Два офиса на одном ШПД: VPN вместо выделенки и модемов

До этого лета связь между двумя офисами одной компании держалась на выделенной линии от провайдера. Штука надёжная, но платили за неё так, будто арендуют вторую квартиру. Плюс dial-up-модем в резерв, на случай если выделенка ляжет. Модем оживал редко, зато исправно занимал телефонную линию и пугал бухгалтерию скрипом при каждой проверке.

Весной в город пришёл широкополосный доступ. Обычный ШПД, который теперь тянут в жилые дома и мелкие конторы. Скорость приличная, цена - в разы меньше выделенки. И у клиента возник резонный вопрос: если в оба офиса можно завести нормальный интернет за недорого, зачем платить за отдельный провод между ними?

Что мы собрали

Идея простая. В каждом офисе ставим ШПД. Поверх обычного интернета поднимаем VPN - шифрованный туннель между двумя точками. Снаружи это просто трафик до провайдера, внутри - защищённый канал, в котором один офис видит сеть другого так, будто они в одном здании. 1С, файловая шара, печать на удалённый принтер - всё едет через туннель.

Почему туннель, а не «просто пробросить порты наружу». Потому что пробрасывать внутреннюю сеть в открытый интернет в 2004 году - способ познакомиться со всеми желающими. Прошлым летом мы уже ловили червя, который лез в незакрытые дыры сам, без приглашения. VPN закрывает канал целиком: снаружи не видно ни портов, ни шар, только зашифрованный поток, который без ключа бесполезен.

Шифрование мы взяли не ради красивого слова. Трафик двух офисов теперь идёт через чужого провайдера и по чужим сетям. Выделенка была физически своим проводом, а ШПД - общая труба, в которой едут все. Туннель возвращает приватность, которую выделенка давала по умолчанию.

Что поменялось по деньгам

Тут всё честно и приятно. Аренда выделенки уходит, dial-up-резерв уходит вместе с ней, вместо этого - два обычных тарифа на интернет, которые и так были бы нужны для выхода в сеть. Связь между офисами получилась почти бесплатным довеском к тому, за что всё равно платишь. Экономия вышла заметной, но точных цифр приводить не будем: они зависят от тарифов конкретного провайдера.

Где ШПД подводил

А вот с надёжностью пошли сложности, и это как раз главное, что мы вынесли.

Выделенка падала редко, но предсказуемо: если легла - легла целиком, звонишь провайдеру, ждёшь. ШПД ведёт себя иначе. Он не столько падает, сколько плывёт. Днём канал бодрый, вечером, когда весь дом качает, скорость проседает, задержки скачут. Туннель при этом не рвётся, но 1С начинает думать над каждой кнопкой, и пользователи уверены, что «опять всё висит».

Пару раз канал отваливался совсем - на стороне провайдера, у которого инфраструктура ещё вчера обслуживала дай бог дозвон по модему, а сегодня в неё воткнули полгорода. Молодой ШПД в регионе - это дёшево и быстро, но зрелость сетей за ценой не поспевает.

Поэтому мы сразу не стали выкидывать всё старое разом. Модем на первое время оставили - не как основной резерв, а как аварийный костыль поднять туннель, если ШПД надолго ушёл. Уберём его, когда провайдер устаканится и канал перестанет плыть.

Вывод, который мы забрали

Главное, что мы для себя зафиксировали: канал между офисами - это тоже наша зона ответственности, а не «провод, за который отвечает провайдер». Раньше было удобно прятаться за выделенку: лежит - это к ним. Как только связь стала нашей связкой из двух ШПД и туннеля, спрашивать стало не с кого, кроме нас.

Это ровно та история, что и с первым выделенным сервером: доступность меряется не тем, что «в целом работает», а тем, работает ли оно в тот момент, когда людям нужно провести накладную. Мы завели простой мониторинг обоих концов туннеля и договорились с клиентом честно: за сам туннель и его настройку отвечаем мы, за ширину и стабильность канала - провайдер, и когда вечером тормозит, виноват не VPN, а перегруженная труба. Разделить это на бумаге оказалось важнее, чем сэкономленные деньги: иначе любой вечерний тормоз превращался бы в «вы же нам всё поломали».

ШПД в 2004-м - это правильный шаг: дешевле, гибче, и выделенка честно отступает. Но дешевле не значит спокойнее. Своя связь требует, чтобы кто-то за неё думал. Раньше за нас думал провод. Теперь думаем мы.