Все товары 
Корпоративная сеть на VPS: удалённый доступ к офису
Арендованный сервер может стать центром частной сети компании: через него сотрудники из дома и филиалы подключаются к 1С, файловому хранилищу, CRM и Git. Разбираем схемы, протоколы, требования к серверу и базовую защиту.
Когда сотрудники работают из дома, в командировках или в нескольких офисах, внутренние системы компании нужно сделать доступными для них, но не для всего интернета. Публиковать 1С, файловый сервер или CRM наружу напрямую рискованно: любой открытый порт сразу начинают перебирать боты. Стандартное решение — частная зашифрованная сеть: сотрудник сначала подключается к шлюзу компании, а уже через него — к внутренним сервисам. Шлюз можно поставить на офисный маршрутизатор, но всё чаще его размещают на арендованном VPS. Ниже — зачем это делать, как устроены типовые схемы, какой выбрать протокол и сервер и что сделать для безопасности.
Зачем выносить шлюз на VPS
Офисный интернет редко подходит для роли точки входа. У провайдера может не быть постоянного «белого» IP-адреса, офисный канал часто асимметричный — быстрый на загрузку и медленный на отдачу, а при отключении электричества в здании доступ пропадает у всех удалённых сотрудников сразу. У VPS в дата-центре другие условия:
- постоянный выделенный IPv4, который не меняется при перезагрузке;
- симметричный канал на 100 Мбит/с–1 Гбит/с и резервное питание дата-центра;
- офис подключается к шлюзу сам, как обычный клиент, поэтому в офисе не нужно открывать входящие порты;
- несколько офисов и сотни сотрудников подключаются к одной точке, и не нужно настраивать туннели между каждой парой площадок.
Если внутренние системы и так работают в облаке или на арендованных серверах, шлюз на VPS в той же локации даёт минимальную задержку до них, а офис превращается просто в ещё одного участника сети.
Типовые схемы корпоративной сети
Удалённый доступ сотрудников. На VPS работает VPN-сервер, у каждого сотрудника свой профиль подключения. После подключения ноутбук получает адрес во внутренней сети и видит те ресурсы, которые разрешил администратор.
Связь офиса с шлюзом (site-to-site). Офисный маршрутизатор держит постоянный туннель до VPS. Удалённый сотрудник подключается к VPS и через него попадает в офисную подсеть: к серверу 1С, файловому хранилищу, принтерам. Офису при этом не нужен статический IP.
Звезда из нескольких филиалов. Каждый филиал строит туннель к центральному шлюзу, и через него филиалы обмениваются данными. Схема проще полносвязной сети, но шлюз становится единой точкой отказа — для неё нужен резервный сервер.
Во всех трёх схемах обычно используют раздельную маршрутизацию (split tunnel): в туннель уходят только адреса внутренних подсетей, а остальной трафик ноутбука идёт напрямую. Так шлюз не загружен обновлениями и видео, а сотрудник не замечает подключения в повседневной работе.
Какие сервисы открывать через частную сеть
- 1С и учётные системы. Тонкий клиент, веб-клиент или удалённый рабочий стол к серверу 1С работают только внутри сети. Чувствительность к задержке высокая, поэтому шлюз стоит ставить рядом с сервером базы. Подходящие конфигурации для самой 1С — в подборке VPS для 1С.
- Файловый сервер. Общие папки SMB или NFS нельзя выставлять в интернет ни при каких условиях, через частную сеть они работают как в офисе.
- CRM, вики, тикет-система, мониторинг. Веб-интерфейсы внутренних систем можно оставить без публичного адреса и закрыть от поисковых роботов и сканеров.
- Git и CI. Репозитории, реестр образов Docker и серверы сборки доступны разработчикам только из сети; администраторы заходят по SSH на рабочие серверы тоже изнутри, а не через открытый порт.
WireGuard, OpenVPN или IPsec
Все три протокола шифруют трафик и подходят для корпоративной сети, разница — в скорости, удобстве и совместимости.
| Протокол | Сильные стороны | Когда выбирать |
|---|---|---|
| WireGuard | Высокая скорость, короткий конфиг, вход по ключам, клиенты для всех систем | Удалённый доступ сотрудников, небольшие и средние компании |
| OpenVPN | Сертификаты собственного центра сертификации, интеграция с LDAP и Active Directory, работа по TCP | Когда учётные записи уже ведутся централизованно и нужна проверка по каталогу |
| IPsec (IKEv2) | Поддержка в офисных маршрутизаторах и межсетевых экранах, встроенные клиенты Windows и macOS | Связь офисов и филиалов, сотрудники без отдельной программы |
Частая комбинация: IPsec или WireGuard между офисами и шлюзом, WireGuard для ноутбуков и телефонов сотрудников. Параметры серверов под конкретный протокол — на страницах VPS для WireGuard и VPS для OpenVPN.
Какой сервер арендовать
Шлюз корпоративной сети не требует мощного железа, но важны несколько параметров.
