Удалённый доступ: RDP, VPN и AnyDesk

Тут важно различать два разных VPN. Блокируют в первую очередь сервисы для обхода ограничений — те, через которые заходят на закрытые сайты. А корпоративный VPN — это совсем другое: туннель между сотрудником и вашим же офисом, для доступа к своему серверу и 1С. У него другая задача, и с обходом блокировок он никак не связан.

Но честно скажем: блокировки иногда задевают и обычные протоколы — WireGuard и OpenVPN тоже могут попадать под ограничения. Поэтому важно, кто и как настраивает: грамотный специалист подберёт работающий протокол, при необходимости настроит маскировку трафика и оформит корпоративный VPN по правилам. Это решаемая задача, а не повод оставлять открытый RDP.

И ещё момент: даже если конкретный протокол вдруг начнёт сбоить, VPN — это не одна намертво вшитая технология. Протокол можно сменить, добавить маскировку, перенести точку входа — инфраструктура остаётся, меняется только «обёртка». А с открытым RDP выбора нет вообще: он либо открыт всему интернету, либо закрыт. Так что VPN даже с оглядкой на блокировки — это управляемый риск, а не тупик.

Можно, но только как разовый инструмент для подрядчика, а не как постоянную удалёнку для сотрудников. Программист 1С подключился, обновил конфигурацию, отключился — это нормально: разово, под контролем, на полчаса.

А вот когда AnyDesk стоит у всех сотрудников и работает постоянно — это уже проблема: трафик идёт через чужие серверы, не видно кто и когда подключался, а уволенный сотрудник сохраняет доступ. Если у вас сейчас так — стоит постепенно переехать на VPN, а AnyDesk оставить только для разовых подключений со стороны.

Переезд не обязательно делать резко. Можно сначала поднять VPN и перевести на него тех, кто работает постоянно, а AnyDesk пока оставить для разовых задач — и со временем свести его использование к минимуму. Главное — чтобы постоянный доступ сотрудников в вашу сеть шёл через контролируемый канал, а не через программу, которая просто висит на компьютере с одним и тем же паролем.

И ещё один важный минус: серверы AnyDesk и подобных сервисов регулярно попадают под блокировки — причём с неожиданными спецэффектами. Например, Вася из дома подключается нормально, а Петя — не может: у них разные провайдеры, и подключения обслуживают разные серверы сервиса, у одного рабочий, у другого заблокированный. Вы к этому никак не готовы и повлиять на это не можете — доступ просто перестаёт работать у части людей.

А разница — в том, что торчит наружу. При открытом RDP в интернет смотрит готовый рабочий стол: видишь адрес — вводи логин и пароль, и боты этим круглосуточно занимаются. При VPN наружу смотрит только одна защищённая точка входа, а все рабочие столы и файлы спрятаны за ней.

Плюс для входа в VPN нужен не только пароль, но и ключи с персональными учётными данными. Абсолютной защиты не бывает нигде, но VPN убирает самую массовую и примитивную атаку — перебор пароля к открытому рабочему столу.

Грубая аналогия: открытый RDP — это дверь с замком прямо на улицу, и любой прохожий может круглосуточно пробовать к ней ключи. VPN — это когда сначала нужно попасть в закрытый подъезд по своему ключу, и только потом ты вообще видишь дверь квартиры. Взломать в теории можно и то, и другое, но во втором случае случайные боты до вашей двери просто не добираются.

И ещё: дело не только в том, что VPN прячет рабочий стол. Сами современные VPN-протоколы устроены надёжнее, чем RDP — у них крепче шифрование и строже проверка того, кто подключается. Так что VPN не просто «закрывает дверь» — сама эта дверь устроена куда серьёзнее.

Наша основная рекомендация — OpenVPN. Это самый универсальный вариант: он одинаково хорошо работает на любых устройствах сотрудников — Windows, Mac, Linux, Android, iOS. Поставил клиент, подключился — и неважно, с какого устройства человек заходит.

Как альтернатива — WireGuard, SSTP или IPsec, в зависимости от конкретных задач и того, откуда подключаются сотрудники. А вот старые PPTP и L2TP лучше не брать — они устарели и по надёжности уже не дотягивают.

На практике вникать в детали не обязательно: достаточно, чтобы тот, кто настраивает, отталкивался от ваших устройств и условий. Для большинства небольших компаний универсальный OpenVPN закрывает задачу без лишних сложностей.

Тут есть риск: если домашний компьютер заражён, то через VPN зараза может попасть в офисную сеть — ведь по туннелю он оказывается внутри. VPN защищает дорогу, но не лечит сам компьютер на том конце.

Поэтому важны две вещи: разграничение доступа (через VPN сотрудник видит только то, что ему нужно, а не всю сеть) и по возможности — рабочее устройство вместо личного. Если совсем строго — домашнему компьютеру дают доступ только к терминальному серверу, а не ко всей сети.

Что такое терминальный сервер в двух словах: это отдельная машина, на которой сотрудник работает как бы «внутри экрана». Все программы и файлы остаются на этом сервере в офисе, а домашний компьютер только показывает картинку и передаёт нажатия клавиш. Даже если домашняя машина заражена, зараза остаётся на ней и не перетекает в рабочую сеть. Для удалёнки с личных устройств это самый безопасный вариант.

