VPN i bezpieczny dostęp zdalny do zasobów firmy

Praca zdalna wymaga bezpiecznego dostępu do zasobów firmowych spoza biura — VPN zapewnia to połączenie, chroniąc jednocześnie firmowe dane przed dostępem z zewnątrz.

Objaw

Zgłoszenia dotyczą firm wdrażających pracę zdalną dla pracowników, potrzebujących bezpiecznego dostępu do plików firmowych, programów sprzedażowych (jak Subiekt czy WAPRO) oraz innych zasobów, które dotychczas były dostępne wyłącznie z biura.

Możliwe przyczyny

Zamiast usterki, ten punkt opisuje typowe powody wdrożenia: rozwój pracy zdalnej lub hybrydowej w firmie, potrzeba bezpiecznego dostępu dla pracowników w podróży służbowej, oraz konieczność ograniczenia ryzyka związanego z otwartym udostępnianiem zasobów firmowych bezpośrednio do internetu.

Co robimy

Konfigurowane jest połączenie VPN, umożliwiające bezpieczne połączenie z zasobami firmy spoza siedziby, szyfrujące cały ruch między urządzeniem pracownika a siecią firmową. Wdrażany jest też pulpit zdalny do komputera pozostawionego w biurze, jeśli to wygodniejsze rozwiązanie dla konkretnego stanowiska. Konfigurowany jest dostęp do Subiekta, WAPRO i plików firmowych z domu, wraz z odpowiednim zabezpieczeniem stanowisk pracy zdalnej.

Ile to trwa

Konfiguracja VPN dla pojedynczego pracownika to zwykle sprawa jednej sesji. Wdrożenie dla całego zespołu zależy od liczby stanowisk i ustalane jest indywidualnie.

Co można zrobić samemu, zanim przyjedzie serwisant

Warto przygotować listę pracowników wymagających dostępu zdalnego oraz określić, do jakich konkretnie zasobów firmowych będą potrzebowali dostępu spoza biura.

Czego nie robić: nie warto udostępniać zasobów firmowych bezpośrednio do internetu „dla wygody", bez odpowiedniego zabezpieczenia przez VPN — to bezpośrednie ryzyko dla bezpieczeństwa danych firmowych.

Warunki

Konfiguracja VPN wyceniana jest indywidualnie, zależnie od liczby pracowników objętych dostępem zdalnym.

Warianty wdrożenia bezpiecznego dostępu zdalnego w infrastrukturze biurowej

Dostęp zdalny do zasobów przedsiębiorstwa można zrealizować na kilka sposobów, dobierając architekturę do specyfiki używanych aplikacji, liczby pracowników oraz parametrów łącza internetowego w siedzibie firmy.

VPN typu Client-to-Site (połączenie stacja robocza–brama sieciowa) — oprogramowanie klienckie zainstalowane na komputerze pracownika tworzy szyfrowany tunel z routerem brzegowym lub serwerem VPN w biurze. Po zestawieniu połączenia komputer zdalny staje się logicznym elementem sieci LAN (Local Area Network – lokalna sieć komputerowa łącząca urządzenia w biurze), uzyskując przypisany wewnętrzny adres IP.
VPN typu Site-to-Site (stałe połączenie sieć–sieć) — rozwiązanie wykorzystywane do stałego łączenia oddalonych placówek, na przykład siedziby głównej firmy z magazynem, punktem handlowym lub drugim biurem. Tunel tworzony jest bezpośrednio między routerami brzegowymi w obu lokalizacjach, dzięki czemu komputery w obu sieciach komunikują się ze sobą bez konieczności instalacji dodatkowego oprogramowania na stacjach roboczych.
Dostęp hybrydowy: VPN w połączeniu z RDP (Remote Desktop Protocol – protokół zdalnego pulpitu w systemach Windows) — model, w którym pracownik nawiązuje szyfrowane połączenie VPN z siecią firmową, a następnie loguje się do sesji pulpitu zdalnego na komputerze stacjonarnym lub serwerze terminalowym w biurze. Wszystkie operacje obliczeniowe i baza danych przetwarzane są lokalnie na sprzęcie biurowym, a przez łącze internetowe przesyłany jest wyłącznie skompresowany obraz ekranu oraz ruch myszy i klawiatury.
Szyfrowany dostęp do serwerów plików i pamięci masowych NAS (Network Attached Storage – dysk sieciowy podłączony bezpośrednio do sieci lokalnej) — konfiguracja uprawnień i bezpiecznych protokołów transmisji, umożliwiająca bezpośrednie mapowanie dysków sieciowych w systemie operacyjnym pracownika zdalnego.

