En fast forbindelse mellem to net er bygget til at være usynlig. Medarbejderne i filialen mærker ikke, at fildelingen står på hovedkontoret, og partneren sender ordrer direkte ind i lagersystemet uden at tænke over vejen. Netop derfor bliver forbindelserne måske ikke set efter. I en intern test er spørgsmålet, hvad de giver adgang til i begge retninger, og om adgangen passer til det, forbindelsen blev oprettet for. Svaret hviler på, at IT kan forklare hver forbindelse: hvem den går til, hvad den skal bruges til, og hvem der ejer den i den anden ende.
Testen afprøver ikke selve krypteringen af tunnellen i dybden. Den ser på, hvad der kan nås gennem den, og om reglerne omkring den holder.
Fire slags faste forbindelser
Det er nyttigt at skelne mellem forbindelser til egne steder og forbindelser til andre virksomheder.
- Egne lokationer · faste tunneller eller private linjer mellem hovedkontor, filialer, lager og datacenter.
- Driftsleverandør · en forbindelse, som leverandøren bruger til at administrere jeres systemer.
- Partnere · en forbindelse til en kunde, en leverandør eller et koncernselskab, der udveksler data med jer.
- Cloudmiljøer · en fast forbindelse mellem det lokale net og et virtuelt net i Azure eller AWS.
Fælles for dem er, at de er sat op én gang og derefter kører. Opsætningen kan være lavet af en, der ikke længere er i virksomheden, eller af partnerens tekniker sammen med jeres.
NIST beskriver i sin vejledning om IPsec-forbindelser, hvordan sådanne krypterede forbindelser bruges til at beskytte trafik mellem net, og hvordan de kan indrettes efter situationen. Vejledningen er teknisk, men den peger på samme pointe: forbindelsen beskytter trafikken undervejs. Hvad trafikken må nå, når den er kommet frem, afgøres af reglerne omkring den.
Hvad testen afprøver
Testen undersøger forbindelserne som adgangsveje. Spørgsmålene kan formuleres uden teknik:
- Kan en maskine i filialen nå mere på hovedkontoret, end filialen har brug for?
- Kan partneren nå andre systemer end dem, udvekslingen gælder?
- Kan en maskine på hovedkontoret nå ud til partnerens net, og er det meningen?
- Står der forbindelser, som ingen bruger, men som stadig er åbne?
Den fjerde kan være den mest overraskende. En tunnel til et koncernselskab, der er solgt, eller til en leverandør, der er skiftet ud, kan stå åben i årevis, fordi ingen fik besked om at lukke den.
Forbindelser til partnere kræver særlig omtanke i aftalen om testen, fordi den anden ende ikke er jeres. Testen kan undersøge, hvad partneren kan nå hos jer. At teste partnerens net kræver partnerens tilladelse, og det er ikke nødvendigvis en del af opgaven.
Forbindelsen til driftsleverandøren fortjener en særskilt plads i aftalen. Den kan være bredere end de andre, fordi leverandøren skal kunne administrere meget. Testen kan undersøge, hvad forbindelsen giver adgang til fra leverandørens side, men kun hvis leverandøren er orienteret og har accepteret det. Spørg også, om leverandøren bruger samme forbindelse til flere kunder, og hvordan kunderne i så fald holdes adskilt.
Det, IT skal have klar
Før testen skal IT have en oversigt over alle faste forbindelser. Den behøver ikke være lang, men hver forbindelse skal have nogle oplysninger med.
- Modpart · hvilken lokation eller virksomhed forbindelsen går til.
- Formål · hvilken udveksling forbindelsen skal bære.
- Tilladt trafik · hvilke systemer der må tale sammen gennem den, efter jeres egen opfattelse.
- Ejer · hvem hos jer og hos modparten der ejer forbindelsen.
- Sidst gennemgået · hvornår reglerne sidst blev set igennem.
Oversigten bruges til at bestemme, hvilke forbindelser testen skal se på, og til at sammenligne bagefter. Den er også nyttig, hvis testeren skal arbejde fra en anden lokation og kun når filialens net gennem forbindelsen. → Intern test på flere lokationer
Giv modparten besked, hvis testen kan give trafik på forbindelsen, de ikke forventer. Partnerens overvågning kan ellers reagere på noget, der ligner et angreb fra jeres net.
Typiske fund og hvad de betyder
Fundene på faste forbindelser handler om for brede regler og glemte aftaler.
- Brede regler · forbindelsen tillader trafik mellem hele net, når kun et par systemer skal tale sammen.
- Tovejs adgang · en forbindelse, der kun skulle gå én vej, er åben i begge retninger.
- Glemte forbindelser · tunneller til modparter, der ikke længere er relevante.
- Svag adskillelse bag forbindelsen · partneren lander på et net, hvor også klienter og servere står.
Det sidste punkt hænger sammen med opdelingen af jeres eget net. En forbindelse med smalle regler er mindre værd, hvis den lander midt i et fladt net. → Segmentering i dybden
Udstyret, der bærer forbindelserne, kan være de samme firewalls og routere, der også står for resten af nettet. → Switche, routere og firewalls indefra
Rettelser på begrebsniveau
Rettelserne følger et fælles princip: hver forbindelse skal kun tillade det, den er oprettet for. I praksis betyder det smallere regler, en fast ejer og en gennemgang med jævne mellemrum, hvor modparten bekræfter, at forbindelsen stadig skal bruges. Glemte forbindelser lukkes, efter at ejeren har bekræftet det, og lukningen skrives i oversigten.
Når reglerne strammes, er der en risiko for at bryde en udveksling, som ingen havde dokumenteret. Planlæg derfor ændringerne sammen med modparten, gennemfør dem i et aftalt tidsrum, og hav en vej tilbage, hvis en ordre eller en fil ikke længere kommer frem. En stram regel, der bliver rullet tilbage efter en dag, fordi ingen var forberedt, gør mere skade end gavn.
Hvor forbindelsen bærer udveksling af filer med en partner, kan selve udvekslingen være et testområde for sig. → Filoverførsel og partnerudveksling
Fordel fundene som opgaver med ejer og frist, også når rettelsen kræver, at modparten ændrer noget. → Fra fund til opgave
Det skal I lade være med
- At antage, at kryptering betyder sikkerhed. Tunnellen beskytter vejen, ikke det, der kan nås.
- At lade forbindelser stå uden ejer. De bliver ikke lukket, når behovet forsvinder.
- At teste partnerens net uden tilladelse. Den anden ende er ikke jeres.
- At glemme at varsle modparten. Trafik fra testen kan udløse alarmer hos dem.
- At åbne begge veje af bekvemmelighed. Retningen skal passe til formålet.
Hvad kan og ikke kan konkluderes
Testen viser, hvad der kunne nås gennem de forbindelser, der indgik, fra de steder, testeren stod. Den siger intet om forbindelser, der ikke var med, og den siger ikke noget om sikkerheden hos modparten. Rapporten bør nævne, hvilke forbindelser der blev set på, og fra hvilken side.
Tjekliste til faste forbindelser
- ☐ Findes der en oversigt over alle faste forbindelser med modpart og formål?
- ☐ Har hver forbindelse en ejer hos jer og hos modparten?
- ☐ Er det afklaret, hvilke forbindelser testen omfatter?
- ☐ Har partnere fået besked om testen?
- ☐ Er glemte forbindelser fundet og lukket?
Kilder
- NIST SP 800-77 Rev. 1: Guide to IPsec VPNs: krypterede forbindelser mellem net, og hvordan de indrettes i forskellige situationer.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Filoverførsel og partnerudveksling · Switche, routere og firewalls indefra
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
