Een monteur op afstand toegang geven zonder je netwerk open te zetten

Elke installatie krijgt onderhoud, en dat onderhoud komt zelden van de eigen organisatie. De leverancier van de camera's, de bouwer van het toegangssysteem, de partij achter de klimaatinstallatie: allemaal moeten ze er af en toe bij. Vaak op korte termijn, vaak buiten kantooruren, en vrijwel altijd op afstand.

De praktische oplossing die daarvoor ontstaat is bijna altijd dezelfde: een VPN-account voor de leverancier. Dat werkt, en dat is precies het probleem.

Waarom VPN te ruim is

Een VPN-verbinding plaatst iemand op het netwerk. Niet bij één apparaat, maar op het netwerk, met alles wat daar vandaan bereikbaar is. In de praktijk betekent dat:

De toegang staat er permanent, ook op de 365 dagen per jaar dat er geen onderhoud is.
Wie er inlogt is onbekend. Het account is van de leverancier, niet van een persoon. Wie het gebruikt, en of die persoon er nog werkt, valt achteraf zelden vast te stellen.
Er is geen verslag. Er is een inlogmoment en een uitlogmoment, en daartussen niets.
Het apparaat aan de andere kant is niet in beeld. De laptop van een monteur is onderdeel van jouw netwerk geworden, met alles wat daar op staat.

Voor een fabrieksinstallatie of een beveiligingsnetwerk is dat een onevenredig grote opening voor een handeling die meestal tien minuten duurt.

Wat het alternatief eigenlijk moet doen

Toegang op afstand voor onderhoud kent een paar eisen die goed te benoemen zijn:

Per opdracht, niet permanent. De verbinding bestaat alleen zolang het werk duurt, en sluit daarna vanzelf.
Naar één apparaat, niet naar het netwerk. De monteur bereikt het paneel waar hij aan werkt en niets anders — technisch afgedwongen, niet in een instructie afgesproken.
Op naam. Niet het account van de leverancier, maar de persoon die de handeling uitvoert.
Met goedkeuring vooraf. Iemand van de eigen organisatie zet de verbinding open, of keurt hem in elk geval goed.
Met een verslag achteraf. Wie, wanneer, bij welk apparaat, en wat er is gebeurd.

Zet die vijf eisen naast een VPN-account en het verschil is meteen duidelijk.

Hoe dat er in de praktijk uitziet

De gebruikelijke bouwsteen is een tussenstation: een jumphost of bastion in een eigen zone, die de enige plek is van waaruit het onderliggende netwerk bereikbaar is. De monteur komt op dat tussenstation, en het tussenstation bepaalt wat er daarna gebeurt.

Wat het tussenstation waardevol maakt, is niet dat het bestaat, maar wat eromheen staat:

De sessie wordt geopend voor één bestemming, met een firewallregel die bij het sluiten weer verdwijnt.
Sterke authenticatie op naam, met een tweede factor.
Opname of registratie van wat er gebeurt, zodat er achteraf iets te reconstrueren valt.
Geen doorgaand verkeer. Het tussenstation is een eindpunt, geen router. Wordt het overgenomen, dan is dat erg genoeg zonder dat het ook nog een doorgang is.

Wie die stappen met de hand zet, doet dat een paar weken vol en daarna niet meer. De enige versie die het jaren volhoudt, is er een waarbij het openzetten en het weer dichtzetten door software gebeurt, op basis van een goedgekeurde opdracht.

De veiligste variant blijft afgeschermd

Het scherpste antwoord op deze vraag is nog altijd een netwerk dat helemaal niet aan het internet hangt. Voor een deel van de installaties is dat haalbaar, en waar het haalbaar is, is het de juiste keuze.

Voor alle andere gevallen geldt: het gaat er niet om of er toegang op afstand komt — die komt er toch, en anders komt er iets ergers, zoals een modem dat een leverancier zelf in een kast hangt. Het gaat erom dat de toegang die er komt, de toegang is die je hebt ontworpen.