Remote Access VPN и Site‑to‑Site VPN: в чем разница и что выбрать

Ошибка в выборе типа VPN может парализовать работу удаленных команд или оставить без защиты конфиденциальный трафик между офисами. Remote Access VPN создает защищенный туннель для одного устройства, подключая удаленного сотрудника к корпоративной сети. Site-to-Site VPN формирует мост между двумя локальными сетями, например, между главным офисом и филиалом. В этой статье — сравнение двух подходов на основе их архитектуры, применения и бизнес-логики.

Что такое Remote Access VPN

Remote Access VPN — это технология, которая обеспечивает безопасное подключение удаленного пользователя к централизованной корпоративной сети через публичный интернет. Этот тип VPN еще называют VPN удаленного доступа или клиент-серверным VPN.

Работает это следующим образом: на устройстве сотрудника — ноутбуке, смартфоне и т.д. — устанавливается специальное программное обеспечение VPN-клиент. Когда пользователь запускает его и проходит аутентификацию, между его устройством и VPN-шлюзом компании создается зашифрованный туннель. Целевой корпоративный трафик с этого устройства направляется через этот туннель, и для внутренних ресурсов сети — файловых серверов, баз данных — сотрудник выглядит так, будто он физически находится в офисе. Это классический пример модели «клиент-сервер».

Протоколы (IPsec, SSL, OpenVPN)

Remote Access VPN может использовать различные протоколы для создания защищенного соединения, каждый со своими особенностями:

IPsec (Internet Protocol Security) — это набор протоколов, обеспечивающих аутентификацию и шифрование на сетевом уровне. Он часто применяется в связке с L2TP (L2TP/IPsec) для создания стабильных и безопасных туннелей. 

OpenVPN — это гибкий и мощный VPN, который сочетает высокую безопасность с хорошей совместимостье. 

WireGuard -  это чрезвычайно простой, но быстрый и современный протокол, использующий передовые криптографические технологии. Он быстрее, проще в настройках, чем IPsec, избегая при этом множества проблем. Он значительно производительнее, чем OpenVPN. WireGuard разработан как универсальный VPN для работы как на встроенных системах, так и на суперкомпьютерах, подходящий для самых разных условий.

Для максимальной безопасности удаленных подключений важно выходить  за рамки простых паролей. Рекомендуем использовать двухфакторную аутентификацию (2FA), где вторым фактором может быть OTP-код, push-уведомление и другие способы аутентификации.

Контур.Коннект — это Remote Access VPN, основой которого служит оптимизированный протокол VPN, который работает быстро и надежно:

• стабильные видеозвонки без прерываний из любой точки мира;
• минимальная нагрузка на процессор и экономия заряда батареи;
• возможна передача больших файлов и потоковых данных — ориентирован на высокую пропускную способность. 

Реклама 16+

Remote Access VPN от Коннекта

Коннект — кроссплатформенное решение для безопасного удалённого доступа сотрудников и партнёров к корпоративным ресурсам

Попробовать

Что такое Site-to-Site VPN

Если Remote Access VPN соединяет устройство и сеть, то Site-to-Site VPN создает туннель, который поднимается между двумя локальными сетями. Его главная задача — объединить разрозненные филиалы, удаленные офисы или облачные инфраструктуры в единое приватное сетевое пространство.

Схема подключения выглядит так: в каждой из соединяемых сетей, например, в головном офисе и филиале, на границе устанавливается VPN-шлюз — это может быть специализированное устройство, сервер или маршрутизатор с соответствующим ПО.

Эти шлюзы настраиваются друг на друга, и между ними автоматически устанавливается защищенное соединение. После настройки пользователи в обоих офисах получают прозрачный доступ к общим ресурсам: сотрудник в филиале может обращаться к серверу в головном офисе, как к локальному, и наоборот. На самих рабочих станциях пользователей при этом ничего настраивать не нужно.

Протоколы (IPsec IKEv1/IKEv2)

Доминирующий протокол для Site-to-Site VPN — IPsec в силу его надежности и работы на сетевом уровне. Ключевую роль в его работе играет протокол IKE (Internet Key Exchange), который отвечает за установление безопасного канала и обмен криптографическими ключами между шлюзами:

IKEv1. Классическая, хорошо проверенная версия. Использует два режима: основной (Main Mode) для установления защищенного канала и агрессивный (Aggressive Mode) для более быстрого, но менее безопасного согласования.

