swoje zadania bez przestojów, a firma zachowała kontrolę nad systemami i danymi wtedy, gdy jest ona najbardziej potrzebna.
