VPN или прокси: что выбрать для кибербезопасности

Сотрудник пишет из командировки, что не может подключиться к внутренним системам компании. Коллеги из другого офиса не видят ресурсы, которые есть в головном. Нужно защитить трафик, когда человек работает через публичный Wi-Fi в аэропорту. На каждую из этих задач интуитивно хочется ответить «поставьте VPN» — но это не всегда верный ответ: иногда прокси решает задачу проще, дешевле и точнее.

Выбор между VPN и прокси стоит делать не по привычке, а по тому, что именно нужно защитить. Дальше разберём принцип работы обоих инструментов, их ключевые различия на уровне OSI и шифрования, разберём корпоративные и частные сценарии и покажем, когда стоит выбрать VPN, когда прокси, а когда они работают вместе.

Как работает прокси-сервер

Принцип работы: посредник для конкретного приложения

Прежде чем сравнивать VPN и прокси по характеристикам, стоит разобраться, что каждый из них делает буквально на уровне сетевого стека, потому что именно это определяет, какие задачи им можно доверить, а какие нельзя.

Прокси-сервер — посредник между клиентом и удалённым ресурсом на уровне приложения, L7 модели OSI. Что такое прокси-сервер, проще всего понять из схемы его работы: клиент настраивает конкретное приложение — браузер, curl, скрипт-парсер — на обращение через прокси. Запрос уходит на прокси, прокси делает запрос к целевому серверу уже от своего имени и возвращает клиенту полученный ответ.

Прокси скрывает IP-адрес клиента от целевого сервера: тот видит только IP прокси, а не реальный адрес устройства, с которого ушёл запрос. Но прокси не скрывает сам трафик между клиентом и собой: если соединение идёт без TLS, HTTP-прокси видит весь проходящий через него трафик в открытом виде, включая содержимое запросов.

Типы прокси-серверов

HTTP/HTTPS-прокси работает только с веб-трафиком: подходит браузерам и curl, но не годится для UDP или произвольных протоколов за пределами HTTP(S).

SOCKS5-прокси устроен иначе: он работает на уровне TCP/UDP и не зависит от протокола конкретного приложения. Через него можно пустить браузер, torrent-клиент, игру или SSH-сессию — но сам по себе SOCKS5 трафик не шифрует, это просто более универсальный уровень посредничества, чем HTTP-прокси.

Transparent proxy отличается тем, что клиент вообще не знает о его существовании: трафик перехватывается на уровне сети, типичный пример: Squid в корпоративной инфраструктуре. Такой прокси используют для фильтрации контента и кэширования часто запрашиваемых ресурсов, а не для сокрытия IP.

Что прокси не делает

У прокси-сервера есть чёткие границы возможностей, и их стоит знать заранее, а не выяснять постфактум. Прокси не шифрует трафик между клиентом и собой: HTTPS-прокси шифрует соединение именно до прокси, но это не то же самое, что сквозное шифрование вашего трафика внутри единого туннеля. Прокси не скрывает от интернет-провайдера сам факт использования прокси — провайдер видит, что устройство обращается к серверу-посреднику. Прокси защищает только то приложение, которое явно настроено на работу через него, остальной трафик устройства идёт мимо. И прокси не создаёт единого зашифрованного канала для всего трафика устройства: это принципиально другой уровень работы, которым занимается VPN.

На практике это означает, что прокси почти никогда не рассматривают как самостоятельную замену VPN в корпоративной инфраструктуре: его роль узкая и прикладная, а не инфраструктурная. Там, где прокси действительно хорошо решает задачу, он справляется с ней эффективнее VPN именно потому, что закрывает одну конкретную потребность без лишнего оверхеда на шифрование всего канала, которое в этой задаче попросту не нужно.

Как работает VPN

Принцип работы: зашифрованный туннель на сетевом уровне

VPN, Virtual Private Network, создаёт зашифрованный туннель между устройством клиента и VPN-сервером на сетевом уровне, L3 модели OSI. Что такое VPN, лучше понять в сравнении с прокси: туннель охватывает весь сетевой трафик устройства, а не одно выбранное приложение, и клиент получает виртуальный IP-адрес внутри сети VPN.

Под защитой оказывается весь трафик устройства целиком: DNS-запросы, системные обновления, фоновая синхронизация любых приложений, а не только то, что явно настроено на работу через туннель.

Для сравнения с прокси это ключевое отличие: прокси защищает ровно то, что в нём настроено, и ни байтом больше, а VPN защищает устройство как таковое. Если на ноутбуке сотрудника параллельно работают почтовый клиент, мессенджер и система автообновлений, при использовании прокси все они останутся вне защищённого канала, если их отдельно не настроить на этот же прокси, а при VPN они автоматически окажутся внутри туннеля вместе с браузером. Интернет-провайдер при этом видит лишь зашифрованный канал до VPN-сервера: само содержимое трафика ему недоступно.

VPN-протоколы: WireGuard, OpenVPN, IPsec

Выбор протокола заметно влияет на производительность и сложность эксплуатации. Чаще всего при выборе технологии для нового развёртывания сравнивают WireGuard и OpenVPN. WireGuard — современный, минималистичный протокол с высокой производительностью и простой конфигурацией; он хорошо подходит и для site-to-site, и для remote access сценариев и в целом рекомендуется для новых развёртываний, где нет жёстких требований к обратной совместимости.

OpenVPN — более зрелое решение, хорошо поддерживается и работает практически на любой платформе. Конфигурация у него сложнее, а производительность чуть ниже, чем у WireGuard, но совместимость с унаследованной инфраструктурой остаётся на высоком уровне, и это часто решающий аргумент для компаний с разнородным парком устройств, часть которого обновлять в ближайшее время не планируется.

