Объединили офисы в одну защищённую сеть: MikroTik + WireGuard

Задача

У строительной компании — головной офис и несколько подразделений: филиалы, склады, офисы прямо на объектах. Раньше каждая точка жила сама по себе: документы пересылали почтой и возили на флешках, доступа к 1С и общим файлам с объекта не было, а там, где был, — через проброшенный наружу порт, то есть через дыру в безопасности.

Нужно было связать все площадки в одну сеть, дать прорабам, сметчикам и руководству безопасный доступ с ноутбуков и планшетов прямо с объектов — и обойтись без дорогого VPN-железа.

Что сделали

Развернули два контура на WireGuard поверх уже стоящих в офисах роутеров MikroTik.

Офисы между собой. На каждой площадке — MikroTik, между ними подняты зашифрованные туннели WireGuard. Все офисы собраны в единое адресное пространство: 1С, файловый сервер, корпоративная почта и Битрикс24 доступны из любого подразделения так, будто все сидят в одном здании. Маршрутизацией между подсетями занимаются сами роутеры.

Сотрудники. Каждый получает персональный профиль WireGuard на ноутбук или телефон — подключение по одному QR-коду. С объекта, из дома или с мобильного интернета человек оказывается в корпоративной сети. У каждого устройства — свой ключ.

Почему это безопасно

Наружу смотрит единственный UDP-порт WireGuard — внутренние сервисы (1С, файлы, почта, CRM) в интернет не выставлены вообще, сканировать и брутфорсить попросту нечего. WireGuard использует современную криптографию (ChaCha20-Poly1305, ключи Curve25519), у каждого офиса и каждого сотрудника ключ свой. Потерялся ноутбук или уволился человек — отзываем один ключ за минуту, остальных это не касается.

Почему это надёжно

WireGuard встроен в RouterOS и работает на уровне ядра: минимум накладных расходов, туннели держатся стабильно даже на «капризном» интернете объектов и на LTE. Поддерживается роуминг — когда у прораба Wi-Fi переключается на мобильную сеть, соединение подхватывается само, без ручного переподключения. Всё управляется централизованно на MikroTik, без облачных посредников и абонентской платы за VPN.

Результат

• Все офисы и объекты — одна сеть, общие файлы, 1С и Битрикс24 доступны отовсюду.
• Сотрудники работают удалённо с любого устройства и безопасно.
• Ни одного внутреннего сервиса, торчащего в интернет.
• Без затрат на отдельные VPN-шлюзы — на том оборудовании, что уже стоит в офисах.