Удалённая работа сотрудников: VPN или RDP — что безопаснее

Коротко. RDP и VPN не конкурируют, они решают разные задачи. RDP — это удалённый рабочий стол: сотрудник видит экран офисного компьютера и работает на нём из дома. VPN — защищённое соединение, зашифрованный канал от домашнего компьютера в сеть офиса. Безопасная схема для большинства офисов — RDP внутри VPN: сначала сотрудник подключается к защищённому каналу и только потом — к своему рабочему столу. Открывать RDP напрямую в интернет нельзя.

RDP и VPN простыми словами

RDP (Remote Desktop Protocol) — встроенный в Windows протокол удалённого рабочего стола. Сотрудник подключается к своему офисному компьютеру и работает так, будто сидит за ним. Файлы и 1С при этом остаются в офисе, по сети передаются только изображение экрана, нажатия клавиш и движения мыши.

VPN (виртуальная частная сеть) — защищённое соединение между домашним компьютером и сетью офиса. Всё, что идёт по этому каналу, шифруется, а для офисной сети подключённый сотрудник выглядит так, будто его компьютер стоит в офисе. Сам по себе VPN не даёт рабочий стол — он даёт доступ к сети, внутри которой уже можно подключиться к компьютеру, серверу или общей папке.

Отсюда главный вывод: вопрос «VPN или RDP» поставлен не совсем верно. Важно другое — как сотрудник попадает к удалённому рабочему столу: напрямую из интернета или через защищённое соединение.

Почему RDP нельзя открывать напрямую в интернет

Самый быстрый способ «дать доступ из дома» — пробросить на роутере порт удалённого рабочего стола (по умолчанию 3389). Это делается за несколько минут, поэтому встречается так часто. Но открытый порт видит не только сотрудник: интернет постоянно сканируют боты, которые ищут именно такие порты, а затем подбирают пароли или используют известные уязвимости. Перенос RDP на нестандартный порт не спасает — сканеры проверяют все порты подряд.

Чем это заканчивается, разобрано в статье «Защита от вируса-шифровальщика на уровне сети». Если коротко: открытый наружу RDP — один из самых частых путей, которым шифровальщик попадает в офисную сеть.

Какие ещё есть способы удалённого доступа

Программы удалённого рабочего стола

Программы для удалённой помощи подключаются через сервер разработчика, поэтому на роутере ничего открывать не нужно. Для разовой помощи это удобно. Для ежедневной работы сотрудников есть минусы: доступ к офису зависит от внешнего сервиса и его условий, а пароли и списки компьютеров хранятся в личных кабинетах, которые компании трудно контролировать. Если такой программой пользуются, в ней обязательно включают двухфакторную аутентификацию.

Терминальный сервер

Вместо того чтобы подключаться каждый к своему офисному компьютеру, сотрудники работают на одном сервере, каждый в своём сеансе. Это удобно, когда удалённо работают многие и всем нужна 1С: офисные компьютеры не обязательно держать включёнными. Нужны достаточно мощный сервер и лицензии на подключения. Подключаться к терминальному серверу тоже нужно через защищённое соединение, а не напрямую. Когда он действительно нужен для 1С и из чего складывается стоимость — в статье «Терминальный сервер для 1С».

Веб-доступ к 1С

Базу 1С можно опубликовать на веб-сервере, и сотрудник работает с ней через браузер или тонкий клиент. Вариант подходит, если человеку нужна только 1С, без файлов и остальных программ офиса. Но опубликованная база — тоже сервис, доступный снаружи, поэтому её закрывают защищённым соединением или как минимум шифрованием HTTPS и отдельными учётными записями.

Сравнение способов удалённого доступа

Как выбрать вариант под ваш офис

• несколько сотрудников иногда работают из дома, у каждого свой компьютер в офисе — VPN до офиса и RDP к своему компьютеру; офисный компьютер должен оставаться включённым;
• удалённо работает значительная часть коллектива и все в 1С — терминальный сервер, доступ к нему через защищённое соединение;
• нужна только 1С — RDP к офисному компьютеру или веб-доступ к опубликованной базе. Открывать файловую базу 1С из дома прямо по VPN не стоит: по медленному каналу она работает очень медленно, а при обрыве связи растёт риск повредить базу. Подробнее — в статье «Файловая или серверная версия 1С»;
• нужно объединить офис и склад или производство — это задача не для VPN-подключения каждого сотрудника, а для туннеля между роутерами площадок: как это устроено, разобрано в статье «Офис и два производства в одной сети»;
• подрядчику нужно разово зайти на компьютер — программа удалённого рабочего стола с подтверждением подключения со стороны сотрудника, без постоянного доступа.

Настройка удалённого доступа к базам для сотрудников вне офиса обычно входит в обслуживание 1С.

Чек-лист безопасного удалённого доступа

• на роутере нет проброса порта удалённого рабочего стола — RDP снаружи закрыт;
• подключение к офису — только через VPN, защищённое соединение;
• на VPN включена двухфакторная аутентификация: пароль плюс одноразовый код;
• у каждого сотрудника своя учётная запись — никаких общих логинов на всех;
• сложные пароли и блокировка учётной записи после нескольких неудачных попыток входа;
• сотрудник получает доступ только к нужным компьютерам и серверам, а не ко всей сети;
• ведётся журнал подключений: кто, когда и откуда подключался;
• при увольнении учётная запись и доступ к защищённому соединению отключаются в тот же день — полный список того, что закрыть, в статье «Увольнение сотрудника: какие доступы закрыть»;
• обновления Windows и прошивки роутера устанавливаются регулярно;
• на домашних компьютерах не сохраняют пароль от рабочего стола.

Удалённый доступ — только одна из мер; остальные базовые шаги по порядку важности собраны в статье «Базовый план информационной безопасности офиса».

Признаки, что удалённый доступ настроен небезопасно

• к рабочему компьютеру можно подключиться из дома, просто введя адрес офиса и пароль, без отдельного защищённого соединения;
• у всех удалённых сотрудников один логин и пароль;
• никто в компании не знает, какие порты открыты на роутере;
• у уволенного сотрудника до сих пор работает доступ;
• в журнале безопасности Windows тысячи неудачных попыток входа (событие 4625) с незнакомых адресов — признак того, что RDP виден из интернета;
• настройки удалённого доступа знает только прежний подрядчик, и показать их никто не может.