- Процессор и память по числу пользователей. До 15 одновременных подключений хватит 1 vCPU и 1 ГБ памяти. На 15–50 сотрудников берите 2 vCPU и 2 ГБ, особенно с OpenVPN, который шифрует в одном потоке и упирается в частоту ядра. Больше 50 человек или несколько филиалов — от 2–4 vCPU и второй сервер в резерве. Если на том же сервере работают панель управления пользователями и мониторинг, добавьте ещё 1 ГБ памяти.
- Виртуализация KVM. WireGuard и IPsec работают на уровне ядра, а на контейнерных OpenVZ и LXC модуль ядра не загрузить. Ищите тарифы на KVM.
- Канал и трафик. Через шлюз идут выгрузки отчётов, синхронизация файлов, резервные копии и видеосовещания. Десяток сотрудников легко расходует несколько сотен гигабайт в месяц, ночные копии между офисами — больше. Нужен порт от 100 Мбит/с, для офиса — 1 Гбит/с, и понятные условия при превышении трафика.
- Локация. Шлюз ставят ближе к офису, основной части сотрудников и внутренним системам. Для компании с офисами и сотрудниками в России разумно выбирать дата-центр в Москве или Петербурге — тарифы в подборке VPS в России. Перед оплатой проверьте пинг до тестового IP хостера из офиса и из домашних сетей нескольких сотрудников.
- Статический IP. Выделенный IPv4 обязателен: по нему подключаются клиенты и офисный маршрутизатор. Тарифы с NAT и общим адресом для шлюза не подходят.
- Диск. Хватит 10–20 ГБ: система, конфигурации и журналы подключений занимают немного.
Готовые варианты с учётом этих требований собраны на странице VPS для корпоративного VPN.
Базовая защита шлюза
Шлюз — единственная точка, через которую снаружи можно попасть во внутреннюю сеть, поэтому его защита важнее, чем у любого другого сервера компании.
- Персональные ключи и сертификаты. У каждого сотрудника свой ключ, а не общий пароль на отдел. Уволившегося отключают одной командой, не трогая остальных; ключи хранят на устройстве, а не пересылают в мессенджерах.
- Двухфакторная аутентификация. OpenVPN и IPsec подключаются к каталогу пользователей и одноразовым кодам; для WireGuard второй фактор добавляют через портал выдачи профилей. Вход администраторов на сам сервер — только по SSH-ключам, вход по паролю отключён.
- Межсетевой экран. Снаружи открыт только порт VPN и, при необходимости, SSH с ограничением по адресам. Внутри туннеля доступ разделён по ролям: бухгалтерии — к 1С, разработчикам — к Git и тестовым серверам, остальным — к файловому серверу и CRM.
- Журналы. Записывайте, кто, когда и с какого адреса подключался, и храните журналы отдельно от шлюза. Это нужно и для расследования инцидентов, и для внутреннего аудита.
- Обновления и резерв. Система и VPN-сервер обновляются регулярно. Второй шлюз в другом дата-центре и запасной профиль у сотрудников избавят от простоя всей компании, если основной сервер недоступен.
Как подключать сотрудников
Техническая часть настраивается за день, а основные проблемы начинаются при раздаче доступа. Подготовьте короткую инструкцию для сотрудников: какую программу поставить, как импортировать профиль, куда писать, если подключение не работает. Профили лучше выдавать через портал или систему управления устройствами, а не рассылать файлы по почте. Сначала подключите небольшую группу, например бухгалтерию или отдел разработки, проверьте скорость работы 1С и файлового сервера через туннель, и только потом переводите остальных. Внутренние адреса сервисов удобно закрепить за понятными именами во внутреннем DNS, чтобы сотрудники открывали crm.office, а не набор цифр.
Правовая сторона
Корпоративная частная сеть для собственных сотрудников — обычная практика информационной безопасности: она защищает коммерческие данные и учётные записи, в том числе когда сотрудник работает из гостиницы или аэропорта через публичный Wi-Fi. Закрепите правила во внутренних документах: кто получает доступ, к каким системам, как выдаются и отзываются ключи. Если через сеть обрабатываются персональные данные клиентов и сотрудников, учитывайте требования 152-ФЗ: серверы с такими данными должны находиться в России, а доступ к ним — фиксироваться в журналах.
Чек-лист перед запуском
- Выбрана схема: удалённый доступ, связь с офисом или звезда из филиалов.
- Определён протокол и способ выдачи профилей сотрудникам.
- Сервер на KVM, ресурсы с запасом по числу одновременных подключений.
- Выделенный IPv4, порт и трафик рассчитаны на копии и совещания.
- Пинг до шлюза проверен из офиса и из домашних сетей сотрудников.
- Персональные ключи, второй фактор, межсетевой экран и журналы подключений.
- Есть резервный шлюз и план обновлений.
Подобрать сервер по виртуализации, локации, каналу и цене можно в поиске VPS.