VPN доступ через UniFi Identity

Что такое Hassle-Free VPN

Hassle-Free VPN — это функция UniFi Identity, которая автоматизирует весь процесс предоставления VPN-доступа сотрудникам. Вместо ручной настройки VPN-клиентов на каждом устройстве, администратор просто назначает VPN-профиль пользователю, а всё остальное происходит автоматически.

Сравнение с традиционным VPN

Как это работает

Архитектура Hassle-Free VPN состоит из нескольких компонентов, работающих вместе:

┌──────────────────────────────────────────────────────────────────────────┐
│                         UniFi Cloud Identity                             │
│  ┌─────────────────┐  ┌─────────────────┐  ┌─────────────────┐          │
│  │  User Directory │  │   VPN Profiles  │  │   Policy Engine │          │
│  └────────┬────────┘  └────────┬────────┘  └────────┬────────┘          │
│           │                    │                    │                    │
│           └────────────────────┼────────────────────┘                    │
│                                │                                         │
│                         ┌──────▼──────┐                                  │
│                         │  Config Sync │                                 │
│                         └──────┬──────┘                                  │
└────────────────────────────────┼─────────────────────────────────────────┘
                                 │
              ┌──────────────────┼──────────────────┐
              │                  │                  │
              ▼                  ▼                  ▼
     ┌────────────────┐ ┌────────────────┐ ┌────────────────┐
     │   UDM Pro/SE   │ │   Cloud GW     │ │   UXG Pro      │
     │  WireGuard +   │ │   WireGuard    │ │  WireGuard +   │
     │    L2TP/IPsec  │ │                │ │   L2TP/IPsec   │
     └───────┬────────┘ └───────┬────────┘ └───────┬────────┘
             │                  │                  │
             └──────────────────┼──────────────────┘
                                │
                                ▼
              ┌─────────────────────────────────┐
              │     Identity Endpoint App       │
              │  ┌───────┐ ┌───────┐ ┌───────┐ │
              │  │ macOS │ │Windows│ │  iOS  │ │
              │  └───────┘ └───────┘ └───────┘ │
              └─────────────────────────────────┘

Процесс подключения

1. Администратор назначает VPN — выбирает пользователя и активирует VPN-профиль
2. Синхронизация конфигурации — профиль автоматически передаётся на шлюз
3. Уведомление пользователя — сотрудник получает приглашение установить приложение
4. Установка Endpoint App — приложение автоматически настраивает VPN
5. Подключение — VPN активируется одним кликом или автоматически

Требования и подготовка

Требования к оборудованию

Требования к ПО

• UniFi OS — версия 3.2 или выше
• UniFi Network — версия 8.0 или выше
• Identity Enterprise — активная подписка
• Endpoint App — установлен на устройствах пользователей

Чек-лист перед настройкой

• Шлюз добавлен в UniFi Site Manager
• Активирована подписка UniFi Identity Enterprise
• Настроены пользователи в Identity Directory
• Определены подсети для VPN-клиентов
• Настроен DNS-сервер для внутренних ресурсов
• Открыты порты на внешнем файрволе (если применимо)

Настройка VPN на шлюзе

WireGuard Server (рекомендуется)

1. Откройте UniFi Network → Settings → VPN
2. В разделе VPN Server нажмите Create New
3. Выберите тип WireGuard и настройте:
   • Server Address — внутренняя подсеть для VPN-клиентов (например, 10.10.10.1/24)
   • Listen Port — порт для подключений (по умолчанию 51820)
   • DNS Server — DNS для клиентов (можно указать внутренний)
4. Нажмите Apply Changes

L2TP/IPsec Server (для совместимости)

1. В разделе VPN Server нажмите Create New
2. Выберите тип L2TP и настройте:
   • Pre-shared Key — сложный ключ (минимум 20 символов)
   • Server Address — подсеть для L2TP клиентов
   • MS-CHAPv2 — включить для совместимости

