Шлюз VPN-подключения: что это, как работает и как настроить

Что такое VPN-шлюз и зачем он нужен

VPN-шлюз — это сетевое устройство или программный компонент, который выступает точкой входа в защищённую частную сеть. Он принимает входящие VPN-соединения от удалённых клиентов или других шлюзов, аутентифицирует их и устанавливает зашифрованный туннель. Через этот туннель передаётся трафик между внешней сетью (например, интернетом) и внутренними ресурсами — серверами, базами данных, файловыми хранилищами.

Основная задача шлюза — обеспечить безопасный канал связи, скрывая внутреннюю структуру сети и защищая данные от перехвата. Шлюз может быть реализован как аппаратное устройство (например, Zyxel Zywall, Cisco ASA), как программное решение (OpenVPN-сервер, Windows RRAS) или как облачный сервис (Azure VPN Gateway). В любом случае он выполняет функции маршрутизации, шифрования и контроля доступа.

Для конечного пользователя шлюз — это адрес, который он указывает в настройках VPN-клиента. Для администратора — это точка, где настраиваются политики безопасности, протоколы шифрования и правила доступа. Понимание роли шлюза помогает правильно диагностировать проблемы и выбирать подходящую архитектуру подключения.

Основные типы VPN-подключений через шлюз

VPN-шлюзы поддерживают несколько сценариев подключения, каждый из которых предназначен для своих задач.

Удалённый доступ (точка-сеть, P2S) — самый распространённый сценарий. Отдельные пользователи подключаются к корпоративной сети из дома или командировки. Клиент может быть встроенным в ОС (Windows, Android, iOS) или отдельным приложением. Протоколы: L2TP/IPsec, SSTP, OpenVPN, IKEv2.

Сеть-сеть (S2S) — соединение между двумя шлюзами, например, между офисом и облаком или между двумя филиалами. Трафик между сетями идёт через зашифрованный туннель, и для конечных устройств это выглядит как единая локальная сеть. Используются протоколы IPsec/IKE.

Виртуальная сеть — виртуальная сеть (VNet-to-VNet) — частный случай S2S, когда оба шлюза находятся в облаке (например, Azure). Позволяет соединять виртуальные сети в разных регионах.

Выбор типа зависит от количества пользователей, требуемой пропускной способности и уровня безопасности. Например, для небольшой команды удалённых сотрудников достаточно P2S, а для объединения филиалов нужен S2S.

Как работает VPN-шлюз: маршрутизация и туннелирование

Когда клиент инициирует VPN-подключение, шлюз выполняет несколько шагов: аутентификация, согласование параметров шифрования, установка туннеля и назначение IP-адреса клиенту. После этого весь трафик, который клиент отправляет в туннель, шифруется и передаётся на шлюз, где расшифровывается и направляется во внутреннюю сеть.

Ключевой момент — маршрутизация. По умолчанию во многих VPN-клиентах (например, в Windows) включена опция «Использовать основной шлюз удалённой сети». Это означает, что весь трафик с компьютера, включая интернет-запросы, направляется через VPN-туннель. Если на шлюзе запрещён доступ в интернет, то у пользователя пропадает возможность открывать внешние сайты.

Для решения этой проблемы используется split tunneling (раздельное туннелирование). В этом режиме только трафик, предназначенный для корпоративной сети, идёт через VPN, а остальной — через обычное интернет-подключение. Это снижает нагрузку на шлюз и сохраняет доступ к внешним ресурсам. Настройка split tunneling возможна через параметры TCP/IP, файл rasphone.pbk или PowerShell-команды.

Почему при подключении к VPN пропадает интернет

Одна из самых частых проблем — после подключения к VPN перестают открываться веб-сайты. Причина обычно в том, что VPN-клиент использует шлюз удалённой сети по умолчанию, и весь трафик уходит в туннель. Если VPN-сервер настроен только на доступ к внутренним ресурсам и не имеет выхода в интернет, то внешние запросы не могут быть обработаны.

Другая возможная причина — неправильная маршрутизация. Если адреса корпоративной сети не совпадают с подсетью, выданной VPN-клиенту, пакеты могут уходить в интернет и теряться. В этом случае необходимо добавить статические маршруты, указывающие, что трафик к определённым подсетям должен идти через VPN-шлюз.

