АйТи-Фреш · внедрение под ключ
Настройка WireGuard/AmneziaWG для защищённого удалённого доступа к 1С и файлам
Ко мне регулярно приходят с одной и той же историей: открыли RDP на сервер, чтобы бухгалтер могла работать из дома, а через полгода к базе 1С кто-то подключился среди ночи и зашифровал всё файлхранилище. Порт 3389, торчащий в интернет, — это не удобство, это открытая дверь с биркой «заходи кто хочешь». Ниже показываю, как настроить WireGuard для бизнеса и дать людям такой же удалённый доступ к 1С, но через зашифрованный туннель, который снаружи вообще не виден. По сути это VPN для сотрудников в офис: человек из дома или из командировки оказывается внутри офисной сети, а открытых портов на сервере не остаётся.
листайте вниз ↓
Почему RDP наружу — это бомба замедленного действия
Классическая история малого бизнеса: нужно, чтобы два-три человека подключались к 1С или к серверу с документами из дома или с ноутбука в дороге. Самый быстрый путь — пробросить порт 3389 (RDP) или 445 (SMB) на роутере и выдать сотрудникам IP сервера. Работает за 10 минут, и именно поэтому так делают сплошь и рядом. Проблема в том, что сканеры вроде Shodan и Masscan находят открытый RDP-порт за считаные часы после по
Что это даёт бизнесу
- Закрываем внешний контур: снаружи не видно ни одного открытого порта на сервер — сканеры и боты просто не находят точку атаки, риск словить шифровальщика падает в разы
- Сотрудники работают в 1С, с файлами и во внутренних сервисах из дома, командировки, с дачи — так же, как будто сидят в офисе на своём месте
- Экономия на железе: не нужен дорогой белый IP-адрес и статическая маршрутизация от провайдера — VPN поднимается поверх обычного домашнего или мобильного интернета
- Помогает закрыть требования к защите персональных данных при удалённой работе — весомый аргумент, если у компании есть проверки по 152-ФЗ или требования банка-партнёра
- Трафик 1С, RDP и файлового доступа идёт в шифрованном туннеле — перехват в открытом Wi-Fi кафе или аэропорта для злоумышленника бесполезен
- AmneziaWG вместо обычного WireGuard прячет саму сигнатуру VPN-трафика — DPI провайдера не опознаёт протокол и не режет туннель, поэтому связь держится даже на тарифах, где обычный WireGuard блокируют
Как проходит внедрение
1
Аудит и план адресации
2-3 часа · смотрим текущую сеть, сервер 1С, файловые ресурсы, считаем сотрудников с удалёнк
2
Разворачиваем сервер WireGuard/AmneziaWG
1 день · ставим на существующий сервер или отдельный мини-сервер/VPS, настраиваем ключи,
3
Настройка клиентов
1 день (параллельно с этапом 2) · генерируем конфиги для ноутбуков, домашних ПК, телефонов сотрудников, ставим при
4
Тест и передача инструкции
0,5 дня · проверяем скорость работы 1С через туннель, стабильность на мобильном интернете,
5
Поддержка первую неделю
7 дней · на связи, если у кого-то не подключается ноутбук дома или роутер режет трафик —
Как это устроено
Ноутбук/ПК сотрудник → AmneziaWG-клиент → Зашифрованный туннел → VPN-сервер в офисе/V → Сервер 1С и файлы → Файрвол без открытых
Сколько стоит
от 25 000 ₽
В базовую стоимость входит развёртывание VPN-сервера, настройка до 10 клиентских устройств и недельная поддержка после запуска. Цена растёт, если нужен отдельный VPS (от 500 ₽/мес дополнительно), больше 10 подключений, связка нескольких офисов или настройка AmneziaWG с обфускацией под жёсткий DPI. Точная смета — после короткого аудита сети; ориентир по стоимости обычно называю в течение часа после заявки.
Развернём за 1 день
Оставьте заявку — за час прикину стоимость под вашу сеть и число сотрудников, точную смету дам после короткого аудита.
Оставить заявку →itfresh.ru · IT-аутсорсинг · Москва