VPN SSL Güvenlik Yapılandırması

SSL VPN, uzaktan erişimi TLS ile koruyan çözümlerin genel adıdır: tarayıcı tabanlı portallar ve OpenVPN gibi TLS kullanan tünel istemcileri bu gruba girer. Güvenliği büyük ölçüde TLS ayarlarına ve sertifika yönetimine bağlıdır.

Portal sertifikası

VPN ağ geçidinin web portalı veya yönetim arayüzü, kullanıcıya sunulan bir HTTPS uç noktasıdır. Burada herkesçe güvenilen bir CA'dan alınmış SSL sertifikası kullanmak, kullanıcıların self-signed uyarısına alışmasını ve sahte portala kanmasını önler. Sertifika alan adıyla eşleşmeli, zincir eksiksiz sunulmalıdır.

OpenVPN örnek ayarları

# sunucu yapılandırması (sunucu.conf)
tls-version-min 1.2
tls-crypt ta.key
remote-cert-tls client
data-ciphers AES-256-GCM:AES-128-GCM
verify-client-cert require
crl-verify crl.pem

• tls-version-min eski protokolleri reddeder.
• tls-crypt kontrol kanalını önceden paylaşılan anahtarla şifreler ve imzalar; yetkisiz tarama ve bazı hizmet reddi denemelerini azaltır.
• remote-cert-tls client istemci sertifikasının istemci kullanımı (EKU) taşıdığını zorunlu kılar.
• crl-verify iptal edilmiş istemci sertifikalarını reddeder.

Kimlik doğrulama katmanları

1. Kullanıcıya özel istemci sertifikası (cihaz bazlı kimlik).
2. Parola veya dizin hizmeti doğrulaması.
3. Çok faktörlü doğrulama.

Yalnızca parolaya dayanmak yerine sertifika ve ikinci faktörü birleştirmek saldırı yüzeyini daraltır.

İşletim ipuçları

• Kaybolan cihazın sertifikasını hemen iptal edin ve CRL'yi güncelleyin.
• Sertifika ve CA sürelerini takvime bağlayın; CA süresi dolarsa tüm istemciler bağlantı kuramaz.
• Bölünmüş tünel (split tunnel) kararını risk analiziyle verin.
• Ağ geçidi yazılımını güncel tutun; VPN cihazları sıkça hedef alınır.
• Günlüklerde başarısız denemeleri izleyin.

Doğrulama

Portal sertifikasını SSL Checker ile, TLS el sıkışmasını openssl s_client -connect vpn.ornek.com:443 ile kontrol edebilirsiniz.

Özetle SSL VPN güvenliği; güncel TLS, güvenilir portal sertifikası ve istemci kimlik doğrulamasının birleşimine dayanır.