Связать офисы и ЦОД
Нужны совместимые шлюзы, маршрутизация, управление ключами, резервирование и проверка пропускной способности.
Сравнить возможности →КОРПОРАТИВНЫЙ ДОСТУП / VPN
Российские VPN и криптошлюзы
Как выбрать решение для связи офисов и удалённой работы: сценарии, состав поставки и требования к замене Cisco AnyConnect и Check Point VPN.
9 решений · Документы проверены 1 октября 2026
Для сетей и ресурсов организации.
Что такое VPN и криптошлюз
VPN создаёт защищённое соединение через другую сеть. Криптошлюз защищает трафик между сетями или принимает подключения пользователей — в зависимости от архитектуры и компонентов. В этой подборке есть также решения для отдельных веб-приложений: их область доступа нужно отличать от сетевого туннеля.
Что нужно подключить?
Подключить сотрудников
Проверьте клиентские ОС, MFA, выдачу адресов, доступ к приложениям и работу при смене сети.
Сравнить возможности →Открыть веб-приложение
Уточните, используется ли браузер или отдельный клиент, какие приложения поддерживаются и где завершается TLS.
Сравнить возможности →Собственный криптошлюз или VPN как услуга?
Сначала выберите, кто будет обслуживать защищённое соединение. Покупка шлюза и подключение услуги провайдера дают разные границы ответственности.
- Собственная инфраструктура. Вы определяете оборудование на обеих площадках, управляете ключами, обновлениями и резервированием. В смету включите внедрение и работу администраторов.
- Подключение к облаку. Уточните, какой шлюз обслуживает провайдер, кто настраивает вашу сторону и какие модели совместимы. Услуга не обязательно включает оборудование в вашем офисе.
- Удалённые сотрудники. Помимо серверной стороны понадобятся совместимые клиенты, управление рабочими местами и условия их лицензирования. Межофисный канал сам по себе этого не обеспечивает.
Например, Selectel разделяет ГОСТ VPN между площадками и ГОСТ VPN для удалённого доступа. Для межсетевого подключения провайдер настраивает оборудование на своей стороне; внешняя площадка остаётся отдельной зоной ответственности. Это пример модели услуги, а не десятый продукт в таблице.
Full tunnel или split tunnel: куда пойдёт трафик сотрудника
При полном туннелировании (full tunnel) маршрут по умолчанию направляют через VPN. При раздельном (split tunnel) через него идут выбранные сети, а остальной трафик использует обычное подключение. Проверьте исключения и IPv4/IPv6: одно название режима не доказывает, что весь трафик проходит через корпоративный шлюз.
- Полный туннель. Учтите нагрузку на канал и шлюз, доступ к внешним сервисам и поведение при разрыве VPN. Прохождение трафика через шлюз не означает, что на нём настроена необходимая фильтрация.
- Раздельный туннель. Зафиксируйте корпоративные сети и исключения. Доступ к внешним ресурсам вне туннеля не проходит через защитные средства корпоративного VPN-шлюза.
- DNS — отдельная настройка. Решите, какой сервер разрешает внутренние имена и что происходит с остальными запросами. Split tunnel и Split DNS не являются одним и тем же переключателем.
Примеры: маршрутизация VPN в Windows и Split DNS в OpenVPN Access Server 3.1.0+. Параметры этих реализаций не переносятся автоматически на другие клиенты.
Site-to-site VPN: пример соединения двух площадок
Site-to-site VPN соединяет сети через шлюзы на их границах. В учебном примере сотрудники офиса обращаются к приложению в ЦОД. Пользовательский VPN-клиент на каждом рабочем месте для этой схемы не показан; удалённый доступ сотрудников рассматривается отдельно.
- ОфисСеть 10.10.0.0/24
Рабочие места → шлюз А - VPN-туннельШлюз А ↔ шлюз Б
Канал связи между площадками - ЦОДСеть 10.20.0.0/24
Шлюз Б → приложение
Адреса условные. Туннель не задаёт автоматически права доступа ко всем узлам ЦОД: разрешённые сервисы и направления соединений нужно определить отдельно. На схеме не показаны резервные шлюзы, дополнительные маршрутизаторы и средства фильтрации.