IKEv2. Более современная и совершенная версия. Отличается повышенной стабильностью (лучше восстанавливает разорванные соединения), поддерживает механизм MOBIKE для смены IP-адреса без разрыва туннеля и требует меньше служебного трафика. Для новых развертываний рекомендуется выбирать именно IKEv2.

Основные различия между Remote Access VPN и Site-to-Site VPN

Собрали основные различия  в таблице.

Различия в настройке и производительности

Настройка и управление

Site-to-Site VPN требует более сложной первоначальной настройки на сетевом оборудовании (шлюзах), так как необходимо точно согласовать параметры шифрования, аутентификации и маршрутизации между двумя сторонами. Однако после настройки он работает автономно. 

Управление Remote Access VPN часто смещено в сторону работы с пользователями: создание учетных записей, рассылка клиентов, решение проблем на конечных устройствах.

Производительность и безопасность

Site-to-Site VPN, настроенный на выделенном оборудовании, обычно обеспечивает более высокую и стабильную пропускную способность для межсетевого обмена. 

Remote Access VPN может испытывать просадки скорости из-за шифрования на менее производительных пользовательских устройствах и качества их интернет-каналов. 

Узнайте, как правильно потратить бюджет на информационную безопасность

Пришлем ссылку на гайд о стоимости ИБ-решений ответным письмом на почту, которую вы указали.

Получить

Преимущества и недостатки каждого типа

Плюсы и минусы Remote Access VPN

Плюсы и минусы Site-to-Site VPN

Когда выбирать Remote Access VPN

Remote Access VPN станет идеальным выбором, когда ваша основная задача — предоставить безопасный доступ к корпоративным ресурсам сотрудникам, которые работают вне периметра офиса. Например:

• Для удаленщиков. Для доступа к внутренним порталам, CRM, ERP-системам и файловым хранилищам. Например, бухгалтер из дома подключается через VPN к серверу 1С в офисе. Для него это выглядит так, будто сервер стоит у него в локальной сети.
• Для мобильных сотрудников. Для торговых представителей, аудиторов, инженеров и руководителей, которые часто перемещаются и подключаются с разных мест. Например, торговый представитель, находясь в гостях у клиента, с помощью VPN на своем планшете заходит во внутреннюю CRM, чтобы проверить историю заказов и оформить новую поставку.
• Для командированных работников. Для безопасного доступа в корпоративную сеть из отелей, конференц-залов и других локаций. Например,менеджер по продажам, выступая на конференции в другом городе, подключается к защищенному VPN-туннелю через Wi-Fi отеля, чтобы скачать с корпоративного портала последнюю версию презентации для демонстрации.
• Для администраторов, работающих с конфиденциальными данными. Когда необходимо обеспечить шифрование всего трафика при работе с персональными данными или коммерческой тайной через публичные сети. Например, системный администратор использует VPN-подключение, чтобы удаленно и безопасно управлять серверами в дата-центре компании.
• Для подрядчиков. Для временного доступа к корпоративной сети на срок выполнения работ. Например, вы наняли специалиста на три дня, чтобы он проверил трудовые договоры или подготовил документы к проверке.

Когда выбирать Site-to-Site VPN

Site-to-Site VPN — это решение для задач консолидации инфраструктуры, когда нужно связать между собой целые сети. Например: 

• Объединение головного офиса и филиалов. Создание единого адресного пространства для общей работы с файловыми серверами, АТС (IP-телефония), системами видеонаблюдения. Например, сотрудник в самарском филиале бухгалтерии открывает на своем компьютере проводник и видит там общую сетевую папку \\mos-fileserver\Бухгалтерия. С точки зрения доступности он работает с документами так, будто этот сервер стоит в его офисе, а не в московском головном офисе.
• Создание резервного канала связи. Организация зашифрованного VPN-туннеля в дополнение к выделенной линии (MPLS) для повышения отказоустойчивости. Например, между офисами работает высокоскоростная выделенная линия. Параллельно через обычный интернет можно настроить VPN-канал. Если основная линия внезапно оборвется из-за аварии у провайдера, все взаимодействие (звонки через IP-телефонию, доступ к базам данных) автоматически и мгновенно переключится на резервный VPN-туннель. Пользователи, скорее всего, даже не заметят проблему.
• Слияние и поглощение. Быстрое и безопасное объединение IT-инфраструктуры двух компаний на время или на постоянной основе. Например, крупная компания купила стартап. Чтобы новая команда разработчиков могла сразу получить доступ к тестовым серверам и инструментам основной компании, IT-специалисты за один день настроили Site-to-Site VPN между сетевыми шлюзами обеих компаний. Это временное решение позволяет начать совместную работу немедленно, пока идет долгосрочная миграция данных и систем в единую сеть.

