SSL VPN — VPN, который строит туннель поверх протокола TLS (бывший SSL), того же, что защищает HTTPS-сайты. Он работает на порту 443 и выглядит для сетей как обычный HTTPS, поэтому проходит через гостевые сети и корпоративные файрволы. Его используют в основном компании для удалённого доступа сотрудников. Ниже — как работает, где используется и чем отличается от IPsec.
Что такое SSL VPN
Название историческое: протокол SSL давно заменён TLS, но термин остался. SSL VPN бывает двух видов:
- Бесклиентский портал — сотрудник открывает в браузере портал компании и получает доступ к веб-приложениям.
- Туннельный режим — клиент создаёт полноценный VPN-туннель, через который доступна вся сеть компании.
Как работает
- Клиент подключается к шлюзу компании по HTTPS на порт 443.
- Проходит аутентификацию — логин, пароль, часто второй фактор.
- Шлюз выдаёт клиенту адрес во внутренней сети.
- Трафик идёт внутри TLS-сессии.
Где используется
- Корпоративный удалённый доступ — Cisco AnyConnect, Fortinet, Palo Alto GlobalProtect, Check Point.
- OpenConnect — открытый протокол и клиент, совместимый с AnyConnect; есть сервер ocserv.
- OpenVPN — тоже использует TLS для обмена ключами, его иногда относят к SSL VPN.
Плюсы и минусы
| Плюсы | Минусы |
|---|---|
| Работает через порт 443 почти в любой сети | Корпоративные шлюзы — частая цель атак, нужны обновления |
| Доступ к веб-приложениям через браузер | Сложнее в настройке, чем WireGuard |
| Гибкий контроль доступа | Распознаётся DPI по характерным признакам |
В России OpenConnect и AnyConnect иногда используют как личный VPN, но против DPI надёжнее VLESS с Reality — подробнее в гиде VLESS и Reality. Об IPsec — в гиде что такое IPsec.
SSL VPN и другие протоколы
| Параметр | SSL VPN | IPsec | VLESS + Reality |
|---|---|---|---|
| Порт | 443 | 500, 4500 | 443 |
| Похож на HTTPS | Да, но распознаётся | Нет | Да, трудно распознать |
| Где используют | Корпоративный доступ | Офисы, роутеры | Обход блокировок |
| Клиент | От производителя оборудования | Встроен в системы | Happ, v2RayTun, Hiddify |
| Работа в России | Зависит от оборудования | Часто блокируется | Работает |
Если корпоративный SSL VPN не подключается
- Проверьте время на устройстве — сертификаты не работают при неверной дате.
- Обновите клиент до версии, которую требует компания.
- Отключите личный VPN — два туннеля конфликтуют.
- Обратитесь к администратору — у корпоративного VPN свои правила доступа.
Популярные решения SSL VPN
| Решение | Где встречается |
|---|---|
| OpenVPN | Сервисы, свои серверы, роутеры |
| Cisco AnyConnect / Secure Client | Корпоративные сети |
| FortiClient | Сети на оборудовании Fortinet |
| Palo Alto GlobalProtect | Крупные компании |
| SSTP | Встроен в Windows |
Корпоративные клиенты выдаёт работодатель вместе с настройками. Для личного использования в России они не предназначены — для обхода блокировок нужны протоколы с маскировкой.
SSL VPN и раздельное туннелирование
Корпоративный SSL VPN обычно пускает через туннель только адреса компании, а остальной трафик — напрямую. Если включить личный VPN поверх, маршруты конфликтуют. Уточните у администратора, разрешено ли совмещать.
Частые вопросы
| Вопрос | Ответ |
|---|---|
| SSL VPN и HTTPS — одно и то же | Нет, но используют один протокол шифрования TLS |
| Можно ли SSL VPN для обхода блокировок | Корпоративные решения распознаются, для этого лучше VLESS |
| Безопасен ли SSL VPN | Да, при актуальных версиях TLS и обновлённом оборудовании |
| Нужен ли клиент | Чаще да; некоторые решения работают через браузер |
Уязвимости корпоративных шлюзов
Шлюзы SSL VPN крупных производителей регулярно попадают в новости из-за уязвимостей, которые злоумышленники используют для проникновения в сети компаний. Администраторам важно вовремя ставить обновления. Пользователю — не игнорировать требования обновить клиент.
Какой VPN выбрать
Для рабочего доступа используйте VPN компании. Для личных задач наш выбор — VPNType: VLESS, Shadowsocks, WireGuard и OpenVPN, приложения для всех систем, пробный Premium 5 дней за 1 ₽.
AdGuard VPN
Бесплатная версия с лимитом трафика, премиум быстрее и с большими возможностями
Частые вопросы
Чем SSL VPN отличается от IPsec?
SSL VPN работает поверх TLS на порту 443 и проходит почти через любые сети. IPsec работает на уровне IP и чаще блокируется в гостевых сетях.
Безопасен ли SSL VPN?
Да, при современном TLS и своевременных обновлениях. Уязвимости находили в конкретных шлюзах — их нужно обновлять.
Нужен ли клиент?
Для доступа к веб-приложениям хватает браузера. Для полного доступа к сети — клиент: OpenConnect, Cisco Secure Client, FortiClient и другие.