VPN для компании: зачем он нужен и чем IPsec отличается от OpenVPN и WireGuard

«У нас всё в офисе, зачем нам VPN?» — вопрос, который слышишь до первого случая, когда сотрудник уезжает и ему срочно нужна 1С, или когда подрядчику надо дать доступ к одному серверу, а не ко всей сети. Разбираю, зачем VPN компании, и чем на практике отличаются IPsec, OpenVPN и WireGuard.

Зачем бизнесу VPN

VPN — это защищённый туннель между двумя точками через обычный интернет. Внутри туннеля трафик зашифрован, снаружи видно только то, что кто-то обменивается пакетами с вашим сервером.

Типичные задачи, которые он решает:

• Удалённая работа. Сотрудник из дома подключается к файловому серверу, 1С, CRM так, как будто сидит в офисе.
• Филиалы и склады. Два офиса видят общую сеть, телефонию и базы, не выставляя сервисы в интернет.
• Подрядчики и обслуживание. Доступ выдаётся на конкретный сервер и отзывается одной командой, а не «мы поменяли пароль от роутера».
• Публичные сети. В кафе, отеле, аэропорту трафик без VPN можно перехватить или подменить. С VPN — сложнее.
• Администрирование. Инженер подключается к оборудованию завода или офиса через туннель, а не через открытый порт.

Чего VPN не делает

Важно не путать VPN с «защитой от всего»:

• он не заменяет антивирус и не спасает от фишинга;
• он не делает вас анонимным — сервер VPN видит, куда вы ходите;
• он не защищает от сотрудника, который сам скопировал базу на флешку;
• он не отменяет пароли, обновления и права доступа.

VPN решает одну задачу: связь между точками должна быть защищённой, а сервисы — недоступными из интернета напрямую. Это уже немало.

Два типа подключения

Site-to-site — постоянный туннель между офисами или между офисом и облаком. Пользователи ничего не настраивают: сети просто соединены.

Remote access — клиент на компьютере или телефоне сотрудника. Это то, что обычно называют «подключиться к рабочей сети».

IPsec (IKEv2): встроенный и быстрый

IPsec работает на сетевом уровне и встроен в Windows, macOS, iOS и Android. Для сотрудника это часто выглядит как обычное подключение в настройках системы — без установки программ.

Плюсы:

• не нужен отдельный клиент — поддерживается системой;
• быстрый, хорошо работает на мобильных и при смене сети (Wi-Fi → LTE);
• зрелая технология, поддерживается оборудованием: роутерами, межсетевыми экранами;
• удобен для site-to-site между офисами.

Минусы:

• сложная настройка: сертификаты, политики, фазы;
• использует UDP 500 и 4500 — в строгих сетях и у некоторых провайдеров может не проходить;
• ошибки диагностируются тяжело: «не подключается» без деталей;
• разные реализации (Windows, Cisco, MikroTik) иногда не сходятся с первого раза.

OpenVPN: универсальный и проверенный

OpenVPN работает поверх TLS, как обычный защищённый сайт. Поэтому его проще провести через сети, где закрыты «непонятные» порты: он умеет работать по TCP на 443.

Плюсы:

• работает почти везде, включая гостиницы и мобильный интернет;
• есть клиенты под всё: Windows, macOS, Linux, Android, iOS;
• понятная схема сертификатов: свой сертификат на каждое устройство, отзыв одного не ломает остальные;
• хорошо документирован, легко аудируется.

Минусы:

• медленнее IPsec и WireGuard: шифрование в пользовательском пространстве;
• конфиги и сертификаты нужно вести аккуратно, иначе через год никто не помнит, чей ключ где;
• TCP-режим поверх TCP-соединения даёт «двойную» надёжность и просадки на плохой связи.

WireGuard: современный и лёгкий

WireGuard — относительно новый протокол, который работает в ядре Linux и отличается маленьким кодом. Именно поэтому его проще проверить и сложнее сломать: меньше кода — меньше ошибок.

