Het certificaat van een SSL-VPN-gateway heeft twee taken: het helpt bij het opzetten van versleuteling en bewijst met welke server de client praat. Die tweede taak wordt soms onderschat. Een tunnel kan sterk versleuteld zijn en toch onveilig eindigen wanneer de gebruiker een waarschuwing negeert en met een onbekende server verbindt.
Lees bij de voorbereiding ook het algemene overzicht van WatchGuard SSL VPN. In deze handleiding richten we ons uitsluitend op naamkeuze, certificaatketens, veilige opslag, vernieuwing en de communicatie die nodig is om waarschuwingen niet tot normaal gedrag te maken.
WatchGuard Mobile VPN en de servernaam
Kies een vaste volledig gekwalificeerde domeinnaam voor de gateway, bijvoorbeeld vpn.organisatie.nl. De naam die gebruikers in de client invoeren moet voorkomen in het Subject Alternative Name-veld van het certificaat. Een certificaat voor een andere naam, een intern alias of alleen een IP-adres leidt tot een terechte waarschuwing. Houd de naam stabiel, ook wanneer het publieke IP-adres later verandert.
Publiceer de DNS-record pas nadat duidelijk is welke Firebox en poort de verbinding ontvangen. Beperk beheertoegang en SSL-VPN-toegang tot hun eigen beleid. Een begrijpelijke naam is nuttig, maar gebruik hem niet als vervanging voor authenticatie of firewallbeveiliging.
Begrijp de certificaatketen
De client vertrouwt een servercertificaat wanneer het via één of meer tussenliggende certificaten terugleidt naar een vertrouwde certificeringsinstantie. De Firebox moet daarom niet alleen het servercertificaat aanbieden, maar ook de benodigde tussenliggende delen. Ontbreekt een schakel, dan kan de verbinding op het ene apparaat werken omdat die tussencertificaten daar toevallig aanwezig zijn en op een ander apparaat falen.
Controleer de aangeboden keten vanaf een schoon apparaat. Kijk naar uitgever, sleuteltype, handtekening, geldigheidsperiode en de juiste hostnaam. Een geslaagde test op de beheercomputer is onvoldoende wanneer die computer eerder handmatig certificaten heeft geïnstalleerd.
Openbare of interne certificeringsinstantie
Een openbaar vertrouwd certificaat geeft externe apparaten meestal direct vertrouwen, zolang de domeincontrole en keten correct zijn. Een interne certificeringsinstantie kan passend zijn voor volledig beheerde apparaten waarop de eigen root veilig wordt uitgerold. Voor privéapparaten of leveranciers leidt een interne root sneller tot complexe instructies en fouten.
Installeer een rootcertificaat nooit via een onbeveiligde e-mailbijlage of onbekende downloadlink. De distributie van vertrouwen is even belangrijk als de distributie van de VPN-client. Documenteer welke apparaten de root ontvangen, hoe intrekking werkt en wie wijzigingen aan de certificeringsinstantie mag uitvoeren.
Bescherm de privésleutel
Het openbare certificaat mag worden gedeeld; de privésleutel nooit. Beperk exportmogelijkheden en administratieve toegang, gebruik waar mogelijk een niet-exporteerbare sleutel en bewaar een noodzakelijke back-up versleuteld met gescheiden toegang. Noteer wie de sleutel heeft gegenereerd, waar hij actief is en hoe vervanging verloopt bij een vermoeden van misbruik.
Een kopie van een privésleutel in een algemeen ticket, chatkanaal of gedeelde map ondermijnt de hele serveridentiteit. Behandel een ongecontroleerde export als beveiligingsincident en vervang het certificaat volgens een vast proces.
Plan vernieuwing ruim op tijd
Maak certificaatverval zichtbaar in monitoring en stel meerdere waarschuwingen in. Begin de vernieuwing voordat vakantie, change freeze of domeinvalidatie tijdsdruk veroorzaakt. Controleer na import welk certificaat daadwerkelijk aan de SSL-VPN-service is gekoppeld; alleen uploaden is niet altijd genoeg.
Test de nieuwe keten vanaf verschillende besturingssystemen en externe netwerken. Bevestig daarna dat bestaande clientprofielen dezelfde hostnaam blijven gebruiken. Verwijder een oud certificaat pas wanneer terugval niet meer nodig is en de nieuwe configuratie aantoonbaar functioneert.
Maak tijdsynchronisatie betrouwbaar
Certificaten hebben een begin- en eindtijd. Een laptop of Firebox met een sterk afwijkende klok kan een geldig certificaat als nog niet geldig of verlopen beoordelen. Gebruik betrouwbare tijdsbronnen, bewaak afwijkingen en neem tijdcontrole op in het storingsproces. Pas de klok niet handmatig aan om een probleem te verbergen; herstel de synchronisatiebron.
Leer gebruikers waarschuwingen beoordelen
De instructie “klik gewoon door” is schadelijk, ook wanneer een beheerder haast heeft. Geef gebruikers één duidelijke regel: stop bij een onverwachte certificaatmelding, maak een schermafbeelding zonder gevoelige gegevens en meld tijdstip en gebruikte servernaam via het bekende supportkanaal. Een beheerder kan dan bepalen of er onderhoud, een configuratiefout of mogelijke onderschepping speelt.
Communiceer geplande wijzigingen vooraf, maar vraag gebruikers nooit om een onbekende vingerafdruk blind te vertrouwen. Gebruik een afzonderlijk betrouwbaar kanaal voor kritieke verificatie. Zo blijft een waarschuwing uitzonderlijk en betekenisvol.
Documenteer eigenaarschap en herstel
Leg vast wie eigenaar is van domein, DNS-record, certificaat, Firebox-configuratie en monitoring. Noteer aanvraagmethode, verlengdatum, gekoppelde service en terugvalplan. Test ook wat nodig is wanneer de Firebox wordt vervangen of configuratie uit een back-up wordt hersteld. Een certificaat zonder beschikbare sleutel of volledige keten kan een noodherstel vertragen.
WatchGuard Mobile VPN kerncontrole
Naam, certificaatketen, geldigheid en privésleutel vormen één vertrouwensproces. Als één onderdeel niet klopt, hoort de client de verbinding niet stilzwijgend te vertrouwen.