Также проблема может быть связана с DNS. VPN-сервер может назначать свои DNS-серверы, которые не могут резолвить внешние имена. Тогда нужно либо изменить настройки DNS на клиенте, либо настроить шлюз на передачу внешних запросов.

Настройка VPN-шлюза на примере Zyxel

Рассмотрим настройку VPN-шлюза на примере устройств Zyxel (серии Zywall, ATP, USG). Эти шлюзы поддерживают три основных типа подключения: L2TP over IPSec, SSL VPN и IPSec VPN.

Для быстрой настройки L2TP можно использовать мастер (Wizard), который создаст все необходимые правила. Важно помнить, что в упрощённом режиме (Easy Mode) созданные конфигурации нельзя потом редактировать в Expert Mode, поэтому рекомендуется сразу переключаться в полный режим.

При настройке L2TP необходимо указать:

• имя подключения и WAN-интерфейс (например, wan_ppp для PPPoE);
• предварительный ключ (PSK);
• диапазон IP-адресов для клиентов (не должен пересекаться с другими подсетями);
• DNS-серверы (если требуется пускать весь трафик через VPN).

После создания подключения нужно создать пользователей и группы, которым разрешено подключаться. Это делается в разделе Configuration -> Object -> User/Group. Затем в настройках L2TP VPN указать разрешённую группу.

Для SSL VPN требуется создать правило, указать список пользователей, пул IP-адресов и разрешённые сети. Важно добавить HTTPS в группу сервисов Default_Allow_Wan_To_ZyXall, иначе SSL VPN не будет работать.

IPsec VPN настраивается через раздел VPN -> IPsec VPN, где создаются правила для шлюза и подключения. Можно также включить функцию Configuration Provisioning, чтобы клиенты автоматически получали настройки со шлюза.

Настройка VPN-клиентов для подключения к шлюзу

После настройки шлюза необходимо настроить клиентские устройства. Рассмотрим основные варианты.

Windows 10/11: встроенный клиент позволяет создать VPN-подключение через Параметры -> Сеть и Интернет -> VPN. Указывается адрес сервера (IP шлюза), тип VPN (например, L2TP/IPsec с предварительным ключом), общий ключ и учётные данные. Для L2TP может потребоваться дополнительная настройка в свойствах адаптера: выбрать правильные протоколы шифрования и отключить IPv6.

Android: в настройках беспроводных сетей выбирается пункт VPN, создаётся новое подключение с типом L2TP/IPSec PSK, вводится ключ, логин и пароль. После подключения появляется значок «ключ».

iPhone/iPad: в Настройках -> Основные -> VPN создаётся конфигурация с описанием, адресом сервера, именем пользователя, паролем и общим ключом. Индикатор VPN появляется в строке состояния.

Аппаратные клиенты (например, Zyxel VPN2S) настраиваются через веб-интерфейс: включается IPsec VPN, указывается адрес шлюза и ключ, затем на вкладке L2TP VPN включается соединение и вводятся учётные данные.

Облачные VPN-шлюзы: Azure VPN Gateway

Для организаций, использующих облачные ресурсы, актуальны облачные VPN-шлюзы, например Azure VPN Gateway. Это служба, которая позволяет устанавливать зашифрованные соединения между виртуальной сетью Azure и локальной инфраструктурой или отдельными пользователями.

Azure VPN Gateway поддерживает три типа подключений:

• Site-to-Site (S2S) — между VPN-шлюзом и локальным VPN-устройством через IPsec/IKE;
• Point-to-Site (P2S) — для отдельных клиентов через OpenVPN, IKEv2 или SSTP;
• VNet-to-VNet — между двумя виртуальными сетями Azure.

При создании шлюза выбирается SKU (например, VpnGw1, VpnGw2 и т.д.), который определяет пропускную способность, количество туннелей и поддерживаемые функции. SKU влияет на стоимость: плата взимается за час использования вычислительных ресурсов шлюза и за исходящий трафик.