Плюсы:

• очень быстрый, особенно на слабом железе и мобильных;
• подключается почти мгновенно, переживает смену сети;
• простая настройка: пара ключей на устройство;
• хорошо подходит для сайт-ту-сайт и для раздачи доступа сотрудникам.

Минусы:

• работает только по UDP — там, где UDP закрыт, не подключится;
• нет встроенного управления сертификатами и пользователями: ключи, отзыв и аудит — на вас или на панель управления;
• ключи статические: если ключ утёк, доступ есть, пока ключ не убран из конфигурации;
• логи минимальны — для расследований иногда это минус.

«По ключам»: что это значит на практике

Все три протокола проверяют не пароль, а криптографический ключ или сертификат. Разница в том, как этим управляют:

• IPsec — сертификаты или общий ключ (PSK). PSK проще, но если он один на всех и утёк — придётся менять на всём парке.
• OpenVPN — сертификат на каждое устройство плюс свой центр сертификации. Удобно отзывать доступ: уволился сотрудник — отозвали его сертификат.
• WireGuard — статическая пара ключей на устройство. Настройка занимает минуты, но заводить, отзывать и хранить ключи нужно дисциплинированно.

Общее правило одно: отдельный ключ на каждое устройство, журнал выдачи и отзыв при увольнении или потере ноутбука. Один общий ключ на всю компанию — это не VPN, а лотерея.

Сравнение в двух словах

• IPsec — быстро, встроено, но сложно настраивать и не везде проходит.
• OpenVPN — медленнее, зато работает почти в любой сети и удобно управляется сертификатами.
• WireGuard — самый быстрый и простой, но только UDP и требует своей дисциплины по ключам.

Что выбрать компании

Универсального ответа нет, но есть рабочие схемы:

• Офис — офис: IPsec, если есть оборудование, которое его поддерживает, или WireGuard между серверами.
• Сотрудники на удалёнке: WireGuard — быстро и просто; OpenVPN как запасной вариант для сетей, где UDP закрыт.
• Только Windows/macOS без клиентов: IKEv2 — подключение встроенными средствами.
• Жёсткие требования к аудиту: OpenVPN с нормальным PKI и журналом выдачи сертификатов.

На практике часто ставят WireGuard для сотрудников и IPsec или WireGuard для связи офисов. OpenVPN остаётся там, где важна совместимость со старым оборудованием и строгими сетями.

Безопасность: что важнее протокола

Выбор протокола — половина дела. Вторая половина — то, как он настроен:

• VPN-сервер не должен быть «входом во всю сеть»: отдельный сегмент и минимум прав;
• доступ только к нужным сервисам, а не ко всему офису;
• MFA для удалённого доступа, если сервис это позволяет;
• ротация ключей и отзыв доступа при увольнении;
• обновления VPN-сервера и клиентов;
• журналирование подключений;
• никакого открытого RDP в интернет — только через VPN.

Самая частая ошибка — не «неправильный протокол», а открытый наружу сервис и один пароль на всех. VPN в такой схеме не помогает, а создаёт ощущение защищённости.

Итог

VPN нужен не «для галочки», а чтобы сервисы компании не торчали в интернет и чтобы сотрудник из дома работал так же, как в офисе. IPsec — про скорость и встроенность, OpenVPN — про совместимость и управление сертификатами, WireGuard — про простоту и производительность. Выбор зависит от того, какие сети у сотрудников и сколько устройств придётся вести.

Настраиваю VPN и удалённый доступ для организаций в Минске: IT-обслуживание организаций. Если нужно разобраться с текущей схемой — напишите, посмотрю, что есть, и предложу вариант.

Где ещё это разбираю

Короткие заметки по администрированию, безопасности и автоматизации публикую в Telegram-канале: t.me/martynnews. Там же — инструменты, о которых пишу в статьях.