Корпоративный VPN: удалённый доступ к системам компании

Корпоративный VPN — это не те приложения «для обхода блокировок», которые рекламируют в магазинах приложений. Его задача другая: создать защищённый канал между устройством сотрудника и сетью компании, чтобы бухгалтер из дома открыл 1С, а менеджер в командировке — общую папку, не выставляя эти системы напрямую в интернет.

Зачем он нужен, если есть облако

Не всё переносится в облачные сервисы. Типичные случаи, когда нужен VPN:

• Файловая база 1С или сервер 1С стоит в офисе
• Общие папки на офисном файловом сервере
• Доступ к камерам, принтерам, складскому оборудованию
• Администрирование серверов: подключение к ним только через защищённый канал
• Связь между филиалами в разных городах, будто это одна сеть

Главная альтернатива VPN — открыть порт удалённого рабочего стола или базы наружу. Так малый бизнес взламывают регулярно: такие порты постоянно ищут автоматические сканеры.

Где размещается VPN-сервер

1. На офисном маршрутизаторе. Многие роутеры бизнес-класса умеют работать VPN-сервером. Просто и дёшево, но возможности управления пользователями ограничены.
2. На отдельном сервере или межсетевом экране в офисе. Больше контроля: журналы, группы доступа, интеграция с учётными записями.
3. На арендованном сервере в дата-центре, к которому подключаются и офис, и сотрудники. Удобно, если у офиса нет постоянного внешнего адреса или филиалов несколько.

Для офиса с нестабильным интернетом важно, чтобы при смене внешнего адреса VPN продолжал работать: это решается постоянным адресом от провайдера или схемой с сервером в дата-центре.

Протоколы без лишних подробностей

Из широко используемых — WireGuard, OpenVPN и IPsec. WireGuard прост в настройке и быстр, OpenVPN гибок и поддерживается почти везде, IPsec часто встроен в сетевое оборудование. Устаревшие протоколы вроде PPTP использовать не стоит: их защита давно считается недостаточной. Выбор обычно определяется тем, что поддерживает ваше оборудование и какие устройства у сотрудников.

Правила безопасного доступа

• Своя учётная запись каждому. Один общий профиль «для всех» — нельзя: невозможно понять, кто подключался, и отозвать доступ уволенному.
• Двухфакторная аутентификация: пароль плюс код из приложения или сертификат на устройстве.
• Минимум прав: бухгалтеру — только сервер 1С, менеджеру — только общая папка отдела, а не вся сеть.
• Журналы подключений хранятся и периодически просматриваются.
• Отключение при увольнении — в тот же день, вместе с почтой и остальными системами.

Устройство сотрудника — слабое место

VPN защищает канал, но не компьютер, с которого подключаются. Если на домашнем ноутбуке вирус, он получит доступ туда же, куда и сотрудник. Поэтому:

• По возможности выдавать рабочие ноутбуки, а не разрешать личные
• Требовать актуальные обновления и антивирус
• Не сохранять пароль от VPN в открытом виде
• Запретить подключение с общих и чужих компьютеров

Раздельное или полное туннелирование

При полном туннелировании весь трафик сотрудника, включая YouTube, идёт через офис. Это даёт контроль, но нагружает офисный канал. При раздельном через VPN идут только запросы к внутренним системам. Для небольших компаний чаще выбирают раздельное, но решение зависит от требований к контролю.

Типичные ошибки

• Один логин и пароль, разосланные всем в Telegram
• VPN настроен, но порт удалённого рабочего стола всё равно открыт наружу «на всякий случай»
• Доступ ко всей сети вместо конкретных систем
• Подрядчику выдали доступ на время работ и забыли закрыть
• Никто не проверял, как VPN работает при перебоях интернета

Чек-лист перед запуском

• Определены системы, к которым нужен доступ, и группы пользователей
• Выбрано место размещения и протокол
• У каждого пользователя своя учётная запись и второй фактор
• Настроены правила, ограничивающие доступ конкретными адресами
• Подготовлена короткая инструкция по подключению для сотрудников
• Назначен ответственный за выдачу и отзыв доступов