VPN site-to-site и удалённый доступ: в чём разница и что выбрать

Коротко о разнице

Site-to-site VPN — это постоянный зашифрованный туннель между двумя или несколькими сетями. Его поднимают роутеры или межсетевые экраны на каждой площадке, а сотрудники ничего не запускают: компьютер в филиале просто видит сервер в главном офисе, как будто они в одной сети.

VPN удалённого доступа (remote access) соединяет одно устройство с сетью компании. Сотрудник дома или в командировке запускает VPN-клиент, вводит учётные данные и получает доступ к внутренним ресурсам.

Проще говоря: site-to-site соединяет здания, remote access соединяет людей.

Сравнение по главным параметрам

Какие протоколы используются

• IPsec — классика для site-to-site. Его поддерживает почти любое корпоративное сетевое оборудование, поэтому он удобен, когда на площадках стоят роутеры разных производителей. Используется и для удалённого доступа (например, IKEv2), в том числе встроенными клиентами ОС.
• WireGuard — современный протокол с небольшим кодом и простой настройкой на ключах. Подходит для обоих сценариев, работает быстро, но управлять множеством пользователей вручную неудобно: нужны дополнительные инструменты для выдачи и отзыва ключей.
• OpenVPN — гибкий вариант, работающий поверх TLS. Часто выбирают для удалённого доступа: есть клиенты под все платформы, его проще пропустить через ограничительные сети.
• SSL VPN в межсетевых экранах — решения производителей с собственным клиентом или веб-порталом, ориентированные на удалённых сотрудников.

Пример минимальной конфигурации WireGuard для туннеля между двумя офисами (одна сторона):

[Interface]
Address = 10.99.0.1/30
PrivateKey = <приватный ключ офиса A>
ListenPort = 51820

[Peer]
PublicKey = <публичный ключ офиса B>
Endpoint = office-b.example.com:51820
AllowedIPs = 10.99.0.2/32, 192.168.20.0/24
PersistentKeepalive = 25

Здесь AllowedIPs указывает, какие подсети филиала доступны через туннель.

Что нужно по оборудованию

Для site-to-site:

• роутер или firewall с поддержкой VPN на каждой площадке;
• желательно статический IP хотя бы в одной точке или DDNS;
• непересекающиеся подсети: если и в офисе, и в филиале 192.168.1.0/24, маршрутизация сломается.

Для удалённого доступа:

• VPN-шлюз в офисе или в облаке с запасом по числу одновременных подключений;
• клиенты на ноутбуках и телефонах;
• система учётных записей: лучше интеграция с каталогом пользователей и многофакторная аутентификация.

Сколько сил уходит на поддержку

Site-to-site обычно настраивают один раз и затем следят за стабильностью: мониторинг туннеля, обновление прошивок, продление сертификатов. Пользователи его не замечают.

Удалённый доступ требует постоянной работы: выдача и отзыв доступа при найме и увольнении, помощь с клиентами, сброс паролей, контроль, к чему именно имеет доступ каждый. Чем больше людей, тем важнее централизованное управление.

Частые ошибки

• Полный доступ ко всей сети для каждого удалённого пользователя. Лучше ограничить доступ нужными серверами и портами.
• Нет MFA на VPN удалённого доступа — одна утёкшая пара логин–пароль открывает сеть.
• Одинаковые подсети в офисах при настройке site-to-site.
• Забытые учётные записи уволенных сотрудников и подрядчиков.
• Нет мониторинга — о падении туннеля узнают от сотрудников филиала.

Как выбрать

• Есть несколько постоянных площадок, которым нужен общий доступ к серверу, 1С или камерам — нужен site-to-site.
• Сотрудники работают из дома или в разъездах — нужен удалённый доступ.
• Есть и то и другое — используют оба типа: филиалы соединены туннелями, а удалённые сотрудники подключаются к центральному шлюзу.
• Если большинство ресурсов уже в облаке, стоит оценить модели доступа к отдельным приложениям (Zero Trust) вместо доступа ко всей сети.