Работа сотрудников вне офиса

Обычно коробочная версия доступна только внутри офисной сети. Сотрудник вне офиса — дома, в командировке, на объекте — подключается к офисной сети через защищённое подключение (VPN) и работает так же, как в офисе.

Какой способ выбрать

Что нужно от поставщика интернета

Чтобы сотрудник мог подключиться к офису из интернета, у офиса должен быть постоянный внешний адрес (его также называют «статический» или «белый» IP-адрес).

1. Узнайте у поставщика интернета, выдан ли офису постоянный внешний адрес. Если нет — закажите эту услугу.
2. Если постоянный адрес недоступен, многие роутеры поддерживают службу динамического имени: роутер сам сообщает свой текущий адрес, и сотрудник подключается по имени. Этот способ работает, только если поставщик выдаёт роутеру внешний адрес, а не адрес внутри своей сети. Уточните у поставщика.

VPN на роутере офиса

Шаги описаны общими словами: названия разделов в разных роутерах отличаются. Если роутер обслуживает сторонняя организация, передайте ей этот раздел.

Настройка роутера

1. Откройте настройки роутера в браузере.
2. Найдите раздел VPN-сервера (обычно «VPN», «VPN-сервер» или «Удалённый доступ»).
3. Включите VPN-сервер. Выберите протокол, который поддерживают и роутер, и устройства сотрудников. Встроенные средства Windows, Mac, Android и iOS поддерживают протоколы IKEv2 и L2TP/IPsec. Если роутер предлагает другой протокол, на устройство сотрудника потребуется приложение, которое указывает производитель роутера.
4. Создайте отдельную учётную запись для каждого сотрудника: имя и надёжный пароль не короче 12 знаков. Общая учётная запись на всех не допускается: при увольнении сотрудника её не отключить точечно.
5. Если роутер предлагает выбрать, к какой сети дать доступ, укажите офисную сеть, в которой находится компьютер с программой.
6. Сохраните настройки. Запишите внешний адрес или имя офиса и общий ключ (если протокол его использует).

Подключение сотрудника: Windows

1. «Параметры» → «Сеть и Интернет» → «VPN» → «Добавить VPN».
2. Поставщик VPN — «Windows (встроенные)»; имя подключения — например, Офис; имя или адрес сервера — внешний адрес или имя офиса; тип VPN — как настроено на роутере; тип данных для входа — «Имя пользователя и пароль».
3. Введите имя и пароль сотрудника и нажмите «Сохранить».
4. Выберите подключение Офис и нажмите «Подключиться».

Подключение сотрудника: Mac

1. «Системные настройки» → «VPN» → «Добавить конфигурацию VPN» и выберите протокол, как на роутере.
2. Укажите имя подключения, адрес сервера, имя пользователя, пароль и (если нужен) общий ключ.
3. Нажмите «Создать» и включите подключение.

Подключение сотрудника: телефон

• Android: «Настройки» → «Подключения» (или «Сеть и интернет») → «VPN» → «Добавить».
• iOS, iPadOS: «Настройки» → «Основные» → «VPN и управление устройством» → «VPN» → «Добавить конфигурацию VPN».

Укажите те же данные: тип, адрес сервера, имя, пароль, общий ключ. Названия пунктов зависят от модели телефона.

Работа в программе

1. Включите VPN-подключение.
2. Откройте программу по адресу, например https://192.168.1.10: имя компьютера через VPN обычно не находится.
3. Сертификат организации на устройстве должен быть установлен — рабочее место сотрудника. На телефоне сертификат устанавливается в настройках безопасности (раздел установки сертификатов центра сертификации); на iOS после установки профиля включите доверие в «Настройки» → «Основные» → «Об этом устройстве» → «Доверие сертификатам».
4. После работы отключите VPN.

VPN на отдельном устройстве в офисе

Если роутер офиса не поддерживает VPN-сервер, VPN-сервер размещается на отдельном устройстве в офисной сети: на роутере с функцией VPN-сервера, подключённом к основному роутеру, или на специализированном устройстве удалённого доступа. Программа и компьютер с программой при этом не меняются.

Не используйте для этого компьютер с программой и встроенный VPN-сервер Windows: дополнительная служба на этом компьютере снижает надёжность программы, а при его перезагрузке связь теряют все сотрудники вне офиса.

