Коммерческий VPN-сервис или свой сервер: что выгоднее для бизнеса

MAATRIX

Когда в компании встаёт вопрос защищённого доступа к внутренним сервисам или обхода сетевых ограничений, выбор обычно сводится к двум вариантам: оформить подписку на готовый коммерческий VPN-сервис или развернуть VPN на собственном сервере. Оба пути рабочие, но у них разная экономика, разная степень контроля и разные риски — и то, что удобно для одного человека, может быть неприемлемо для команды из десяти сотрудников с корпоративными требованиями к данным. Разберём это без маркетинга, как инженер выбирал бы инфраструктуру для своей компании.

Две разные модели владения

Коммерческий VPN-сервис — это подписка на чужую инфраструктуру. Вы платите за место в общем пуле серверов, получаете готовое клиентское приложение, набор локаций на карте и обещание конфиденциальности в договоре оферты. Внутрь вы не заглядываете: какой протокол используется на конкретном узле, как настроена маршрутизация, кто ещё делит с вами один IP на выходе — это скрыто от клиента по конструкции сервиса.

Свой сервер — это аренда VPS или выделенного сервера, на который вы своими руками (или руками нанятого админа) ставите WireGuard, OpenVPN или другой демон. Вы получаете root-доступ, полный контроль над конфигурацией и единоличную ответственность за то, что там происходит. Ничего не скрыто, но и никто, кроме вас, не отвечает за то, что сервер не упадёт в три часа ночи.

Разница принципиальная: в первом случае вы покупаете результат («работающий VPN»), во втором — покупаете вычислительный ресурс и строите результат сами. Это определяет всё остальное — деньги, гибкость, риски.

Экономика: сколько это стоит в реальности

Для физлица или фрилансера коммерческая подписка почти всегда дешевле разворачивания своего сервера — это одна из причин их популярности. Но при масштабировании на команду картина меняется.

Бизнес-тарифы коммерческих VPN обычно продаются по модели «за пользователя в месяц», и итоговая сумма растёт линейно с числом сотрудников. Ориентировочно это диапазон в несколько долларов за одного человека в месяц — конкретная цифра зависит от провайдера и набора функций, и её стоит смотреть в актуальном прайсе, а не закладывать заранее.

Свой сервер на WireGuard или OpenVPN не тарифицируется по пользователям — один сервер держит десятки и даже сотни клиентских конфигов почти без дополнительных затрат ресурсов на каждого нового человека, пока не упираетесь в пропускную способность канала или процессор шифрования. Расходы фиксированы: стоимость аренды VPS плюс время на настройку и последующее администрирование.

Грубо говоря: для 2-3 человек коммерческая подписка почти всегда экономичнее по деньгам и точно экономичнее по времени. Для команды от 8-10 человек и выше свой сервер обычно выходит дешевле в пересчёте на человека — просто потому, что цена сервера не умножается на число сотрудников. Но в эту экономику нужно закладывать и стоимость времени того, кто будет сервер поддерживать, — бесплатным администрирование не бывает никогда, даже если делаете это сами в свободное время.

Контроль над данными и юрисдикция

Это главный аргумент в пользу своего сервера для бизнеса, который работает с чувствительными данными. У коммерческого VPN-провайдера вы физически не можете проверить, что происходит с вашим трафиком на его стороне. «No logs policy» — это пункт в оферте, а не техническая гарантия: провайдер видит весь трафик, проходящий через его сервер, в момент прохождения, и вопрос только в том, что он с этим делает и как долго хранит. Аудиты no-logs практики существуют, но покрывают конкретный снепшот инфраструктуры на момент проверки, а не постоянную гарантию.

Юрисдикция провайдера тоже имеет значение: под каким законодательством он обязан хранить данные, кому обязан их выдавать по запросу, и применимо ли к вашей компании 152-ФЗ о персональных данных, если через VPN проходит трафик с персональными данными клиентов. Для многих B2B-сценариев (доступ к 1С, CRM, внутренним базам) это не абстрактный вопрос, а требование комплаенса.

Свой сервер снимает эту неопределённость: вы сами выбираете дата-центр и юрисдикцию, сами решаете, вести логи подключений или нет, и единственная сторона, которой вы доверяете свой трафик, — это вы сами и хостинг-провайдер, который в норме не видит содержимое зашифрованного VPN-туннеля, а имеет доступ только к серверу как к железу. Разница по глубине доверия принципиальная: от «доверяю чужой политике конфиденциальности» до «доверяю своей собственной конфигурации».

