Прокси-сервер в офисе: блокируем соцсети и торренты, не читая переписку

Ко мне периодически приходят директора с одной и той же жалобой: интернет в офисе тормозит, а IT-отдел (если он вообще есть) разводит руками. Спрашиваю — сколько человек в офисе смотрят YouTube в обед? Обычно никто не считал. Расскажу, как прокси-сервер решает это без превращения меня в цифрового надзирателя, который читает переписку сотрудников в мессенджерах.

С чего вообще начался этот разговор

Года три назад приехал к клиенту — небольшая юрфирма, 18 рабочих мест, тариф на интернет 100 Мбит/с. По документам должно летать. По факту 1С зависает, почта не грузится, видеозвонки с судом рвутся. Смотрю трафик через роутер — а там ровно два торрент-клиента качают сериалы на полной скорости, и один сотрудник в фоне держит открытым стрим на Twitch.

Директор был в бешенстве. Не столько из-за трафика, сколько из-за принципа: люди сидят на зарплате, а качают кино. Но тут я сразу предупредил — заблокировать соцсети роутером можно топорно, списком доменов, и это работает до первого VPN в браузере. А вот выстроить нормальный контроль трафика — это уже отдельная система, прокси-сервер.

С тех пор поставил такие штуки в семи или восьми компаниях. Везде разная мотивация — где-то экономят канал, где-то просто хотят порядка. Но вопрос, который задают все без исключения: а вы там не будете читать наши переписки?

Прокси — это не шпион. Разница принципиальная

Вот тут важно разложить по полочкам, потому что путаница огромная. Есть DLP-системы — они реально перехватывают контент, ставятся с полным логированием переписок, скриншотами экрана и прочим. Это отдельная история, дорогая, юридически мутная и требующая явного согласия сотрудника под роспись. Я такое ставлю редко и только когда клиент прямо просит именно контроль содержимого, а не трафика.

Прокси-сервер — совсем другое дело. Он видит адрес, к которому идёт запрос: vk.com, youtube.com, rutracker.org. Видит объём переданных данных и время. Но что именно человек написал в личку в Телеграме — этого прокси не знает, потому что современный мессенджер шифрует сообщение end-to-end ещё до того, как пакет вообще куда-то полетел. Прокси видит только сам факт: соединение с серверами Telegram, столько-то мегабайт.

Я обычно объясняю директору так: это как турникет на проходной. Охранник видит, что человек вошёл и вышел, во сколько, через какую дверь. Но что человек несёт в портфеле — не знает и знать не должен. Вот прокси — такой турникет для трафика. Контроль есть, слежки нет.

Как это устроено технически

Ставим отдельный сервер — иногда физический бокс, чаще виртуалка на уже существующем Windows Server или на отдельном Linux-мини-пк, если инфраструктуры совсем нет. Софт обычно Squid (бесплатный, проверенный годами) либо связка на базе pfSense, если у клиента уже есть такой шлюз — с ним я много работаю на разных объектах, от небольших офисов до складов.

Весь трафик из локальной сети идёт не напрямую в интернет, а через этот сервер. Он смотрит на категорию сайта — есть готовые списки категорий: соцсети, стриминг, торрент-трекеры, азартные игры, взрослый контент. Дальше правило простое: рабочие ресурсы — пропускаем, YouTube и ВКонтакте — либо режем совсем, либо ограничиваем по скорости до 512 Кбит/с, чтобы страничка открывалась, но видео не смотрелось нормально.

С HTTPS-трафиком (а это сейчас 95% всего интернета) фокус в том, что прокси не расшифровывает содержимое пакета — для этого нужен отдельный сертификат на каждой машине, и это уже пограничная история с приватностью, я стараюсь до неё не доходить. Вместо этого используется поле SNI — имя сайта, к которому идёт TLS-соединение, оно передаётся в открытом виде даже в зашифрованном трафике. Этого достаточно, чтобы понять — это facebook.com, и заблокировать по правилу, не влезая в само содержимое.

Экономия канала — конкретные цифры

У той самой юрфирмы с торрентами после установки прокси средняя загрузка канала упала с 85-90 Мбит/с в пиках до 15-20 Мбит/с. Директор через месяц сам спросил, можно ли теперь понизить тариф у провайдера — сэкономил с 4500 до 2200 рублей в месяц на самом канале, плюс перестали жаловаться на тормоза в 1С и почте.

У другого клиента, производство на 35 человек, была смешная история — кто-то в цеху качал сериалы в 4K на смартфон через Wi-Fi, думая, что это никак не связано с офисным интернетом. Связано, ещё как — один поток 4K-видео легко съедает 15-25 Мбит/с постоянно, весь день. После блокировки видеостриминга по прокси канал освободился настолько, что перестали падать удалённые подключения бухгалтера, работающего из дома через VPN на офисный сервер.

Торренты — отдельная тема, они вообще жрут канал в обе стороны, и на отдачу тоже, потому что раздают файл другим. Один активный торрент-клиент может забить исходящий канал полностью, и тогда никто в офисе не может отправить письмо с вложением или загрузить файл в облако. Блокировка портов и протокола BitTorrent на прокси решает это за один вечер настройки.

