Удалённая работа давно перестала быть роскошью — это норма. Бухгалтер работает из дома, разработчик — из другого города, руководитель — вообще из аэропорта. И у всех один и тот же вопрос к IT: «Как мне попасть на рабочий сервер?» Кажется, что задача простая. На практике именно здесь бизнес чаще всего и получает шифровальщика, слитую базу клиентов или тихого «гостя» в сети, который живёт там месяцами незамеченным. Разберёмся, как эта проблема решалась последние годы — и почему часть популярных решений уже нельзя считать безопасными.
О чём вы узнаете
- Почему проброшенный порт RDP — это не экономия времени, а открытая дверь для шифровальщиков
- Чем VPN «для всех» отличается от VPN с ограничением по маршрутам и правам
- Что такое протокол SSTP и почему он надёжнее устаревших PPTP и L2TP/IPsec
- Как одноразовый пароль на каждое подключение обнуляет ценность украденных учётных данных
Этап 1. DST-NAT и проброс порта 3389
Самый быстрый способ дать сотруднику доступ к серверу — пробросить RDP-порт (3389) наружу через DST-NAT на роутере. Пять минут настройки — и сервер уже доступен из любой точки мира.
Обратная сторона: доступен он не только сотруднику, но и всему интернету. Боты сканируют диапазоны IP-адресов круглосуточно и находят открытый 3389 порт за считаные часы. Дальше — подбор пароля или эксплуатация уязвимости протокола. Волна шифровальщиков, которая прокатилась по компаниям с «торчащим» наружу RDP, показала: такие серверы ломают буквально «как семечки».
Этап 2. Нестандартный порт
Логичная первая реакция — спрятать RDP за нестандартным портом вместо привычного 3389. Это действительно снижает шум от примитивных сканеров и немного покупает времени.
Но это маскировка, а не защита. Современные боты сканируют не только «стандартные» порты, а весь диапазон целиком, и рано или поздно находят службу RDP независимо от номера порта. Сервис остаётся напрямую доступен из интернета — просто злоумышленник тратит на его поиск чуть больше времени.
Этап 3. VPN — переломный момент
Следующий шаг — закрыть RDP от внешнего мира полностью и открывать доступ к серверам только через VPN-туннель. Правильное решение: сервер больше не виден из интернета вообще, а весь трафик идёт через зашифрованный канал, к которому нужно ещё и подключиться, имея легитимные учётные данные.
Это действительно рабочая и надёжная модель — большинство компаний останавливаются именно на этом этапе. Но у классического «доступ по VPN для всех и ко всему» есть слабое место: сотрудник, подключившись, зачастую видит всю внутреннюю сеть целиком, а не только те ресурсы, которые нужны ему по работе. Если его учётные данные скомпрометируют — периметр пробит одним махом.
Этап 4. Как делаем мы
Мы пошли дальше базового VPN и выстроили инфраструктуру доступа как отдельный контролируемый сервис, а не разовую настройку.
В основе — VPN-сервер на MikroTik CHR (Cloud Hosted Router) с пакетом UserManager, который превращает VPN из «открытой двери» в управляемую систему доступа с несколькими слоями защиты:
- Доступ по расписанию. Сотрудник может подключиться только в разрешённые дни и часы. Учётка, скомпрометированная в нерабочее время, физически не сможет подключиться к сети.
- Только нужный маршрут. Каждому пользователю выдаётся не доступ ко всей сети, а конкретный маршрут — только к тем серверам и сервисам, которые нужны именно ему. Бухгалтер не видит сегмент разработки, разработчик не видит 1С.
- Протокол SSTP. Оборачивает трафик в SSL/TLS и работает через 443 порт, тот же, что и обычный HTTPS — стабильное подключение из офиса, отеля или мобильной сети. При этом SSTP надёжнее устаревшего PPTP и заметно легче тяжёлой связки L2TP поверх IPsec.
- Одноразовый пароль на каждое подключение. Перед каждым сеансом сотрудник получает новый пароль — в Telegram-сообщении или на почту, — действующий ровно одну сессию. Даже «утёкшие» учётные данные бесполезны без доступа к личному Telegram или почте сотрудника.
Итог по контуру
Получается не «дырка в целях удобства», а управляемый периметр: одна точка подключения, защищённая современным протоколом, доступ к которой требует актуального одноразового пароля, а ущерб при компрометации ограничен временем, маршрутом и правами именно этого пользователя — а не всей сетью компании.
Итог
Путь от проброшенного порта 3389 до сегментированного VPN-доступа с ограничением по времени и маршрутам — это путь от «сервер просто работает» к «сервер работает, и его невозможно уронить одним найденным паролем».
Мы внедряем такие решения под ключ: проектируем схему доступа, разворачиваем VPN-инфраструктуру, настраиваем правила и маршруты под структуру конкретной компании — и берём на сопровождение защиту как от внешних атак, так и от внутренних угроз.
Если у вас в компании до сих пор «торчит» RDP наружу или VPN даёт доступ ко всей сети сразу — это тот случай, когда лучше не откладывать.