Сравнение протоколов

Конфигурация VPN в Identity

Создание VPN-профиля

1. Перейдите в UniFi Identity → VPN
2. Нажмите Create VPN Profile
3. Заполните настройки профиля:
   • Profile Name — понятное название (например, «Офис Москва»)
   • Site — выберите сайт со шлюзом
   • VPN Server — выберите созданный сервер
   • Protocol — WireGuard или L2TP
4. Настройте Split Tunnel (см. раздел ниже)
5. Нажмите Create

Несколько VPN-профилей

Можно создать несколько профилей для разных сценариев:

• Полный доступ — для IT-администраторов (Full Tunnel)
• Офисные ресурсы — для сотрудников (Split Tunnel на внутренние сети)
• Только файлы — для подрядчиков (Split Tunnel только на файловый сервер)

Назначение VPN пользователям

Назначение через группы

1. Перейдите в Identity → Groups
2. Выберите группу (например, «Remote Workers»)
3. Откройте вкладку VPN Access
4. Включите нужные VPN-профили
5. Все члены группы автоматически получат доступ

Индивидуальное назначение

1. Перейдите в Identity → Users
2. Откройте карточку пользователя
3. В разделе VPN Profiles включите нужные профили
4. Сохраните изменения

Identity Endpoint App

Поддерживаемые платформы

• macOS — версия 11 (Big Sur) и выше
• Windows — Windows 10/11
• iOS — версия 15 и выше
• Android — версия 10 и выше (планируется)

Установка приложения

1. Пользователь получает email с приглашением
2. Скачивает приложение Identity Endpoint
3. Входит с учётными данными Identity (или SSO)
4. Приложение автоматически настраивает VPN-профили
5. VPN готов к использованию

Функции приложения

• Auto-connect — автоматическое подключение при старте системы
• Network detection — отключение VPN в доверенных сетях
• Multiple profiles — переключение между профилями
• Status monitoring — отображение статуса и трафика
• Split tunnel indicator — показывает какой трафик идёт через VPN

Split Tunnel конфигурация

Split Tunnel позволяет направлять через VPN только определённый трафик, а остальной — напрямую через локальное подключение пользователя.

Full Tunnel (весь трафик через VPN)

┌─────────────────────────────────────────────────────────────┐
│                     FULL TUNNEL MODE                        │
│                                                             │
│   [Устройство]                                              │
│        │                                                    │
│        ▼                                                    │
│   ┌─────────┐     VPN Tunnel (все пакеты)                  │
│   │   VPN   │━━━━━━━━━━━━━━━━━━━━━━━━━━━━▶ [Корп. сеть]    │
│   │ Client  │                              │               │
│   └─────────┘                              ▼               │
│                                        [Интернет]          │
│                                                             │
│   Преимущества:        Недостатки:                         │
│   ✓ Весь трафик        ✗ Увеличенная латентность           │
│     защищён            ✗ Нагрузка на корп. канал           │
│   ✓ Полный контроль    ✗ Streaming/видеозвонки             │
│   ✓ DLP возможен         могут тормозить                   │
└─────────────────────────────────────────────────────────────┘

Split Tunnel (только корпоративный трафик)

┌─────────────────────────────────────────────────────────────┐
│                    SPLIT TUNNEL MODE                        │
│                                                             │
│   [Устройство]                                              │
│        │                                                    │
│        ├──────────────────────────────────────────────────▶│
│        │         Прямое подключение                        │
│        │         (Интернет, стриминг)        [Интернет]    │
│        │                                                    │
│        ▼                                                    │
│   ┌─────────┐     VPN Tunnel                               │
│   │   VPN   │━━━━━━━━━━━━━━━━━━━━━━━━━━━━▶ [Корп. сеть]    │
│   │ Client  │   (только 10.0.0.0/8,                        │
│   └─────────┘    192.168.0.0/16)                           │
│                                                             │
│   Преимущества:        Недостатки:                         │
│   ✓ Быстрый интернет   ✗ Интернет-трафик не               │
│   ✓ Низкая нагрузка      защищён корп. политиками         │
│   ✓ Отличное качество  ✗ Сложнее контроль                 │
│     видеозвонков                                           │
└─────────────────────────────────────────────────────────────┘

