Объединение нескольких географически распределенных офисов в единую защищенную сеть — одна из наиболее частых задач, с которой сталкиваются системные администраторы и руководители растущего бизнеса. Это необходимо для того, чтобы сотрудники из филиала могли беспрепятственно, безопасно и быстро получать доступ к общим ресурсам главного офиса: файловым серверам, сетевым принтерам, IP-телефонии и, конечно же, к базам данных 1С. При необходимости комплексной организации серверного контура можно изучить руководство по построению защищенной IT-инфраструктуры предприятия.
В этой статье мы подробно и по шагам разберем, как правильно решить эту задачу в современных реалиях. Мы проанализируем эволюцию сетевых технологий, выясним, почему популярные ранее решения сегодня стали опасными, выберем надежное оборудование и рассмотрим наиболее частые архитектурные ошибки при работе с базами данных через удаленные каналы.
Если изучить обсуждения прошлых лет, можно встретить частые рекомендации по использованию протокола PPTP (Point-to-Point Tunneling Protocol) для создания VPN-каналов между роутерами. На некоторых форумах даже советуют отключать шифрование трафика (например, опции Use Encryption в значение NO) ради экономии процессорных мощностей роутера и увеличения скорости передачи данных.
Внимание! Сегодня использовать PPTP, а тем более отключать шифрование, категорически запрещено.
Разберем причины, почему этот протокол признан устаревшим и опасным:
В качестве современной и безопасной альтернативы сегодня применяются другие стандарты шифрования:
Многие системные администраторы традиционно отдают предпочтение оборудованию латвийского бренда MikroTik за его гибкость и колоссальный функционал. Однако рекомендованная ранее модель MikroTik RouterBOARD 750G уже давно снята с производства и морально устарела. Ее процессор не справится со скоростями современных тарифов интернет-провайдеров при включенном шифровании.
Для создания надежного VPN-туннеля между офисами рассмотрим актуальную линейку устройств:
Рекомендуется устанавливать устройства одного производителя (например, MikroTik) на обеих сторонах туннеля. Это существенно упростит диагностику, позволит настроить единую систему мониторинга и избавит от проблем несовместимости протоколов шифрования.
Рассмотрим практическую задачу: нам нужно объединить Офис 1 (локальная сеть 192.168.10.0/24, роутер имеет статический белый IP-адрес 1.1.1.1) и Офис 2 (локальная сеть 192.168.20.0/24, роутер находится за серым IP-адресом провайдера).
Использование протокола WireGuard на операционной системе RouterOS v7 позволяет легко решить эту проблему, даже если у одного из офисов нет статического публичного IP-адреса.
Выполним пошаговую настройку через консоль управления роутеров.
Создадим интерфейс WireGuard и укажем порт для входящих подключений:
/interface wireguard
add listen-port=13231 name=wg-to-office2
После создания интерфейса система автоматически сгенерирует публичный ключ (Public Key). Нам нужно будет скопировать его для настройки второго роутера. Посмотреть ключ можно командой:
/interface wireguard print
Назначим IP-адрес для самого туннеля (пусть это будет техническая подсеть 10.0.0.0/30):
/ip address
add address=10.0.0.1/30 interface=wg-to-office2 network=10.0.0.0
Теперь добавим информацию о втором роутере (Peer). Нам потребуется указать его публичный ключ, который мы сгенерируем на Шаге 2, а также разрешить прохождение трафика из локальной сети Офиса 2:
/interface wireguard peers
add allowed-address=10.0.0.2/32,192.168.20.0/24 interface=wg-to-office2 \
public-key="ПУБЛИЧНЫЙ_КЛЮЧ_ОФИСА_2"
Пропишем статический маршрут, чтобы роутер Офиса 1 знал, что трафик к сети 192.168.20.0/24 нужно отправлять внутрь туннеля:
/ip route
add dst-address=192.168.20.0/24 gateway=10.0.0.2
Не забудем открыть порт 13231 в правилах сетевого экрана (Firewall) на внешнем интерфейсе, чтобы удаленный офис мог подключиться:
/ip firewall filter
add action=accept chain=input dst-port=13231 protocol=udp comment="Allow WireGuard"
Создаем аналогичный интерфейс WireGuard в филиале:
/interface wireguard
add name=wg-to-office1
Копируем сгенерированный публичный ключ Офиса 2 для подстановки в настройки Офиса 1 на предыдущем шаге. Назначаем IP-адрес туннеля:
/ip address
add address=10.0.0.2/30 interface=wg-to-office1 network=10.0.0.0
Настраиваем подключение к первому роутеру. Так как у первого офиса IP-адрес статический (1.1.1.1), мы указываем его в качестве конечной точки (Endpoint):
/interface wireguard peers
add allowed-address=10.0.0.1/32,192.168.10.0/24 endpoint-address=1.1.1.1 \
endpoint-port=13231 interface=wg-to-office1 \
public-key="ПУБЛИЧНЫЙ_КЛЮЧ_ОФИСА_1" persistent-keepalive=25s
Параметр persistent-keepalive=25s критически важен: он заставляет роутер каждые 25 секунд отправлять пустые пакеты для поддержания туннеля открытым через NAT провайдера Офиса 2.