1. Выберите устройство с VPN-сервером, протоколы которого поддерживают устройства сотрудников (раздел «Настройка роутера», шаг 3).
2. Подключите устройство кабелем к роутеру офиса и закрепите за ним постоянный адрес — офисная сеть, раздел «Постоянный адрес».
3. На роутере офиса перенаправьте на это устройство из интернета только порты выбранного VPN-протокола. Номера портов указаны в инструкции устройства. Порты программы (443, 80) не перенаправляйте.
4. Настройте на устройстве VPN-сервер по шагам раздела «Настройка роутера»: отдельная учётная запись каждому сотруднику, доступ в офисную сеть.
5. Подключите сотрудников по шагам разделов «Подключение сотрудника» и «Работа в программе».

Если устройство обслуживает сторонняя организация, передайте ей этот раздел и раздел «Безопасность».

Сервер с именем в интернете

Для организаций, которым нужен доступ без VPN: программа устанавливается на сервер с постоянным внешним адресом (собственный или арендованный), сотрудники открывают её по имени в интернете, например https://crm.example.ru.

Что подготовить

1. Сервер, подходящий по требованиям (установка на Windows, раздел «Требования к компьютеру»), с постоянным внешним адресом.
2. Имя в интернете для сервера, например crm.example.ru. Попросите того, кто обслуживает ваш домен, создать запись, которая ведёт это имя на внешний адрес сервера.
3. Сертификат для этого имени от общепризнанного центра сертификации — два файла в формате PEM:
   • сертификат вместе с цепочкой промежуточных сертификатов, например fullchain.pem;
   • закрытый ключ этого сертификата, например privkey.pem.
   Срок сертификата должен заканчиваться не раньше чем через 7 дней. Сертификат организации, который создаёт установщик, для имени в интернете не подходит: он действует только в офисной сети.
4. Межсетевой экран сервера: входящие подключения разрешены только к портам 443 и 80 (порт 80 перенаправляет на защищённый адрес), удалённое управление сервером — только с доверенных адресов.

Установка

1. Установите программу по статье «Установка на Windows», сценарий «Новый экземпляр». В поле «Сетевое имя и адрес» первым укажите имя в интернете, например crm.example.ru.
2. Скопируйте файлы сертификата и ключа на сервер, например в папку C:\Сертификат. Доступ к папке оставьте только администраторам сервера: в ней закрытый ключ.
3. Откройте «Командную строку» от имени администратора и выполните:
   "C:\ProgramData\Kometum\bin\kometum-box.exe" certs --import-cert "C:\Сертификат\fullchain.pem" --import-key "C:\Сертификат\privkey.pem"
4. Программа проверит, что сертификат выдан на это имя, подходит к ключу и действует, и выведет строку «Установлен сертификат для crm.example.ru, действует до ДД.ММ.ГГГГ». Если вместо неё показана причина отказа, устраните её и повторите команду. Если программа предупреждает, что сертификат не подтверждается общепризнанным центром сертификации, браузеры сотрудников покажут ошибку сертификата — получите сертификат у общепризнанного центра.
5. В «Службах» перезапустите службу «Kometum».
6. Откройте https://crm.example.ru/activate и активируйте программу — активация.

При тихой установке укажите пути к файлам в полях tlsCertFile и tlsKeyFile файла ответов и имя в интернете первым в поле hosts: шаги 2–5 тогда не нужны.

Сертификат организации на компьютерах сотрудников в этом варианте устанавливать не нужно: браузеры доверяют сертификату общепризнанного центра сертификации.

Продление сертификата

Программа такой сертификат не продлевает. За 30 дней до окончания срока она передаёт предупреждение об этом в службу поддержки КОМЕТУМ.

1. Следите за сроком сертификата: дату окончания показывает команда из раздела «Установка».
2. Не позднее чем за 30 дней до окончания получите новый сертификат у центра сертификации.
3. Установите его той же командой (раздел «Установка», шаги 2–5).

Чтобы вернуться к сертификату организации (например, при переносе сервера в офисную сеть), выполните команду без параметров и перезапустите службу «Kometum»:

"C:\ProgramData\Kometum\bin\kometum-box.exe" certs

Безопасность

• Каждому сотруднику — своя учётная запись VPN. При увольнении отключите её в роутере в тот же день, а в программе заблокируйте пользователя.
• Не передавайте пароль VPN по почте или в мессенджерах вместе с адресом офиса.
• Обновляйте программное обеспечение роутера: производители устраняют в нём уязвимости.