Удалённый доступ сотрудников к офису: как дать безопасно
Как дать сотрудникам доступ к офисным серверам, 1С и файлам из дома без риска: почему нельзя открывать порты в интернет, как устроен VPN и что ещё настроить.
Бухгалтеру нужно поработать из дома. Чтобы было быстро, на роутере офиса открывают порт удалённого рабочего стола прямо в интернет. Работает. Через пару недель журнал сервера показывает тысячи попыток подобрать пароль с адресов по всему миру. Если одна из них окажется удачной, у посторонних будет доступ к серверу с 1С и всеми документами.
Открытые в интернет порты удалённого доступа находят автоматически и перебирают круглосуточно. Безопасный способ дать доступ из дома: VPN, защищённый канал, через который сотрудник попадает в офисную сеть только после проверки. Разберём, как это устроено и что ещё нужно настроить.
Способы удалённого доступа
| Способ | Как работает | Риск |
|---|---|---|
| Открытый порт в интернет | Сервер доступен любому, кто знает адрес | Высокий: перебор паролей и уязвимости |
| Программы удалённого управления | Сторонний сервис соединяет компьютеры | Средний: зависимость от сервиса, сложно контролировать |
| VPN | Сотрудник подключается к сети офиса по личному ключу | Низкий при правильной настройке |
Серверы офиса не должны быть видны из интернета. Видна только дверь VPN, и открывается она личным ключом.
Как устроен VPN для сотрудников
Шаг 1
Сервер VPN на входе в офис
Роутер или отдельный сервер принимает подключения. Остальные порты закрыты.
Шаг 2
Личный ключ каждому сотруднику
Сертификат или ключ на конкретного человека. Увольнение: ключ отзывается, доступ закрыт.
Шаг 3
Второй фактор
Кроме ключа, код или подтверждение. Украденный ноутбук сам по себе доступа не даёт.
Шаг 4
Доступ только к нужному
Бухгалтер видит сервер 1С, менеджер файловое хранилище. Остальная сеть закрыта правилами.
Шаг 5
Журнал подключений
Кто, когда и откуда подключался. Странные подключения видны сразу.
Что ещё настроить
- Сегментацию сети. Удалённые сотрудники попадают в свой сегмент, остальная сеть им не видна. Подробнее в статье про сегменты сети.
- Обновления. Сервер VPN смотрит в интернет и обновляется в первую очередь.
- Требования к домашним компьютерам. Антивирус, обновления, отдельная учётная запись для работы.
- Мониторинг. Сообщение, если VPN недоступен или идёт подбор ключей.
- Резервный канал. Если интернет в офисе пропал, удалённые сотрудники тоже стоят. Резерв интернета закрывает и эту проблему.
Пример: пять удалённых сотрудников
Условная компания: сервер 1С и файловое хранилище в офисе, пять человек работают из дома два-три дня в неделю. Раньше был открыт порт удалённого рабочего стола. После настройки VPN порт закрыт, у каждого личный ключ, бухгалтерия видит только сервер 1С, менеджеры только хранилище. Подключение занимает пару секунд, работать удобно.
Сколько стоит
| Позиция | Цена | Что входит |
|---|---|---|
| VPN между двумя площадками | от 10 000 ₽ | Защищённый канал между офисами |
| Удалённый доступ сотрудников | по расчёту | Зависит от числа сотрудников и оборудования |
| Настройка Active Directory | от 10 000 ₽ | Единые учётные записи для входа |
| Мониторинг Zabbix | от 15 000 ₽ | Контроль VPN и серверов |
Если нужно соединить несколько офисов, читайте статью «VPN между офисами». Как разделить сеть, чтобы удалённый доступ видел только нужное, в материале «Сеть офиса без хаоса». Про сервер 1С в статье «Сервер 1С: что знать до установки».
Как мы делаем
Проверяем, что открыто в интернет сейчас, закрываем лишнее, разворачиваем VPN на OpenVPN или IPsec, выдаём личные ключи, настраиваем правила доступа и журнал. Передаём инструкцию для сотрудников и порядок отзыва ключа. Подробности на странице сетей и связи, расчёт в калькуляторе.
Частые вопросы
VPN замедлит работу с 1С?
Скорость зависит от интернета дома и в офисе. Для тяжёлой работы с 1С удобнее терминальный доступ через VPN.
Можно ли подключаться с телефона?
Да, приложения VPN есть для телефонов. Доступ настраивается так же, по личному ключу.
Что делать при увольнении?
Отозвать ключ. Доступ закрывается сразу, менять настройки у остальных не нужно.
Подойдёт ли наш роутер?
Многие офисные роутеры умеют VPN. Проверяем модель при осмотре.
Коротко
- Открытые в интернет порты удалённого доступа перебирают круглосуточно.
- VPN: личный ключ, второй фактор, доступ только к нужному, журнал подключений.
- Удалённые сотрудники попадают в свой сегмент сети.
- VPN между площадками от 10 000 ₽, доступ сотрудников по расчёту.
Следующий шаг: опишите задачу в калькуляторе или посмотрите все услуги на rktsocial.com.