Сотрудники работают с рабочими сервисами через свой шлюз, а не через публичные VPN
Настраиваем VPN для команды на серверах компании. Сотрудники подключаются к своему шлюзу и работают с рабочими сервисами, а корпоративные данные не проходят через публичные VPN. Доступ зависит от роли, подключение — в один клик.
Если связь с зарубежным сервером рвётся на пути, ставим входной узел в России и постоянный туннель до выхода — так устроена наша собственная VPN-трасса. Такой шлюз работает у IT-компании, где команда снова пользуется Canva, Notion, Jira и нейросетями.
Типовые ситуации и что мы в них делаем.
Из-за региональных ограничений перестали открываться Canva, Notion, Jira и нейросети. Публичные VPN — риск утечки корпоративных данных и нарушение политики безопасности. Свой шлюз работает на серверах компании, и данные не уходят в чужие сервисы.
Бывает, что соединение с сервером за границей обрывается ещё в момент подключения. Тогда ставим входной узел в России и один постоянный туннель до выхода: сотрудник подключается к ближнему узлу, а дальше трафик идёт по уже открытому каналу.
VPN нужно поставить на каждый телефон и ноутбук, объяснить, как им пользоваться, и следить, чтобы не выключили, а телевизор и принтер его не поставят вовсе. Роутер с нашей прошивкой закрывает весь офис разом, а российские сервисы оставляет напрямую.
У каждого своё устройство и свой вопрос: где взять приложение, куда вставить подписку, что нажать. Даём пошаговые инструкции по каждой платформе и подключение в один клик, чтобы человек справился сам.
Что входит в эту задачу. Цена — ориентир «от», точная сумма — после бесплатного аудита.
Шлюз работает на Linux-серверах компании. Xray направляет и шифрует трафик, nginx стоит на входе. Права доступа зависят от роли сотрудника, а подключение занимает один клик. Корпоративные данные остаются внутри периметра.
nginx на входном узле по SNI — имени сайта в начале защищённого соединения — разводит сайты, панель и VPN на одном порту. Дальше трафик идёт по постоянному туннелю frp до выходного сервера, а второй независимый туннель держит связь, если первый оборвался. Смена домена — одна команда без обрыва сессий.
Своя прошивка на OpenWrt для MikroTik: все устройства офиса получают VPN по Wi-Fi и кабелю, без приложений. Российские сайты идут напрямую, при сбое зарубежное закрывается, обновления приходят по воздуху с откатом. В нашем кейсе заказчик сам купил роутер на Авито за 6 000 ₽, а прошивку, программу, приложение и подписку на год сделали за 12 000 ₽.
Пять коротких страниц: Android, iPhone и iPad, Windows, macOS и Linux. Каждая ведёт от установки приложения до включения VPN и заканчивается блоком «Не работает? Проверьте». Страницы открываются прямо в Telegram из бота, без перехода в браузер.
Приложение с одной кнопкой «Подключить». Подписка вводится один раз или приходит ссылкой из бота. Клиент сам выбирает рабочий вход и сам переключается при обрыве, а российские сайты по умолчанию идут напрямую, мимо VPN. Сейчас клиент на тестировании у пользователей.
Для компании заводится корпоративная группа со своей ценой и роль ответственного, который выпускает ключи сотрудникам с понятной меткой. Регистрация в боте сотрудникам не нужна. Все начисления пишутся в журнал, а 1-го числа бот сам собирает акт сверки.
Что остаётся у заказчика после сдачи проекта.
Где мы это уже сделали — с задачей, решением и цифрами.
заказ IT-компании: рабочие инструменты снова доступны на своих серверах
прошили заказчику MikroTik с Авито: весь офис за VPN, российское напрямую, зарубежное через туннель, на устройствах ничего не нужно ставить
собственный продукт: релей в России, постоянный туннель и узел в Нидерландах
собственное приложение на замену NekoBox, Hiddify и v2rayNG — на тестировании у пользователей
открытые страницы для Telegram Mini App: пять платформ, без сборки и зависимостей
От заявки до сдачи: на каждом шаге понятно, что происходит и что дальше.
Разбираем, к каким сервисам нужен доступ, сколько сотрудников и на каких устройствах, где стоят серверы и какие данные должны остаться внутри периметра. Вместе составляем ТЗ и называем смету.
Решаем, на каких серверах работает шлюз, нужен ли входной узел в России и кто с какой ролью получает доступ. По этой схеме заказчик потом проверяет результат.
Ставим шлюз на сервере заказчика, выпускаем сертификаты, настраиваем роли и шифрование. Проверяем подключение на устройствах сотрудников до запуска для всей команды.
Готовим инструкции по платформам, передаём конфигурацию в репозитории, README и CHANGELOG. Месяц после сдачи исправляем замечания бесплатно.
Соседние задачи и всё направление целиком.
Короткий разбор — бесплатно: посмотрим задачу и скажем, что и за сколько имеет смысл делать.