Два офиса VPN: как объединить филиалы в единую защищенную сеть

Зачем объединять два офиса через VPN

Когда компания открывает второй офис, перед IT-отделом встает задача обеспечить сотрудникам доступ к общим ресурсам: базам 1С, файловым хранилищам, CRM, корпоративной телефонии и видеонаблюдению. Без единой сети сотрудники вынуждены передавать файлы через мессенджеры, использовать флешки или подключаться к серверам по незащищенным протоколам. Это не только неудобно, но и создает риски для безопасности данных.

VPN (Virtual Private Network) решает эту проблему, создавая защищенный туннель между офисами через интернет. Сотрудники второго офиса получают доступ к ресурсам головного так, будто находятся в одном здании. При этом весь трафик шифруется, что исключает перехват данных посторонними.

Объединение офисов через VPN также упрощает управление IT-инфраструктурой. Вместо разрозненных настроек и разных провайдеров вы получаете единую сеть с централизованным управлением. Это облегчает диагностику проблем, подключение новых филиалов и контроль безопасности.

Основные способы объединения офисов

Существует несколько подходов к объединению двух офисов в единую сеть. Выбор зависит от бюджета, требований к скорости и стабильности, а также от объема передаваемых данных.

Site-to-site VPN через интернет — самый распространенный и экономичный вариант. На роутерах или серверах обеих площадок настраивается зашифрованный туннель. Современные протоколы, такие как WireGuard и IPsec, обеспечивают скорость, близкую к пропускной способности канала, и минимальные задержки. Этот способ подходит для большинства компаний с численностью до 50–100 человек.

Арендованный L2-канал от оператора — оператор связи прокладывает между офисами выделенный канал «точка-точка», фактически один длинный Ethernet-кабель. Скорость и задержка гарантированы договором, но стоимость может составлять от 10 000 до 30 000 рублей в месяц в зависимости от расстояния, а подключение занимает от 2 до 6 недель. Этот вариант оправдан, когда между офисами передаются большие объемы данных: репликация серверов, централизованные бэкапы, видеонаблюдение в реальном времени.

Вынос ресурсов в облако — вместо соединения офисов напрямую, общие серверы (1С, файловые хранилища, виртуальные машины) переносятся в дата-центр. Оба офиса подключаются к облаку по VPN как равноправные филиалы. Это снимает зависимость от электричества и интернета конкретного офиса, но требует регулярных затрат на облачные услуги.

Site-to-site VPN: как это работает

Site-to-site VPN — это технология, при которой два маршрутизатора (или сервера) создают постоянный защищенный туннель между локальными сетями. Весь трафик между офисами проходит через этот туннель, шифруясь на входе и расшифровываясь на выходе.

В отличие от remote-access VPN, где подключаются отдельные пользователи, site-to-site VPN соединяет целые сети. Это означает, что все устройства в офисе А могут обращаться к ресурсам офиса Б без дополнительной настройки на каждом компьютере.

Настройка site-to-site VPN включает три основных этапа:

1. Создание VPN-сервера на одном из маршрутизаторов (головной офис).
2. Настройка VPN-клиента на маршрутизаторе второго офиса.
3. Прописывание статических маршрутов для обмена трафиком между локальными сетями.

Рассмотрим пример на оборудовании Mikrotik, популярном среди системных администраторов. В офисе Москвы (сервер) и Санкт-Петербурга (клиент) настраиваются L2TP-туннели, после чего прописываются маршруты: в Москве — к сети 192.168.20.0/24 через VPN-адрес клиента, в Петербурге — к сети 192.168.10.0/24 через VPN-адрес сервера.

Пошаговая настройка VPN на Mikrotik

Рассмотрим практический пример настройки site-to-site VPN на маршрутизаторах Mikrotik. Пусть офис 1 (Москва) будет VPN-сервером, офис 2 (Санкт-Петербург) — VPN-клиентом.

Адресация:

• Офис 1: WAN 88.53.44.1, LAN 192.168.10.0/24, VPN 192.168.60.1
• Офис 2: WAN 88.53.55.2, LAN 192.168.20.0/24, VPN 192.168.60.2

Настройка VPN-сервера (Москва):

1. Включить L2TP-сервер:

/interface l2tp-server server set authentication=mschap2 enabled=yes

1. Создать пользователя для подключения:

/ppp secret add local-address=192.168.60.1 name=User password=11225555 profile=default-encryption remote-address=192.168.60.2 service=l2tp

1. Добавить интерфейс сервера:

/interface l2tp-server add name=l2tp-in2 user=User

Настройка VPN-клиента (Санкт-Петербург):

Создать клиентское подключение к серверу:

/interface l2tp-client add allow=mschap2 connect-to=88.53.44.1 disabled=no name="SPB-MSK" password=11225555 user=User

Маршрутизация:

В Москве прописать маршрут к сети Петербурга:

/ip route add comment="route MSK-SPB VPN" dst-address=192.168.20.0/24 gateway=192.168.60.2 pref-src=192.168.10.1

В Петербурге прописать маршрут к сети Москвы:

/ip route add comment="route SPB-MSK VPN" dst-address=192.168.10.0/24 gateway=192.168.60.1 pref-src=192.168.20.1

После этого компьютеры из разных офисов смогут обмениваться данными, как если бы они находились в одной локальной сети.

Типичные ошибки при настройке и их решение

Даже при правильной настройке VPN могут возникать проблемы. Рассмотрим наиболее частые ошибки и способы их устранения.

