Подключаем офис через OpenVPN: выбираем модем/маршрутизатор TP-Link и настраиваем

Главная мысль: надёжный офисный VPN на OpenVPN — это не «магическая галочка», а продуманная связка: правильная топология, подходящий модем/маршрутизатор TP-Link, белый IP или облачный узел, аккуратно выпущенные сертификаты, корректная маршрутизация и жёсткие правила брандмауэра. Если всё сделать по шагам, филиалы и удалённые сотрудники будут безопасно работать с ресурсами офиса так, будто они подключены локальным кабелем.

1. Зачем офису OpenVPN и какой TP-Link вам нужен

OpenVPN решает три типовые задачи:

Доступ извне к офису (Remote-Access): сотрудники подключаются с ноутбуков/смартфонов и видят только нужные ресурсы (CRM, 1С, файловые шары, принтеры).
Связь «офис ↔ филиал» (Site-to-Site): два маршрутизатора делают постоянный туннель, сети 192.168.10.0/24 и 192.168.20.0/24 становятся одной логикой.
Центральная «звезда» (Hub-and-Spoke): головной офис/облако — «хаб», а магазины/склады — «спицы».

Какой TP-Link выбрать под задачу:

Для офисного узла с сервером OpenVPN берите маршрутизатор делового класса (например, линейка ER в экосистеме Omada) либо ставьте сервер на VPS/в дата-центре, а в офисе используйте любой маршрутизатор с функцией OpenVPN-клиента/политик маршрутизации.
Для филиала/удалённого участка, где канал даёт LTE, разумно взять 4G-роутер (или модем/шлюз) от TP-Link в роли транспортного WAN и поверх него поднять OpenVPN-клиент на маршрутизаторе (две коробки) либо выбрать модель, где клиент OpenVPN поддерживается прямо на маршрутизаторе.
Если у провайдера CG-NAT (нет белого IP), сервер OpenVPN размещают в облаке (VPS c белым IPv4), а в офисе модем/маршрутизатор — клиент.

Сразу сочтите бюджет и производительность: OpenVPN шифрует трафик и опирается на CPU, поэтому дешёвые «домашние» роутеры быстро упрются в потолок. Для десятков одновременных подключений и сотен мегабит берите железо помощнее и держите запас по ядрам/частоте.

2. План: топология, адреса и ограниченная доверенная зона

2.1. Выбор топологии

Remote-Access: один сервер OpenVPN, пользователи подключаются клиентом; маршрутизатор пускает их только в подсети офиса (split-tunnel).
Site-to-Site: два маршрутизатора — один в режиме сервера, второй в режиме клиента; на каждом прописаны сети другого конца (маршруты «push/iroute»).
Hub-and-Spoke: центр (офис/облако) — сервер, филиалы — клиенты; филиалы не видят друг друга, только центр (так безопаснее и проще).

2.2. Адресное пространство

Разведите подсети, чтобы не было пересечений: офис 192.168.10.0/24, филиал 192.168.20.0/24, удалёнщики получают пул 10.8.0.0/24.
Зарезервируйте IP под штатные сервисы: DC/DNS/1С/файловик.
Сразу определите, что именно будете разрешать в туннеле (принцип наименьших привилегий).

2.3. Белый IP или облако

Если у провайдера офиса белый динамический IP — используйте DDNS.
При CG-NAT сервер ставится в VPS. Офисный TP-Link поднимет клиент до VPS и «потянет» маршруты офиса в туннель.

3. Выбор модема/маршрутизатора TP-Link и WAN-транспорта

3.1. Транспорт (провод или LTE)

Если в офис заведён Ethernet/оптика — отлично: на WAN получите стабильную полосу.
Если доступ только через LTE, берите 4G-шлюз/роутер TP-Link с нужными диапазонами и внешней MIMO-антенной. Он даст Интернет на WAN основному маршрутизатору, где и поднимется OpenVPN-клиент/сервер.
Для надёжности — Dual-WAN: основной проводной канал + резерв LTE (автопереключение по ping/health-check).

3.2. Поддержка OpenVPN

Смотрите, чтобы выбранный TP-Link умел нужный режим: сервер (для центра) или клиент (для филиала). Некоторые домашние модели имеют только сервер для удалённого доступа, но не клиент для site-to-site; в таких случаях используйте деловую линейку или ставьте сервер в облаке.

3.3. Пропускная способность VPN

OpenVPN в шифровании «ест» CPU. Чем выше частота и лучше аппаратное ускорение криптоопераций, тем ближе вы подойдёте к тарифу провайдера. Не пытайтесь «продавить» сотни мегабит на «малышах» — либо дробите трафик, либо берите железо классом выше.