Производительность и стабильность

Коммерческие сервисы держат десятки тысяч одновременных пользователей на общей инфраструктуре. В пиковые часы это означает конкуренцию за пропускную способность конкретного узла — вы не видите, сколько ещё человек сидит на том же сервере, и не можете на это повлиять, кроме как переключиться на другую локацию. С другой стороны, у крупного провайдера обычно есть резервирование и автоматическое переключение при падении узла, чего у одного собственного сервера нет по умолчанию.

Свой сервер — это выделенный канал только для вашей команды: без соседей в пуле, без чужого трафика, разделяющего полосу. Производительность становится предсказуемой и зависит от тарифа VPS и загрузки CPU шифрованием, а не от того, сколько человек в этот момент решили посмотреть стриминг через тот же выходной узел. Обратная сторона — единая точка отказа: если сервер упал или провайдер словил внешнюю блокировку по IP, весь доступ пропадает разом, пока вы вручную не поднимете альтернативный узел или не настроите резервирование заранее (второй сервер, второй IP, скрипт быстрого переключения).

Конкретные цифры задержки и скорости здесь сильно зависят от локации сервера относительно ваших сотрудников, загрузки канала хостинг-провайдера и выбранного протокола — WireGuard в современных ядрах Linux обычно даёт заметно меньше накладных расходов на шифрование, чем классический OpenVPN, но точные показатели стоит измерять на своей паре точек, а не ориентироваться на чужие бенчмарки.

Гибкость настройки и интеграция с инфраструктурой

Здесь разрыв между двумя подходами самый большой. Клиент коммерческого VPN — это закрытое приложение с фиксированным набором функций: выбор локации, включить/выключить, иногда kill switch и split tunneling в премиум-тарифах. Изменить протокол, поднять site-to-site туннель между офисом и облаком, настроить маршрутизацию только для конкретных подсетей, привязать аутентификацию к корпоративному LDAP/Active Directory — всё это либо недоступно, либо требует отдельного корпоративного тарифа с ограниченным набором опций под конкретные сценарии вендора.

На своём сервере доступен полный набор инструментов сетевого администратора:

# Пример: маршрутизация только конкретной подсети через WireGuard-туннель,
# остальной трафик клиента идёт напрямую (split tunnel)
[Interface]
Address = 10.10.0.2/32
PrivateKey = <client_private_key>

[Peer]
PublicKey = <server_public_key>
Endpoint = vpn.example.com:51820
AllowedIPs = 10.0.0.0/24, 10.10.0.0/24
PersistentKeepalive = 25

Такая конфигурация пускает через VPN только трафик к внутренним ресурсам компании (10.0.0.0/24), а весь остальной интернет-трафик сотрудника идёт напрямую — экономит канал сервера и не создаёт лишней задержки для обычного сёрфинга. В коммерческом сервисе такой гранулярности обычно нет: либо весь трафик через туннель, либо ничего.

Свой сервер также даёт возможность собрать site-to-site VPN между офисом, домашними работниками и облачными ресурсами в единую L3-сеть — тема отдельная и достаточно объёмная, разница между этим сценарием и обычным remote-access подключением разобрана в статье про разницу между site-to-site и remote access VPN. Для выбора конкретного протокола под задачи бизнеса пригодится сравнение OpenConnect и OpenVPN для бизнеса, а пошаговая установка описана в статье как установить и настроить WireGuard на VPS.

Риски и ограничения обоих подходов

У коммерческого VPN риски в основном внешние и не зависят от вас: сервис может попасть под блокировку в конкретном регионе, изменить политику конфиденциальности задним числом, поднять цену на продление или вовсе прекратить работу — а вы узнаёте об этом постфактум и вынуждены срочно искать замену. Для потребительских тарифов также редко предусмотрен SLA — формальных гарантий времени работы и компенсации простоя чаще всего просто нет в договоре.

У своего сервера риски внутренние и управляемые, но требуют постоянного внимания. Если единственный человек, который знает конфигурацию, увольняется без передачи дел — компания остаётся без доступа к собственной инфраструктуре. Если забыть обновлять систему, уязвимость в демоне VPN может привести к компрометации сервера целиком, а не только туннеля. Если сервер один и без резервного, любой сбой хостинг-провайдера останавливает работу всей команды разом. Ничего из этого не критично при должном администрировании, но «должное администрирование» — это постоянная статья затрат времени, а не разовая настройка.

Разумный компромисс, который используют многие компании: держать основной защищённый доступ на своём сервере ради контроля над данными и гибкости, а внешний потребительский VPN оставлять как резервный или личный инструмент сотрудников для нерабочих задач — так риски и обязанности не смешиваются в одной точке ответственности.

Частые вопросы