VPN trên Windows Server: Đừng chỉ biết Remote Desktop

[dangquangminh]

VPN trên Windows Server: Đừng chỉ biết Remote Desktop – Hãy để cả chi nhánh kết nối an toàn qua Internet!


Khi nhắc đến VPN trên Windows Server, nhiều quản trị viên chỉ nghĩ đến việc nhân viên làm việc từ xa kết nối vào công ty. Thực tế, Windows Server còn có thể triển khai Site-to-Site VPN, cho phép kết nối hai mạng riêng ở hai địa điểm khác nhau thông qua Internet với chi phí thấp hơn rất nhiều so với việc thuê đường truyền MPLS.

Hãy tưởng tượng doanh nghiệp có một trụ sở chính tại TP.HCM, một chi nhánh ở Hà Nội và hệ thống máy chủ trên Microsoft Azure. Thay vì đầu tư các đường truyền WAN riêng đắt đỏ, doanh nghiệp chỉ cần xây dựng các đường hầm VPN được mã hóa để toàn bộ hệ thống hoạt động như đang ở chung một mạng LAN. Site-to-Site VPN hoạt động như thế nào?


Trong mô hình này, Router hoặc VPN Gateway tại mỗi đầu sẽ thiết lập đường hầm VPN với nhau.

• VPN Gateway phía gọi sẽ xác thực với VPN Gateway phía nhận.
• Sau khi xác thực thành công, toàn bộ lưu lượng giữa hai mạng sẽ được mã hóa trước khi truyền qua Internet.
• Người dùng ở hai đầu hoàn toàn không cần biết VPN đang hoạt động. Họ chỉ truy cập tài nguyên nội bộ như bình thường.

Trên Windows Server, việc này được thực hiện thông qua Demand-Dial Interface.

Có thể cấu hình kết nối theo hai chế độ:

• Always-On (Persistent): Đường hầm luôn tồn tại, phù hợp cho kết nối giữa các chi nhánh.
• On-Demand: Chỉ thiết lập VPN khi có lưu lượng cần truyền, giúp tiết kiệm tài nguyên.

Ngoài ra, quản trị viên còn có thể kiểm soát lưu lượng bằng IP Demand-Dial Filters hoặc Dial-Out Filters để chỉ cho phép những traffic cần thiết đi qua VPN. Một lưu ý rất dễ khiến VPN không hoạt động


Đây là lỗi khá phổ biến khi triển khai Site-to-Site VPN trên Windows Server.

Trước tiên, phải cài đặt Remote Access Role trước khi cấu hình VPN.

Quan trọng hơn, tên Demand-Dial Interface trên VPN Server phải trùng chính xác với tên tài khoản mà VPN Client sử dụng để xác thực. Chỉ cần hai tên này không khớp, quá trình xác thực sẽ thất bại mặc dù các thông số khác đều đúng. Windows Server hỗ trợ những giao thức VPN nào?


Windows Server hỗ trợ bốn giao thức VPN phổ biến:

PPTP

• Sử dụng TCP port 1723.
• Chỉ mã hóa dữ liệu, không đáp ứng tốt các yêu cầu bảo mật hiện đại.
• Hiện nay không còn được khuyến nghị vì đã tồn tại nhiều lỗ hổng bảo mật.

L2TP/IPsec

• Sử dụng UDP 500, UDP 1701, UDP 4500 và giao thức ESP (Protocol 50).
• Hỗ trợ xác thực bằng Pre-Shared Key hoặc Digital Certificate.
• Microsoft khuyến nghị sử dụng Certificate Authentication để đạt mức bảo mật cao hơn.

SSTP

• Hoạt động trên TCP port 443.
• Chạy trên HTTPS nên rất dễ đi qua Firewall và Proxy.
• Đồng thời cung cấp mã hóa, xác thực và bảo vệ tính toàn vẹn dữ liệu.

IKEv2

• Sử dụng UDP port 500.
• Tận dụng các thuật toán IPsec hiện đại.
• Hỗ trợ tự động kết nối lại khi người dùng chuyển đổi giữa Wi-Fi và 4G/5G mà không cần thiết lập VPN từ đầu.
• Đây là một trong những lựa chọn được ưu tiên cho các hệ thống doanh nghiệp hiện nay.

Remote-Access VPN và Site-to-Site VPN khác nhau như thế nào?


Hai mô hình VPN phục vụ hai nhu cầu hoàn toàn khác nhau.

• Remote-Access VPN dành cho từng người dùng từ xa. Nhân viên sử dụng VPN Client (hoặc trình duyệt SSL) để truy cập vào mạng công ty từ Internet.
• Site-to-Site VPN kết nối cả một mạng với một mạng khác thông qua các VPN Gateway. Máy tính của người dùng không cần cài VPN Client và cũng không nhận biết rằng dữ liệu đang đi trong đường hầm VPN.

Thực tế doanh nghiệp sử dụng VPN như thế nào?


Một số kịch bản triển khai phổ biến:

• Kết nối trụ sở chính với các chi nhánh qua Internet.
• Kết nối Data Center On-Premises với Microsoft Azure bằng Azure VPN Gateway.
• Kết nối giữa doanh nghiệp với đối tác để chia sẻ hệ thống ERP hoặc ứng dụng nội bộ.
• Thay thế hoặc giảm sự phụ thuộc vào các đường truyền MPLS truyền thống nhằm tối ưu chi phí.

VPN trên Windows Server không chỉ là giải pháp cho nhân viên làm việc từ xa mà còn là nền tảng kết nối an toàn giữa các chi nhánh, trung tâm dữ liệu và môi trường Cloud. Khi được triển khai đúng giao thức, đúng cơ chế xác thực và cấu hình chính xác Demand-Dial Interface, doanh nghiệp có thể xây dựng một hạ tầng WAN bảo mật, linh hoạt và tiết kiệm chi phí mà vẫn đáp ứng tốt các yêu cầu vận hành hiện đại.