Что можно блокировать, а что лучше не трогать

Тут я всегда советую не перегибать. Полная блокировка всего личного — соцсети, мессенджеры, почтовые сервисы — вызывает у людей раздражение и желание найти обход через мобильный интернет или личный VPN, что делает всю систему бессмысленной. Я обычно предлагаю схему разумного компромисса: рабочие мессенджеры (WhatsApp Business, Telegram, если через него согласовывают заказы) — оставляем, YouTube и стримы — режем скоростью, торренты и откровенно паразитный трафик — блокируем полностью.

По Трудовому кодексу работодатель имеет полное право контролировать использование служебного оборудования и корпоративного интернета — это прописывается в правилах внутреннего трудового распорядка, и сотрудник знакомится с ними под подпись при трудоустройстве. Я всегда рекомендую клиентам добавить туда пункт про интернет-трафик явно, чтобы не было потом разговоров "а нас не предупреждали".

И ещё момент — я принципиально не советую клиентам ставить полное логирование посещённых страниц с именами сотрудников и потом устраивать разборы полётов индивидуально. Это плохо для атмосферы в коллективе и превращает директора в надзирателя. Достаточно агрегированной статистики — сколько трафика ушло на категорию "развлечения" за неделю, без привязки к конкретному человеку. Если проблема системная — видно и так.

Как это выглядит на практике у разных типов бизнеса

В медклинике, где я делал такую настройку, задача была специфическая — там регистратура работает с порталом ЕМИАС и госуслугами, и любое замедление канала напрямую било по очереди пациентов. Поставили прокси с приоритизацией: медицинские госсервисы и 1С — максимальный приоритет, всё остальное — по остаточному принципу. Заодно закрыли доступ к соцсетям на компьютерах в регистратуре — по жалобе главврача, что администраторы листали ленту при живой очереди.

В торговой компании с складом ситуация была другая — там смартфоны кладовщиков подключены к тому же Wi-Fi, и половина трафика уходила на личные видео и музыку прямо во время смены. Разделили сети на VLAN — гостевой Wi-Fi для личных телефонов с полным ограничением скорости до 2 Мбит/с на устройство, и рабочую сеть для терминалов сбора данных и офисных ПК через прокси с фильтрацией.

В бухгалтерской фирме мотивация была совсем прозаичная — приближался конец квартала, отчётность, а канал забивался тем, что кто-то смотрел трансляции спортивных матчей в рабочее время. После настройки прокси эти жалобы просто исчезли, а заодно бухгалтер честно призналась, что теперь работает продуктивнее — искушения меньше.

Сколько это стоит и окупается ли

Для офиса на 15-30 рабочих мест настройка прокси-сервера на существующем железе (если сервер уже есть) обходится обычно в 15000-25000 рублей разово плюс дальнейшее сопровождение в рамках абонентки. Если сервера нет вообще, добавляется стоимость самого бокса — от 25000 рублей за скромный мини-ПК под Linux, этого более чем достаточно для такой задачи.

Окупаемость считается просто — я беру у клиента текущий тариф на интернет и смотрю, можно ли его понизить после введения ограничений, плюс прикидываю, сколько рабочего времени высвобождается. Даже если взять по минимуму — час в день сэкономленного времени у пяти сотрудников по средней ставке — это уже реальные деньги в масштабе месяца, не говоря про снижение тарифа на канал.

Отдельно скажу — если у вас уже стоит Keenetic или MikroTik с базовой блокировкой по спискам доменов, для совсем небольшого офиса до 10 человек этого может хватить. Полноценный прокси имеет смысл ставить, когда людей больше 15-20, трафик разнородный и нужна гибкая политика по группам сотрудников, а не общий список запретов на всех.

Частые вопросы

Прокси видит, что я пишу коллеге в личных сообщениях?
Нет. Прокси-сервер фиксирует только адрес сайта или сервиса, к которому идёт соединение, и объём трафика. Содержимое переписки в современных мессенджерах шифруется на устройстве ещё до отправки, и прокси физически не имеет к нему доступа без отдельной установки корневого сертификата на каждый компьютер — а это уже совсем другая, гораздо более инвазивная история.

Сотрудники смогут обойти блокировку через VPN или мобильный интернет?
Через мобильный интернет — да, это вне зоны контроля офисной сети, тут остаётся только правило внутреннего распорядка. Через VPN на рабочем компьютере — тоже можно, если пользователь имеет права администратора и может ставить программы; поэтому вместе с прокси я обычно рекомендую закрыть локальным пользователям возможность установки софта.

Нужно ли предупреждать сотрудников о блокировках?
Да, обязательно, и не только по этике, но и по закону — правила использования корпоративного оборудования и интернета должны быть прописаны в локальном нормативном акте, с которым сотрудник знакомится под подпись при трудоустройстве или при введении новых правил.

Замедлит ли прокси-сервер обычную работу — 1С, почту, видеосвязь?
Если настроено правильно — наоборот ускорит, потому что рабочий трафик получает приоритет, а паразитная нагрузка от торрентов и стриминга снимается с канала. Сам прокси добавляет минимальную задержку, обычно незаметную глазу, если сервер по мощности соответствует числу рабочих мест.