4. Подготовка OpenVPN: ключи, шифры, безопасность

4.1. Выпуск сертификатов (EasyRSA)

На любой удобной машине:

Поднимите центр сертификации (CA).
Выпустите server.crt + ключ, client1.crt/client2.crt и т. д.
Сгенерируйте ta.key (tls-crypt) для защиты рукопожатия.
Создайте CRL (список отозванных сертификатов) — пригодится при увольнении сотрудника.

4.2. Рекомендуемые опции безопасности

Протокол: UDP (быстрее) на порту 1194/443-udp; TCP оставьте как запасной.
Шифрование: современная связка (например, AES-GCM + ECDH), хэш-аутентификация SHA2.
Обязательно tls-crypt/tls-auth: режет «мусорный» скан/DoS на этапе handshake.
Понизьте привилегии демона (user nobody, group nogroup), включите persist-key/persist-tun.

4.3. Адресация в туннеле

server 10.8.0.0 255.255.255.0 — пул для удалённых клиентов.
Для site-to-site используйте client-config-dir + iroute (каждому филиалу — своя подсеть).

4.4. DNS и маршруты

Remote-Access: push "route 192.168.10.0 255.255.255.0" и push "dhcp-option DNS 192.168.10.10"; чтобы весь трафик не шёл в офис, не пушьте redirect-gateway.
Site-to-Site: прописывайте сети каждого конца; на маршрутизаторах — статические маршруты или политики.

5. Настройка сервера: где он живёт и как его защитить

Вариант А. Сервер на офисном TP-Link (есть белый IP):

Включите OpenVPN Server, загрузите сертификаты/ключи, задайте пул 10.8.0.0/24.
Разрешите только нужные порты снаружи (1194/UDP). Закройте удалённый админ-доступ с WAN.
На брандмауэре создайте правило: только from-Internet → порт 1194; остальное — deny.
Включите DoS-защиту (при наличии), отключите UPnP, DMZ и «волшебные» автопробросы.

Вариант Б. Сервер в облаке (VPS):

Разверните OpenVPN на VPS с белым IPv4.
На офисном TP-Link поднимите клиент к VPS.
Пропишите маршрутизацию, чтобы офисная сеть 192.168.10.0/24 была доступна через туннель.
Ограничьте доступ к серверу по списку стран/IP (если поддерживает облачная защита), включите fail2ban.

6. Настройка клиента: удалёнщик, филиал, вторичный офис

6.1. Удалённые пользователи (ПК/ноут/смартфон)

Экспортируйте .ovpn-профиль (включая in-line-сертификаты) и выдайте пользователю через защищённый канал.
В профиле укажите DNS офиса, запрещённые «родные» DNS (чтобы не было утечек), keepalive 10–120.
Разрешите только нужные подсети (split-tunnel), чтобы Zoom/YouTube шли в обычный Интернет, а 1С/файловик — в офис.

6.2. Филиал (роутер ↔ роутер)

На филиальном TP-Link включите OpenVPN Client, импортируйте client.ovpn, задайте статический маршрут на сеть офиса через интерфейс VPN.
На сервере добавьте iroute 192.168.20.0 255.255.255.0 (если используете CDD).
Проверьте обратный маршрут: офисный TP-Link должен знать путь к сети филиала через туннель.

6.3. Политики доступа (ACL)

Разрешайте только то, что нужно: к DC/DNS/1С/файловику/принтеру.
Запретите «горизонтальные» связи между удалёнщиками (чтобы один заражённый ноутбук не сканировал других).

7. WAN, провайдер и тонкая доводка (MTU/MSS/UDP vs TCP)

7.1. MTU и MSS

На PPPoE/LTE заметно больше накладных расходов: если видите обрывы/«мельницу» пакетов, уменьшите MTU OpenVPN (например, 1400–1472) и включите mssfix/fragment (как крайний случай).
Проведите ping -f -l (Windows) или ping -M do -s (Linux) до публичного адреса, чтобы подобрать безопасный размер.

7.2. UDP или TCP

Всегда начинайте с UDP: меньше задержки, выше скорость.
Оставьте TCP-профиль как бэкап (например, 443/TCP) — он поможет, если провайдер режет UDP.

7.3. Проверка NAT/портов

Если сервер в офисе — проверьте проброс 1194/UDP.
Если клиент за строгим фаерволом — меняйте порт/протокол (443/UDP выглядит как «обычный HTTPS» и часто проходит).

8. Брандмауэр: правила, которые спасают от лишних сюрпризов

WAN-правила: открыть только порт OpenVPN, закрыть административные сервисы снаружи.
LAN-правила: клиентам из VPN разрешить доступ только к конкретным IP/портам; ICMP — по необходимости.
Межсетевые фильтры для IoT-сети: запретить ей хождение в офис через VPN.
Логи: включите запись срабатываний; при аномалии — быстро видно источник.

