В 2024 году 78% российских компаний перешли на гибридный формат работы. Каждый удалённый сотрудник — это потенциальная точка входа в корпоративную сеть. Традиционный VPN, созданный в эпоху «все работают из офиса», больше не справляется: он даёт доступ ко всей сети, не проверяет устройства и не масштабируется. За последние 5 лет появились три новые технологии удалённого доступа — ZTNA, SASE и SDP — которые постепенно заменяют классический VPN. В этом обзоре — все современные технологии удалённого доступа, их плюсы, минусы и сценарии применения.
VPN для удалённого доступа: обзор технологий
Эволюция удалённого доступа
Поколение 1: Традиционный VPN (2000-2015)
Принцип: пользователь подключается к VPN-шлюзу и получает доступ ко всей корпоративной сети.
Архитектура: ` Удалённый сотрудник → VPN-туннель → VPN-шлюз → Корпоративная сеть (все ресурсы) `
Проблемы: - Доступ ко всей сети (нарушение принципа минимальных привилегий) - Нет проверки устройства - Сложно масштабируется - Единая точка отказа (VPN-шлюз) - Высокая нагрузка при росте пользователей
Поколение 2: Периметровая безопасность (2010-2020)
Принцип: VPN + файрвол + IDS/IPS на периметре сети.
Архитектура: ` Удалённый сотрудник → VPN-туннель → NGFW → DMZ → Корпоративная сеть `
Улучшения: - Контроль трафика на уровне приложений - Обнаружение вторжений - Фильтрация контента
Проблемы: - Периметр размыт (облака, SaaS, удалённые сотрудники) - Сложность управления - Высокая стоимость
Поколение 3: Zero Trust Network Access — ZTNA (2018-настоящее)
Принцип: «никому не доверяй, проверяй всё». Доступ к конкретным ресурсам, а не к сети.
Архитектура: ` Удалённый сотрудник → ZTNA-контроллер → Проверка (пользователь + устройство + контекст) → Доступ к конкретному ресурсу `
Преимущества: - Гранулярный доступ (к ресурсам, а не к сетям) - Проверка устройства (Device Posture) - Microsegmentation - Скрытие ресурсов (не видны в интернете)
Поколение 4: SASE — Secure Access Service Edge (2020-настоящее)
Принцип: объединение сети (SD-WAN) и безопасности (SWG, CASB, ZTNA, FWaaS) в одном облачном сервисе.
Архитектура: ` Удалённый сотрудник → SASE PoP → Безопасность (ZTNA + SWG + CASB + FWaaS) → Ресурс (облако или on-premise) `
Преимущества: - Единая платформа для сети и безопасности - Глобальная сеть PoP (Points of Presence) - Масштабируемость - Единая политика для всех пользователей
Поколение 5: SDP — Software-Defined Perimeter (2023-настоящее)
Принцип: ресурсы невидимы до аутентификации. «Чёрное облако» — никто не видит ресурс, пока не пройдёт проверку.
Архитектура: ` Удалённый сотрудник → SDP-контроллер → Аутентификация → SDP-шлюз → Ресурс (невидим до аутентификации) `
Преимущества: - Ресурсы невидимы для неавторизованных пользователей - Защита от DDoS, сканирования, brute-force - Микросегментация - Минимальный surface для атак
Сравнение технологий
| Параметр | Традиционный VPN | ZTNA | SASE | SDP |
|---|---|---|---|---|
| Доступ | Ко всей сети | К ресурсам | К ресурсам | К ресурсам |
| Проверка устройства | Нет | Да | Да | Да |
| Масштабируемость | Ограниченная | Хорошая | Отличная | Хорошая |
| Видимость ресурсов | Видны | Скрыты | Скрыты | Скрыты |
| Стоимость | Низкая | Средняя | Высокая | Средняя |
| Сложность | Низкая | Средняя | Высокая | Средняя |
| Интеграция с облаком | Слабая | Хорошая | Отличная | Хорошая |
| Legacy-совместимость | Отличная | Средняя | Средняя | Средняя |
ZTNA: детальный обзор
Что такое ZTNA
Zero Trust Network Access — модель безопасности, при которой каждый запрос на доступ проверяется: кто запрашивает (пользователь), с какого устройства (Device Posture), откуда (геолокация, IP), когда (время), и к чему (ресурс).