Настройка Split Tunnel

1. Откройте VPN-профиль в Identity
2. В разделе Traffic Routing выберите Split Tunnel
3. Добавьте сети для маршрутизации через VPN:
   • Корпоративная LAN: 10.0.0.0/8
   • Серверная подсеть: 192.168.100.0/24
   • Офисные принтеры: 192.168.50.0/24
4. Опционально добавьте домены для DNS-маршрутизации

Контроль доступа к ресурсам

После подключения по VPN пользователи получают доступ к внутренней сети. Используйте firewall-правила для ограничения доступа.

Настройка правил файрвола

1. Перейдите в Network → Settings → Firewall & Security
2. Создайте правила для VPN-подсети
3. Пример правил:
   • Разрешить VPN → Файловые серверы (порты 445, 139)
   • Разрешить VPN → Внутренний веб (порт 443)
   • Запретить VPN → Серверы БД (порт 3306)
   • Запретить VPN → Management VLAN

Примеры политик доступа

Мониторинг VPN подключений

Активные сессии

Просмотр активных VPN-подключений:

1. Откройте Identity → VPN → Sessions
2. Отображается информация:
   • Имя пользователя и устройство
   • Назначенный IP-адрес
   • Время подключения и длительность
   • Объём переданных данных
   • Используемый протокол

Аналитика использования

В разделе Analytics доступны метрики:

• Количество уникальных пользователей за период
• Среднее время сессии
• Пиковые часы использования
• Объём трафика по пользователям
• Географическое распределение подключений

Журнал событий

Пример записей в логе:

2024-01-15 09:15:23  [CONNECTED]   user: ivan.petrov    IP: 10.10.10.5    Profile: Office-Moscow
2024-01-15 09:16:45  [CONNECTED]   user: anna.sidorova  IP: 10.10.10.6    Profile: Remote-Access
2024-01-15 12:30:00  [DISCONNECT]  user: ivan.petrov    Duration: 3h 14m  TX: 1.2GB  RX: 340MB
2024-01-15 14:22:10  [FAILED]      user: test.user      Error: Invalid credentials

Решение проблем

Не удаётся подключиться

Симптомы: Приложение показывает ошибку подключения

Решение:

1. Проверьте интернет-соединение на устройстве
2. Убедитесь, что VPN-порт открыт (51820/UDP для WireGuard)
3. Проверьте статус VPN-сервера на шлюзе
4. Переустановите Endpoint App

Низкая скорость VPN

Симптомы: Медленный доступ к корпоративным ресурсам

Решение:

1. Переключитесь на WireGuard, если используете L2TP
2. Настройте Split Tunnel для уменьшения трафика через VPN
3. Проверьте загрузку канала на шлюзе
4. Оптимизируйте MTU (по умолчанию 1420 для WireGuard)

Нет доступа к ресурсам после подключения

Симптомы: VPN подключен, но ресурсы недоступны

Решение:

1. Проверьте маршруты в Split Tunnel (все ли сети добавлены)
2. Проверьте firewall-правила для VPN-подсети
3. Убедитесь, что DNS настроен правильно
4. Проверьте, что целевые ресурсы доступны из корпоративной сети

Диагностические команды

Команды для диагностики на шлюзе (SSH):

# Статус WireGuard интерфейса
wg show

# Активные VPN-сессии
cat /proc/net/wireguard/wg0

# Проверка маршрутизации
ip route show table all | grep wg

# Логи VPN
journalctl -u wireguard -f

Заключение

UniFi Identity с функцией Hassle-Free VPN значительно упрощает предоставление удалённого доступа сотрудникам. Автоматическое развёртывание, современные протоколы и централизованное управление делают эту систему отличным выбором для организаций любого размера.

Ключевые преимущества внедрения:

• Сокращение времени onboarding с часов до минут
• Повышение безопасности за счёт централизованного контроля
• Улучшение пользовательского опыта благодаря WireGuard
• Снижение нагрузки на IT-отдел