9. Доменные службы, печать, телефония

9.1. DNS/AD

Пушьте адреса внутренних DNS: иначе клиенты «ищут» \server по внешним резолверам и не находят.
Если у вас AD — позвольте порты Kerberos/LDAP/SMB из VPN-пула к DC.

9.2. SMB/принтеры

Откройте TCP 445/139 на файловик и принт-сервер, но только из VPN-пула.
Включите подписывание SMB, отключите устаревший SMB1.

9.3. VoIP

Для IP-телефонов по VPN стабилизируйте MTU и отключите «тяжёлые» профили шифрования клиенты-к-клиентам — шифруется туннелем.

10. Производительность: как выжать максимум

Не шифруйте «всё подряд»: делайте split-tunnel; так видеоконференции и обновления не забивают туннель.
Храните ключи в памяти, избегайте лишних перезагрузок демона (persist-*).
Включайте аппаратные ускорения, если они есть; держите прошивку маршрутизатора свежей.
Логи — в «инфо», а не «дебаг»: иначе на высоких скоростях запись логов «съедает» CPU.

11. Безопасность: не только шифр, но и процесс

Раз в полгода переиздавайте клиентские сертификаты; уволили сотрудника — внесите сертификат в CRL и разверните новую сборку профилей.
Включите двухфакторную защиту на админ-учётку маршрутизатора и в облаке.
Храните CA офлайн, не на маршрутизаторе.
Никогда не рассылайте .ovpn в мессенджерах — используйте защищённые каналы/почту с шифрованием или портал с разовой ссылкой.

12. Эксплуатация и отказоустойчивость

Мониторинг: графики нагрузки, задержки до ключевых сервисов; алерты в мессенджер при падении туннеля.
Резервирование: Dual-WAN (основной проводной + LTE); периодический health-check.
Бэкапы конфигураций: экспортируйте настройки маршрутизатора и OpenVPN-сервера, храните вне офиса.
Обновления: ставьте прошивки в «тихие» часы, держите changelog.
Тест аварий: раз в месяц «рвите» основной канал — проверьте, что VPN уходит на резерв и возвращается.

13. Пошаговый «пуск» под ключ (конспект для инженера)

Спроектировать адреса и топологию, определить «кто сервер».
Получить белый IP или поднять VPS; завести DDNS.
Выпустить CA/сертификаты/CRL, подготовить профили.
На TP-Link: включить сервер/клиент OpenVPN, загрузить ключи, выставить UDP/порт/пулы, push-маршруты.
Настроить брандмауэр и ACL: минимум прав, запрет всего лишнего.
Подключить пилотного пользователя, проверить доступ к нужным ресурсам.
Поднять site-to-site (если нужно), проверить двустороннюю маршрутизацию.
Раздать профили пользователям, краткий гайд по подключению.
Включить мониторинг, алерты, расписание бэкапов.
Оформить регламент: кто заводит/отзывает доступы, как обновляем, как действуем при инцидентах.

Частые проблемы и быстрые решения

15. Мини-гайд для пользователей (раздел в корпоративной вики)

Скачайте клиент OpenVPN (настольный/мобильный).
Импортируйте .ovpn двойным кликом или через «Импорт».
Подключайтесь только из доверенных сетей, не с общедоступного Wi-Fi без VPN.
Если связь пропала — проверьте Интернет без VPN, затем перезапустите клиент.
Не передавайте файл профиля третьим лицам; потеряли ноутбук — сразу сообщите в IT для отзыва сертификата.

16. Короткий пример набора серверных опций (для ориентира)

port 1194
proto udp
dev tun
server 10.8.0.0 255.255.255.0
topology subnet
tls-crypt ta.key
cipher AES-256-GCM
data-ciphers AES-256-GCM:AES-128-GCM
auth SHA256
dh none
ecdh-curve prime256v1
keepalive 10 120
persist-key
persist-tun
user nobody
group nogroup
push "route 192.168.10.0 255.255.255.0"
push "dhcp-option DNS 192.168.10.10"
explicit-exit-notify 1
; ccd + iroute для филиалов

А на клиенте филиала добавьте route 192.168.10.0 255.255.255.0 (если сервер не пушит) и корректный remote YOUR_SERVER_IP 1194 udp.

17. Итоги

Определите топологию и кто у вас «центр».
Выберите TP-Link под нужный режим (сервер/клиент) и требуемую нагрузку; для LTE — предусмотреть внешнюю MIMO-антенну и Dual-WAN.
Выпустите сертификаты, соберите профили, включите строгие ACL и брандмауэр.
Отладьте MTU/UDP и всегда держите TCP-профиль «на всякий случай».
Делайте мониторинг, бэкапы и регулярно ревизуйте доступы.

С таким фундаментом OpenVPN будет не «чёрным ящиком», а предсказуемым и устойчивым мостом между офисами, филиалами и людьми — где бы они ни находились.

Назад к списку