Принципы ZTNA
- Никогда не доверяй: каждый запрос проверяется, независимо от местоположения
- Проверяй всё: пользователь, устройство, контекст, поведение
- Минимальные привилегии: доступ только к необходимым ресурсам
- Предполагай нарушение: каждый компромент может быть атакован
- Непрерывная верификация: проверка не только при подключении, но и во время сессии
Реализации ZTNA
Twingate: - Полноценная ZTNA-платформа - Device Posture Check - Интеграция с IdP - Бесплатно до 5 пользователей
NordLayer Premium: - ZTNA + VPN в одном решении - Интеграция с AD - $14/пользователь/мес
Cloudflare Access: - ZTNA на базе глобальной сети Cloudflare - Бесплатно до 50 пользователей - Browser isolation
Zscaler Private Access: - Enterprise ZTNA - Интеграция с Zscaler Internet Access - Цена по запросу
Когда ZTNA лучше VPN
- Сотрудники работают из разных стран
- Ресурсы分布在 разных облаках (AWS, Azure, GCP)
- Нужна проверка устройства
- Compliance-требования к минимальным привилегиям
- Более 50 удалённых сотрудников
Когда VPN лучше ZTNA
- Все ресурсы on-premise в одном офисе
- Legacy-приложения, не поддерживающие ZTNA
- Бюджет ограничен
- Малая команда (до 10 человек)
SASE: детальный обзор
Что такое SASE
Secure Access Service Edge — облачная платформа, объединяющая: - SD-WAN (Software-Defined WAN) — управление сетью - SWG (Secure Web Gateway) — фильтрация веб-трафика - CASB (Cloud Access Security Broker) — безопасность облаков - ZTNA (Zero Trust Network Access) — доступ к ресурсам - FWaaS (Firewall as a Service) — облачный файрвол
Провайдеры SASE
Cisco Umbrella + Meraki: - Интеграция с Cisco-инфраструктурой - SD-WAN + безопасность - Enterprise-класс
Palo Alto Prisma SASE: - NGFW + ZTNA + SD-WAN - Cortex XDR интеграция - Глобальная сеть
Cloudflare One: - CDN + ZTNA + SWG + CASB - Бесплатный базовый план - 300+ городов
Cato Networks: - Первый SASE-провайдер - Глобальная backbone-сеть - Полная SASE-платформа
Когда SASE лучше других решений
- Компания использует несколько облаков
- Сотрудники分布在 разных странах
- Нужна единая платформа для сети и безопасности
- Более 200 удалённых сотрудников
- Бюджет позволяет ($15-30/пользователь/мес)
SDP: детальный обзор
Что такое SDP
Software-Defined Perimeter — архитектура безопасности, при которой ресурсы полностью скрыты от неавторизованных пользователей. Ресурс не отвечает на запросы до прохождения аутентификации и авторизации.
Как работает SDP
- Пользователь отправляет запрос на доступ
- SDP-контроллер проверяет: пользователь, устройство, контекст
- Если проверка пройдена — SDP-шлюз открывает доступ к конкретному ресурсу
- Соединение устанавливается через мутуальную аутентификацию (mTLS)
- Ресурс невидим для всех, кроме авторизованных пользователей
Реализации SDP
ZPA (Zscaler Private Access): - Крупнейший SDP-провайдер - Интеграция с Zscaler Internet Access - Enterprise-класс
AppGate SDP: - Open-source компоненты - Гибкая настройка - Средний бизнес и enterprise
Perimeter 81: - SDP + VPN гибрид - Простая настройка - Средний бизнес
Выбор технологии
Дерево решений
Все ресурсы в одном офисе?
├── Да → Традиционный VPN (Mikrotik, OpenVPN)
└── Нет → Сколько удалённых сотрудников?
├── До 10 → ZTNA (Tailscale, Twingate)
├── 10-100 → ZTNA или SASE (NordLayer, Cloudflare)
└── 100+ → SASE (Cisco, Palo Alto, Cato)Миграция с VPN на ZTNA/SASE
Этап 1: Аудит (2 недели) - Инвентаризация ресурсов - Определение потоков доступа - Выявление legacy-приложений
Этап 2: Пилот (4 недели) - Развёртывание ZTNA/SASE для 10-20 пользователей - Тестирование реальных сценариев - Сравнение с текущим VPN
Этап 3: Параллельная работа (4-8 недель) - ZTNA/SASE для новых пользователей - Существующий VPN для старых - Постепенная миграция
Этап 4: Полная миграция (2-4 недели) - Отключение старого VPN - Все пользователи на ZTNA/SASE - Мониторинг и оптимизация
Стоимость технологий
| Технология | $/пользователь/мес | Инфраструктура | Обслуживание |
|---|---|---|---|
| Традиционный VPN | $0-5 | $0-500 | $0-500/мес |
| ZTNA | $6-18 | $0 | $100-500/мес |
| SASE | $15-30 | $0 | $200-1000/мес |
| SDP | $8-20 | $0 | $200-500/мес |
Часто задаваемые вопросы
Что лучше: VPN или ZTNA?
ZTNA лучше для компаний с распределёнными ресурсами и удалёнными сотрудниками. VPN лучше для малых компаний с ресурсами в одном офисе. Для большинства компаний 2026 года оптимальна ZTNA-платформа.
Что такое SASE простым языком?
SASE — это «всё-в-одном»: VPN + файрвол + фильтрация + контроль облаков + доступ к ресурсам в одном облачном сервисе. Вместо покупки 5 разных продуктов вы получаете одну платформу.
Можно ли использовать VPN и ZTNA одновременно?
Да, многие решения (NordLayer, Cloudflare) поддерживают гибридный режим: VPN для доступа к legacy-ресурсам, ZTNA — к современным. Это позволяет плавно мигрировать.
Какая технология самая безопасная?
SDP считается самой безопасной, потому что ресурсы невидимы до аутентификации. ZTNA — второй по безопасности. Традиционный VPN — наименее безопасный из-за доступа ко всей сети.
Нужен ли SASE для малого бизнеса?
Нет, SASE — overkill для малого бизнеса. Достаточно NordLayer ($9/пользователь/мес) или Tailscale (бесплатно). SASE оправдан для компаний с 200+ сотрудниками и ресурсами в нескольких облаках.
Заключение
Технологии удалённого доступа эволюционировали: от традиционного VPN через ZTNA и SASE к SDP. Выбор зависит от размера компании, распределённости ресурсов и бюджета. Для малых команд — WireGuard или Tailscale. Для среднего бизнеса — ZTNA (Twingate, NordLayer). Для крупного — SASE (Cisco, Palo Alto, Cato). Наш VPN поддерживает современные протоколы и предоставляет готовые решения для удалённого доступа любого масштаба.