VPN Client-to-site

[pawlik1]

Witam,
Chciałbym zapytać o bezpieczeństwo w temacie VPN-a, a dokładnie o kwestie ze zdalnego dostępu typu Client-to-site.
Chodzi mianowicie o zabezpieczenie połączenia przed ustanowieniem tunelu VPN.
Załóżmy że pracownik ma dostęp do zasobów firmy przez vpn-a ale żeby połączyć się przez tego vpn-a musi mieć najpierw dostęp do Internetu i tu pojawia się problem w jaki sposób ograniczyć możliwość korzystania z Internetu przed zestawieniem tunelu, tak aby jedynym adresem z którym można się połączyć był adres firmowego routera VPN, a z kolei po zestawieniu tunelu obowiązywały polityki ustawione na routerze firmowym np. zezwalające na dostęp do Internetu ?
Myślałem nad konfiguracją FW windowsowego, ale jak dam tylko dostęp do adresu internetowego routera VPN to po zestawieniu tunelu Internet nie będzie dostępny, chyba że się mylę ?

[martino76]

Zerknij na Pulse VPN ma taka opcje jakiej szukasz.

Pozdro,

[Kyniu]

Słowo klucz do dalszych poszukiwań to "split horizon". Resztę sobie już znajdziesz.

[mihu]

@kyniu - nie chodziło Ci przez przypadek o split-tunneling, a właściwie jego brak?

@pawlik1 - to zależy z jakiego vendora korzystasz i czy maszyna z której się łączy pracownik jest firmy (IPSec VPN) czy własna (SSLVPN przez przeglądarkę)

- na tej podstawie możesz zrobić TND (Trusted Network Detection na Cisco AnyConnect) , GlobalProtect (vel jak to się zwie po nowemu Prisma) na PaloAlto , PulseSecure jak mówi Marcin, a nawet Citrixa.

[pawlik1]

Dzięki za odzew,
Podane rozwiązania w Cisco AnyConnect czy PaloAlto niestety nie wchodzi w grę ponieważ mam do dyspozycji z góry narzucony FortiClient (połczenie po ssl-u) gdzie raczej takich opcji nie ma (przynajmniej ja nie znalazłem).

Pozdrawiam

[double.decode]

https://help.fortinet.com/fos50hlp/54/C ... Tunnel.htm

[martino76]

https://help.fortinet.com/fos50hlp/54/C ... Tunnel.htm

Raczej to nie jest to czego szuka pawlik1. Jemu chodzi o to by user nie mogl korzystac z internetu na laptopie jesli nie podlaczy sie do firmowego VPN. Jesli to zrobi to i tak nie bedzie mial split-tunnel bo traffic musi isc przez firmowe proxy czy co tam ma klient

Pozdro,

[pawlik1]

Martino76 trafił w sedno

[double.decode]

W takim razie przepraszam za zamieszanie