VPN-opsætningen gennemgås i to dele. Den første er døren: hvem kan logge på, med hvilke metoder, og hvordan registreres det. Den anden er gangen bagved: hvilke net giver forbindelsen adgang til, når brugeren først er inde.
Mange gennemgange stopper ved døren. Den anden del er ofte der, hvor fundene er.
Døren: login og flerfaktor
SAMSIK’s vejledning om password-sikkerhed fra oktober 2026 anbefaler flerfaktor-autentifikation altid ved fjernadgang til interne systemer og på privilegerede konti. Engangskoder på SMS kaldes usikre og bør ikke bruges, men de er bedre end password alene, hvis de er eneste mulighed. “Cyberforsvar der virker” siger det samme kort: fjernadgang beskyttes med flerfaktor, og kommunikationen krypteres.
I staten gælder autentifikationskravet systemer, der kan nås fra internettet med myndighedens brugerkonti, og engangskoder må ikke sendes via SMS eller mail. VPN-gateways regnes som internetvendte tjenester. Kravene binder myndighederne; for andre er de en målestok.
Finansielle enheder skal efter DORA-standarden, forordning 2024/1774, bruge stærk autentificering ved fjernadgang (artikel 21, litra f, nr. ii).
Kontrolpunkterne ved døren er:
- Kræver alle forbindelser flerfaktor, eller er der grupper, profiler eller ældre protokoller undtaget?
- Hvilke metoder er tilladt som anden faktor?
- Sker login mod det centrale katalog, så en lukket konto også lukker VPN?
- Findes der lokale konti på gatewayen, og hvem bruger dem?
Undtagelserne er værd at lede efter. En gammel profil til en leverandør eller en servicekonto uden flerfaktor er typiske. MFA-dækning beskriver, hvordan dækningen påvises på tværs.
Gangen: hvor langt rækker forbindelsen?
Når brugeren er logget på, får klienten en adresse fra en pulje. Hvilke net den pulje kan nå, afgøres af regelsættet og routingen. Det er her, segmenteringen enten holder eller ikke gør.
Tre spørgsmål:
- Hvor mange puljer eller profiler findes der, og hvem tildeles hvilken?
- Hvad giver regelsættet hver pulje adgang til?
- Har den pulje, alle medarbejdere bruger, adgang til administrationsflader eller servernet, som kun driften har brug for?
Forordning 2024/2690 nævner i bilagets punkt 6.7.2, litra d, kontrol med fjernadgang, også når en tjenesteudbyder kobler sig på. Forordningen binder en begrænset kreds. At læse puljerne mod segmenteringen er sitets metode, beskrevet i segmentering på papiret og i regelsættet.
Den tænkte afvigelse: Alle medarbejdere får samme pulje, og puljen har en regel til “internt net”. Regnskabsmedarbejderen på hjemmearbejde kan dermed nå hypervisorens administrationsflade. Det var aldrig meningen, men ingen har læst reglen siden opsætningen.
Sessioner
Ifølge DORA-standarden skal fjernsessioner også afsluttes efter inaktivitet (artikel 13, litra l). Gennemgangen læser tidsgrænsen for inaktive forbindelser og den maksimale varighed af en session i gatewayens opsætning.
Loggen
SAMSIK’s logvejledning nævner VPN som et af de vigtige steder at logge. På alle klient-VPN-gateways bør der logges tid i UTC, klientens eksterne IP-adresse, brugernavn, tildelt intern adresse og både fejlede og godkendte login.
Med de felter kan man koble en hændelse på det interne net tilbage til en bruger og en ekstern adresse. Mangler den tildelte adresse i loggen, brydes koblingen. Kontrolpunktet er derfor feltlisten. At gatewayen logger noget, er for lidt.
Udtrækkene
- gatewayens opsætning af profiler, puljer og godkendelse
- liste over lokale konti på gatewayen
- regelsættet for hver pulje
- en stikprøve af VPN-loggen, der viser felterne
- firmwareversion og supportstatus for gatewayen
Gatewayen står mod internettet og hører også med i opgørelsen af kantudstyr, der skal opdateres først.
Det kan driften selv
Tre kontroller kan driften lave på en time. Træk listen over VPN-profiler, og notér for hver, om den kræver flerfaktor. Læs regelsættet for den pulje, flest brugere får. Og åbn en dags VPN-log for at se, om den tildelte interne adresse står i hver linje.
Viser kontrollerne huller, kan de fleste lukkes i gatewayens opsætning. Lav en særskilt pulje for driften med adgang til administrationsnettet, og tag den adgang ud af den fælles pulje.
Hvad det kræver, og hvad det koster at lade være
Det kræver et udtræk af opsætningen, regelsættet for puljerne og en stikprøve af loggen. Det kan driften trække på en formiddag. Det tager længere tid, hvis profilerne er mange og gamle.
En VPN med flerfaktor, men en bred pulje, giver den, der kommer ind med en stjålet session eller en undtaget konto, adgang til det hele. Uden de rigtige felter i loggen kan I bagefter ikke se, hvem det var.
Det skal I lade være med
- At undtage enkelte grupper fra flerfaktor uden udløbsdato · undtagelser bliver permanente.
- At give alle samme pulje · driftens og brugernes behov er forskellige.
- At gemme VPN-loggen uden den tildelte adresse · så kan hændelser ikke kobles til en bruger.
Det skal gennemgangen kunne vise
- ☐ Flerfaktor på alle VPN-profiler, med eventuelle undtagelser begrundet.
- ☐ Login mod det centrale katalog og en liste over lokale konti.
- ☐ For hver pulje de net, regelsættet giver adgang til.
- ☐ Tidsgrænse for inaktive sessioner.
- ☐ VPN-log med tid, ekstern adresse, brugernavn, tildelt adresse og login-udfald.
Kilder
- SAMSIK, Vejledning: Password-sikkerhed, 5. udgave (oktober 2026), læst 13. november 2026.
- SAMSIK, Logning, en del af et godt cyberforsvar (januar 2023), læst 13. november 2026.
- SAMSIK, Cyberforsvar der virker (juli 2023), område 8, læst 13. november 2026.
- SAMSIK, Vejledning til de tekniske minimumskrav til it-sikkerhed i staten (september 2025), afsnit 2 og 3.3, læst 13. november 2026.
- Gennemførelsesforordning (EU) 2024/2690, bilaget, punkt 6.7.2, læst 13. november 2026.
- Delegeret forordning (EU) 2024/1774, artikel 13 og 21, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs, hvilke net den pulje, alle medarbejdere bruger, kan nå, og sammenlign med det, de har brug for.
Læs også: MFA-metoderne i udtrækket · Fjernskrivebord og terminalservere
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
