Проблема классического VPN
Классический VPN подключает пользователя к сети, а не к конкретному приложению. Получив учётные данные одного сотрудника, атакующий становится участником корпоративной сети: может сканировать хосты, обращаться к сервисам, пробовать аутентификацию на внутренних системах. Устройство при этом никак не проверяется — ноутбук без антивируса и корпоративный компьютер в управляемом состоянии подключаются одинаково.
Ideco NGFW Novum решает эту задачу через встроенный ZTNA и IPSec/SSL VPN для совместимости с любыми устройствами.
ZTNA: доступ к приложению, а не к сети
ZTNA (Zero Trust Network Access) встроен в Ideco NGFW Novum и входит в базовую поставку. Отдельного шлюза или облачного сервиса не требуется.
Ideco Client — агент для рабочих станций (Windows, macOS, Linux, Astra Linux, ALT Linux, Ред ОС, ОСнова, РОСА ОС Хром, АльтерОС). При каждом подключении собирает и передаёт на шлюз комплаенс-профиль устройства. Проверка может выполняться не только при первичном подключении, но и в ходе сессии в зависимости от настроек.
Что проверяется в устройстве: тип и версия ОС, состояние антивируса (наличие, версия, актуальность баз), состояние персонального межсетевого экрана, актуальность обновлений Windows, запущенные процессы и службы, ключи реестра Windows.
Три уровня доступа по результатам проверки:
Полное соответствие — доступ к рабочим приложениям.
Частичное несоответствие — доступ только к терминальному серверу.
Нарушение требований — карантинная зона или зона обновления.
Разграничение реализовано через выдачу IP-адресов из разных подсетей — правила Zone-Based Firewall применяются к сетям, а не к отдельным пользователям.
Транспорт: WireGuard (основной), TLS 443/14765 (резерв при ограничениях UDP).
2FA и аутентификация по сертификату: Мультифактор, TOTP, SMS Aero, RADIUS. В версии 22 добавлена аутентификация по машинному сертификату как дополнительный фактор — привязка к конкретному устройству в дополнение к паролю и 2FA.
Интеграция с каталогами: Microsoft Active Directory, ALD Pro, АльДомен, Ред АДМ, ROSA Dynamic Directory, FreeIPA, SAMBA DC.
VPN для устройств без Ideco Client
Для устройств, на которых установка агента невозможна или нецелесообразна:
IPSec IKEv2, L2TP/IPSec, SSTP — классические протоколы без проверки устройства.
SSL-VPN портал — доступ к HTTP/HTTPS, RDP, SSH через браузер без клиента, с поддержкой 2FA. Применяется для подрядчиков.
Контроль подрядчиков
Для подрядчиков настраивается минимально необходимый доступ к конкретному ресурсу. Дополнительные ограничения: геолокация (GeoIP), время суток, длительность сессии.
Что получает заказчик
Компрометация учётной записи не открывает доступа к сети целиком — только к явно разрешённым приложениям. Остальная инфраструктура недоступна для сканирования. Устройство, не соответствующее требованиям безопасности, получает карантинный уровень доступа вне зависимости от местонахождения пользователя — в офисе или удалённо.
Узнать больше про Ideco NGFW Novum и получить доступ к демонстрации