Организация безопасной удалённой работы адвокатов с ресурсами офисной сети

В современных условиях мобильность адвоката приобретает всё большее значение — все мы довольно часто работаем за пределами офиса коллегии (в командировках, дома по выходным, во время отпусков и т.п.). Во многих ситуациях, от скорости реакции и надёжности взаимодействия каждого пользователя, зависит результат всего дела.

Повсеместное распространение и доступность портативных компьютеров позволяют каждому работать со всеми ресурсами, находящимися в локальной сети офиса коллегии, из любой точки, где есть доступ к сети Интернет.

Не так давно я уже рассказывал об опыте перевода офисной сети нашей коллегии на Linux. В этой заметке я хочу рассказать, как у нас организован доступ членов коллегии к внутренним офисным ресурсам извне, т.е. из Интернета.

Разумеется, для тех коллег, кто работает индивидуально, по принципу: ”Omnia mea mecum porto”, задача организации удалённой работы может показаться неактуальной просто в силу того, что все свои файлы можно просто взять с собой вместе с рабочим ноутбуком, или просто на флэшке.

Однако, в условиях коллективной работы и необходимости взаимодействия с коллегами в любое время и из любого места, задача становится намного более актуальной, и одновременно более сложной.

Простые и традиционные способы обмена сообщениями и файлами с помощью электронной почты и Skype имеют существенные недостатки:

• Если файлов много, и их объём значителен, то многократная пересылка их нескольким участникам группы становится неудобной. (Представьте себе, что над проектом работают 5 – 6 человек, в работе несколько сотен файлов, и каждый день, изменения вносятся хотя бы в 15 – 20 документов – синхронизация версий всех файлов по электронной почте становится настоящим кошмаром).
• С увеличением количества участников рабочей группы, и общего количества документов, появляется необходимость отслеживания внесённых каждым участником изменений и сравнение версий файлов, что легко сделать на одном компьютере, но весьма проблематично на нескольких, если только они все на работают в рамках единого ресурса, общей технологической площадки.
• Традиционная переписка не позволяет использовать общие онлайновые ресурсы всем участникам группы – каждому приходится позаботиться о собственной “копии”, которые могут устаревшими, уже через секунду после их локального сохранения.

В локальной сети нашей коллегии организовано централизованное хранилище файлов – документов любого формата, размещённое на сетевом RAID-массиве, все рабочая директория которого автоматически монтируется ко всем рабочим станциям в качестве локального каталога.

Таким образом, каждый пользователь может работать со всеми сетевыми ресурсами (файлами) как со своими локальными, благо гигабитная сеть позволяет даже не задумываться, где физически находится сервер. При этом, каждому пользователю видны дата и время последнего изменения файлов, появление новых каталогов и документов, а так же доступны все остальные возможности совместной работы.

Помимо файловых (Samba и FTP) ресурсов, в нашей внутренней сети работает собственный Веб-сервер, на котором запущена наша билинговая система учёта работы всех членов коллегии по всем делам, и расчётов с клиентами – собственная “мини-бухгалтерия”, но не имеющая прямого отношения к собственно бухгалтерскому учёту, который у нас вынесен на аутсортинг.

Так же в сети доступны два принтера и сетевой сканер, а так же десяток видеокамер, которые помимо задачи круглосуточного видеонаблюдения и записи всего происходящего в офисе и на подступах к нему, выполяют так же функцию второй системы сигнализации, т.к. при срабатывании датчиков движения в нерабочее время, могут отправлять оповещения на почту и/или SMS.

Внутренние серверы и периферийные устройства вообще не имеют доступа к интернету, а рабочие станции пользователей защищены брандмауэром, т.е. с них разрешен выход в интернет, однако подключиться к ним из внешней сети невозможно.

Для надёжного и быстрого доступа в интернет мы используем сразу два независимых канала от разных провайдеров, с балансировкой нагрузки между ними, что позволяет всем пользователям сети, работать с комфортной скоростью не мешая друг другу – гарантированная полоса пропускания – не менее 10 мегабит в секунду на каждого при полной тестовой загрузке всех рабочих станций. Результаты реальных замеров скорости при обычной работе – от 20 до 80 мегабит в секунду на каждого пользователя.

Для обеспечения максимального уровня безопасности, у нас использована совершенно нестандартная система безопасности, всех деталей которой я конечно раскрывать не буду, но принципиально это выглядит так:

Внешний маршрутизатор обеспечивает распределение трафика – балансировку назрузки между каналами доступа в интернет, фильтрацию всего входящего трафика и всех соединений, и передачу разрешенного трафика на второй, внутренний маршрутизатор, с использованием “хитрого” перенаправления портов. Если очень коротко – снаружи все порты закрыты, любые попытки установления соединений игнорируются, но логируются.

Для организации внешних соединений используется проверенная технология VPN с максимальным уровнем шифрования, но сам VPN -сервер находится на втором, внутреннем маршрутизаторе, и сконфигурирован на использование нестандартных портов, т.е. никакими стандартными сканерами его невозможно даже обнаружить. Снаружи его просто нет.

При поступлении определённой последовательности шифрованных команд, на первом маршрутизаторе на несколько секунд открывается “окошко” через которое устанавливается шифрованное соединение со вторым маршрутизатором, на котором пользователь аутентифицируется и соединяется уже с внутренней сетью коллегии.

При кажущейся сложности и громоздкости этой схемы, для соединения доверенного пользователя с офисной сетью, доверенному пользователю нужно на своём компьютере нажать последовательно две “кнопки” и ввести свой пароль. Если все этапы проверки пройдены успешно, пользователь оказывается подключенным к офисной сети, и получает доступ ко всем внутренним ресурсам, как будто он находится в своём кабинете, за своим рабочим компьютером. При этом, все внешние соединения осуществляются уже из офисной сети.

Особенно полезна такая система работы, если приходится работать из небезопасных и непроверенных публичных сетей – гостиниц, торговых центов, аэропортов и т.п. Где бы ни находился наш сотрудник, при установлении соединения VPN с нашей офисной сетью, все его данные, передаваемые по сети между его компьютером и офисом, будут надёжно защищены, и недоступны для перехвата злоумышленниками.

Конечно, такой способ организации взаимодействия между пользователями нельзя назвать ни слишком простым, ни слишком дешевым, но безопасность данных и те возможности, которые получают наши сотрудники, того стоит.