Różnica między bezpośrednim połączeniem VPN a sesją RDP przy programach sprzedażowych i magazynowych

Wielu użytkowników zakłada, że zestawienie prostego tunelu VPN wystarczy do wygodnej pracy z programami takimi jak Subiekt GT, Subiekt nexo, WAPRO Mag czy Symfonia z domu. W praktyce istnieje zasadnicza różnica w działaniu aplikacji bazodanowych w sieci lokalnej i przez internet.

Systemy magazynowo-księgowe oparte są na silnikach relacyjnych baz danych, najczęściej Microsoft SQL Server (oprogramowanie do zarządzania bazami danych). Podczas generowania dokumentów, przeglądania kartotek towarowych czy tworzenia raportów aplikacja kliencka przesyła do serwera setki zapytań na sekundę. W sieci lokalnej w biurze, gdzie opóźnienia sieciowe (ping – czas potrzebny na przesłanie pakietu danych do odbiorcy i powrót) wynoszą poniżej 1 milisekundy, a przepustowość sięga 1 Gb/s (gigabit na sekundę), program działa bez opóźnień.

W przypadku pracy z domu przez tunel VPN opóźnienia łącza internetowego wynoszą od kilkunastu do kilkudziesięciu milisekund. Uruchomienie programu magazynowego bezpośrednio na laptopie domowym przez sam VPN sprawia, że każda operacja wymaga wielokrotnego oczekiwania na pakiety danych, co powoduje znaczne spowolnienie pracy. Ponadto chwilowe zerwanie połączenia domowego Wi-Fi w trakcie zatwierdzania faktury może doprowadzić do uszkodzenia indeksów i niespójności w tabelach bazy danych.

Z tego względu standardem dla systemów ERP (Enterprise Resource Planning – zintegrowane systemy do zarządzania zasobami przedsiębiorstwa) jest model hybrydowy: najpierw następuje zestawienie bezpiecznego tunelu VPN, a wewnątrz niego uruchamiana jest sesja RDP do komputera w biurze. Program sprzedażowy komunikuje się wówczas z bazą danych przez szybką sieć lokalną w biurze, co eliminuje ryzyko uszkodzenia danych i gwarantuje pełną płynność pracy.

Protokoły szyfrowania i technologie stosowane przy budowie bezpiecznego VPN

Dobór właściwego protokołu komunikacyjnego decyduje o stabilności łącza, obciążeniu procesora w urządzeniach sieciowych oraz poziomie odporności na próby przechwycenia ruchu. W instalacjach firmowych wykorzystuje się sprawdzone rozwiązania:

WireGuard — nowoczesny protokół tunelowania charakteryzujący się zwięzłą strukturą kodu oraz bardzo wysoką wydajnością. Wykorzystuje zaawansowane algorytmy kryptograficzne (takie jak ChaCha20 do szyfrowania danych i Curve25519 do wymiany kluczy). Zapewnia szybkie nawiązywanie połączenia i płynne przełączanie między sieciami Wi-Fi a łączem komórkowym bez zrywania sesji.
OpenVPN — popularny protokół otwartoźródłowy oparty na bibliotece OpenSSL (zestaw narzędzi do obsługi protokołów kryptograficznych SSL/TLS). Może pracować w trybie UDP (User Datagram Protocol – szybszy protokół bezpołączeniowy) lub TCP (Transmission Control Protocol – protokół z kontrolą dostarczania pakietów). Umożliwia trasowanie ruchu na standardowym porcie 443 wykorzystywanym przez szyfrowane strony WWW, co ułatwia omijanie restrykcyjnych zapór sieciowych w hotelach i sieciach publicznych.
IPsec / IKEv2 (Internet Protocol Security z protokołem Internet Key Exchange w wersji 2) — standard powszechnie stosowany w urządzeniach klasy korporacyjnej, szczególnie przy stałych połączeniach Site-to-Site. Oferuje sprzętową akcelerację szyfrowania w routerach sieciowych oraz stabilną obsługę wielu jednoczesnych połączeń.
SSTP (Secure Socket Tunneling Protocol) — protokół zintegrowany ze środowiskiem Windows, wykorzystujący bezpieczny kanał SSL/TLS na porcie 443, co gwarantuje wysoką zgodność z systemami biurowymi.

