Server VPN WireGuard pentru firme în România

Trei tipuri de VPN, o singură rețea privată

Primul nivel este accesul oamenilor: fiecare coleg primește propria cheie și propriul profil, cu tunel restrâns doar la resursele firmei. Al doilea este legătura permanentă între sedii și servere, pentru filiale sau depozite. Al treilea, cel pe care mai nimeni nu îl configurează, este VPN-ul intern între servere: o rețea privată în care aplicația vorbește cu baza de date și cu cozile prin tunel criptat, nu prin internet.

• Profil și cheie separate pe fiecare dispozitiv, revocabile individual
• Legături permanente între birouri, depozite și servere
• Rețea privată între servere, cu adresare stabilă și rutare controlată
• Bastion pentru administrare, cu jurnal al accesărilor

Bune practici pe care le aplicăm la accesul VPN

Un VPN prost configurat dă falsă siguranță: tunelul există și funcționează, dar porturile de administrare au rămas deschise și în internet, exact ca înainte. Lista de mai jos o aplicăm la fiecare instalare și o verificăm prin scanare din exterior după livrare, ca să vedem negru pe alb ce mai răspunde. Rămâne scrisă în documentația ta, împreună cu procedura de revocare pentru un dispozitiv pierdut sau furat.

• SSH, bazele de date și panourile de administrare accesibile DOAR prin VPN sau rețea privată
• Chei pe fiecare dispozitiv, cu rotație periodică și revocare imediată la plecarea unui coleg
• Tunel restrâns implicit: prin VPN trece traficul firmei, nu tot internetul
• Bastion sau gazdă de salt pentru administrare, în loc de acces direct pe servere
• Jurnalizarea conexiunilor și a schimbărilor de configurație, cu alertă la anomalii

WireGuard, OpenVPN și autentificarea

WireGuard este mai simplu de auditat, mai rapid la reconectare pe mobil și mai ușor de menținut: câteva zeci de linii de configurație în loc de sute. OpenVPN rămâne util când ai echipamente vechi care nu îl suportă sau când ai nevoie de integrare cu infrastructura existentă de certificate. Pe partea de acces punem autentificare cu mai mulți factori la nivelul portalului de administrare și al bastionului, ca o cheie furată să nu fie suficientă.

Cum ceri lucrarea și ce intră în ore

Instalarea VPN-ului, mutarea serviciilor de administrare pe rețeaua privată și configurarea bastionului intră în orele lunare din abonament: 1–8 ore pe VPS, 5–10 ore pe servere dedicate, în funcție de plan, și 10 ore pe GPU. Ceri din panoul de client, la Servicii DevOps, cu termen propus. Pentru o firmă cu câțiva colegi la distanță și două servere, prima configurare încape de obicei într-o cotă lunară. Ce depășește se facturează separat.

Cum lucrăm

1. Ceri lucrarea din panou

   Ne spui câte persoane au nevoie de acces, ce sedii vrei legate și ce servere trebuie să vorbească între ele, apoi propui un termen.

2. Stabilim scopul și termenul

   Desenăm adresarea rețelei private, decidem ce rămâne public și ce se închide, apoi estimăm orele din cota lunară disponibilă.

3. Livrăm și verificăm din exterior

   Instalăm WireGuard, mutăm administrarea în tunel, închidem porturile expuse, apoi scanăm din internet ca să confirmăm ce nu mai răspunde.

4. Predăm cu documentație

   Primești profilurile de acces, harta rețelei private, procedura de revocare a unei chei și regulile de firewall aplicate.

Cazuri de utilizare

Tehnologii

• WireGuard
• nftables
• OpenSSH
• Fail2ban
• Ansible
• HashiCorp Vault
• Prometheus
• Grafana

Întrebări frecvente

• Ce este o conexiune VPN și de ce are nevoie firma ta de una?

  Un VPN creează un tunel criptat între dispozitiv și rețeaua firmei. Ai nevoie de el ca să nu expui în internet serviciile interne: SSH, baze de date, panouri de administrare, medii de test. Fără VPN, singura ta apărare rămâne o parolă pe un port public.

• WireGuard sau OpenVPN: care e mai bun?

  WireGuard, în majoritatea cazurilor: configurație mult mai mică, performanță mai bună, reconectare rapidă pe mobil. OpenVPN rămâne justificat pentru echipamente vechi care nu suportă WireGuard sau când trebuie să te integrezi cu o infrastructură de certificate deja existentă.

• Cum se configurează un server VPN WireGuard?

  Se generează o pereche de chei pe server și câte una pe fiecare dispozitiv, se stabilește adresarea rețelei private, se deschide un singur port UDP și se scriu regulile de rutare și firewall. Partea delicată nu e instalarea, ci ce închizi după ea.

• Ce este un VPN site-to-site?

  Este o legătură permanentă între două rețele, de exemplu sediu și depozit, sau birou și servere. Nu se conectează utilizatori individuali: cele două rețele se văd reciproc, ca și cum ar fi în același loc, iar tot traficul dintre ele trece criptat.

• Cum conectez două servere printr-un VPN intern?

  Punem între ele o rețea privată WireGuard, cu adrese stabile, și legăm serviciile pe acele adrese. Baza de date, cache-ul și cozile nu mai ascultă pe IP public, deci traficul est-vest este criptat și invizibil din internet, chiar dacă serverele sunt în datacentere diferite.

• Ce se întâmplă când un coleg pleacă din firmă?

  Îi revocăm cheia și accesul încetează imediat, fără să atingem restul echipei, pentru că fiecare dispozitiv are propria pereche de chei. Procedura este în documentația pe care o primești, ca să o poți aplica singur în câteva minute.