Конфликт IP-адресов. Если в обоих офисах используется сеть 192.168.1.0/24, объединить их напрямую невозможно — адреса будут конфликтовать. Решение: заранее спланировать IP-план и использовать разные подсети в каждом офисе, например 192.168.10.0/24 и 192.168.20.0/24.

Неправильный preferred source. В маршрутах необходимо указывать собственный адрес VPN-интерфейса, а не адрес LAN. Например, для Москвы это 192.168.60.1, для Петербурга — 192.168.60.2. Иначе маршруты могут быть unreachable.

Файрволы на компьютерах. Встроенные брандмауэры Windows часто блокируют ping и общие папки для VPN-подсети. Нужно добавить правила, разрешающие входящие и исходящие соединения для всех сетей, а не только для «локальная сеть».

Проблемы с доступом к веб-интерфейсам устройств. Если ping проходит, но страница не грузится, проверьте настройки MTU и MSS. Возможно, потребуется уменьшить MTU на VPN-интерфейсе.

Не открывается UDP-порт 1701. L2TP использует UDP-порт 1701. Убедитесь, что он открыт на файрволе и проброшен на маршрутизаторе, если используется NAT.

Безопасность VPN-соединения между офисами

Безопасность — ключевой аспект при объединении офисов. Незашифрованный трафик может быть перехвачен, что приведет к утечке конфиденциальных данных: финансовых документов, клиентских баз, логинов и паролей.

Современные протоколы VPN, такие как IPsec и WireGuard, обеспечивают надежное шифрование. При использовании L2TP важно убедиться, что включено шифрование MPPE (Microsoft Point-to-Point Encryption), которое активируется по умолчанию при использовании профиля default-encryption.

Дополнительные меры безопасности:

• Ограничение доступа между сетями. Настройте межсетевой экран так, чтобы бухгалтерия филиала не имела доступа к серверу разработки и наоборот. Это снизит риск распространения угроз.
• Использование сильных паролей. Для VPN-подключений используйте сложные пароли и регулярно их меняйте.
• Мониторинг и логирование. Ведите журналы подключений и анализируйте их на предмет подозрительной активности.
• Резервный канал. Если основной интернет-канал выходит из строя, VPN-соединение прерывается. Резервный канал (например, через LTE) позволит сохранить доступ к корпоративным ресурсам.

Выбор оборудования и провайдера

Для стабильной работы VPN важно правильно выбрать оборудование и интернет-провайдера.

Маршрутизаторы. Для небольших офисов подойдут бюджетные модели Mikrotik, TP-Link или D-Link с поддержкой VPN. Для более крупных сетей потребуются профессиональные устройства, такие как Cisco или Juniper. Обратите внимание на производительность: VPN-шифрование нагружает процессор, поэтому для высоких скоростей нужен маршрутизатор с аппаратным ускорением шифрования.

Интернет-каналы. VPN работает поверх интернета, поэтому качество канала напрямую влияет на скорость и стабильность. Желательно использовать выделенные линии с гарантированной полосой пропускания. Если офисы находятся в разных городах, выбирайте провайдеров с развитой магистральной сетью.

Резервирование. Для критически важных сервисов рекомендуется иметь два независимых канала от разных провайдеров. Это позволит автоматически переключаться при сбое одного из них.

Облачные решения. Если вы не хотите зависеть от конкретного офиса, рассмотрите вариант выноса серверов в облако. Оба офиса будут подключаться к облачной инфраструктуре, что упрощает масштабирование и повышает отказоустойчивость.

Стоимость и сроки внедрения

Стоимость объединения двух офисов через VPN варьируется в зависимости от выбранного способа.

Site-to-site VPN через интернет. Настройка занимает 1–2 дня работы специалиста. Стоимость сопоставима с проектированием офисной сети и обычно составляет от 10 000 до 30 000 рублей за оба офиса. Ежемесячных затрат практически нет, если не считать аренду интернет-каналов.

Арендованный L2-канал. Абонентская плата от 10 000 до 30 000 рублей в месяц в зависимости от расстояния и требуемой полосы. Подключение занимает от 2 до 6 недель. Этот вариант оправдан при больших объемах трафика.

Облачные решения. Стоимость зависит от выбранного провайдера и объема ресурсов. Обычно это ежемесячная плата за виртуальные машины, хранилища и сетевые услуги.

Важно учитывать не только прямые затраты, но и косвенные: время простоя сотрудников при сбоях, риски утечки данных, сложность поддержки. Для большинства компаний оптимальным является зашифрованный VPN поверх качественного интернета с резервным каналом.

Практические рекомендации и выводы

Объединение двух офисов через VPN — задача, которая решается стандартными средствами и не требует больших затрат, если подойти к ней грамотно.

Планируйте IP-адресацию заранее. Используйте разные подсети в каждом офисе, чтобы избежать конфликтов. Это сэкономит время и нервы при настройке.

Выбирайте протокол VPN осознанно. Для большинства случаев подойдут WireGuard или IPsec. L2TP также работает, но требует дополнительной настройки шифрования.

Не забывайте про резервный канал. Если один офис зависит от серверов другого, обрыв интернета остановит работу обоих. Резервный канал через LTE или второго провайдера — разумная страховка.

Ограничивайте доступ между сетями. Настройте межсетевой экран так, чтобы сотрудники имели доступ только к необходимым ресурсам. Это снизит риски безопасности.

Тестируйте после настройки. Проверьте доступность ресурсов из обоих офисов, скорость передачи данных и работу файрволов. Убедитесь, что все работает стабильно.

Если вы сомневаетесь в своих силах, обратитесь к специалистам. Профессиональная настройка VPN сэкономит время и избавит от многих проблем в будущем.

Вопросы и ответы