Podczas wdrożenia dobierany jest również model trasowania ruchu. W trybie split tunneling (dzielone tunelowanie) przez zaszyfrowany tunel do biura trafiają wyłącznie pakiety skierowane do wewnętrznych adresów firmowych, natomiast przeglądanie stron internetowych i transmisje wideo odbywają się przez bezpośrednie łącze domowe pracownika, co zapobiega obciążaniu łącza biurowego. W trybie full tunneling (pełne tunelowanie) cały ruch sieciowy z komputera pracownika przechodzi przez firmową zaporę sieciową, co umożliwia pełną kontrolę nad bezpieczeństwem i filtrowaniem treści.

Typowe błędy i zagrożenia przy samodzielnej konfiguracji dostępu zdalnego

Próby uruchomienia pracy zdalnej bez przygotowania odpowiedniej infrastruktury zabezpieczeń często stwarzają bezpośrednie zagrożenie dla poufności i integralności danych przedsiębiorstwa. Najczęstsze nieprawidłowości obejmują:

Wystawienie portu RDP (port 3389) bezpośrednio do internetu poprzez przekierowanie portów (port forwarding) na routerze — to jedna z najpoważniejszych luk w bezpieczeństwie. Publicznie otwarty port RDP jest w ciągu kilku minut wykrywany przez automatyczne skanery sieciowe, co prowadzi do zmasowanych ataków typu brute-force (masowe sprawdzanie kombinacji haseł). Skutkiem takiego włamania bywa zainstalowanie złośliwego oprogramowania typu ransomware (programy szyfrujące pliki dla okupu) i zablokowanie wszystkich serwerów oraz stacji roboczych w firmie.
Brak uwierzytelniania wieloskładnikowego (MFA / 2FA – Multi-Factor Authentication) — stosowanie wyłącznie pojedynczego hasła stwarza ryzyko przejęcia dostępu w przypadku wycieku poświadczeń, ataku phishingowego (podszywanie się pod zaufane instytucje w celu wyłudzenia danych) lub zainfekowania komputera pracownika keyloggerem (program rejestrujący znaki wpisywane z klawiatury). Wdrożenie MFA wymaga dodatkowego potwierdzenia logowania kodem jednorazowym z aplikacji lub klucza fizycznego.
Brak segmentacji sieci biurowej i izolacji VLAN (Virtual Local Area Network – wirtualna sieć lokalna) — brak ograniczenia uprawnień sieciowych powoduje, że komputer zdalny ma wgląd w całą przestrzeń adresową biura, w tym w panele zarządzania urządzeniami sieciowymi, rejestratory monitoringu czy stacje robocze innych działów. W razie zainfekowania prywatnego laptopa pracownika szkodliwe oprogramowanie może swobodnie przemieszczać się po infrastrukturze firmy.
Stosowanie niesprawdzonych, darmowych aplikacji do zdalnego pulpitu — oprogramowanie bez centralnej kontroli administracyjnej może przesyłać ruch przez niezweryfikowane serwery pośredniczące i nie spełnia wymogów ochrony danych osobowych oraz tajemnicy przedsiębiorstwa.

Kiedy VPN nie jest konieczny lub wymaga zastosowania innego rozwiązania

Chociaż wirtualna sieć prywatna stanowi podstawowy mechanizm bezpiecznej komunikacji, istnieją scenariusze, w których stosuje się inne podejście:

