Yritys-VPN: mitä se suojaa ja missä sen rajat ovat
Yritys-VPN salaa etätyöntekijän liikenteen ja voi rajata pääsyn yrityksen palveluihin. Samalla VPN-tunnuksista tulee avain, jolla pääsee kaikkeen, mihin VPN avaa pääsyn. VPN voi myös hidastaa yhteyksiä ja vaatii ylläpitoa. Tämä opas kertoo, miten hyödyt saa ilman suurimpia riskejä.
Yritys-VPN on salattu yhteys työntekijän laitteelta palvelimelle, jota yritys hallitsee tai on valinnut. Se suojaa liikennettä verkoissa, joita kukaan yrityksessä ei ole tarkistanut, kuten hotellin tai kahvilan WiFissä. VPN ei silti ole pelkkä lisäsuoja. Se tuo mukanaan omat riskinsä, ja ne kannattaa tietää ennen käyttöönottoa.
Tässä oppaassa käytämme lähteenä Cloudflaren Learning Center -artikkeleita yritys-VPN:stä ja VPN:stä yleensä. Cloudflare myy Zero Trust -palvelua VPN:n korvaajaksi, joten sen artikkeleissa VPN:n rajat näkyvät selvästi. Kerromme myös, mitä tämä tarkoittaa sille, joka ottaa VPN:n käyttöön.
Kuluttaja-VPN:n ja yritys-VPN:n ero sekä käyttöönotto puhelimeen on käyty läpi oppaassa VPN puhelimeen.
Mihin yritykset VPN:ää käyttävät
Cloudflare jakaa yritys-VPN:t kahteen ryhmään. Etäkäyttö-VPN yhdistää yksittäisen käyttäjän laitteen yrityksen verkkoon. Toimipisteiden välinen VPN (site-to-site) yhdistää useamman toimiston yhdeksi verkoksi, jolloin toimistossa olevan käyttäjän ei tarvitse avata VPN:ää itse. Kun hän lähtee toimistolta, hän menettää tämän pääsyn.
Kolmas käyttötapa on kaupallinen VPN, joka ohjaa käyttäjän liikenteen palveluntarjoajan palvelimien kautta internetiin. Yrityskäyttöön tehdyssä versiossa yritys hallitsee käyttäjiä ja asetuksia keskitetysti. Jos palveluun saa kiinteän IP-osoitteen, yrityksen omat palvelut, kuten hallintapaneelin tai palvelimen, voi avata vain siitä osoitteesta. Tämä tehdään IP-sallintalistalla.
Kaikissa malleissa tavoite on sama. Liikenne, jossa on yrityksen tietoja, ei kulje salaamattomana avoimessa verkossa.
Riski 1: VPN-tunnukset avaavat kaiken
Cloudflaren mukaan VPN:n suurin turvallisuusriski on tunnukset. Jos hyökkääjä saa etätyöntekijän VPN-tunnukset, hän pääsee kaikkiin sovelluksiin ja tietoihin siinä verkossa, johon VPN on kytketty. Cloudflare vertaa tätä linnaan ja vallihautaan: kun hyökkääjä pääsee vallihaudan yli, koko linna on vaarassa. Yksi murrettu tili tai laite riittää.
Riski kasvaa, jos VPN:llä on omat tunnukset, joita kukaan ei hallitse. Työsuhde päättyy, mutta VPN-tunnus jää voimaan, koska sitä ei ollut lähtijän listalla.
Näin pienennät riskiä:
- Pakota kaksivaiheinen tunnistautuminen kaikille VPN:n käyttäjille. Pelkkä salasana ei silloin riitä.
- Kytke VPN-kirjautuminen yrityksen käyttäjähallintaan, jos sinulla on sellainen. Kun käyttäjä suljetaan sieltä, VPN-pääsy päättyy samalla.
- Älä avaa VPN:llä koko verkkoa, jos käyttäjä tarvitsee vain yhden palvelun. Rajaa pääsy palveluihin, joita käyttäjä työssään tarvitsee.
- Käytä VPN-tunnuksena eri salasanaa kuin muualla. Vuotaneilla tunnuksilla tehtävästä hyökkäyksestä kerrotaan oppaassa vahva salasana ei suojaa, jos sama salasana on monessa palvelussa.
Riski 2: VPN hidastaa yhteyksiä
Kun liikenne kulkee VPN-palvelimen kautta, matka pitenee. Cloudflaren mukaan pilvessä toimiva VPN lisää viivettä jokaiseen pyyntöön työntekijän ja verkon välillä, koska VPN-palvelin on eri paikassa kuin yrityksen verkko.
Käytännössä viive näkyy videopalavereissa ja suurissa tiedostosiirroissa. Siihen auttaa kaksi asetusta. Valitse VPN-palvelin, joka on lähellä käyttäjää tai palvelua. Käytä split tunnelingia, jolloin vain osa liikenteestä kulkee VPN:n kautta. Split tunneling tarkoittaa kuitenkin sitä, että osa liikenteestä kulkee ilman VPN:ää. Päätä siis tietoisesti, mikä liikenne ohjataan tunneliin.
Riski 3: pilvipalvelut eivät kulje VPN:n kautta
Moni yrityksen työkalu on pilvipalvelu eikä yrityksen omassa verkossa. Cloudflaren mukaan tällaiset sovellukset eivät yleensä toimi perinteisen yritys-VPN:n kautta, vaan niillä on omat suojauksensa. Yrityksen IT ei hallitse niitä kokonaan eikä aina näe, kuka niihin kirjautuu.
