VPN для бизнеса: настройка удалённого доступа к корпоративной сети

Зачем бизнесу VPN

VPN создаёт зашифрованный туннель между удалённым сотрудником (или филиалом) и корпоративной сетью. Без VPN альтернатива — открытый RDP в интернет, и это прямое приглашение для ботнетов: порт 3389 сканируется автоматически, брутфорс начинается через минуты после открытия. VPN — обязательный минимум для любой компании с удалёнкой, филиалами или мобильными сотрудниками.

Что даёт VPN кроме безопасности

Помимо шифрования, VPN решает задачи: доступ к внутренним ресурсам (1С, файловый сервер, CRM) из любой точки мира, объединение нескольких офисов в единую сеть, соответствие требованиям ИБ-регуляторов. Для сотрудника VPN — один клик, после которого он работает так, будто сидит в офисе.

Типы VPN: Site-to-Site и Remote Access

Site-to-Site VPN соединяет два офиса (или офис и дата-центр) в постоянный зашифрованный туннель — сотрудники обоих офисов работают в одной сети, не замечая VPN. Remote Access VPN — для подключения отдельных сотрудников (с ноутбука, из дома, из командировки). Большинству компаний нужны оба типа: Site-to-Site между офисами и Remote Access для удалёнщиков.

Раздельная или полная маршрутизация трафика

Full Tunnel — весь трафик пользователя идёт через VPN (безопаснее, но медленнее). Split Tunnel — через VPN идёт только трафик к корпоративным ресурсам, остальное — напрямую (быстрее, но менее контролируемо). Выбор зависит от политики безопасности: для работы с конфиденциальными данными — Full Tunnel, для обычных пользователей — Split Tunnel.

Сравнение протоколов: WireGuard, IPSec, OpenVPN

Три основных протокола, каждый со своими преимуществами. WireGuard — самый быстрый и простой в настройке, минимальная кодовая база (4000 строк), но поддерживается не всеми корпоративными файрволами. IPSec (IKEv2) — стандарт для Site-to-Site, поддерживается всеми роутерами, стабильный, но сложнее в настройке. OpenVPN — самый универсальный, работает через TCP/443 (обходит блокировки), но медленнее WireGuard.

Какой протокол выбрать

Для MikroTik Site-to-Site — IPSec (IKEv2) или WireGuard (RouterOS 7+). Для Remote Access с максимальной совместимостью — OpenVPN или IKEv2. Для максимальной скорости — WireGuard. Универсальный совет: WireGuard для Remote Access + IPSec для Site-to-Site, если оборудование поддерживает оба протокола.

Настройка VPN на MikroTik

MikroTik — популярный выбор для СМБ благодаря соотношению цена/функциональность. Базовая настройка WireGuard VPN на RouterOS 7: создание интерфейса WireGuard, генерация ключей, настройка Peer для каждого клиента, правила файрвола, маршрутизация. Для компании 20–50 удалённых пользователей — MikroTik hAP ax3 или RB5009 справляется без проблем.

Безопасность VPN: MFA и мониторинг

VPN без MFA — половина решения: украденный пароль = полный доступ к корпоративной сети. Обязательный минимум: двухфакторная аутентификация (TOTP или сертификаты), логирование всех подключений, ограничение доступа по IP/подсетям внутри VPN-туннеля (не все ресурсы для всех). Мониторинг: аномальные подключения (новая география, ночное время) должны генерировать алерт. Если аутентификация или сам VPN-шлюз работают на сертификатах, проверьте их издателя: отзыв SSL-сертификатов в 2026 году ломал VPN так же, как сайты.

Типичные ошибки при настройке VPN

Пять ошибок, которые превращают VPN из защиты в иллюзию безопасности: VPN без MFA, устаревший протокол (PPTP), отсутствие файрвольных правил внутри туннеля (VPN-клиент видит всю сеть), нет логирования подключений, нет kill switch на клиенте (при обрыве VPN трафик идёт в открытую). Каждая ошибка — конкретный вектор атаки.

VPN — не опция, а обязательный элемент корпоративной безопасности для любой компании с удалёнкой или филиалами. Правильно настроенный VPN с MFA закрывает один из главных векторов атак. Закажите настройку корпоративной сети и VPN — спроектируем и внедрим защищённый удалённый доступ за 3–5 дней.