Маршрутизация для удалённой работы: корпоративные ресурсы и личный трафик

Базовый случай — один сотрудник, один сервер компании, один профиль маршрутизации с внутренними доменами в ProxySites — уже разобран в сценарии Happ и корпоративная сеть: там же — про подсеть 10.0.0.0/8, DnsHosts для внутренних имён и ошибку TLS-рукопожатия в офисной сети. Здесь задача шире: что делать, когда удалённая работа сложнее одного простого подключения.

У каждой подписки в Happ — независимый набор профилей маршрутизации: включение или изменение правил одной не трогает другую. Для тех, кто подключается к ресурсам сразу нескольких компаний или клиентов, это готовое решение — не пытаться свести все внутренние домены в один общий профиль, а оформить каждое подключение отдельной подпиской или отдельным профилем.

Так вы явно видите, к какому рабочему серверу подключены в конкретный момент, и можете отключить доступ к одному клиенту, не трогая настройки для другого. Практическое следствие: если проект с одним из клиентов закончился, достаточно удалить именно его подписку — остальные профили и правила останутся нетронутыми.

Не весь трафик, связанный с работой, обязан идти именно через сервер компании — только доступ к её внутренним ресурсам. Публичные сервисы видеозвонков, если это не внутренний корпоративный инструмент, а обычный внешний сервис, можно оставить в прямом соединении явным правилом в DirectSites, а не пускать через корпоративный сервер по умолчанию.

Причина простая: лишний переход через сервер компании, физически расположенный где-то ещё, может добавить задержку там, где это особенно заметно — в живом разговоре. Разделение оправдано именно тогда, когда сам сервис не является внутренним ресурсом, к которому доступ возможен только через сеть компании.

{
  "GlobalProxy": "false",
  "ProxySites": ["corp.example.com"],
  "ProxyIp": ["203.0.113.0/24"],
  "DirectSites": ["example-videocall.example"],
  "DnsHosts": { "internal.corp.example.com": "203.0.113.10" }
}

Условный пример показывает сочетание: рабочий домен и подсеть — через прокси-сервер компании, публичный сервис звонков — напрямую, внутреннее имя — через явную запись в DnsHosts, потому что публичный DNS о нём не знает.

Любая схема из этой статьи — только техническая возможность Happ, а не готовое решение без участия компании. Конкретные внутренние домены, подсети, разрешённые протоколы и сам факт того, что сотруднику вообще можно подключаться так к ресурсам компании, определяет её ИТ-отдел. Без выданного им сервера и конфигурации ни один профиль маршрутизации сам по себе доступа не откроет.

Это же касается устройства: если ноутбук числится корпоративным и на нём уже настроен другой способ удалённого доступа, добавление отдельного профиля Happ поверх него стоит заранее обсудить, чтобы не создать конфликт двух схем подключения одновременно на одном устройстве.

Готовые примеры правил для других повседневных ситуаций, не только рабочих, — в разборе рецептов раздельного туннелирования.