Тут надо разделять. Ограничения бьют в первую очередь по сервисам обхода блокировок и иностранным публичным VPN — тем, через которые лезут на закрытые сайты. А корпоративный client-to-site VPN — это туннель к своему же офису для доступа к внутренним ресурсам, совсем другая история.

Но честно: блокировки на уровне протоколов иногда задевают и обычные VPN (WireGuard, OpenVPN могут попадать под них). Что с этим делают на практике: подбирают устойчивый протокол, при необходимости включают маскировку трафика, а для юрлица — оформляют корпоративный VPN по правилам (вплоть до уведомления регулятора). Это решаемая инженерная задача, и точно лучше, чем держать RDP открытым наружу.

И ещё: VPN — это сменный слой. Протокол можно поменять (с WireGuard на IPsec, добавить маскировку), точку входа — перенести, и всё это не трогая внутреннюю схему доступа. То есть если что-то перестало работать — это перенастройка, а не тупик. А у открытого RDP такого выбора нет вообще: он либо открыт всему интернету, либо закрыт.

Как разовый инструмент для подрядчика со стороны — вполне: обновить 1С, что-то починить. Подключился, сделал, отключился — коротко и под контролем.

А вот как постоянный канал для сотрудников — нет: трафик идёт через чужие серверы, журнала в бесплатных версиях толком нет, а уволенный сохраняет доступ. Если у вас сейчас так — стоит постепенно перейти на VPN, а AnyDesk оставить только для разовых подключений со стороны.

Переезжать лучше постепенно: подняли VPN, перевели на него тех, кто работает постоянно, потом убрали агенты удалёнки из автозапуска и оставили только для разовых сессий под присмотром. Если AnyDesk по каким-то причинам всё же остаётся в постоянном использовании — как минимум перейдите с бесплатной версии на платную, где есть журнал, управление доступом и список разрешённых устройств.

И ещё момент — серверы AnyDesk и аналогов периодически попадают под блокировки, причём с неожиданными спецэффектами. У сотрудников на разных провайдерах подключения идут через разные серверы сервиса — и часть из них может оказаться недоступна. В итоге у Васи работает, у Пети нет, и сделать с этим вы ничего не можете. А со своим VPN такой зависимости от чужого сервиса просто нет.

А разница — в том, сколько всего открыто для атаки. Открытый RDP — это форма входа, выставленная прямо в интернет: её массово и автоматически сканируют и перебирают. VPN же выставляет наружу одну защищённую точку входа, а рабочие сервисы (RDP, SMB, 1С) снаружи не видны вообще.

Плюс вход в VPN — это ключи и персональные учётки, а не просто пароль к рабочему столу. Нулевого риска не бывает нигде, но VPN убирает самую массовую атаку — перебор пароля к открытому RDP.

И ещё VPN убирает «шум»: на открытый RDP круглосуточно ломится поток попыток входа со всего интернета — это и нагружает сервер, и прячет среди себя реальные атаки. А за VPN рабочие сервисы постороннего трафика вообще не видят — до них доходят только те, кто уже прошёл вход. Так и следить за системой, и разбирать инциденты намного проще.

И ещё важная вещь: современные VPN-протоколы с самого начала делались как защищённые — стойкое шифрование, вход по ключам или сертификатам, устойчивость к типовым атакам. А RDP задумывался как способ дотянуться до рабочего стола, а не как граница, которую выставляют наружу. Поэтому при прочих равных современный VPN — заметно более крепкий рубеж, чем открытый в интернет RDP.

Основная рекомендация — OpenVPN, самый универсальный вариант. Клиенты есть под всё — Windows, macOS, Linux, Android, iOS, настраивается гибко, умеет ходить и по TCP, и по UDP и маскироваться под обычный TLS-трафик. С ним почти не бывает проблем «а на этом устройстве не работает».

Как альтернатива — WireGuard (быстрее и проще в настройке), SSTP (удобен на Windows, ходит через порт 443) или IPsec / IKEv2 (встроен в большинство систем) — смотря какие задачи и откуда подключаются. А старые PPTP и голый L2TP лучше не брать — устарели.

На что смотреть на практике: с каких устройств подключаются, нужна ли максимальная скорость и как ведёт себя протокол при блокировках (тут выручает работа поверх TLS и маскировка). MikroTik умеет и OpenVPN, и WireGuard, и IPsec / IKEv2, и SSTP — так что всё это поднимается на одном и том же роутере. Если устройства разные и хочется без головной боли — начинайте с OpenVPN, дальше уже по ситуации.

Тут есть важный нюанс: через VPN домашний компьютер фактически становится частью офисной сети. И если он заражён — зараза по туннелю может попасть в офис. VPN защищает саму дорогу, но не лечит компьютер на том конце.

Что с этим делать: разграничить доступ (через VPN — только нужное, а не вся сеть), по возможности дать рабочее устройство вместо личного, а в строгом варианте — пускать домашний компьютер только к терминальному серверу, отделённому от остальной сети.

Терминальный сервер всё меняет: на домашнем компьютере остаётся только «картинка», а все программы и файлы — на сервере в офисе. Даже если домашняя машина заражена, зараза остаётся на ней и в рабочую сеть не перетекает. Сверху это закрывают разграничением на VPN (доступ только к терминальному серверу, не ко всей сети) и по возможности проверкой компьютера перед подключением. Вот это и есть нормальный способ пустить личные устройства, не затаскивая их внутрь сети.