Прописываем маршрут к локальной сети главного офиса:
/ip route
add dst-address=192.168.10.0/24 gateway=10.0.0.1
Туннель успешно поднят! Проверить связь можно обычным пингом с одного роутера на локальный IP-адрес другого.
Что делать, если у вас нет возможности или желания настраивать сложные сетевые маршруты, а оба офиса подключены к интернету через «серые» IP-адреса мобильных операторов без возможности заказать услугу статического IP?
Вместо устаревших и медленных утилит вроде Hamachi, современные ИТ-специалисты используют технологии Mesh-VPN (Zero-Trust). Лидерами в этом сегменте являются сервисы Tailscale и ZeroTier.
Рассмотрим, как они работают и почему они удобны:
Разберем важнейший нюанс, о котором часто забывают начинающие администраторы. Допустим, вы успешно настроили VPN-туннель между офисами. Компьютеры из Офиса 2 теперь прекрасно видят сервер в Офисе 1. На сервере лежит файловая база данных 1С (файл 1Cv8.1cd) в расшаренной сетевой папке.
Попытка запустить файловую 1С из Офиса 2 напрямую через этот сетевой путь приведет к катастрофе.
Выясним причины, почему это происходит:
1Cv8.1cd приведет к разрушению структуры базы данных. Восстановить такую базу без потери части документов бывает практически невозможно.Для того чтобы сотрудники удаленного офиса могли быстро и безопасно работать с базой 1С, расположенной на сервере в главном офисе, необходимо использовать один из следующих подходов.
Это классический и самый надежный способ работы с файловыми базами данных. Для защиты терминального доступа и автоматической блокировки атак на роутере MikroTik подойдёт инструмент для защиты RDP-сервера от подбора паролей.
Принцип работы: И платформа 1С, и сама база данных физически работают на мощном сервере в Офисе 1. Пользователь из Офиса 2 подключается к серверу по протоколу RDP (через предварительно настроенный VPN-канал для безопасности). По сети передается только картинка экрана и сигналы от клавиатуры и мыши.
Преимущества:
Современный стандарт работы, оптимизированный для управляемых форм 1С.
Принцип работы: На сервере в Офисе 1 разворачивается бесплатный веб-сервер (например, Apache или Microsoft IIS). База 1С публикуется на этом веб-сервере. Сотрудники из Офиса 2 запускают у себя на компьютерах программу «Тонкий клиент 1С» (или даже обычный веб-браузер) и подключаются к базе по протоколу HTTP/HTTPS через VPN.
Преимущества:
Подходит для условий, когда интернет в офисах крайне нестабилен или периодически отсутствует вовсе.
Принцип работы: В каждом офисе устанавливается своя копия базы данных 1С. Сотрудники работают локально на максимальной скорости. Раз в час или раз в сутки между базами происходит автоматический обмен файлами изменений (через FTP, электронную почту или облачное хранилище).
Преимущества:
Если обслуживание локального сервера становится накладным, оптимальным решением будет полный перенос баз данных в облачную инфраструктуру.
В этом случае вам вообще не придется связывать офисы между собой сложными VPN-каналами. Каждый офис будет независимо и безопасно подключаться к единому сертифицированному облаку через обычный интернет.
Если ваша компания располагает достаточным бюджетом и требует максимальной надежности, стоит рассмотреть профессиональные услуги от телеком-операторов:
Подведем итог: для связывания двух офисов наилучшим техническим решением является создание VPN-туннеля WireGuard на базе современных роутеров MikroTik (например, hEX). При работе с базами данных 1С обязательно организуйте доступ через терминальный сервер или веб-публикацию, чтобы гарантировать сохранность данных и комфортную работу сотрудников.