Облачные шлюзы удобны тем, что не требуют обслуживания физического оборудования, легко масштабируются и поддерживают высокую доступность (активно-активный режим, зоны доступности). Однако они требуют настройки в облачной консоли и понимания сетевых концепций.

Сравнение аппаратных и программных VPN-шлюзов

Выбор между аппаратным и программным шлюзом зависит от масштаба, бюджета и требований к производительности.

Аппаратные шлюзы (Zyxel, Cisco, MikroTik) — это специализированные устройства, оптимизированные для VPN-трафика. Они обеспечивают высокую пропускную способность, стабильность и встроенные функции безопасности (межсетевой экран, антивирус). Недостатки — высокая стоимость, необходимость физического размещения и обновления прошивок.

Программные шлюзы (OpenVPN, WireGuard, Windows RRAS) устанавливаются на обычные серверы или виртуальные машины. Они гибче в настройке, дешевле (можно использовать существующее оборудование) и легко масштабируются. Однако производительность зависит от ресурсов сервера, а безопасность требует дополнительной настройки ОС.

Облачные шлюзы (Azure VPN Gateway, AWS VPN) — это управляемые сервисы, которые снимают с администратора заботу об оборудовании и обновлениях. Они идеальны для гибридных сценариев, но требуют постоянной оплаты и зависимости от облачного провайдера.

Для малого бизнеса с несколькими удалёнными сотрудниками часто достаточно программного шлюза на базе OpenVPN. Для крупных организаций с высокими требованиями к надёжности лучше подойдут аппаратные или облачные решения.

Безопасность VPN-шлюзов: протоколы и шифрование

Безопасность VPN-подключения определяется используемыми протоколами и алгоритмами шифрования. Основные протоколы:

• IPsec — набор протоколов для защиты IP-трафика. Использует IKE для обмена ключами и ESP/AH для шифрования. Поддерживает два режима: транспортный и туннельный. Считается одним из самых надёжных.
• L2TP/IPsec — комбинация L2TP (туннелирование) и IPsec (шифрование). Часто используется встроенными клиентами Windows, Android, iOS.
• SSTP — проприетарный протокол Microsoft, использует SSL/TLS. Хорошо проходит через межсетевые экраны, но поддерживается в основном Windows.
• OpenVPN — открытый протокол на основе SSL/TLS. Гибкий, кроссплатформенный, поддерживает множество алгоритмов шифрования.
• WireGuard — современный протокол с простой реализацией и высокой производительностью, но пока менее распространён.

При настройке шлюза важно выбирать стойкие алгоритмы: AES-256 для шифрования, SHA-256 для хеширования, Diffie-Hellman или ECDH для обмена ключами. Слабые алгоритмы (DES, 3DES) не рекомендуется использовать, так как они уязвимы к взлому.

Также следует учитывать, что некоторые устройства (например, Zyxel, ввозимые в РФ) могут иметь ограничения на криптографию из-за таможенных требований. В таких случаях требуется активация дополнительных алгоритмов через командную строку.

Диагностика и устранение неполадок VPN-подключений

Если VPN-подключение не устанавливается или работает нестабильно, следует провести диагностику.

Проверка маршрутов: используйте команду route print (Windows) или ip route (Linux), чтобы убедиться, что маршруты к корпоративной сети идут через VPN-интерфейс. Если маршрут по умолчанию указывает на VPN, а интернет не работает, проверьте настройки split tunneling.

Проверка DNS: выполните nslookup для внешнего домена. Если запрос не резолвится, возможно, VPN-сервер назначает неправильные DNS. Измените DNS-серверы на клиенте или настройте шлюз.

Проверка служб: на Windows убедитесь, что служба IKEEXT (для IPsec) запущена. Для L2TP также может потребоваться служба Remote Access Connection Manager.

Просмотр журналов: на шлюзе и клиенте смотрите логи подключения. Они покажут, на каком этапе возникает ошибка (аутентификация, согласование параметров, установка туннеля).

Тестирование с разных устройств: если проблема возникает только на одном устройстве, возможно, дело в его настройках. Попробуйте подключиться с другого компьютера или смартфона.

Если ничего не помогает, обратитесь к документации производителя шлюза или в службу поддержки.

Вопросы и ответы