Разговор, который повторяется у меня с руководителями примерно раз в неделю. Звучит так: «Зачем платить за корпоративный VPN, если сотрудники и так каждый себе что-то купили и всё работает».
Работает. Вернее, что-то работает — вопрос в том, что именно и кто этим управляет.
Ответ короткий: никто. В компании есть неизвестное количество туннелей, поднятых неизвестно куда и оплаченных неизвестно кем, через них ходит рабочая почта, документы и доступ к учётной системе, и отозвать вы из этого не можете ничего. Дальше по пунктам: в чём отличия корпоративного VPN от личного технически, во что обходится зоопарк личных подписок и как считать стоимость владения. Оговорюсь сразу: я работаю в сервисе, который корпоративные тарифы и продаёт, так что читайте с поправкой. Но пафоса про безопасность не будет — будут функции, которых в потребительском продукте нет по устройству, а не по жадности производителя.
Разные задачи: личный прячет человека, корпоративный соединяет ресурсы
Главное непонимание сидит здесь, и пока его не снять, остальное, скажем так, не имеет смысла. Личный VPN решает одну задачу: спрятать пользователя и вывести его трафик в другую точку, топология «один человек наружу», всё. Корпоративный решает обратную — соединить ресурсы компании в одну сеть: сотрудник из дома должен попасть в офисную 1С, склад — видеть базу центрального офиса, сервер — пускать только своих. Топология «много точек внутрь». Разница, как мне кажется, не в качестве, а в назначении: потребительский сервис не хуже, он просто про другое. Молоток отличный, но им не закручивают.
Отсюда следствие, на котором спотыкаются чаще всего: личным VPN нельзя организовать удалённый доступ. Никак. Пускать трафик внутрь вашей сети — не его функция, и максимум, который он даёт сотруднику, — это выход в интернет с другого адреса, а к вашей учётной системе такой выход отношения не имеет.
[Изображение: схема «личный VPN против корпоративного» — две разные топологии сети]
Управление доступом: кабинет, роли и отзыв при увольнении
Вот тут начинается то, ради чего корпоративные решения вообще существуют. В личном сервисе аккаунт принадлежит человеку: он завёл, он оплатил, ключ у него в телефоне, и компания к этому аккаунту отношения не имеет — ни доступа, ни контроля. Теперь увольнение — не тёплое, а обычное: с обидой, спором о премии, уходом к конкуренту. Я таких видел много.
Отозвать личный VPN сотрудника невозможно. Это не преувеличение, а буквально так: аккаунт не ваш, ключ не ваш, подписка с его карты. Попросить удалить конфиг вы можете, он даже кивнёт. Проверить — никогда. А если через этот туннель был проход к внутренним ресурсам, он там и остался, со всеми доступами, о которых вы давно забыли. В корпоративном решении всё иначе. Есть единый кабинет, в нём список сотрудников, у каждого свой доступ. Увольняется человек — администратор снимает галочку, и конфиг мёртв через секунду. Не «через сутки», не «после обращения в поддержку». Сразу.
Плюс вещи, которых в личных подписках нет в принципе:
- Роли и группы: бухгалтерия видит одно, разработка другое, подрядчик — только то, что ему выдали на время проекта.
- Срочный доступ: выдали стажёру на месяц, он сам погас.
- Видно, кто и когда подключался. Не для слежки — для расследования, когда что-то случилось.
- Централизованная выдача при найме: новый человек получает доступ в день выхода, а не через неделю переписки.
Как это оформляется в регламент — отдельная тема, я разбирал её в материале про политику доступа сотрудников к VPN.
[Изображение: схема отзыва доступа при увольнении — один клик в кабинете против невозможности отозвать личную подписку]
Выделенные IP и белые списки на корпоративных ресурсах
Механизм скучный, дешёвый и, если честно, недоиспользуемый до обидного. Суть: критичные ресурсы (админка сайта, CRM, панель хостинга, база) пускают только с определённых адресов, и тогда неважно, украли пароль, увели токен или сработал фишинг — с чужого адреса не пустит. Для этого нужен постоянный адрес, через который выходят все сотрудники: один, известный, ваш. Это и есть выделенный IP. С личными VPN так не построить физически: у каждого свой сервис, свой пул, адрес меняется хоть каждое подключение, и в белый список вносить попросту нечего. Связку «выделенный адрес плюс белый список плюс двухфакторная аутентификация» я считаю обязательным минимумом для компании, где есть деньги клиентов или персональные данные. Стоит копейки, закрывает большую часть массовых атак, и доводов против я не знаю.
Site-to-Site: когда нужно соединить офис, склад и филиалы
Задача, на которой разговор про личные подписки у меня заканчивается сам собой. Офис в одном городе, склад в промзоне, магазин в торговом центре, учётная система одна: терминалы на складе должны работать с той же базой, что и бухгалтерия, и при этом не висеть в открытом интернете. Решение — Site-to-Site: постоянный туннель между роутерами площадок, где не человек подключается к сети, а сети соединяются друг с другом, и для сотрудников это прозрачно — ресурсы соседней площадки видны как свои. Здесь нужны статические адреса на концах, нормальное оборудование и внятная маршрутизация. Ни один потребительский сервис такого не даёт и давать не собирается, это просто другой продукт. Практика — на странице VPN для офиса; если задача пустить людей снаружи внутрь, смотрите удалённый доступ.
