VPN между офисами и бесшовный Wi-Fi на MikroTik

Когда у компании несколько офисов, склад или удалённые сотрудники, рано или поздно возникает задача объединить всё в одну сеть: общий доступ к 1С и файловому серверу, единая телефония, централизованное администрирование. Параллельно в каждом офисе хочется стабильный Wi-Fi, который не обрывается при переходе между кабинетами. Оборудование MikroTik закрывает обе задачи при разумном бюджете.

Зачем объединять офисы в VPN

• сотрудники филиалов работают с центральными серверами так же, как из главного офиса;
• данные между офисами передаются в зашифрованном виде, даже через обычный интернет;
• не нужно открывать в интернет RDP, базы данных и другие внутренние сервисы — главный источник взломов малого бизнеса;
• администратор управляет всей сетью из одной точки.

Какие технологии VPN используем

RouterOS поддерживает несколько протоколов, и выбор зависит от задачи:

• WireGuard (RouterOS 7) — быстрый и простой в настройке, хорошо подходит для связи офисов и подключения удалённых сотрудников;
• IPsec / IKEv2 — стандарт, совместимый с оборудованием других производителей и встроенными VPN-клиентами Windows, macOS, iOS и Android;
• L2TP/IPsec и SSTP — для совместимости со старыми устройствами и сетями, где другие протоколы блокируются.

Для двух-трёх офисов обычно хватает схемы «звезда» — филиалы подключаются к центральному роутеру. Для большего числа площадок настраиваем динамическую маршрутизацию (OSPF), чтобы сеть сама перестраивала маршруты при изменениях.

Резервный канал интернета

Если офис работает с центральными серверами, обрыв интернета останавливает работу. На MikroTik мы подключаем второго провайдера или LTE-модем и настраиваем автоматическое переключение: роутер постоянно проверяет доступность основного канала и при сбое переводит трафик и VPN-туннели на резервный, а затем возвращает обратно.

Бесшовный Wi-Fi

Типичная проблема офисного Wi-Fi — несколько точек доступа, настроенных по отдельности. Ноутбук «держится» за дальнюю точку, связь становится медленной, а при переходе в другой кабинет обрывается звонок или видеоконференция.

Мы решаем это централизованным управлением точками доступа через CAPsMAN: все точки получают единые настройки сети, каналы и мощность подбираются так, чтобы зоны покрытия не мешали друг другу, а на поддерживаемом оборудовании включается быстрый роуминг (802.11r/k/v). В результате устройство переходит между точками незаметно для пользователя.

Гостевая сеть и сегментация

Гостевой Wi-Fi выделяется в отдельную сеть (VLAN) с доступом только в интернет и ограничением скорости — посетители не видят офисные компьютеры и принтеры. По тому же принципу можно отделить IP-телефонию, видеонаблюдение и бухгалтерию.

Безопасность самого роутера

Роутер на границе сети — первая цель атак. Поэтому мы настраиваем межсетевой экран, отключаем неиспользуемые сервисы, разрешаем управление только из внутренней сети или VPN, своевременно обновляем RouterOS и сохраняем резервные копии конфигурации.

Итог

MikroTik позволяет за разумные деньги построить защищённую сеть между офисами, обеспечить резервный канал интернета и сделать Wi-Fi удобным для сотрудников. Главное — грамотная первоначальная настройка и регулярное обслуживание.