Начните со списка офисных ресурсов, к которым сотрудникам нужен доступ из дома: рабочий компьютер, файловая папка или внутренняя программа. Корпоративный VPN создаёт защищённый канал между устройством сотрудника и сетью компании. Через него можно подключаться к удалённому рабочему столу по RDP, не открывая этот доступ всему интернету. Для небольшой команды нужны VPN-шлюз, отдельные учётные записи и правила доступа. Ниже разберём, что поручить администратору, как проверить подключение и какие ошибки устранить до начала удалённой работы.
Как VPN позволяет работать без открытого RDP?
RDP — технология доступа к рабочему столу Windows через сеть. Когда на офисном маршрутизаторе настраивают прямой проброс RDP из интернета, к точке входа могут обращаться посторонние. Пароль остаётся барьером, но сам сервис уже доступен извне.
При подключении через корпоративный VPN сотрудник сначала подтверждает свою учётную запись на VPN-шлюзе. Это устройство или программа на границе сети, которые принимают защищённое соединение. Затем сотрудник открывает рабочий стол по внутреннему адресу офисного компьютера. Межсетевой экран разрешает RDP только из нужной сети, включая разрешённые VPN-подключения.
VPN сам по себе не закрывает прежний доступ. Если администратор оставит проброс RDP на маршрутизаторе, старый путь в офис сохранится. Поэтому в задачу на настройку включите отдельную проверку: из внешней сети рабочий стол недоступен напрямую, а после подключения к VPN открывается.
Корпоративный VPN также не даёт сотруднику автоматический доступ ко всей сети. Для бухгалтера можно разрешить соединение с его рабочим компьютером, а доступ к другим устройствам закрыть. Эти ограничения администратор задаёт отдельно от настроек самого туннеля.
Что подготовить перед настройкой корпоративного VPN?
Сначала опишите рабочий сценарий обычными словами. Например: сотрудник подключается с домашнего ноутбука к офисному компьютеру и работает с программой, которая там установлена. Администратору нужен этот маршрут целиком, иначе он проверит только соединение с VPN-шлюзом, а нужная программа останется недоступной.
- Составьте список ресурсов: рабочие компьютеры, общие папки и внутренние приложения. Напротив каждого укажите, кому он нужен.
- Уточните устройства сотрудников: операционную систему, наличие обновлений и возможность установить VPN-клиент.
- Проверьте офисный маршрутизатор: поддерживает ли он нужный VPN и получает ли обновления безопасности.
- Согласуйте с интернет-провайдером, как удалённые устройства будут находить VPN-шлюз и принимать ли входящие подключения при текущей схеме доступа.
- Назначьте ответственного за учётные записи, настройки и помощь при сбое. Запишите способ связи с ним вне офисной сети.
Если провайдер использует общий внешний адрес для нескольких абонентов, входящее подключение к офисному шлюзу может потребовать другого решения. Это нужно выяснить до настройки клиентских ноутбуков. Также попросите администратора проверить, не совпадают ли адресные диапазоны домашней и офисной сетей: такое совпадение мешает компьютеру выбрать путь к офисному ресурсу.
Для связи между филиалами нужен отдельный сценарий. Постоянное соединение офисных сетей разбирается в материале как настроить Site-to-Site VPN для двух офисов без покупки сервера. Доступ сотрудников с домашних устройств следует настроить и проверить отдельно.
Как запустить доступ и не потерять управление сетью?
Попросите администратора провести запуск поэтапно. На время изменения настроек нужен запасной способ управления маршрутизатором или человек в офисе, который сможет восстановить доступ. Не закрывайте действующее подключение, пока новый путь не прошёл проверку.
- Настройте VPN-шлюз. Установите актуальные обновления и ограничьте доступ к его панели управления.
- Создайте отдельную учётную запись для сотрудника, который проверит подключение. Если решение поддерживает дополнительное подтверждение входа, включите его.
- Разрешите этой учётной записи доступ только к нужному офисному компьютеру или приложению.
- Проверьте работу из внешней сети: подключение к VPN, открытие рабочего стола и выполнение обычной задачи в программе.
- Закройте прямой доступ к RDP из интернета и повторите проверку обоих путей: без VPN и через VPN.
Для остальных сотрудников создайте собственные учётные записи по той же проверенной схеме. Общий логин мешает отключить доступ одному человеку, не затронув всю команду. При потере ноутбука администратор должен уметь отозвать именно его доступ, включая сертификат или ключ, если система их использует.
Туннель шифрует соединение, но не исправляет проблемы на самом ноутбуке. Обновления системы, блокировка экрана и защита учётной записи остаются частью настройки. Пароль от VPN и резервные коды входа не следует оставлять в общей инструкции для сотрудников.
Что проверить, если VPN подключён, а работа не идёт?
Статус «подключено» подтверждает соединение со шлюзом. Он ещё не означает, что сотрудник добрался до нужной программы. При проверке попросите человека открыть рабочий документ и выполнить привычное действие, например сформировать отчёт без изменения рабочих данных.
Если рабочий стол не открывается, администратор проверяет маршрут к офисному компьютеру и правила межсетевого экрана. Затем — включён ли сам компьютер и разрешено ли этому сотруднику подключение по RDP. Ошибка в имени компьютера тоже требует отдельной проверки: доступ по внутреннему адресу и по имени зависит от разных настроек.
Если соединение работает, но изображение зависает, проверьте оба конца канала. На работу влияет домашняя сеть сотрудника и исходящая скорость офисного интернета. Передача большого файла или загрузка резервной копии в тот же момент тоже расходует канал. Сначала повторите рабочую задачу без параллельных передач и запишите, на каком действии появляется задержка.
Для бизнеса, которому нужен доступ в офис в течение рабочего дня, полезно отдельно обсудить резервный интернет-канал. В описании услуг ADSL.BY предусмотрены защищённый доступ к корпоративным сервисам, резервирование канала и приоритизация трафика (источник: ADSL.BY). В техническом задании стоит указать, должен ли VPN восстанавливать соединение после переключения и кто проверяет этот сценарий.
Доступность программы и сохранность её данных требуют разных проверок. VPN не заменяет резервную копию. Если рабочая система находится в облаке, используйте отдельный план: как проверить восстановление из облачного бэкапа.
Типичные ошибки при настройке VPN для небольшой команды
- Оставить старый проброс RDP после запуска VPN. Исправление: проверить правила на маршрутизаторе и доступность рабочего стола из внешней сети.
- Выдать команде общий логин. Исправление: создать личные учётные записи и описать, как отключать доступ при увольнении или потере устройства.
- Разрешить VPN-пользователям всю офисную сеть. Исправление: выдать каждому доступ только к ресурсам из рабочего списка.
- Проверить подключение только из офиса. Исправление: повторить рабочий сценарий через внешнюю сеть, отдельно от офисного Wi-Fi.
- Не оставить инструкцию на случай сбоя. Исправление: записать порядок подключения, контакт ответственного и способ передать ему текст ошибки без паролей.
Настройку можно принять, когда сотрудник выполняет свою задачу через VPN, прямой RDP из интернета закрыт, а администратор умеет отключить отдельную учётную запись. Сохраните эти условия в задаче на обслуживание вместе со списком разрешённых ресурсов. Сейчас откройте заметку и за две минуты запишите, к какому офисному компьютеру нужен удалённый доступ в первую очередь.