Мониторинг и журналы подключений: требование ИБ
Тема, на которой обычно морщатся. Зря, кстати, и я объясню почему.
Служба безопасности, аудитор или просто здравый смысл требуют одного: понимать, кто и когда подключался к корпоративной сети. Не содержимое трафика — факты соединений. Зачем это нужно:
- Расследование инцидента. Утекли данные — надо понять, чей доступ использовали и когда.
- Обнаружение аномалий. Бухгалтер, подключившийся в три ночи из другой страны, — повод позвонить бухгалтеру.
- Мёртвые души. Видно, что у половины отдела есть доступ, которым никто не пользовался полгода. Снять и забыть.
- Внутренние и внешние проверки, где надо показать, что контроль есть.
В потребительском сервисе этого нет — и это его достоинство, а не дефект: он специально сделан так, чтобы никто не видел, что делает пользователь. Для личного использования правильно. Для компании — дыра в процессе. Как устроен мониторинг подключений и что собирать, разбирали в отдельной статье.
SLA, поддержка и ответственность
Пункт, который выглядит бюрократией ровно до первой аварии. Впрочем, до неё все так думают. У личной подписки нет обязательств перед вами: сервис лёг — сервис лёг, спросить не с кого, компенсации нет, а условия обслуживания написаны так, что ответственность исключена. Сотрудник в этот момент не работает. Двадцать сотрудников — двадцать человек не работают. И каждый будет решать сам: поставит другое приложение, найдёт бесплатное, попросит ключ у знакомого — а как именно, вы не узнаете никогда. Корпоративный договор устроен иначе: юрлицо с обеих сторон, оговорённые параметры сервиса, выделенный канал связи с поддержкой и человек, который знает вашу конфигурацию, а не читает скрипт. Плюс закрывающие документы для бухгалтерии — мелочь, но без неё оплату не проведёшь.
Зоопарк личных VPN: теневой IT во всей красе
Вот главная часть, и если из статьи запомнить один раздел, я бы выбрал этот. Теневой IT — это когда сотрудники решают рабочие задачи инструментами, о которых компания не знает, и личные VPN на рабочих устройствах тут пример почти хрестоматийный. Разворачивается всегда одинаково, я эту цепочку помню наизусть: что-то перестало открываться, человеку надо работать, он ставит первое, что нашёл в поиске, — часто бесплатное. Никого не спрашивает: он же решает рабочую проблему, а не создаёт новую. Через час корпоративная почта ходит через туннель, о владельце которого не знает никто, включая самого сотрудника.
Что вы получаете в комплекте:
- Весь рабочий трафик у постороннего. Оператор туннеля видит, к каким ресурсам обращается устройство. Кто он, где зарегистрирован, что хранит — неизвестно. Бесплатные сервисы к тому же нередко зарабатывают именно на этом, и об этом отдельный разбор — чем опасен бесплатный VPN.
- Устройство как чужой выходной узел. Часть бесплатных приложений сдаёт канал пользователя в аренду. Рабочий ноутбук становится точкой, через которую ходит посторонний трафик.
- Неотзываемый доступ. Вернулись к тому, с чего начали: при увольнении вы не можете снять то, что не выдавали.
- Нет журналов. Случился инцидент — восстанавливать картину не по чему.
- Дыры в защите. Утечки DNS, отсутствие защиты от обрыва, кривые сертификаты. Пользователь об этом не узнает, потому что иконка зелёная.
- Разный уровень везения. У одного приличный сервис, у другого приложение с трекерами. Разброс огромный, и управлять им нельзя.
Аналогия, которая мне кажется самой точной. Это как если бы сотрудники, которым не хватило розеток, притащили из дома удлинители и врезались в щиток сами. Работать стало можно. Но что там теперь намотано и что загорится первым, не знает никто, включая электрика. И приказом это, по моему опыту, не лечится: запрет без альтернативы рождает более изобретательный обход, а не дисциплину. Работает одно — дать нормальный управляемый инструмент, чтобы городить своё стало незачем.
Стоимость владения: считаем честно
Возражение «корпоративный дороже» на моей памяти разваливается на первой же таблице, потому что считать нужно не подписку, а всю стоимость владения. Возьмём компанию на N сотрудников и обозначим стоимость одной личной подписки как C.