VPN ei siis suojaa Microsoft 365:een tai kirjanpito-ohjelmaan kirjautumista. Niissä suoja tulee palvelun omasta kaksivaiheisesta tunnistautumisesta ja siitä, että jokaisella palvelulla on oma salasana. Jos pilvipalvelussa voi rajata kirjautumisen IP-osoitteen mukaan, VPN:n kiinteä IP-osoite tuo palveluun lisäsuojan.
Riski 4: ylläpito jää jonkun harteille
Cloudflaren mukaan VPN vaatii paljon ylläpitoa. VPN-sovellus pitää asentaa jokaisen etätyöntekijän laitteelle, ja sen pitää pysyä ajan tasalla. Jos VPN-palvelin on yrityksen omissa tiloissa, laitteisto pitää uusia, kun se ei enää kestä uusia uhkia tai kun käyttäjiä tulee lisää.
Pienessä yrityksessä ylläpito jää usein yhdelle ihmiselle, jolla on muutakin tekemistä. Ylläpidon voi siirtää palvelulle, jossa palvelimet ylläpitää valmistaja ja sovellukset viedään laitteille hallitusti. Hallittuun asennukseen käytetään MDM-työkaluja, kuten Intunea, Jamfia tai Google Workspacea.
Entä Zero Trust?
Cloudflare suosittelee VPN:n tilalle Zero Trust -mallia. Siinä kehenkään käyttäjään ei luoteta oletuksena. Käytännössä pääsy tarkistetaan jokaiseen sovellukseen erikseen. Malli ratkaisee osan VPN:n ongelmista, varsinkin sen, että yksi tunnus avaa koko verkon.
Zero Trust ei ole yksi tuote. Se on tapa rakentaa pääsynhallinta, ja sen käyttöönotto vaatii suunnittelua. Monelle pienelle yritykselle järkevä aloitus on hallittu VPN, pakotettu kaksivaiheinen tunnistautuminen ja rajattu pääsy. Samoja periaatteita voi myöhemmin laajentaa.
Mitä VPN ei tee
VPN suojaa liikenteen matkalla. Se ei estä tietojenkalastelua, jossa työntekijä antaa salasanansa väärennetylle kirjautumissivulle. Se ei myöskään korvaa päivityksiä eikä sähköpostin suojausta. Näistä kerrotaan tarkemmin oppaassa VPN puhelimeen ja oppaassa suojattu sähköposti.
Cloudflare muistuttaa myös, että VPN on vain niin luotettava kuin sen tarjoaja. Kaikki liikenne kulkee tarjoajan kautta. Valitse siis tarjoaja, jonka omistaja ja kotimaa tiedetään.
Hallittu VPN ResaHostilta
ResaHost toteuttaa yritysten VPN-palvelun Proton VPN for Businessilla. Valmistaja on sveitsiläinen Proton AG Genevestä. Hoidamme käyttöönoton, käyttäjät ja asetukset.
Proton VPN for Businessin hallintapaneelista kaksivaiheisen tunnistautumisen voi pakottaa koko organisaatiolle. VPN voidaan pitää aina päällä, ja kill switch katkaisee yhteyden, jos VPN katkeaa. Sovellukset voi asentaa laitteille MDM-työkaluilla. VPN Professional -tasoon kuuluvat kiinteät IP-osoitteet, verkon segmentointi, pääsysäännöt ja auditointiloki sekä SSO Oktan, Microsoft Entra ID:n ja Google Workspacen kanssa. Hinta sovitaan tarjouksella käyttäjien määrän mukaan.
Usein kysyttyä
Tarvitseeko pieni yritys VPN:ää?
Tarvitsee, jos työntekijät käyttävät julkisia verkkoja tai jos yrityksen palveluja halutaan avata vain tietystä IP-osoitteesta. Jos kaikki työkalut ovat pilvipalveluja, tärkeämpää on palvelujen oma kaksivaiheinen tunnistautuminen.
Mikä on VPN:n suurin riski?
Tunnukset. Cloudflaren mukaan hyökkääjä, joka saa etätyöntekijän VPN-tunnukset, pääsee kaikkiin sovelluksiin ja tietoihin siinä verkossa, johon VPN on kytketty. Siksi kaksivaiheinen tunnistautuminen kannattaa pakottaa kaikille.
Hidastaako VPN yhteyttä?
Voi hidastaa, koska liikenne kulkee VPN-palvelimen kautta. Lähellä oleva palvelin ja split tunneling pienentävät viivettä.
Korvaako Zero Trust VPN:n?
Se voi korvata, mutta Zero Trust on tapa rakentaa pääsynhallinta eikä yksi tuote. Pienelle yritykselle hallittu VPN ja pakotettu kaksivaiheinen tunnistautuminen on usein nopeampi aloitus.
Lähteet
Cloudflare: What is a business VPN?, https://www.cloudflare.com/learning/access-management/what-is-a-business-vpn/, luettu 19.10.2026.
Cloudflare: What is a VPN?, https://www.cloudflare.com/learning/access-management/what-is-a-vpn/, luettu 19.10.2026.
Cloudflare: VPN security, https://www.cloudflare.com/learning/access-management/vpn-security/, luettu 19.10.2026.
Proton VPN for Businessin ominaisuudet: ResaHostin palvelusivu https://resahost.net/palvelut/vpn/, valmistajan tiedot proton.me/business/vpn.