01Сеть — фундамент всего проекта
В проектах возвращения бизнеса в Россию сеть — самый недооценённый компонент. Облако выбрали, серверы купили, а потом выясняется: один интернет-канал в офисе, VPN до головного офиса нестабилен, задержки до ЦОД непредсказуемы, а публичный сервис ложится от первой DDoS-атаки. Правильная сетевая архитектура проектируется первой — до закупки железа и выбора площадок.
02Что мы делаем
- Офисные сети. Управляемые коммутаторы, VLAN-сегментация (сотрудники, гости, VoIP, IoT, производство), Wi-Fi с WPA3-Enterprise и captive portal для гостей, PoE, резервирование.
- Site-to-site VPN. IPsec или WireGuard между офисами, ЦОД и облаками; хаб-энд-споук топология с центральным концентратором; мониторинг состояния туннелей.
- Выделенные каналы. L2VPN до ЦОД и облаков для критичных нагрузок; VPN поверх — как резерв.
- Связь с головным офисом. Зашифрованные туннели до глобальных площадок с учётом текущих ограничений маршрутизации; тестирование доступности зарубежных сервисов из РФ.
- Удалённый доступ. VPN-клиенты с MFA или ZTNA; профили доступа по ролям.
- Межсетевое экранирование. NGFW на периметре, правила по принципу минимальных привилегий, журналирование.
- DDoS-защита. Подключение scrubbing-сервисов для публичных ресурсов; фильтрация на уровне провайдера.
- DNS. Внутренние зоны, split-horizon для гибридных контуров, резервные DNS-серверы.
03Типовая архитектура
Для компании с офисом, ЦОД/облаком и головным офисом за рубежом стандартная схема выглядит так: офис подключён двумя независимыми провайдерами к периметровому кластеру; от него — постоянные туннели до ЦОД (основной — выделенный канал, резервный — VPN через второго провайдера), до российского облака и до глобального контура головного офиса. Все туннели мониторятся, переключение на резерв — автоматическое. Удалённые сотрудники подключаются через VPN/ZTNA с MFA и получают доступ только к разрешённым сегментам.
| Связка | Основной канал | Резерв |
|---|---|---|
| Офис → ЦОД | L2VPN / Ethernet | IPsec через второго провайдера |
| Офис → облако РФ | VPN через основного провайдера | VPN через резервного |
| Офис → головной офис | IPsec/WireGuard | Второй туннель через другой маршрут |
| Сотрудники → контур | VPN-клиент / ZTNA + MFA | Резервный шлюз |
04Принципы, которых мы придерживаемся
- Документация с первого дня. Схема L1/L2/L3, адресный план, реестр туннелей и правил фаервола. «Потом опишем» — значит «никогда».
- Резервирование по умолчанию. Два провайдера, два туннеля, два шлюза — там, где простой останавливает бизнес.
- Минимальные привилегии. Между сегментами — явные правила; «всем всё можно» недопустимо.
- Наблюдаемость. Мониторинг каналов, туннелей, загрузки, потерь; алерты дежурному.
- Стандартизация. Одинаковые модели оборудования и шаблоны конфигураций — замена устройства за час, а не за день.
05Этапы работ
- Обследование: площадки, провайдеры, текущая сеть, требования приложений (задержки, полоса)
- Проект: топология, адресный план, спецификация оборудования, политики безопасности
- Закупка и монтаж оборудования, подключение каналов
- Настройка: коммутация, маршрутизация, VPN, фаервол, Wi-Fi, DNS
- Тесты: отказ канала, отказ туннеля, нагрузка, DDoS-симуляция на стенде
- Документация, обучение, передача в эксплуатацию или на нашу поддержку
06Частые вопросы
IPsec или WireGuard — что выбрать?
Оба рабочие. IPsec — стандарт, поддерживается всем enterprise-оборудованием; WireGuard — проще, быстрее, современнее, но требует проверки совместимости с вашим периметровым железом. Выбираем по оборудованию и требованиям, часто используем оба для разных связок.
Нужен ли выделенный канал до ЦОД, или хватит VPN?
Для большинства офисов достаточно VPN поверх двух провайдеров. Выделенный L2-канал оправдан при больших постоянных потоках данных (репликация, бэкапы, работа с тяжёлыми файлами) или жёстких требованиях к задержкам.
Сможете связать нас с головным офисом в Европе?
Да, с учётом текущих ограничений: тестируем доступность площадок, подбираем рабочие маршруты, при необходимости — через промежуточные площадки. Конкретная схема зависит от того, где расположен ваш глобальный контур.
А если интернет в офисе «кончится»?
Поэтому и закладываем два независимых провайдера с автоматическим переключением, а для критичных площадок — ещё и LTE/5G-резерв. Переключение прозрачно для пользователей.