Как устроен VPN-шлюз и какой выбрать для своей сети

Когда компания открывает второй офис или переводит часть сотрудников на удаленку, встает вопрос: как защитить трафик между площадками. Решение почти всегда одно: VPN-шлюз, устройство или сервис, который шифрует канал и не дает перехватить данные по пути. Разница только в исполнении: одним хватает программного решения на существующем сервере, другим нужен аппаратный VPN-шлюз с сертификацией ФСБ. Рассказываем, как оно устроено, какие задачи решает и как выбрать решение под свою инфраструктуру.

Что такое VPN-шлюз и как он работает

VPN-шлюз (VPN Gateway) — программно-аппаратный комплекс или сетевой узел, который шифрует трафик и обеспечивает защищенное соединение между удаленными пользователями и корпоративной сетью или между несколькими локальными сетями. По сути, это точка входа в зашифрованный канал: весь трафик, который проходит через нее, становится нечитаемым для стороннего наблюдателя.

Как работает VPN-шлюз

Работает VPN-шлюз по одной и той же логике независимо от вендора: устанавливает тоннель со вторым узлом, шифрует данные внутри него и автоматически согласует ключи шифрования при каждой новой сессии. Снаружи трафик выглядит как случайный набор байтов, и весь процесс остается незаметным для пользователя. В документации зарубежных вендоров тот же узел чаще называют VPN Gateway — это прямой синоним русского термина.

На практике встречаются два сценария подключения. В первом клиент VPN-шлюза — это удаленный сотрудник с установленным клиентским ПО на ноутбуке или смартфоне. Во втором к шлюзу подключается целая локальная сеть филиала через второй такой же узел. Центральный шлюз на стороне компании принимает оба типа подключений, проверяет сертификаты и распределяет трафик по нужным маршрутам.

Подключение через VPN-шлюз снимает необходимость прокладывать выделенные линии между офисами. Шифрование поверх обычного интернет-канала обходится в разы дешевле, а по уровню защиты не уступает физически изолированной сети при условии сертифицированной криптографии.

Что теряет бизнес без VPN-шлюза

Без шифрования канала компания рискует потерять данные при обычном перехвате трафика. Дальше разберем, из-за чего это критично для бизнеса и какими функциями VPN-шлюз обеспечивает эту защиту.

Почему VPN-шлюз критичен для безопасности

Без шифрования канала любой трафик между офисами можно перехватить на промежуточных узлах — у провайдера, на арендованном сервере или прямо в точке доступа общественного вайфая. Для компании, которая работает с финансовыми данными, персональными данными клиентов или коммерческой тайной, это прямой риск утечки и штрафов регулятора.

Второй риск — подмена трафика. Без проверки подлинности узла на другом конце канала соединение можно перехватить и подменить пакеты, не вызывая подозрений у пользователя. Шлюз безопасности VPN закрывает оба риска сразу: шифрует содержимое и подтверждает подлинность каждой стороны соединения сертификатом или заранее заданным ключом.

Основные функции VPN-шлюза

Набор возможностей у разных производителей различается в деталях, но ядро остается одинаковым для любого VPN-шлюза — от программного до аппаратного исполнения. Клиент VPN-шлюза, будь то ноутбук сотрудника или второй шлюз на стороне филиала, всегда проходит одну и ту же проверку подлинности перед установкой канала.

• Шифрование трафика по сертифицированным алгоритмам защищает данные от перехвата на любом промежуточном узле маршрута.
• Аутентификация узлов подтверждает подлинность устройства на другом конце канала сертификатом или заранее заданным ключом.
• Туннелирование инкапсулирует пакеты внутри защищенного соединения, скрывая структуру внутренней сети от внешнего наблюдателя.
• Резервирование дублирует канал: если основной шлюз VPN выходит из строя, трафик переключается на резервный узел без разрыва активных сессий.

Виды VPN-шлюзов и места их применения

Шлюзы различаются исполнением — программным или аппаратным, — и это определяет, для какой задачи и площадки они подходят. Разберем оба варианта и типовые сценарии, где каждый из них применяется на практике.

Виды VPN-шлюзов

По исполнению шлюзы делятся на программные и аппаратные. Программное решение разворачивается на существующем сервере или в виртуальной машине — это быстрый и недорогой способ закрыть канал для небольшого офиса или тестового контура. Аппаратный VPN-шлюз — отдельное физическое устройство с выделенным процессором под шифрование, которое не делит ресурсы ни с какими другими задачами.

Выбор между видами шлюзов определяется нагрузкой и требованиями регулятора. Для филиала на 10–15 сотрудников хватит программного шлюза. Для магистрального канала между дата-центрами или для отрасли, где обязательна сертификация ФСБ, нужен аппаратный VPN-шлюз с криптографией по ГОСТ.

Где применяются VPN-шлюзы

Задачи, которые он решает, укладываются в несколько типовых сценариев. Они различаются масштабом сети и требованиями к защите канала:

• Объединение офисов в единую сеть, когда центральный офис и филиалы работают с общими системами и базами данных без разрывов канала.
• Удаленный доступ сотрудников к корпоративным ресурсам с личных устройств или из любой точки, где есть подключение к интернету.
• VPN интернет-шлюз на границе сети, через который весь исходящий трафик компании выходит в интернет под единой политикой безопасности.
• Защищенное взаимодействие с облачными сервисами и партнерскими системами за пределами собственной инфраструктуры компании.
• Шлюз VPN-подключения между сетями двух компаний после слияния или поглощения — пока идет полная интеграция ИТ-инфраструктуры, трафик между площадками все равно нужно защищать.

