SSL VPN, IPsec VPN ve ZTNA: Uzaktan Erişimde Hangisi?

SSL VPN, IPsec VPN ve ZTNA arasındaki fark nedir?

SSL VPN ve IPsec VPN, uzaktaki kullanıcıyı şifreli bir tünelle şirket ağına bağlayan iki farklı VPN teknolojisidir; ZTNA (Zero Trust Network Access, sıfır güven ağ erişimi) ise kullanıcıyı ağın tamamına değil, yalnızca yetkili olduğu uygulamalara, her bağlantıda kimlik ve cihaz durumunu doğrulayarak bağlayan bir erişim modelidir. Kısaca: VPN "ağa girme", ZTNA ise "uygulamaya erişme" yaklaşımıdır.

Hangisinin uygun olduğu; kullanıcı sayısına, erişilecek uygulamaların türüne, cihazların kurum tarafından yönetilip yönetilmediğine ve mevcut altyapıya bağlıdır. Çoğu kurumda bu teknolojiler bir arada kullanılır: şubeler arası bağlantı için IPsec, kullanıcı erişimi için VPN veya ZTNA gibi.

SSL VPN nasıl çalışır?

SSL VPN, web trafiğinin de kullandığı TLS (eski adıyla SSL) protokolü üzerinden şifreli bağlantı kurar. Genellikle 443 numaralı port kullanıldığı için otel, kafe veya misafir ağları gibi kısıtlı ortamlarda bile çoğunlukla bağlantı kurulabilir.

İki temel çalışma biçimi vardır:

• Web modu: Kullanıcı tarayıcıyla bir portala girer ve tanımlı web uygulamalarına buradan erişir.
• Tünel modu: Bilgisayara kurulan bir istemci yazılımı, kullanıcıyı şirket ağına sanki ofisteymiş gibi bağlar.

SSL VPN'in kolay kullanımı, onu uzun yıllar boyunca uzaktan çalışmanın varsayılan çözümü yapmıştır. Ancak internete açık SSL VPN portalları saldırganların sık hedef aldığı noktalardan biri haline gelmiştir; bu nedenle yazılımın güncel tutulması ve MFA kullanılması kritik önemdedir.

IPsec VPN nasıl çalışır?

IPsec VPN, ağ katmanında çalışan ve iki uç arasında şifreli bir tünel kuran standart bir protokol ailesidir. Uzun süredir şubeler arası (site-to-site) bağlantıların standart çözümüdür ve uygun bir istemciyle bireysel kullanıcı erişimi için de kullanılabilir.

IPsec'in güçlü yanları:

• Olgun ve geniş ölçüde desteklenen bir standarttır; farklı üreticilerin cihazları arasında bağlantı kurulabilir.
• Şube ve veri merkezi bağlantıları için uygundur.
• Kullanıcı erişiminde de güçlü şifreleme seçenekleri sunar.

Zayıf yanı, bazı kısıtlı ağlarda (belirli portların veya protokollerin engellendiği ortamlarda) bağlantı sorunları yaşanabilmesidir. Bu sorun çoğu zaman NAT geçişi (NAT-T) gibi ayarlarla çözülür, ancak SSL VPN kadar "her yerden bağlanır" değildir.

ZTNA neden farklı bir yaklaşım?

ZTNA, "ağın içindeysen güvenilirsin" varsayımını reddeder. Kullanıcı her bağlantı isteğinde kimliğini doğrular, kullandığı cihazın durumu (güncel mi, güvenlik yazılımı çalışıyor mu, kurumsal cihaz mı) kontrol edilir ve yalnızca izin verilen belirli uygulamaya erişim açılır.

Bu yaklaşımın getirdikleri:

• Daha küçük saldırı yüzeyi: Kullanıcı tüm ağı değil yalnızca yetkili uygulamayı görür; ele geçirilen bir hesabın ağda yanal hareket etme imkânı daralır.
• Sürekli doğrulama: Erişim kararı bağlantı anında verilir ve cihaz durumu değişirse erişim kısıtlanabilir.
• Ayrıntılı politika: "Muhasebe ekibi, kurumsal dizüstü bilgisayarından, ERP uygulamasına erişebilir" gibi kurallar yazılabilir.

ZTNA'nın daha fazla planlama gerektirdiği unutulmamalıdır: uygulamaların envanteri çıkarılmalı, kullanıcı grupları ve cihaz politikaları tanımlanmalıdır. Kavramın ayrıntılarını güvenli uzaktan erişim (VPN, ZTNA, SASE) sayfamızda anlattık.

Hangisi ne zaman tercih edilir? (Karşılaştırma tablosu)

Aşağıdaki tablo üç yaklaşımı nitel olarak karşılaştırır:

Genel bir yönlendirme olarak:

• Şubeler arası bağlantı: IPsec VPN hâlâ standart çözümdür.
• Az sayıda uzaktan çalışan, basit erişim ihtiyacı: IPsec tabanlı kullanıcı VPN'i, MFA ile birlikte uygun olabilir.
• Çok sayıda uzaktan çalışan, hassas uygulamalar, yönetilen cihazlar: ZTNA değerlendirilmelidir.
• Geçiş dönemi: Kritik uygulamalar ZTNA'ya taşınırken diğerleri bir süre VPN üzerinden devam edebilir.

MFA uzaktan erişimde neden zorunlu kabul edilmeli?

