Materi
Selain IPsec, VPN akses jarak jauh sering memakai TLS; namanya masih SSL VPN walau protokolnya kini TLS. SP 800-77r1 mencatat VPN TLS umumnya berjalan di port 443 sehingga sulit diblokir, dan bila berjalan di atas TCP bisa melambat parah saat ada kehilangan paket; varian DTLS di atas UDP tidak mengalami masalah itu. Laptop yang tersambung mendapat antarmuka virtual dengan alamat dari kantor.
Pada full tunnel, semua lalu lintas laptop, termasuk ke internet, dikirim lewat terowongan ke kantor, diperiksa firewall kantor, lalu keluar lewat sambungan internet kantor. Pada split tunnel, hanya lalu lintas ke prefiks organisasi yang masuk terowongan; sisanya keluar lewat gerbang bawaan laptop. Tujuan dicocokkan dengan daftar prefiks itu, sama seperti pencocokan prefiks di tabel routing.
SP 800-113 mencatat untung-ruginya: split tunnel menghemat bandwidth, tetapi bila laptop dibobol dari internet, penyerang bisa memakai terowongan yang terbuka untuk masuk ke jaringan internal. Letak gateway juga menentukan: SP 800-46r2 mengingatkan bahwa lalu lintas terenkripsi tidak bisa diperiksa firewall dan IDS. SP 800-113 membahas gateway yang ditaruh di DMZ: lalu lintas terdekripsi ke jaringan internal tetap melewati firewall dan bisa dianalisis IDS di DMZ.
Tabel rute laptop saat VPN split tunnel tersambung (contoh)
10.10.0.0/16 -> vpn0 (terowongan)
172.20.8.0/24 -> vpn0 (terowongan)
0.0.0.0/0 -> wlan0 gerbang 192.168.1.1 (Wi-Fi rumah)
