Защищённое подключение для маленького офиса через роутер: что решить до настройки
В офисе на пять–десять человек за роутером стоят не только компьютеры. Там касса, принтер, сетевой диск, телефон администратора и ноутбук бухгалтера с банк-клиентом. Если включить туннель на роутере для всех сразу, каждое из этих устройств поведёт себя по-своему. Разберём, какую задачу офис на самом деле решает, что проверить до настройки и где туннель удобнее держать на отдельных компьютерах.
Две задачи, которые называют одним словом
Когда владелец небольшой фирмы говорит «нам нужен туннель», он обычно имеет в виду одно из двух. Первое: сотрудники из дома или из командировки должны попадать в сеть офиса, к общей папке, к базе 1С на офисном компьютере, к принтеру. Второе: из офиса должны открываться иностранные сервисы, которые нужны в работе, а сеть офиса не должна видеть, куда ходят компьютеры.
Для первой задачи сервер туннеля поднимают на самом офисном роутере. Такой раздел есть в прошивках Keenetic, MikroTik, ASUS и многих моделей TP-Link: создаёте учётные записи сотрудникам, выдаёте им файл или логин с паролем, и их ноутбуки из дома оказываются в офисной сети. Чтобы сервер был доступен снаружи, провайдер должен выдать офису публичный адрес. У многих провайдеров это отдельная услуга, так что спросите о ней заранее. Офисы в двух зданиях связывают так же, туннелем между двумя роутерами. Об устройстве собственного сервера есть отдельный материал: Сервер для роутера.
Вторая задача решается иначе. Роутер становится клиентом и отправляет трафик через иностранную точку выхода. Дальше речь в основном о ней, потому что именно здесь офисная сеть преподносит сюрпризы.
Пять вопросов перед тем, как включать туннель для всего офиса
1. Что в офисе ходит в интернет без участия людей?
Пройдитесь по офису и перепишите всё, что подключено к роутеру: касса, терминал оплаты, видеорегистратор, IP-телефоны, принтер с облачной печатью, сервер с базой. Касса передаёт чеки оператору фискальных данных. Если связь с ним надолго пропадёт, касса перестанет пробивать чеки. Такие устройства надёжнее оставить на прямом подключении, чем выяснять их поведение в туннеле посреди рабочего дня.
2. Какие российские сервисы увидят иностранный адрес?
При туннеле на роутере без исключений интернет-банк, личный кабинет налоговой, система электронного документооборота и маркетплейсы получат запрос из-за границы. Банк может попросить дополнительное подтверждение или временно ограничить вход, часть государственных сайтов с иностранных адресов открывается с ошибкой. Поэтому прошивка должна уметь направлять российские адреса мимо туннеля. Какие прошивки это умеют, сказано в обзоре Подключение через роутер.
3. Хватит ли роутеру мощности?
Шифрование на роутере считает его процессор. Домашняя модель, которая спокойно держит туннель для двух телефонов, на десяти компьютерах с облачными папками и видеовстречами начинает тормозить весь офис, а не только туннельный трафик. На что смотреть в характеристиках, разобрано в статье какой роутер выбрать для туннеля, а насколько по-разному протоколы нагружают процессор, сказано в сравнении WireGuard или VLESS.
4. Кто будет администрировать?
В маленьком офисе роутер обычно настраивает один человек, часто приходящий. Запишите, где лежат пароль от веб-интерфейса, файл настроек туннеля и данные доступа к серверу, и держите эти записи вне самого роутера. Когда туннель перестанет подниматься, а этот человек будет в отпуске, остальным понадобится хотя бы инструкция, как временно выключить туннель и вернуть офису обычный интернет.
5. Что будет, если туннель упадёт?
Есть два поведения, и выбрать нужно заранее. Если при обрыве роутер переключает офис на прямое подключение, работа не встанет, но несколько минут трафик пойдёт открыто. Если трафик не пропускается до восстановления туннеля, данные не уходят мимо, зато сотрудники сидят без интернета. Для офиса с кассой первый вариант обычно спокойнее.
Туннель на роутере или на отдельных компьютерах
Ответы на пять вопросов часто приводят к простому выводу: туннель нужен не всему офису, а двум-трём сотрудникам. Дизайнеру нужен иностранный сервис с макетами, менеджеру иностранная почта клиента, остальным хватает российских сервисов. Тогда роутер оставляют без изменений, а туннель включают в приложении на конкретных компьютерах.