Hangi teknolojiyi seçerseniz seçin, uzaktan erişimde çok faktörlü doğrulama (MFA) kullanılmalıdır. Uzaktan erişim noktaları doğrudan internete açıktır ve çalınan veya tahmin edilen bir parola, MFA yoksa saldırgana doğrudan kurum ağının kapısını açar.

MFA uygularken dikkat edilecekler:

• [ ] Tüm uzaktan erişim kullanıcılarında MFA istisnasız açık olmalı (yöneticiler ve servis hesapları dahil değerlendirilmeli)
• [ ] SMS yerine mümkünse uygulama tabanlı veya donanım anahtarı gibi daha güçlü yöntemler tercih edilmeli
• [ ] Art arda gelen onay isteklerine karşı kullanıcılar bilgilendirilmeli (MFA yorgunluğu saldırıları)
• [ ] İşten ayrılan kullanıcıların MFA kayıtları da kapatılmalı
• [ ] Başarısız giriş denemeleri izlenmeli ve gerekirse hesap kilitlenmeli

MFA seçenekleri ve kimlik altyapısı için kimlik ve erişim yönetimi sayfamıza bakabilirsiniz.

FortiGate kullanıcıları SSL VPN konusunda neye dikkat etmeli?

FortiGate güvenlik duvarı kullanan kurumların bilmesi gereken önemli bir gelişme var: Fortinet, daha yeni FortiOS sürümlerinde bazı modellerde SSL VPN tünel modunu kaldırmakta ve kullanıcıları IPsec VPN veya ZTNA gibi alternatiflere yönlendirmektedir. Bu değişikliğin hangi modelleri ve hangi sürümleri etkilediği zaman içinde değişebildiği için, kendi cihaz modeliniz ve kullandığınız FortiOS sürümü için güncel sürüm notlarını (release notes) kontrol etmeniz gerekir.

Pratikte bu şu anlama gelir:

• Firmware güncellemesi yapmadan önce SSL VPN tünel modunu kullanıp kullanmadığınızı kontrol edin.
• Kullanıyorsanız, güncelleme öncesinde IPsec VPN veya ZTNA'ya geçiş planı hazırlayın.
• Geçişte istemci yazılımının yeni yapılandırmayla dağıtımı ve kullanıcı bilgilendirmesi gerekir; bunu bir bakım penceresiyle planlayın.
• Bu fırsatı, uzaktan erişim mimarinizi MFA ve cihaz kontrolü açısından gözden geçirmek için de kullanabilirsiniz.

Mevcut FortiGate yapılandırmanızı değerlendirmek ve geçişi planlamak için firewall kurulumu ve yapılandırma hizmetimize göz atabilirsiniz.

Sektöre göre hangi yaklaşım öne çıkar?

Sektörün kendisi tek başına belirleyici değildir, ancak bazı tipik kullanım desenleri karar vermeyi kolaylaştırır:

• Üretim ve sanayi: Fabrika ve ofis arasında IPsec bağlantısı yaygındır; üretim sistemlerine uzaktan erişim veren tedarikçiler için ise ZTNA benzeri, uygulama ve zaman bazlı kısıtlı erişim daha güvenli bir modeldir.
• Sağlık kuruluşları: Hasta verisi içeren sistemlere erişimde cihaz kontrolü ve ayrıntılı kayıt öne çıktığı için ZTNA yaklaşımı değerlendirilmeye değerdir.
• Hukuk büroları ve mali müşavirler: Az sayıda kullanıcı ve sınırlı uygulama varsa MFA'lı bir VPN yeterli olabilir; dosyalara kişisel cihazlardan erişiliyorsa ek kontroller gerekir.
• Lojistik ve perakende: Çok sayıda şube ve depo bağlantısı için IPsec tabanlı yapılar ve SD-WAN birlikte değerlendirilir.

VPN'den ZTNA'ya geçiş süreci nasıl işler?

Geçiş, tüm kullanıcıları bir günde taşımak yerine aşamalı yapılmalıdır:

1. Envanter: Uzaktan erişilen uygulamalar, kullanıcı grupları ve cihaz türleri listelenir.
2. Kimlik altyapısı: Kullanıcı dizini ve MFA yapısı ZTNA'ya uygun hale getirilir.
3. Cihaz politikaları: Hangi cihazların hangi koşullarda erişebileceği tanımlanır.
4. Pilot: Küçük bir kullanıcı grubu ve birkaç uygulama ile başlanır.
5. Kademeli yaygınlaştırma: Uygulamalar ve kullanıcılar gruplar halinde taşınır, eski VPN erişimi daraltılır.
6. Kapatma: Tüm ihtiyaçlar karşılandığında eski VPN erişimi kapatılır veya yalnızca belirli senaryolar için tutulur.

Sonuç

SSL VPN ve IPsec VPN kullanıcıyı ağa bağlar; ZTNA ise kullanıcıyı yalnızca yetkili olduğu uygulamaya, kimlik ve cihaz kontrolüyle bağlar. Şube bağlantıları için IPsec standart olmaya devam ederken, kullanıcı erişiminde ZTNA giderek öne çıkmaktadır. Hangi teknoloji seçilirse seçilsin, MFA vazgeçilmezdir.

Uzaktan erişim yapınızı değerlendirmek veya SSL VPN'den geçişi planlamak için uzaktan erişim teklifi isteyebilirsiniz.