Сначала — какая задача
Есть три типовых сценария. Удалённый доступ сотрудников: ноутбук или домашний компьютер подключается к офису, чтобы работать в 1С и с файлами. Связь филиалов: роутеры двух офисов держат постоянный туннель, и сотрудники не замечают, что сервер в другом городе. Доступ подрядчика: внешнему специалисту нужен один сервер на ограниченное время.
Для каждого сценария важны разные свойства: поддержка на телефонах без дополнительных программ, устойчивость к смене сети, удобство отзыва доступа, производительность роутера.
Сравнение протоколов
| Протокол | Сильные стороны | Ограничения | Где уместен |
|---|---|---|---|
| WireGuard | Высокая скорость, простая конфигурация, быстро переподключается при смене сети | Нужен клиент WireGuard; учёт доступа по ключам, без логинов и паролей «из коробки» | Сотрудники и филиалы, RouterOS 7, Linux |
| IPsec / IKEv2 | Встроен в Windows, macOS, iOS и Android; стандарт для связи оборудования разных производителей | Сложнее настраивать, чувствителен к NAT и совпадению параметров | Филиалы на разном оборудовании, сотрудники без установки программ |
| OpenVPN | Гибкий, работает по UDP или TCP, сертификаты на пользователя | Медленнее WireGuard, нужен отдельный клиент | Существующие внедрения, сложные сети |
| SSTP | Встроен в Windows, работает по TCP 443 и проходит там, где UDP закрыт | Ориентирован на Windows, производительность ниже | Резервный вариант для отдельных сотрудников |
| L2TP/IPsec | Поддерживается почти везде | Устаревающий вариант, проблемы за NAT, часто общий ключ на всех | Только как временный, при миграции |
| PPTP | — | Небезопасен | Не использовать |
Пример: WireGuard на MikroTik для сотрудников
Схема для RouterOS 7: отдельный интерфейс туннеля, своя подсеть, по одной записи на каждого сотрудника. Ключ сотрудника создаётся на его устройстве — закрытый ключ никуда не передаётся.
/interface wireguard add name=wg-staff listen-port=13231 mtu=1420
/ip address add address=10.10.10.1/24 interface=wg-staff
/interface wireguard peers add interface=wg-staff allowed-address=10.10.10.2/32 \
public-key="<открытый ключ ноутбука>" comment="Иванов, ноутбук"
/ip firewall filter add chain=input protocol=udp dst-port=13231 action=accept \
comment="WireGuard staff" place-before=0Конфигурация на ноутбуке сотрудника. В AllowedIPs указаны только офисные сети — интернет идёт напрямую, а не через офис:
[Interface]
PrivateKey = <закрытый ключ ноутбука>
Address = 10.10.10.2/32
DNS = 192.168.50.1
[Peer]
PublicKey = <открытый ключ роутера>
Endpoint = vpn.example.ru:13231
AllowedIPs = 192.168.50.0/24, 10.10.10.0/24
PersistentKeepalive = 25Дальше правилами межсетевого экрана ограничивают, к чему у туннеля есть доступ: например, только к терминальному и файловому серверу. При увольнении сотрудника удаляется одна запись peer.
Что продумать до настройки
- Адресация. Офисная сеть не должна совпадать с типовыми домашними (192.168.0.0/24, 192.168.1.0/24) — иначе VPN «подключается, но ничего не открывается».
- Раздельное туннелирование. Через VPN — только офисные ресурсы; так не перегружается канал офиса.
- Учёт доступа. Таблица: кто, с какого устройства, когда выдан доступ, кто согласовал.
- Второй фактор для доступа к критичным системам там, где оборудование это поддерживает.
- Производительность роутера. Шифрование нагружает процессор; бюджетная модель может не вытянуть 20 одновременных подключений.
Стоимость и как мы работаем
Сначала фиксируем текущую схему и сохраняем конфигурацию роутера, затем согласуем протокол, адресацию и список доступов. После настройки проверяем подключение с реального устройства сотрудника и передаём инструкцию. Настройка VPN — от 4 000 ₽ в час по прайсу от 30.08.2026; итоговый объём зависит от числа офисов и устройств. Если VPN уже настроен и не работает, начните с разбора частых ошибок VPN. Базовая защита самого роутера — в материале «Безопасная настройка MikroTik».
Частые вопросы
Что быстрее — WireGuard или OpenVPN?
Как правило, WireGuard: он проще устроен и меньше нагружает процессор роутера. На практике скорость ограничивает и канал интернета офиса.
Нужен ли отдельный сервер для VPN?
Для небольшого офиса обычно достаточно роутера MikroTik или Keenetic с поддержкой нужного протокола. Отдельный сервер нужен при большом числе подключений или особых требованиях к учёту.
Можно ли подключаться к VPN с телефона?
Да. Для WireGuard есть официальные приложения, IKEv2 встроен в iOS и Android.