VPN doanh nghiệp là gì?

Khác gì với VPN cá nhân?

VPN cá nhân hướng tới một người dùng: đổi IP, vượt giới hạn vị trí hoặc bảo vệ Wi-Fi công cộng. Nó thường phân phối IP dùng chung cho nhiều khách hàng mà không có quản trị tập trung, phân quyền theo vai trò hay khả năng truy vết nội bộ.

VPN doanh nghiệp có mục tiêu khác: bảo vệ luồng dữ liệu giữa các thực thể đã xác định. Quản trị viên quyết định ai được vào tài nguyên nào, từ thiết bị nào và trong điều kiện gì, đồng thời giữ nhật ký phù hợp. Hệ thống hỗ trợ nhiều người dùng, tích hợp Active Directory, Microsoft Entra ID hoặc Okta và kết nối hạ tầng tại chỗ với cloud.

Hai loại VPN chính

VPN truy cập từ xa là loại phổ biến nhất: ứng dụng trên thiết bị tạo kết nối đã xác thực tới cổng. Nó phục vụ nhân viên làm việc từ xa, người di chuyển và nhà cung cấp, với hạ tầng tại chỗ hoặc trên cloud.

VPN site-to-site nối toàn bộ mạng — trụ sở, chi nhánh, trung tâm dữ liệu hoặc cloud — để chúng giao tiếp như một mạng duy nhất mà không cài ứng dụng trên từng máy. Lựa chọn triển khai nội bộ hay thuê ngoài quyết định cách bảo trì, chi phí và trách nhiệm.

Loại thứ ba là truy cập SSL/TLS không cần ứng dụng qua cổng web. Phạm vi hẹp hơn nhưng hữu ích để vào tạm thời một số ứng dụng từ thiết bị không được quản lý.

Các nhóm giao thức

Mức bảo vệ phụ thuộc trực tiếp vào giao thức. Hướng dẫn giao thức VPN doanh nghiệp so sánh chi tiết.

• IPsec với IKEv2: chuẩn phổ biến cho site-to-site và nhiều truy cập từ xa, hoạt động ở lớp mạng.
• SSL/TLS: lớp ứng dụng dễ đi qua tường lửa và NAT, là nền tảng của cổng không cần ứng dụng.
• WireGuard®: thiết kế gọn, bề mặt kiểm toán nhỏ và ngày càng được triển khai, nhưng cần bổ sung quản lý danh tính.
• OpenVPN: mã nguồn mở, linh hoạt và đã được kiểm toán nhưng vận hành phức tạp hơn.
• L2TP/IPsec, PPTP và SSTP: giải pháp cũ. PPTP đã không an toàn và cần loại bỏ.

VPN mã hóa và không mã hóa điều gì?

VPN mã hóa lưu lượng giữa thiết bị và cổng. Khi dữ liệu rời đường hầm tới ứng dụng bên ngoài, việc bảo vệ phụ thuộc vào cơ chế khác, chủ yếu TLS. VPN không tự tạo lớp bảo vệ cho toàn bộ hành trình.

Split tunneling: toàn bộ hay một phần lưu lượng?

Ở chế độ full tunnel, mọi lưu lượng đi qua VPN, kể cả SaaS và web. Cách này tăng khả năng quan sát và kiểm tra tập trung nhưng gây tải lên cổng và có thể làm chậm ứng dụng không cần mạng nội bộ.

Với split tunneling, chỉ lưu lượng hướng tới mạng nội bộ đi vào đường hầm; phần còn lại ra Internet trực tiếp. Hiệu suất tốt hơn nhưng lưu lượng ngoài không còn được kiểm tra cùng chỗ. Quyết định phải cân bằng hiệu suất, rủi ro, tuân thủ và khả năng kiểm soát.

Xác thực: không chỉ có mật khẩu

Triển khai nghiêm túc cần MFA bằng TOTP, ứng dụng hoặc khóa FIDO2, cùng tích hợp SAML hoặc LDAP và thường có cấp phát SCIM. Môi trường nhạy cảm còn thêm chứng chỉ số cho người dùng hoặc máy để xác nhận thiết bị đã được phê duyệt độc lập với danh tính đăng nhập.

Kiểm tra trạng thái thiết bị xác minh hệ điều hành đã cập nhật, EDR đang chạy, ổ đĩa được mã hóa hoặc có chứng chỉ máy trước khi cho truy cập. Thiết bị không đạt có thể bị từ chối hoặc chuyển vào mạng khắc phục. Đây là ranh giới giữa VPN cơ bản và truy cập có điều kiện trưởng thành.

Quản lý địa chỉ IP

Tùy nhu cầu, hệ thống cấp IP riêng động từ một nhóm, IP cố định theo người hoặc phòng ban, hay IP riêng dành riêng cho một số luồng ra. Những lựa chọn này ảnh hưởng trực tiếp tới quy tắc tường lửa và khả năng kiểm toán.

Nhật ký và tuân thủ

Giải pháp chuyên nghiệp tạo nhiều loại nhật ký: xác thực, cấp IP, sự kiện hệ thống, truy cập quản trị và siêu dữ liệu mạng dùng cho SIEM hoặc EDR. Việc thu thập phải có lý do, được lập tài liệu và tương xứng.

Tính sẵn sàng cao và dự phòng

Một cổng duy nhất là điểm lỗi duy nhất. Khi hỏng, quá tải hoặc bị tấn công từ chối dịch vụ, toàn bộ truy cập từ xa có thể dừng. Triển khai nghiêm túc cần nhiều cổng hoặc điểm hiện diện, chuyển đổi tự động và đủ năng lực xử lý giờ cao điểm.

Giới hạn cấu trúc của mô hình

Đường hầm làm tăng độ trễ do đóng gói, mã hóa và đi vòng qua cổng. Giới hạn nghiêm trọng nhất vẫn là tài khoản bị chiếm: mô hình truyền thống thường mặc định kết nối đã qua cổng là hợp lệ. Kiến trúc ZTNA thách thức niềm tin này bằng cách liên tục kiểm tra danh tính, trạng thái thiết bị và bối cảnh.

Vấn đề thứ hai là phụ thuộc vào chu vi cố định. Được thiết kế cho trung tâm dữ liệu tại chỗ, VPN truyền thống mất một phần ý nghĩa khi ứng dụng chuyển lên cloud. Xem thêm SDP so với VPN và SASE.

VPN doanh nghiệp còn là gì — và không còn là gì?

VPN doanh nghiệp vẫn là lựa chọn vững chắc để bảo vệ truy cập từ xa tới tài nguyên nội bộ, nối các địa điểm và kiểm soát một số luồng cloud. Nhưng nó không thể tự mình tạo toàn bộ chu vi bảo mật: VPN bảo vệ một hành trình, không bảo vệ trạng thái; kiểm soát quyền vào mạng, không xác minh tính hợp lệ của từng hành động. Trong môi trường phơi bày rộng, VPN phải nằm trong kiến trúc lớn hơn.