VPN между филиалами на ГОСТ-шифровании

Когда у компании несколько офисов или филиалов, им нужен общий защищённый сетевой контур — доступ к общей 1С, файловым хранилищам, внутренним сервисам без пробрасывания их напрямую в интернет. Стандартное решение — site-to-site VPN между площадками на IPsec или WireGuard с шифрованием AES-256. Для большинства компаний этого достаточно. Но если компания обрабатывает персональные данные, работает с гостайной или подпадает под требования отраслевого регулятора, шифрование должно быть построено на сертифицированных средствах криптографической защиты информации (СКЗИ), использующих российские криптоалгоритмы — ГОСТ, а не AES.

Зачем ГОСТ вместо AES: это не «то же самое, но отечественное»

AES и ГОСТ-алгоритмы криптографически сопоставимы по стойкости — дело не в том, что один «слабее» другого. Разница в другом: 152-ФЗ «О персональных данных» и подзаконные акты ФСТЭК и ФСБ для ряда категорий информационных систем требуют использования именно сертифицированных СКЗИ. Обычный VPN на AES, даже настроенный идеально, не проходит аттестацию — потому что регулятора интересует не факт шифрования, а то, что средство защиты сертифицировано и его нельзя незаметно подменить или ослабить.

Кому это обязательно, а кому нужно по желанию

ГОСТ-VPN между филиалами — не универсальное требование для всех компаний с несколькими офисами. Он обязателен или сильно рекомендован в нескольких случаях:

• Компания — оператор персональных данных и по уровню защищённости информационной системы (УЗ) обязана применять сертифицированные СКЗИ при передаче ПДн между площадками по открытым каналам связи;
• Организация — госструктура, подрядчик или субподрядчик, работающий с информацией, для которой действуют требования ФСТЭК или ФСБ;
• Информационная система проходит аттестацию, и защита каналов связи — один из проверяемых пунктов;
• Компания работает по отраслевым стандартам (например, требования ЦБ для финансового сектора), где сертифицированная криптография — часть комплаенса.

Если ни один из этих пунктов не про вашу компанию, обычный VPN на AES между филиалами — абсолютно рабочее и более простое в эксплуатации решение. ГОСТ-VPN стоит настраивать тогда, когда это требование, а не «на всякий случай».

Как устроено подключение между филиалами

Технически ГОСТ-VPN — это тот же принцип site-to-site VPN, что и обычный, но с другим криптографическим ядром и другим жизненным циклом ключей:

• В каждом филиале и в центральном офисе устанавливается криптошлюз — сертифицированное СКЗИ (например, S-Terra Gate или ViPNet Coordinator), физический или виртуальный;
• Между шлюзами поднимается защищённый туннель, в котором сам трафик шифруется «Кузнечиком», а целостность пакетов контролируется «Стрибогом»;
• Ключи и сертификаты для шлюзов выпускает удостоверяющий центр (УЦ) — свой внутренний или аккредитованный внешний — и распределяет их по площадкам с плановой заменой по регламенту;
• Топология между филиалами обычно строится звездой (все площадки — к центральному офису) или полносвязной сеткой, если филиалам нужно общаться друг с другом напрямую, а не только через центр.

Как мы это настраиваем