Протоколы VPN-шлюзов: роль IPsec и IKEv2

IPsec — набор протоколов, который шифрует и подписывает каждый пакет на сетевом уровне. Именно он отвечает за то, что данные внутри туннеля нельзя прочитать или подменить незаметно. Практически любое серьезное оборудование этого класса построено на IPsec как на базовом стандарте шифрования трафика.

IKEv2 решает соседнюю задачу: согласование ключей шифрования и установку самого туннеля. Протокол умеет быстро восстанавливать соединение при смене сети, поэтому его выбирают для мобильных сотрудников: ноутбук или смартфон может переключиться с офисного вайфая на мобильный интернет, а сессия VPN не разорвется.

На практике оба протокола работают в связке: IKEv2 договаривается о параметрах защищенного соединения, а IPsec потом шифрует сам трафик внутри установленного туннеля. Настройка VPN-шлюза обычно сводится к выбору версии протокола, длины ключа и алгоритма шифрования — остальное современные комплексы делают автоматически.

Разминка перед стартом

Прежде чем менять архитектуру сети, разумно сначала увидеть, как оно справится именно с вашей нагрузкой. Оставьте заявку — специалисты Solar разберут ваш сценарий и покажут решение на демостенде.

Запросить демонстрацию

Требования ФСТЭК и ФСБ к VPN-шлюзам

Компания, которая работает с государственными информационными системами или персональными данными, не может просто взять понравившийся VPN-шлюз с открытого рынка. Оборудование обязано пройти сертификацию ФСБ России как средство криптографической защиты и подтвердить соответствие требованиям ФСТЭК к сетевому взаимодействию — без этого эксплуатация системы в регулируемой отрасли прямо нарушает закон.

На практике сертификация означает переход на криптографические алгоритмы по ГОСТ вместо привычных AES или 3DES — российский стандарт в этой части строже международного и обязателен там, где персональные данные защищены на высшем уровне. Сертифицированный VPN-шлюз можно сразу устанавливать в такие системы, не согласовывая каждый раз использование оборудования с регулятором отдельно.

Как выбрать VPN-шлюз для корпоративной сети

Решение купить VPN-шлюз или подключить как сервис зависит от того, готова ли компания обслуживать инфраструктуру собственными силами. Первый вариант дает полный контроль над оборудованием, второй снимает с заказчика обязанности по аттестации и обновлению сертификатов. В обоих случаях основной шлюз VPN стоит закладывать с запасом по производительности — трафик компаний обычно растет быстрее, чем планировалось. Дальше выбор сужается до конкретного исполнения под задачу. В линейке «ЗАСТАВА» для этого есть несколько готовых вариантов — от программного модуля до полностью аппаратного комплекса.

• ЗАСТАВА-Офис — программное исполнение для небольших офисов и удаленных сотрудников: шлюз VPN-подключения разворачивается на существующем сервере без закупки нового оборудования.
• Линейка ЗАСТАВА-150/1500/6000/10000 — аппаратные криптографические шлюзы разной производительности для магистральных каналов и высокой нагрузки.
• ЗАСТАВА-ТК — готовое типовое рабочее место для государственных информационных систем и медицинских информационных систем с уже настроенной защитой.

АПК «ЗАСТАВА» — российский VPN-шлюз нового поколения

АПК «ЗАСТАВА» — российская линейка VPN-шлюзов, сертифицированных ФСБ и ФСТЭК, которая закрывает весь диапазон задач: от подключения одного удаленного сотрудника до защиты магистральных каналов между дата-центрами на скоростях до 12 Гбит/с.

Линейка ЗАСТАВА развивается внутри страны и не зависит от внешних санкционных ограничений — в отличие от зарубежных решений, которые ушли с российского рынка вместе с обновлениями. Типовой интернет-шлюз VPN на границе сети — самый частый сценарий внедрения линейки для средней компании.

Как внедрить надежный VPN-шлюз с АПК «ЗАСТАВА»

Внедрение начинается с оценки инфраструктуры: сколько площадок нужно объединить, какая нагрузка идет через канал и подпадает ли компания под требования регулятора к сертифицированной криптографии. От ответов на эти вопросы зависит, хватит ли программного решения или нужен аппаратный VPN-шлюз. Грамотно настроенный шлюз безопасности VPN снимает большую часть рисков перехвата данных на этапе передачи.

Настройка VPN-шлюза после выбора железа или ПО занимает от нескольких часов до нескольких дней — зависит от количества площадок и сложности схемы маршрутизации. Специалисты Solar сопровождают внедрение на всех этапах: от проектирования схемы до аттестации готового решения.

Сначала маршрут, потом старт

В презентации АПК «ЗАСТАВА» собраны все исполнения линейки — от программных модулей до аппаратных комплексов на 12 Гбит/с — с техническими характеристиками и сценариями применения.

Скачать презентацию

Частые вопросы и ответы