(безопасный доступ сотрудников к офисной инфраструктуре)

Эта инструкция подходит для организации, где есть локальная сеть:

сервер с 1С / бухгалтерией,
файловые ресурсы (Samba, NAS, FTP),
рабочие папки и принтеры,
роутер/микротик/свитчи по внутренним адресам.

Задача: дать сотруднику удалённый доступ как будто он в офисе, через зашифрованный туннель WireGuard.

Адреса в схеме

Роль	IP
Сервер WireGuard	10.8.0.1
Клиенты	10.8.0.2 – 10.8.0.254
Локальная сеть	192.168.1.0/24

Клиенту выдаётся конфигурация

AllowedIPs = 192.168.1.0/24, 10.8.0.0/24

Это даёт доступ к:

сетевым папкам
бухгалтерии 1С
общим документам
NAS-хранилищу
локальным сайтам (Bitrix, OwnCloud, панели)

1. Схема сети

Интернет
   │
   ▼
┌─────────────────┐
│ VPS / Офисный сервер │  Порт 51820/UDP
│ IP: 123.123.123.123   │----→ WireGuard (wg0)
└─────────────────┘
         │
         │ (туннель 10.0.0.0/24)
         ▼
══════════════════════════════
  Локальная сеть организации
  192.168.10.0/24
══════════════════════════════
 │      │        │         │
NAS   SAMBA     1C       Принтеры
.10    .20      .30      .40

Сотруднику выдаём адрес вида:

10.0.0.2/32

2. Конфигурация на сервере (wg0.conf)

Открываем файл:

sudo nano /etc/wireguard/wg0.conf

Пример:

[Interface]
Address = 10.0.0.1/24
ListenPort = 51820
PrivateKey = <server_private_key>

# Проброс локальной сети (доступ к офису)
PostUp = iptables -A FORWARD -i wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

# Сотрудник
[Peer]
PublicKey = <client_public_key>
AllowedIPs = 10.0.0.2/32, 192.168.10.0/24

Перезапуск:

sudo systemctl restart wg-quick@wg0
sudo wg

Если Peer появился — всё ок.

3. Конфиг сотрудника (client.conf)

[Interface]
PrivateKey = <client_private_key>
Address = 10.0.0.2/32
DNS = 1.1.1.1

[Peer]
PublicKey = <server_public_key>
Endpoint = <внешний_IP_сервера>:51820
AllowedIPs = 0.0.0.0/0, ::/0, 192.168.10.0/24
PersistentKeepalive = 25

AllowedIPs важен для доступа к офисной сети:

192.168.10.0/24 — разрешаем заход внутрь офиса.

4. Проверка доступа к ресурсам после подключения

Ресурс	Проверка
Сервер 1С	`ping 192.168.10.30` → должен отвечать
Samba / NAS	`smb://192.168.10.20` (Linux)
Windows файлы	`\\192.168.10.20\docs`
Web-панель NAS/роутера	`http://192.168.10.1/`
Принтеры	видны как локальные устройства сети

Если пинги не идут → значит роутер не знает обратный маршрут. Тогда нужно добавить маршрут на шлюзе (офисном роутере):

Сеть: 10.0.0.0/24
Шлюз: 192.168.10.1   (или IP VPN-сервера в локальной сети)

5. Доступ к 1С по VPN

Подключение к 1С происходит как будто сотрудник в офисе.

Если файловая база (обычные каталоги):

\\192.168.10.30\1CBase\

Если клиент-серверный режим (сервер 1С):
Адрес сервера 1С:

192.168.10.30

В клиенте:

Srvr="192.168.10.30"; Ref="Имя_базы";

6. SMB / Samba общий доступ

Linux:

sudo apt install cifs-utils
sudo mount -t cifs //192.168.10.20/docs /mnt/samba -o username=USER

Windows:

Win+R → \\192.168.10.20\docs

7. NAS (Synology / QNAP / TrueNAS)

Через браузер:

http://192.168.10.10
https://192.168.10.10

Если не заходит — проверь порт в фаерволе.

8. Итог

Вариант	Доступ	Безопасность
Без VPN	❌ нет доступа	данные открыты/риски
Через VPN WireGuard	✔ 1С / Samba / NAS как в офисе	🔐 шифрование, контроль доступа

VPN = сотрудник в офисе, даже находясь дома, на даче или в другой стране.

Поключение к серверу

23. WireGuard: доступ к локальной сети, 1С, Samba и NAS через VPN