Как настроить каждый тип VPN

Настройка Remote Access VPN шаг за шагом

Настройка всегда выполняется в два этапа: на стороне сервера и на стороне клиента.

На стороне сервера

На стороне компании разворачивается стенд для будущих подключений. В зависимости от выбранного поставщика этот этап включает:

• поднятие VPN-шлюза,
• настройки политик доступа, сетей и фаервола — они определяют, кому и куда разрешено подключаться,
• интеграцию с системами аутентификации для проверки личности пользователей, 
• другие настройки.

На стороне клиента 

Настройка VPN-клиента происходит по-разному. Самое простое решение — использовать готовое приложение. В этом случае от пользователя требуется минимум действий, так как администратор уже подготовил все необходимые настройки для работы:

1. Нужно скачать и установить приложение. Никаких ручных настроек адресов серверов или портов обычно не требуется — всё уже зашито в корпоративный дистрибутив или подтягивается при входе.
2. Настроить второй фактор.
3. Подключиться «по кнопке»:
   • ввести логин и пароль,
   • подтвердить второй фактор.

Именно такое решение предоставляет Контур.Коннект. Клиент Контур.Коннект — кроссплатформенное приложение с дружелюбным интерфейсом. Оно поставляется готовым инсталлятором и может устанавливаться тихо с опцией «тихая установка». После установки клиент «из коробки» готов к работе.

Работа с двухфакторной аутентификацией реализована через мобильное приложение Контур.Коннект: генерирует одноразовые коды или отправляет push-уведомления. Достаточно привязать устройство через QR-код — дальнейший вход проходит быстро и удобно. 

Настройка Site-to-Site VPN шаг за шагом

Здесь ключевая задача — согласованность параметров шифрования, аутентификации и маршрутизации на обоих VPN-шлюзах. Рассмотрим общую схему на основе Policy-based IPsec как базовую.

На первом шлюзе, например в головном офисе:

1. Создайте новый IPsec VPN-туннель (Site-to-Site).
2. Задайте тип аутентификации: сертификаты X.509 или в специфических случаях Pre-Shared Key.
3. Укажите WAN (публичный) IP-адрес удаленного шлюза (филиала) или FQDN удаленного шлюза, либо используйте режим DP.
4. Задайте локальную подсеть (например, 192.168.1.0/24) и удаленную подсеть (например, 10.0.0.0/24), которые будут связаны туннелем.
5. Настройте параметры IKE (Phase 1): версию (IKEv2), алгоритм шифрования (AES-256), алгоритм хеширования (SHA-256), группу Диффи-Хеллмана.
6. Настройте параметры IPsec (Phase 2): протокол (ESP), алгоритм шифрования и PFS (Perfect Forward Secrecy).

На втором шлюзе — в филиале или облаке — выполняются те же шаги, но значения локальной и удаленной подсети меняют местами. После применения конфигурации, при отсутствии ошибок, совпадении всех криптографических параметров, а также при появлении трафика — туннель установится автоматически. 

Информационная безопасность бизнеса

Контур.Эгида — сервисы информационной безопасности: уменьшение рисков внутренних угроз и утечек конфиденциальных данных, предотвращение атак злоумышленников.

Оставить заявку

Заключение

Remote Access VPN и Site-to-Site VPN — не конкурирующие, а взаимодополняющие технологии, которые решают разные бизнес-задачи: 

• Remote Access VPN — это ключ для мобильного сотрудника, который открывает дверь к доступу к корпоративным ресурсам из внешних сетей. 
• Site-to-Site VPN — это защищенный мост, который соединяет сети удаленных офисов и облачных площадок в единое адресное или маршрутизируемое пространство. 

Выбор в первую очередь определяется ответом на вопрос: кому нужен доступ, а также архитектурой инфраструктуры и требованиями безопасности. Если доступ нужен конкретным людям вне офиса — выбирайте Remote Access. Если нужно связать между собой целые локации, здания или облака — ваш выбор Site-to-Site. В современных распределенных компаниях эти технологии почти всегда работают вместе, создавая гибкую и безопасную IT-инфраструктуру.

Не выбирайте VPN вслепую. Позвольте нашим экспертам проанализировать структуру вашей компании, потоки данных, модель угроз и требования регуляторов, чтобы предложить сбалансированное и безопасное решение, сочетающее оба типа VPN там, где это необходимо.