IPsec и IKEv2 встроены в большинство операционных систем «из коробки» и широко применяются в корпоративных соединениях между маршрутизаторами, то есть именно в router-to-router сценариях. Отладка IPsec обычно сложнее, чем у двух предыдущих протоколов: диагностика падающего туннеля часто требует разбирать логи сразу на обеих сторонах соединения и сверять параметры фазы согласования ключей, а не просто смотреть в один лог-файл. Но зато IPsec остаётся промышленным стандартом для site-to-site туннелей между облаком и локальной инфраструктурой и поддерживается практически любым сетевым оборудованием корпоративного класса.

Два типа VPN по назначению

Remote Access VPN решает задачу подключения одного устройства: сотрудник подключается к корпоративной сети из любой точки, его ноутбук получает IP-адрес внутренней сети и видит все корпоративные ресурсы так, как если бы находился в офисе.

Site-to-site VPN устроен по-другому: он соединяет не отдельное устройство, а целиком два офиса или два облачных VPC постоянным зашифрованным каналом. Сотрудники при этом работают прозрачно, не настраивая никакого VPN-клиента на своей стороне — соединение целиком на уровне инфраструктуры.

VPN vs прокси: главные различия

Чем отличается VPN от прокси, проще всего увидеть в одной таблице, где сведены девять ключевых параметров: от уровня OSI и охвата трафика до типичного применения каждого инструмента.

Главный практический вывод из таблицы простой: прокси — точечный инструмент для одного приложения, VPN — системный инструмент для устройства целиком. Выбор между ними должен идти не от того, какой инструмент «современнее», а от того, что реально нужно защитить или изменить: один канал связи приложения или весь сетевой профиль устройства. Выбор перестаёт быть абстрактным именно на этом шаге: как только сформулирована конкретная задача, таблица выше почти всегда даёт однозначный ответ без необходимости сравнивать бренды или тестировать оба варианта на практике, а любые сомнения обычно снимаются вопросом о том, какой именно трафик нужно защитить.

Сценарии применения: когда что выбирать

Дальше пять конкретных ситуаций, в которых выбор очевиден, если идти от задачи, а не от привычки.

Безопасность: что на самом деле защищает каждый инструмент

Модель угроз: от кого защищаемся

Таблица различий выше показывает, чем инструменты отличаются технически. Таблица ниже показывает то же самое, но с другого угла — от какой конкретной угрозы защищает каждый из них, что для принятия решения о внедрении часто важнее формальных характеристик.

Разные инструменты закрывают разные угрозы, и путать их — частая практическая ошибка.

Что ни VPN, ни прокси не делают

Понимание этих ограничений важно не меньше, чем понимание самих возможностей инструментов: ожидание, что один сетевой механизм решит все вопросы безопасности сразу, обычно заканчивается ложным чувством защищённости, а не реальной защитой.

У обоих инструментов есть общие ограничения, которые стоит проговаривать честно, а не замалчивать ради красивой картины. Ни один из них не защищает от вредоносного программного обеспечения, уже оказавшегося на устройстве: это задача антивируса и EDR-решений, а не сетевого инструмента. Ни один не делает пользователя анонимным при залогиненном аккаунте — Google, социальные сети и большинство сервисов идентифицируют человека по cookies и browser fingerprint независимо от того, через какой IP пришёл запрос. И в обоих случаях сам провайдер VPN или прокси технически видит ваш трафик, поэтому выбор поставщика — вопрос доверия, а не только технических характеристик сервиса.

Zero Trust: когда VPN недостаточно

Классический VPN даёт доступ ко всей внутренней сети целиком, и это создаёт риск: злоумышленник, попавший в сеть через скомпрометированное устройство или учётную запись, может двигаться по ней латерально, от одного ресурса к другому. Подход Zero Trust Network Access (ZTNA) устроен иначе: он даёт доступ не к сети, а к конкретному приложению, и проверяет устройство и пользователя при каждом обращении, а не один раз при установке туннеля.

Для крупных компаний с чувствительными данными ZTNA в перспективе предпочтительнее классического VPN по модели безопасности, но и разворачивать его заметно сложнее: нужна инвентаризация приложений, политики доступа на уровне каждого ресурса и инфраструктура для постоянной проверки контекста запроса, а не разовая настройка туннеля.

На практике переход к Zero Trust редко происходит одним шагом. Большинство компаний сначала закрывают срочную задачу классическим Remote Access VPN, а уже затем, по мере роста числа приложений и удалённых сотрудников, переносят самые чувствительные из них под ZTNA-контроль, оставляя VPN для менее критичных ресурсов или как временное решение на переходный период.

Заключение

VPN и прокси решают разные задачи на разных уровнях сети, и «VPN или прокси» — это не вопрос «что лучше», а вопрос «что нужно защитить именно здесь». Прокси — точечный инструмент для конкретного приложения: смена IP, кэширование, фильтрация контента. VPN — системный инструмент для защиты всего трафика устройства и для построения виртуальных частных сетей между офисами и облаком. Для корпоративного удалённого доступа и защиты трафика в публичных сетях выбор очевиден: VPN. Для парсинга, ротации IP и корпоративной веб-фильтрации лучше подходит прокси. На практике большинство компаний используют оба инструмента параллельно, просто для разных задач внутри одной инфраструктуры: прокси ближе к фронту, на границе отдельных сервисов и процессов, VPN — ближе к ядру сети, там, где нужно объединить или защитить инфраструктуру целиком.