Архитектура Apium Cloud OS

Роли, отделы и ACL-матрица

Гибкая ролевая модель (Администратор, Оператор ИБ, Сотрудник) и привязка к отделам. ACL-матрица определяет, к каким внутренним подсетям, серверам и портам имеет доступ каждая роль, исключая горизонтальное перемещение по сети.

Синхронизация с Active Directory (AD)

Прямая интеграция с корпоративным доменом Active Directory / LDAP. Автоматический импорт пользователей и групп безопасности, соответствие доменных групп отделам VPN и мгновенный отзыв активных сессий при блокировке учётной записи в AD.

RADIUS-шлюз (AAA)

Встроенный RADIUS-шлюз обеспечивает единую аутентификацию, авторизацию и учёт трафика (AAA) для корпоративных маршрутизаторов, точек доступа, L2TP/SSTP-концентраторов и стороннего сетевого оборудования.

Корпоративный биллинг и квоты

Учёт потребления трафика в разрезе отделов, филиалов и проектов, настройка тарифных лимитов, сроков действия доступа, автоматическое продление и выгрузка статистики в биллинговые системы через REST API и HMAC-вебхуки.

Site-to-Site и Корпоративный CA

Автогенерация готовых конфигураций и скриптов для MikroTik RouterOS, KeeneticOS и Cisco, а также встроенный центр сертификации (CA) для выпуска корневых и клиентских X.509 сертификатов без внешних УЦ.

Аудит ИБ и контроль портов

Детальное логирование подключений, назначенных IP-адресов, DNS/SNI-обращений и портов, уведомления о событиях безопасности и экспорт метрик в Prometheus / корпоративные SIEM-системы.

Гибкие режимы шифрования L2TP / IPsec

Для совместимости со старыми офисными роутерами и современным оборудованием шлюз поддерживает три режима L2TP: без шифрования (чистый L2TP), опциональный IPsec и строгий IPsec (strongSwan IKEv1/IKEv2 с PSK и поддержкой legacy-шифров).

Групповой Firewall и Шейпер трафика

Режимы безопасности Basic, Restricted и Paranoid управляют изоляцией клиент-клиент внутри корпоративной подсети, блокируют нежелательные порты и применяют групповой Шейпер трафика (HTB/TBF) для приоритезации бизнес-сервисов.

Как строится и работает корпоративный шлюз

• 1. Мультипротокольный приём (Ingress): единая точка входа принимает SSTP (TLS 443), L2TP/IPsec (UDP 1701/500/4500), VLESS Reality и Hysteria2 QUIC.
• 2. Идентификация и AAA: проверка учётных данных через Active Directory (LDAPS), встроенный RADIUS-шлюз или гибридный контур с привязкой к отделу и роли.
• 3. Политики безопасности и шейпинг: применение ACL-матрицы, изоляции Netfilter (Basic / Restricted / Paranoid) и ядерного шейпера tc (HTB/TBF).
• 4. Маршрутизация в периметр и аудит: выдача адреса из корпоративной подсети (10.20.0.0/24), доступ к сегментам DEV/ERP/DB и экспорт событий в SIEM / Prometheus.

Полная изоляция режимов: своя база и конфигурации

• Независимая база данных: режим «Корпоративный шлюз» и режим «Каскадный VPN» используют собственные изолированные БД, таблицы пользователей, ролей, квот и журналов аудита.
• Раздельные конфигурации сервисов: для каждого режима формируются отдельные конфиги sing-box, strongSwan, SSTP/L2TP, правила iptables/nftables и сертификаты X.509.
• Нулевое пересечение контуров: маршруты, учётные записи и сетевые политики коммерческого каскада никогда не смешиваются с корпоративным периметром.
• Независимое управление и бэкапы: резервное копирование, ротация ключей и обновление политик выполняются автономно в рамках активного режима.

Встроенный мастер настройки

• Пошаговый запуск: инициализация корпоративного домена, подсетей и протоколов прямо из веб-интерфейса за несколько минут.
• Авто-CA и сертификаты: выпуск корневого и серверных X.509-сертификатов для SSTP/TLS без сторонних центров сертификации.
• Готовые скрипты Site-to-Site: генерация конфигураций в один клик для MikroTik RouterOS, KeeneticOS, Cisco и клиентских устройств.

Преимущества для ИТ и ИБ

• Zero Trust по ролям: сотрудник видит только сервисы своего отдела (например, только 1С или только Git), без доступа к остальной сети.
• Мгновенная блокировка: отключение учётной записи в AD моментально обрывает все активные VPN-туннели пользователя.
• Полная наблюдаемость: аудит сессий, назначенных IP, DNS/SNI-обращений и портов с выгрузкой в SIEM и Prometheus.

Масштабирование и интеграция

• Единый хаб для офисов: одновременная работа удалённых сотрудников (SSTP/VLESS/Hy2) и филиальных роутеров (L2TP/IPsec).
• Контроль квот и полосы: отдельный учёт трафика и шейпер скорости по отделам, проектам и филиалам.
• API и автоматизация: OpenAPI 3.0 и HMAC-SHA256 вебхуки для интеграции с HR/CMDB и корпоративным биллингом.

Ситуация 1: Провайдер блокирует VPN-порты и протоколы

• Проблема: отельный, аэропортовый, мобильный или региональный провайдер режет UDP 1701/500/4500 (L2TP/IPsec) и блокирует OpenVPN/WireGuard по DPI-сигнатурам.
• Решение (VLESS Reality): работает поверх стандартного TCP 443 и воспроизводит реальное TLS 1.3 рукопожатие к легитимному внешнему домену — трафик выглядит как обычный HTTPS.
• Результат: сотрудник стабильно подключается к 1С, Git, CRM и внутренним БД даже из сетей с жёсткой фильтрацией, сохраняя авторизацию AD/RADIUS и ACL.

Ситуация 2: Обеспечение доступа сотруднику из-за границы

• Проблема: при работе из командировки или релокации высокий RTT (150–300 мс), потери пакетов и трансграничный DPI резко снижают скорость классических TCP/IPsec-туннелей.
• Решение (Hysteria2 QUIC + VLESS): Hysteria2 поверх UDP/QUIC с агрессивным контролем перегрузок устраняет деградацию при потерях пакетов, а VLESS даёт надёжный резерв на TCP 443.
• Результат: плавная работа RDP, SSH, видеосвязи и корпоративных систем из любой страны мира под единым контролем ИБ и квот.