Что согласовать до настройки
- Сети и маршруты. Перечислите адресные диапазоны обеих сторон и путь ответного трафика. Если адреса пересекаются, сначала спроектируйте перенумерацию или поддерживаемое преобразование адресов; не добавляйте одинаковые префиксы вслепую.
- Совместимость шлюзов. Сверьте версии, поддерживаемые протоколы, способы аутентификации и параметры соединения. Наличие слова IPsec в двух спецификациях ещё не подтверждает совместимость выбранных настроек.
- Разрешённые связи. Запишите источник, получатель, сервис, направление и владельца правила. Административный доступ оформите отдельно от пользовательского.
- Эксплуатацию. Назначьте ответственных за каждую сторону, обновление ключевого материала, мониторинг и восстановление соединения.
Например, руководство Azure по site-to-site VPN отдельно проверяет адресные пространства и настройки подключения. Это пример реализации; условия Azure не переносятся автоматически на российские шлюзы.
Когда схему можно считать проверенной
Выполните разрешённую операцию приложения в обе стороны там, где это предусмотрено заданием. Затем проверьте запрет доступа к ресурсу вне согласованного перечня. Зафиксируйте маршрут, журналы и результат при разрыве основного канала; переключение на резерв проверяйте только если оно входит в проект. Статус «туннель поднят» сам по себе не подтверждает работоспособность приложения и разграничение доступа.
Проверить маршруты, DNS и доступ к приложению → · Сравнить решения для связи площадок →
Подбор под задачу
С чего начать выбор решения?
Выберите задачу и требования. Покажем документированные основания и вопросы для пилота.
Решения этого класса
Названия расположены по алфавиту. Нажмите на плитку, чтобы увидеть область проверки.
Российские криптошлюзы: сравнение подходов
| Сценарий | Компоненты | Что сравнить |
|---|---|---|
| Межплощадочный VPN | Шлюзы на площадках; управление и PKI зависят от поставки. | Маршрутизация, NAT, криптопрофиль, HA, производительность. |
| Клиентский VPN | Шлюз и совместимый клиент; могут требоваться отдельные лицензии. | ОС, MFA, сертификаты, адресация, раздельный или полный туннель. |
| Защита веб-доступа | Прокси или портал, иногда отдельный клиент. | Поддерживаемые приложения, TLS, идентификация и граница доступа. |
В полной таблице сведены ViPNet Coordinator HW 5, Континент 3.9, С-Терра Шлюз 5.0, ЗАСТАВА-Офис 8, ФПСУ-IP, Dionis-NX, Рутокен VPN Enterprise, КриптоПро NGate и Inter-PRO. Последний описан как защита веб-приложений, поэтому не считается автоматически заменой межплощадочного шлюза.
Перейти к сравнению возможностей →Версии и состав решений
Dionis-NX
Руководство по настройке ПО 2.0-2. Dionis DPS и NXe отдельно не проверялись.
Сетевой шлюз с описанными VPN-настройками и резервированием; возможности соседних продуктов линейки не подменяют документацию NX.
Сравнить возможности →Inter-PRO
Описание Inter-PRO Server и Client. Точный номер релиза не установлен; число в URL не считается версией.
Защита веб-приложений через HTTP-прокси и TLS. Сетевой VPN между площадками этой страницей не подтверждён.
Сравнить возможности →ViPNet Coordinator HW 5
HW 5; на странице указан релиз 5.3.2. VA и IG отдельно не оценивались.
Аппаратный криптошлюз. Возможности других исполнений ViPNet нельзя автоматически переносить на HW.
Сравнить возможности →ЗАСТАВА-Офис 8
Функциональные характеристики Офис 8; Управление и Клиент — отдельные компоненты.
IPsec-шлюз с централизованными политиками, журналированием и описанным отказоустойчивым исполнением.
Сравнить возможности →Континент 3.9
Руководства 3.9. Возможности Континент 4 и отдельных исполнений сюда не перенесены.
Криптошлюзы с центром управления; удалённый доступ требует сервера доступа и абонентского компонента.
Сравнить возможности →КриптоПро NGate
Руководство ЖТЯИ.00104-02 92 01 R2; серверная сборка не установлена. Клиентское руководство — 1.0 R2.
Удалённый VPN-доступ и отдельный браузерный сценарий. Лицензии, балансировщики и восстановление PKI зависят от конфигурации.
