WireGuard для доступа к офисным системам: права, маршруты и отзыв доступа

В офисе работают CRM и файловый сервер. Удалённому сотруднику нужны оба, подрядчику — только учебный веб-сервис. VPN создаёт защищённое соединение с офисной сетью. Разрешённые сервисы и действия пользователя нужно определить отдельно, прежде чем выдавать ему конфигурацию WireGuard.

В WireGuard peer — участник соединения, связанный с публичным ключом. Параметр AllowedIPs связывает его с допустимыми адресами внутри туннеля и помогает выбрать получателя трафика. Он не заменяет ограничения по портам и правам внутри CRM.

Маршруты определяют, куда операционная система направляет трафик; их настройка зависит от инструмента, например wg-quick. Ограничения задавайте на доверенном офисном шлюзе. Если сотрудник изменит настройки ноутбука, он не должен получить доступ к дополнительным сервисам.

После сетевого соединения приложение отдельно проверяет аккаунт и роль. Доступ к адресу CRM не означает право читать все сделки. Для каждого устройства закрепите свой адрес внутри VPN, затем свяжите его с нужными правилами сетевого фильтра.

Создайте отдельную пару ключей для каждого устройства. Если у сотрудника есть ноутбук и телефон, это два подключения. При потере телефона тогда можно отключить его ключ, сохранив работу ноутбука. Один общий файл для всей команды не даёт такого разделения.

• Учёт устройства. Запишите публичный ключ, адрес внутри VPN, владельца и название устройства. Закрытый ключ остаётся секретом и не нужен в общем списке.

• Область доступа. Укажите разрешённые сервисы, дату выдачи и срок пересмотра. Для подрядчика заранее назначьте дату и ответственного за отключение.

• Передача конфигурации. Файл и QR-код могут содержать закрытый ключ. Передавайте их как секреты; снимок QR-кода в общем чате распространяет доступ дальше.

WireGuard сам не ведёт кадровый процесс и не прекращает доступ по календарю без отдельного управления. Ответственный должен отслеживать сроки. Если закрытый ключ мог попасть к другому человеку, выдайте новый и удалите старое подключение; переименование устройства не решает проблему.

Сначала перечислите реальные потребности. Сотрудник открывает CRM по HTTPS и использует файловый сервис. Подрядчик открывает только учебный сайт. Для каждого ресурса укажите адрес, порт и зависимости: разрешение имени через DNS, вход в сервис и загрузку файлов.

• Нужные назначения. Настройте маршруты к выбранным адресам и разрешения на шлюзе. Не открывайте всю подсеть только потому, что забыли одну зависимость приложения.

• Способ отправки трафика. Через VPN можно направить только офисные сервисы или более широкий поток, включая интернет. Выбор влияет на скорость, DNS и внешний адрес, но не меняет роли в CRM.

• Совпадающие сети. Проверьте, не использует ли домашняя сеть тот же диапазон адресов, что офис. Иначе запрос может уйти домой вместо VPN. Проверка имени и точного адреса поможет найти причину.

Имена сервисов могут разрешаться по-разному внутри и снаружи офиса. Проверьте нужный адрес DNS, а затем само приложение. Добавление маршрутов ко всем сетям без разбора может скрыть ошибку настройки и расширить доступ сверх необходимого.

Если используется IPv6, проверьте его отдельно: ограничения только для IPv4 не охватывают все соединения. У сетевого фильтра должен быть понятный порядок разрешений и запретов. Состояние handshake, то есть успешного установления связи WireGuard, ещё не подтверждает правильность доступа к приложениям.

Проверяйте сервис тем способом, которым пользуется сотрудник. Успешный ping не подтверждает вход в CRM, а отсутствие ответа на ping не доказывает запрет HTTPS. Достаточно заранее выбранных адресов и безопасных учебных действий; широкий поиск по офисной сети для этой проверки не нужен.

При ошибке двигайтесь по цепочке: связь WireGuard, маршрут, разрешение имени, сетевой фильтр, вход в приложение. Записывайте, на каком этапе возникает проблема. Это помогает исправить конкретную причину, сохраняя ограничения доступа для остальных сервисов.

При потере устройства удалите его подключение из работающей конфигурации сервера и из сохранённого файла, который загрузится после перезапуска. Если изменить только текущее состояние, старый ключ может вернуться при следующем применении настроек. Проверьте оба места.

• Новый запрос со старым ключом. Подключитесь с учебной копией отозванной конфигурации. Трафик не должен проходить; при требовании немедленного отключения проверьте и уже существующее соединение.

• Аккаунты приложений. Завершите нужные сессии и отключите ключи доступа CRM отдельно. Приложение может оставаться доступным по другому сетевому соединению.

• Данные на устройстве. Отзыв VPN не удаляет сохранённые файлы. Если на устройстве были общие пароли, смените их по списку доступных человеку сервисов.

При уходе сотрудника сначала составьте перечень того, к чему он имел доступ. Затем отключите устройство, личные аккаунты и отдельные подключения приложений. Такой порядок помогает не забыть доступ, который существовал независимо от WireGuard.

WireGuard — открытый протокол и его реализация. Панель управления, автоматическая выдача настроек и управляемый сервис могут быть отдельными продуктами. Базовый инструмент не добавляет автоматически каталог сотрудников, обязательное подтверждение входа, сроки доступа и подробную историю действий внутри приложений.

Для сопровождения ведите реестр устройств, сохраняйте конфигурацию и удаляйте неиспользуемые ключи. После изменения сетевых правил или обновления шлюза повторяйте разрешённые и запрещённые обращения. Назначьте человека, который сверяет действующие подключения со списком сотрудников и подрядчиков.

Личный пароль приложения и дополнительное подтверждение входа полезны и при работе через VPN. Правильно настроенная схема позволяет сотруднику работать с нужными сервисами, удерживает подрядчика в разрешённых пределах и не возвращает отозванный ключ после перезапуска.