VPS для корпоративного VPN

Корпоративный VPN на арендованном сервере объединяет сотрудников, офис и внутренние системы в одну частную сеть. Через него удалённые сотрудники подключаются к 1С, файловому хранилищу и CRM, филиалы обмениваются данными по зашифрованному каналу, а администраторы заходят на серверы изнутри сети, а не через открытый в интернет SSH. Ещё одна задача — шифрование соединения ноутбуков в гостиничном, аэропортовом и кафешном Wi-Fi. Мощный сервер для этого не нужен: важнее канал, трафик, тип виртуализации и порядок выдачи доступа.

Протокол: WireGuard, OpenVPN или IPsec

WireGuard — самый быстрый и простой: короткий конфиг, ключи вместо паролей, клиенты для Windows, macOS, Linux, iOS и Android. Подходит для удалённого доступа сотрудников и для связи двух-трёх офисов. Требования и тарифы — на странице VPS для WireGuard.

OpenVPN медленнее, зато работает и по TCP, проверяет сертификаты собственного центра сертификации и подключается к LDAP или Active Directory — удобно, когда учётные записи сотрудников уже ведутся централизованно. Он шифрует в одном потоке, поэтому частота ядра важнее их числа: подборка — VPS для OpenVPN.

IPsec (strongSwan, IKEv2) выбирают для связи площадок: его штатно поддерживают офисные маршрутизаторы и межсетевые экраны, а также встроенные клиенты Windows и macOS, так что сотрудникам не нужно ставить отдельную программу.

Ресурсы по числу сотрудников

• До 10–15 человек — 1 ядро и 1 ГБ памяти: этого с запасом хватает WireGuard или OpenVPN и простой панели управления пользователями.
• 15–50 человек — 2 ядра и 2 ГБ, особенно для OpenVPN: когда весь отдел работает одновременно, одно ядро становится узким местом.
• Больше 50 человек или несколько филиалов — от 2–4 ядер, порт от 1 Гбит/с и второй сервер в резерве: если единственный шлюз недоступен, без внутренних систем остаётся вся компания.
• Диск почти не важен: 10–20 ГБ хватит системе, конфигам и журналам за несколько месяцев.

Виртуализация — только KVM. На OpenVZ и LXC нельзя загрузить модуль ядра и полноценно настроить сетевой стек, поэтому WireGuard и IPsec там либо не заработают, либо будут работать медленно. В таблице выше уже только KVM.

Канал и трафик

Через корпоративный VPN идут не только запросы к внутренним системам, но и выгрузки отчётов, резервные копии, синхронизация файлов и видеосовещания. Десять сотрудников, которые работают с файловым хранилищем и созваниваются, легко расходуют несколько сотен гигабайт в месяц, а репликация между филиалами — терабайты. Поэтому в подборке тарифы без лимита трафика; все такие варианты — на странице VPS с безлимитным трафиком. Смотрите и на ширину порта: 100 Мбит/с делятся на всех, кто подключён одновременно, для отдела или офиса берите 1 Гбит/с. «Безлимит» у части хостеров означает fair use: при постоянной загрузке канала скорость могут снизить, условия стоит прочитать до оплаты.

Размещение, резерв и типичные ошибки

Шлюз ставят ближе к тем, кто им пользуется: к офису, основной части сотрудников или к внутренним системам, к которым нужен доступ. Каждый лишний десяток миллисекунд заметен в удалённом рабочем столе, 1С и голосовой связи. Если команда распределена, проверьте пинг из нескольких городов до тестового IP или looking glass хостера — маршрут до одного дата-центра у разных провайдеров отличается. Компании нужен выделенный IPv4: на тарифах с NAT и общим адресом принимать входящие подключения сотрудников неудобно.

• Один шлюз без резерва. Если без VPN не работает вся компания, держите второй сервер в другом дата-центре и заранее раздайте сотрудникам запасной профиль подключения.
• Весь трафик через туннель. Когда через шлюз идут обновления и видео всех ноутбуков, канал забивается. Обычно достаточно направлять в туннель только адреса внутренних систем, а полный туннель включать в публичных сетях.
• Неучтённые резервные копии. Ночное копирование баз между офисами способно за неделю израсходовать месячную квоту трафика.
• Нет плана обновлений. Шлюз доступен из интернета, поэтому система и VPN-сервер должны обновляться регулярно, а не раз в год.

Журналы, доступ и персональные данные

У каждого сотрудника должен быть свой ключ или сертификат, а не общий пароль: тогда уволившегося отключают за минуту, не трогая остальных. Ведите журнал подключений (кто, когда, с какого адреса), пускайте на сам сервер только по SSH-ключам и закройте лишние порты межсетевым экраном. Внутри туннеля открывайте доступ только к нужным подсетям: бухгалтерии — к 1С, разработчикам — к тестовым серверам.

Если через VPN проходят персональные данные клиентов или сотрудников, действует 152-ФЗ: базы с данными граждан России должны находиться в России, а оператор обязан принимать меры защиты, и шифрование канала — одна из них. Где ставить сам шлюз, решайте вместе с ответственным за защиту данных, а системы, в которых такие данные хранятся, размещайте на серверах из подборки VPS для 152-ФЗ.