У такой схемы три плюса. Касса, банк-клиент и принтер не меняют поведения, потому что их это не касается. Сотрудник видит туннель у себя на экране и выключает его одной кнопкой, если что-то не открывается, без звонка администратору. А если ноутбук уезжает домой, туннель уезжает вместе с ним, и ничего перенастраивать не нужно.
Туннель на роутере оправдан, когда иностранные сервисы нужны почти всем, устройств без экрана, которые не умеют ставить приложения, много, а прошивка умеет раздельную маршрутизацию. Общий порядок настройки описан в статье как настроить туннель на роутере, пример для одной популярной марки есть в материале Туннель на роутере Keenetic.
Гостевая сеть и порядок в офисе
Что бы вы ни выбрали, заведите на роутере отдельную гостевую сеть Wi-Fi для посетителей и личных телефонов. Гости получат интернет, но не увидят ни сетевого диска, ни принтера, ни кассы. Почти все современные роутеры умеют это без дополнительных программ. Пароль от гостевой сети меняйте время от времени, а пароль от основной не печатайте на стене у входа.
Отдельно проверьте прошивку роутера. Производители закрывают уязвимости обновлениями, и офисный роутер, который годами не обновлялся, часто оказывается самым слабым местом сети. Включите автообновление, если прошивка его поддерживает, и смените стандартный пароль администратора.
Подписка Siberian V в небольшом офисе
Подписка Siberian на роутер не ставится: настроек для прошивки она не выдаёт, только ссылки для приложений. Поэтому в офисе она подходит под вторую схему, туннель на компьютерах и телефонах тех, кому он нужен. Основной клиент Karing ставится на Windows, Mac, Android и iPhone. Запасной INCY, если его блок есть в кабинете, работает по другому протоколу: если в сети офиса одно приложение не подключается, попробуйте второе.
Российские адреса Karing отправляет мимо туннеля, так что банк-клиент и сайт налоговой на том же компьютере работают с обычным адресом офиса. Звонки через иностранные мессенджеры и сервисы видеосвязи внутри туннеля мы не обещаем.
Лимит считается по сетям, а не по устройствам: одновременно не больше чем из двух сетей. Все компьютеры за офисным роутером считаются одной сетью, мобильный интернет телефона второй. Если с подпиской одновременно работают из офиса и из дома, сетей становится больше, и с третьей доступ приостанавливается на час, а настройки сбрасываются. Чтобы этого не случилось, в карточке подписки есть кнопка «+1 человек», она добавляет к лимиту ещё одну сеть. Что ещё входит в подписку, описано в статье что входит в подписку для роутера, а о работе из дома и коворкинга есть материал Защищённое подключение для работы и удалёнки.
Частые вопросы
Можно ли через подписку Siberian V подключить сотрудников к сети офиса?
Нет. Подписка ведёт трафик через сервер сервиса в интернет и в офисную сеть не пускает. Для доступа к общей папке или базе 1С из дома нужен сервер туннеля на офисном роутере и публичный адрес от провайдера.
Нужно ли пускать кассу через защищённый канал?
Обычно нет. Касса передаёт чеки оператору фискальных данных, а при долгом отсутствии связи перестаёт их пробивать. Надёжнее оставить её на прямом подключении и не включать для неё туннель.
Почему после включения защищённого канала на роутере не открывается интернет-банк?
Банк видит вход с иностранного адреса и может запросить подтверждение или ограничить доступ. Настройте на роутере раздельную маршрутизацию, чтобы российские адреса шли напрямую, или включайте туннель только на тех компьютерах, где он нужен.
Сколько компьютеров офиса можно подключить к одной подписке?
Лимит считается по сетям: одновременно не больше чем из двух. Компьютеры за одним офисным роутером считаются одной сетью. Если подпиской одновременно пользуются из офиса, дома и с мобильного интернета, добавьте сеть кнопкой «+1 человек» в карточке подписки.
Какой роутер нужен для защищённого канала в небольшом офисе?
Тот, у которого хватает мощности процессора на шифрование для всех устройств и есть раздельная маршрутизация. Если туннель нужен двум-трём сотрудникам, роутер можно не менять и включить приложение на их компьютерах.