Firmy korzystające wyłącznie z oprogramowania w modelu SaaS (Software as a Service – oprogramowanie jako usługa w chmurze) — jeśli cała praca biurowa, system CRM (Customer Relationship Management – oprogramowanie do zarządzania relacjami z klientami), poczta oraz obieg dokumentów działają w certyfikowanych chmurach dostępnych przez przeglądarkę, budowa tunelu VPN do biura nie jest wymagana. W tym przypadku bezpieczeństwo opiera się na politykach tożsamości, dostępie warunkowym oraz obowiązkowym MFA.
Praca z bardzo dużymi plikami multimedialnymi (obróbka wideo wysokiej rozdzielczości, modelowanie 3D) — bezpośrednie otwieranie i renderowanie plików o rozmiarach kilkunastu gigabajtów przez łącze internetowe via VPN bywa nieefektywne ze względu na ograniczenia prędkości wysyłania u dostawców internetu. W takim układzie prace graficzne wykonuje się bezpośrednio na stacji roboczej w biurze, sterując nią zdalnie przez protokoły zoptymalizowane pod kątem niskich opóźnień obrazu.
Tymczasowe udostępnianie pojedynczych materiałów podmiotom zewnętrznym — przyznawanie dostępu VPN zewnętrznym audytorom czy podwykonawcom stwarza nadmiarowe uprawnienia. W takich przypadkach stosuje się izolowane foldery wymiany danych z automatycznym terminem wygaśnięcia uprawnień.

Często zadawane pytania dotyczące bezpiecznego VPN i dostępu zdalnego

Czy po połączeniu przez VPN pracownik widzi wszystkie urządzenia w biurze?

Dostęp jest precyzyjnie konfigurowany za pomocą reguł zapory ogniowej (firewall – mechanizm filtrujący pakiety sieciowe). Pracownik może mieć dostęp wyłącznie do jednego wyznaczonego serwera bazodanowego, udziału sieciowego lub swojego komputera biurowego, bez możliwości skanowania pozostałych urządzeń w sieci.

Jakie wymagania musi spełniać łącze internetowe w biurze, aby obsłużyć VPN?

Podstawowym warunkiem jest posiadanie publicznego adresu IP — optymalnie stałego (statyczny adres IP przypisany na stałe przez operatora telekomunikacyjnego). W przypadku zmiennego adresu IP wdrażana jest usługa DDNS (Dynamic Domain Name System – usługa wiążąca zmienny adres IP ze stałą nazwą domenową). Ważnym parametrem jest także prędkość wysyłania danych (upload / upstream) łącza w biurze. Dla pracy terminalowej RDP zapotrzebowanie wynosi od 1 do 3 Mb/s na jednego aktywnego pracownika, natomiast przy częstym kopiowaniu dużych plików z serwera plików zalecane jest łącze o wyższej przepustowości.

Czy do wdrożenia VPN w firmie niezbędny jest serwer dedykowany?

W mniejszych strukturach rolę serwera VPN może pełnić odpowiednio zabezpieczony router brzegowy obsługujący protokoły WireGuard, OpenVPN lub IPsec, bądź serwer dyskowy NAS. Dedykowany serwer z systemem operacyjnym Windows Server lub Linux jest wdrażany w przypadku większej liczby użytkowników lub konieczności integracji z usługami katalogowymi Active Directory (baza zarządzająca kontami i uprawnieniami w domenie Windows).

Co dzieje się w sytuacji, gdy pracownikowi w domu przerwie się połączenie internetowe?

W architekturze hybrydowej (VPN z sesją RDP) zerwanie połączenia domowego nie powoduje utraty wprowadzanych danych ani przerwania operacji bazodanowych. Program na komputerze w biurze pozostaje otwarty. Po ponownym nawiązaniu połączenia internetowego i zalogowaniu się do tunelu VPN pracownik natychmiast wraca do otwartego okna programu sprzedażowego dokładnie w tym samym stanie.

Czy pracownicy mogą bezpiecznie logować się do biura z prywatnych komputerów?

Jest to dopuszczalne pod warunkiem zachowania odpowiednich reguł separacji. Na komputerze prywatnym blokuje się możliwość mapowania lokalnych dysków domowych i przenoszenia schowka do sesji firmowej, co uniemożliwia przypadkowe przeniesienie złośliwego oprogramowania z urządzenia domowego na serwer firmowy.

Konfiguracja i zabezpieczenie infrastruktury dostępu zdalnego na miejscu w firmie

Prawidłowe wdrożenie tuneli VPN, segmentacji sieci oraz bezpiecznych sesji pulpitu zdalnego pozwala na stabilną pracę poza biurem bez narażania danych firmy na wyciek lub zaszyfrowanie. Realizujemy pełną konfigurację routerów brzegowych, certyfikatów kryptograficznych, zapór ogniowych oraz stacji roboczych z bezpośrednim dojazdem do firm na terenie Warszawy i okolicznych powiatów, dopasowując architekturę sieciową do specyfiki używanych systemów księgowych i magazynowych.

22 378 48 09