| Статья | Зоопарк личных подписок | Корпоративный тариф |
|---|---|---|
| Прямые расходы | C × N, часто через компенсацию расходов сотрудникам | Один счёт на компанию, цена за пользователя ниже розничной |
| Бухгалтерия | N авансовых отчётов, часто без закрывающих документов | Договор, счёт, акт |
| Время администратора | Настройка каждому индивидуально, разные приложения, разные проблемы | Один кабинет, типовая выдача доступа |
| Удалённый доступ к ресурсам | Не решается вообще — нужен отдельный инструмент | Входит |
| Соединение площадок | Не решается | Site-to-Site |
| Выделенный адрес и белые списки | Нет | Есть |
| Журналы подключений | Нет | Есть |
| Отзыв доступа при увольнении | Невозможен | Один клик |
| Простой при аварии | Каждый решает сам, компания не управляет | Поддержка по договору |
| Риск инцидента | Не оценивается и не контролируется | Снижается и становится измеримым |
[Изображение: расчёт стоимости владения — личные подписки против корпоративного тарифа]
Обратите внимание на строки с «не решается»: это не экономия, а задачи, которые всё равно придётся закрывать — другим инструментом и за отдельные деньги. Точную цифру я не назову, она зависит от числа людей, количества площадок и того, нужны ли выделенные серверы. Сколько стоит VPN для бизнеса конкретно у вас — разговор на пятнадцать минут, а не таблица в блоге.
Чек-лист перехода на корпоративное решение
Порядок, который работает. Не обязательно делать всё сразу, но последовательность, к слову, лучше не менять.
- Инвентаризация. Кто чем пользуется сейчас. Спокойно, без разбирательств, иначе никто не признается. Список вас удивит, я обещаю.
- Перечень ресурсов. Что должно быть доступно снаружи: учётная система, файловый сервер, почта, CRM, камеры, тестовые стенды.
- Роли. Кому какой доступ нужен. Минимально необходимый, а не «всем всё, чтобы не бегали».
- Выбор топологии. Только удалённый доступ людей — одно. Плюс соединение площадок — другое. Плюс выделенный сервер под нагрузку — третье.
- Пилот на отделе. Пять-семь человек, две недели. Заодно выяснится, какие приложения ломаются в туннеле.
- Белые списки. После получения выделенного адреса закройте по нему админки и панели. Это самый дешёвый шаг с самым заметным эффектом.
- Регламент. Кто выдаёт доступ, кто отзывает, что происходит при увольнении. Одна страница, не диссертация.
- Мониторинг. Включите журналирование подключений и договоритесь, кто и как часто в него смотрит.
- Перевод всех и отключение личного. В таком порядке. Сначала альтернатива, потом запрет — наоборот не работает.
Отдельно про протоколы: если у ваших сотрудников трафик режется, обычный WireGuard может не подняться, и тогда нужен VLESS для бизнеса. В корпоративе это нормальная практика — держать несколько протоколов и переключать под условия конкретного офиса.
Что делать руководителю
Корпоративный VPN в России в 2026 году перестал быть историей только про крупные компании: если у вас больше пяти человек и хоть один работает удалённо, личные подписки у вас уже есть, вы просто о них не знаете. Вопрос не в том, использовать VPN или нет — он используется. Вопрос в том, управляемый он или стихийный, и можете ли вы отозвать доступ у человека, который вчера ушёл со скандалом. И ещё одно, чего я обычно не говорю на встречах, а стоило бы: корпоративное решение — это не про недоверие к сотрудникам, а про то, что доступ должен принадлежать компании, а не человеку, потому что человек уходит, а система остаётся.
Начните с малого: рассчитайте корпоративный тариф под ваше число сотрудников и площадок — оставьте заявку, и мы посчитаем конкретную конфигурацию, а не среднюю по рынку. Обзор возможностей для компаний — на странице VPN для бизнеса. Пилот на одном отделе занимает пару недель и, по моему опыту, отвечает на все вопросы лучше любой презентации.
Частые вопросы
Чем корпоративный VPN отличается от обычного?
Назначением. Личный выводит одного пользователя в интернет через чужой адрес, корпоративный соединяет ресурсы компании в одну сеть. Отсюда функции, которых в потребительском продукте нет: единый кабинет с ролями, централизованный отзыв доступа, выделенные адреса для белых списков, Site-to-Site между площадками, журналы подключений и договор с обязательствами.
Можно ли использовать личный VPN для работы?
Использовать личный VPN на работе технически можно, и именно так обычно и происходит. Проблема в том, что компания теряет контроль: рабочий трафик идёт через неизвестного оператора, журналов нет, а при увольнении доступ отозвать невозможно — аккаунт принадлежит сотруднику, а не работодателю. Для доступа к внутренним ресурсам личный VPN к тому же просто не подходит: он не умеет пускать трафик внутрь вашей сети.
Что такое Site-to-Site VPN?
Постоянный туннель между сетями двух площадок — например, офиса и склада. Соединяются не люди с сервером, а сети друг с другом, и сотрудники видят ресурсы соседней площадки как локальные. Нужен, когда учётная система одна, а зданий несколько; настраивается на роутерах и требует постоянных адресов на концах.
Сколько стоит корпоративный VPN?
Зависит от числа сотрудников, количества площадок и того, нужны ли выделенные адреса и отдельный сервер. Цена за пользователя в корпоративном тарифе обычно ниже розничной подписки, а сверху вы получаете управление доступом, мониторинг и поддержку по договору. Считать, я убеждён, имеет смысл не подписку, а стоимость владения целиком — включая время администратора и задачи, которые личными подписками не решаются вовсе.
