Настройка WireGuard/AmneziaWG для защищённого удалённого доступа к 1С и файлам

Ко мне регулярно приходят с одной и той же историей: открыли RDP на сервер, чтобы бухгалтер могла работать из дома, а через полгода к базе 1С кто-то подключился среди ночи и зашифровал всё файлхранилище. Порт 3389, торчащий в интернет, — это не удобство, это открытая дверь с биркой «заходи кто хочешь». Ниже показываю, как настроить WireGuard для бизнеса и дать людям такой же удалённый доступ к 1С, но через зашифрованный туннель, который снаружи вообще не виден. По сути это VPN для сотрудников в офис: человек из дома или из командировки оказывается внутри офисной сети, а открытых портов на сервере не остаётся.

Почему RDP наружу — это бомба замедленного действия

Классическая история малого бизнеса: нужно, чтобы два-три человека подключались к 1С или к серверу с документами из дома или с ноутбука в дороге. Самый быстрый путь — пробросить порт 3389 (RDP) или 445 (SMB) на роутере и выдать сотрудникам IP сервера. Работает за 10 минут, и именно поэтому так делают сплошь и рядом.

Проблема в том, что сканеры вроде Shodan и Masscan находят открытый RDP-порт за считаные часы после появления в сети. Дальше — перебор паролей ботами круглосуточно, и рано или поздно кто-то подбирает пароль администратора или ловит уязвимость в самом протоколе RDP (таких за последние годы было немало, включая нашумевший BlueKeep, CVE-2019-0708). У одного клиента, оптовая компания на 18 человек, именно так за одну ночь зашифровали сервер 1С и файлохранилище с накладными за три года — восстанавливали из бэкапа четыре дня, простой обошёлся дороже, чем десять внедрений VPN.

Второй сценарий — без взлома, но со сливом. Сотрудник подключается к 1С через RDP из кафе по открытому Wi-Fi. Сам RDP-трафик, к слову, шифруется, но открытый порт наружу — это по-прежнему постоянная точка для брутфорса и атак на протокол, а любые сопутствующие незашифрованные сервисы (тот же общий доступ к файлам по SMB) в такой сети видны соседям. По 152-ФЗ за утечку персональных данных клиентов компания отвечает и деньгами, и репутацией, поэтому гонять рабочий доступ через публичную сеть без туннеля — плохая идея.

Третья боль — не безопасность, а неудобство. Часть провайдеров и мобильных операторов блокируют RDP-порты, часть офисов сидит за NAT без белого IP вообще, и тогда «просто открыть порт» физически невозможно. Приходится либо покупать белый IP у провайдера, либо искать другой путь.

Что это даёт бизнесу

• Закрываем внешний контур: снаружи не видно ни одного открытого порта на сервер — сканеры и боты просто не находят точку атаки, риск словить шифровальщика падает в разы
• Сотрудники работают в 1С, с файлами и во внутренних сервисах из дома, командировки, с дачи — так же, как будто сидят в офисе на своём месте
• Экономия на железе: не нужен дорогой белый IP-адрес и статическая маршрутизация от провайдера — VPN поднимается поверх обычного домашнего или мобильного интернета
• Помогает закрыть требования к защите персональных данных при удалённой работе — весомый аргумент, если у компании есть проверки по 152-ФЗ или требования банка-партнёра
• Трафик 1С, RDP и файлового доступа идёт в шифрованном туннеле — перехват в открытом Wi-Fi кафе или аэропорта для злоумышленника бесполезен
• AmneziaWG вместо обычного WireGuard прячет саму сигнатуру VPN-трафика — DPI провайдера не опознаёт протокол и не режет туннель, поэтому связь держится даже на тарифах, где обычный WireGuard блокируют

Как проходит внедрение

Что нужно от вас

• Доступ (админ) к серверу или роутеру, где будет стоять VPN-сервер, либо согласие на аренду отдельного VPS
• Список сотрудников, которым нужен удалённый доступ, и на каких устройствах они будут работать
• Информация о текущей схеме сети: где физически стоит сервер 1С, какой у офиса интернет-провайдер
• Полчаса созвона с ответственным за IT или директором для утверждения схемы доступа

Как это устроено

Сотрудник подключается к VPN-серверу, получает внутренний IP-адрес офисной сети и дальше работает с 1С и файлами так же, как за своим столом. Снаружи сервер отвечает только на один VPN-порт по UDP, всё остальное для интернета невидимо.

WireGuard vs OpenVPN vs облачный VPN-сервис: что выбрать малому бизнесу

Часто спрашивают, почему не старый добрый OpenVPN или готовый сервис вроде корпоративного NordLayer. OpenVPN тяжелее по коду, дольше устанавливает соединение и заметно проседает по скорости на слабом железе — для передачи больших файлов или работы 1С по RDP на медленных подключениях разница ощутима. WireGuard написан компактнее, использует современную криптографию (Curve25519, ChaCha20, BLAKE2s) и за счёт работы поверх UDP переживает смену сети практически бесшовно — например, когда сотрудник вышел из дома с Wi-Fi на мобильный интернет, туннель просто продолжает работать.

Готовые облачные VPN-сервисы удобны, но это подписка на каждого сотрудника плюс данные компании идут через инфраструктуру третьей стороны, зачастую зарубежной. Для 1С с бухгалтерией и персональными данными клиентов это не всегда приемлемо с точки зрения комплаенса. AmneziaWG я обычно советую там, где провайдер или мобильный оператор блокирует обычный WireGuard по DPI — такое встречается на некоторых мобильных тарифах и в отдельных регионах. AmneziaWG добавляет к пакетам мусорные вставки и убирает узнаваемую сигнатуру WireGuard, поэтому DPI перестаёт его опознавать — вопрос решается без смены всей схемы.

Сколько стоит настройка WireGuard-VPN для бизнеса

Частые вопросы

Упадёт ли скорость работы в 1С через VPN
На современном канале от 20 Мбит/с разница незаметна — WireGuard добавляет минимальные накладные расходы по сравнению с прямым подключением. Реальное падение бывает только на слабом мобильном интернете, но и там 1С в тонком клиенте работает вполне комфортно.

Нужен ли белый IP-адрес для VPN-сервера
Нужен один статический адрес — либо у офисного провайдера, либо у арендованного VPS. Если у офиса динамический IP без возможности сделать статику, ставим VPN-сервер на недорогой российский VPS и туннелируем трафик через него до офисной сети.

Что если сотрудник потеряет ноутбук с настроенным VPN
Отзываем ключ этого устройства на сервере за минуту — доступ пропадает сразу, остальные сотрудники не затронуты. Это одно из преимуществ перед общим паролем от RDP, который пришлось бы менять для всех.

Можно ли подключить и телефон, не только ноутбук
Да, приложения WireGuard и AmneziaWG есть под Android и iOS, конфиг генерируется в виде QR-кода — сканируете и подключаетесь. Удобно для директора, которому нужно глянуть остатки в 1С прямо с телефона.