Сравнить возможности →Рутокен VPN Enterprise
Текущая версия Enterprise не установлена. Найденное руководство VPN относится к 2019 году.
Требуется подтвердить актуальную коммерческую поставку и состав Enterprise. Свойства токенов Рутокен не доказывают функции VPN.
Сравнить возможности →С-Терра Шлюз 5.0
Сценарий 5.0: Шлюз, Клиент, Клиент А и ГСУ. Это пример настройки, не испытание SecRadar.
Шлюз и отдельные клиентские компоненты; в опубликованном сценарии есть централизованное управление и RADIUS.
Сравнить возможности →ФПСУ-IP
Руководство по эксплуатации ФПСУ-IP Amigo 4.0 (2023). Ветки 4.0.1, 4.0.2Q и beta на портале различаются.
Аппаратный комплекс защиты каналов; при подборе важно зафиксировать ветку ПО и совместимые клиентские компоненты.
Сравнить возможности →Чем заменить Cisco AnyConnect и Check Point VPN
Начните с требований к существующему доступу. Замена клиентского VPN потребует больше, чем выбора криптошлюза: проверьте идентификацию, политики, выдачу сертификатов и работу бизнес-приложений.
- Опишите доступ. Площадки, пользователи, приложения, маршруты, DNS и NAT; полный или раздельный туннель.
- Зафиксируйте устройства. ОС и архитектуры, мобильные клиенты, права на установку и централизованное обновление.
- Проверьте идентификацию. Существующие PKI, LDAP/RADIUS, MFA, отзыв сертификатов и потеря устройства.
- Согласуйте эксплуатацию. Лицензии, HA, журналы, backup ключей и конфигурации, обновление и откат.
- Проведите пилот. Измерьте нагрузку и переключение, проверьте приложения и заранее подготовьте возврат к прежней схеме.
Протокол, алгоритм и запись в реестре не гарантируют совместимость двух продуктов. Для закупки запрашивайте документы именно на выбранные версию и исполнение.
Какие требования включить в запрос поставщику
Если требуются ГОСТ-алгоритмы «Кузнечик» или «Магма», класс СКЗИ КС1 / КС2 / КС3, сертификация ФСБ или ФСТЭК, запросите документы на точное исполнение и проверьте область их действия. Для КИИ и госсектора требования определяют по конкретной системе; принадлежность к классу VPN сама по себе не подтверждает соответствие.
Поддержку «Авроры», других мобильных ОС и российских дистрибутивов Linux фиксируйте с номерами версий. При замене VPN-функций Fortinet отделите требования к защищённому каналу от функций NGFW. Для Zscaler и Palo Alto Prisma Access сначала проверьте, требуется ли вам VPN, ZTNA или облачный сервис доступа: названия этих категорий не взаимозаменяемы.
Частые вопросы
Чем корпоративный VPN отличается от сервиса VPN для личного использования?
Корпоративное решение соединяет сети организации или предоставляет сотрудникам доступ к её ресурсам. При выборе важны управляемые клиенты, учётные записи, ключи, журналы, отказоустойчивость и поддержка. Подборка не сравнивает потребительские сервисы смены IP-адреса.
Чем отличаются IPsec VPN, TLS-доступ и ZTNA?
IPsec применяется для защиты IP-трафика; TLS может использоваться как для туннеля с клиентом, так и для доступа к отдельному приложению. ZTNA описывает подход к выдаче доступа на основе проверок пользователя, устройства и ресурса. Название протокола само по себе не подтверждает реализацию ZTNA.
Можно ли заменить Cisco AnyConnect или Check Point VPN любым российским криптошлюзом?
Нет. Сначала определяют сценарий, клиентские ОС, способы аутентификации, политики доступа, маршрутизацию и требования к эксплуатации. Нужны совместимые компоненты и испытание на своих приложениях. Совпадение слова VPN не означает прямую замену.
ГОСТ, сертификат и реестр российского ПО — одно и то же?
Нет. Поддержка алгоритмов, сертификация конкретного исполнения и включение программы в реестр — разные сведения. Для закупки проверяйте точное наименование, версию, комплект поставки и применимые условия по официальным документам. Общая карточка линейки недостаточна.