Сеть туристических агентств: облачная инфраструктура с RDS, Zero Trust и SIEM

Сеть туристических агентств с пятью филиалами — четыре в Молдове и один в Румынии — перенесла серверную инфраструктуру к нам в облако и поручила её сопровождение нашей команде. Туристический бизнес сезонный: пиковая нагрузка приходится на «горящие» периоды, когда менеджеры одновременно работают в учётной системе, в почте, в файловых ресурсах и общаются с клиентами. Простой инфраструктуры в такие моменты — это прямые финансовые потери и испорченные бронирования.

До перехода к нам инфраструктура была разрозненной: часть на месте, часть у локальных провайдеров, без единого SLA, без полноценной идентификации между филиалами и без централизованной картины безопасности. Сотрудникам в Румынии и тем, кто часто работает удалённо, было неудобно и небезопасно подключаться к рабочим ресурсам.

Задача — собрать единую корпоративную ИТ-среду в облаке, выдержать одновременную работу всех ~60 сотрудников, дать удобный и безопасный доступ изнутри офисов и снаружи, и закрыть требования по аудиту и безопасности через централизованную систему сбора событий.

Перенос серверов в облако, проектирование с нуля единой архитектуры доступа и безопасности на 5 филиалов:

• Облачный хостинг серверов в нашей инфраструктуре с собственным SLA, бэкапами и мониторингом — без привязки к железу в офисах.
• Единая идентификация через Active Directory для всех ~60 сотрудников, общие политики и групповая политика конфигурации сессий.
• Терминальная ферма — три RDS-сервера за Connection Broker, балансировка нагрузки и устойчивость к падению любого из узлов.
• Файловый сервер с разграничением доступа по филиалам и отделам, снапшотами и регулярными бэкапами.
• 1С-сервер рядом с фермой RDS — минимальная задержка между клиентом и базой, регулярное сопровождение, тесты восстановления.
• Гибридный доступ для сотрудников: из офисов — через защищённый канал, удалённо — через Zero Trust VPN, либо через веб-интерфейс с двухфакторной аутентификацией без VPN-клиента.
• SIEM на всех серверах — централизованный сбор событий безопасности, алертинг и аудит.

Облачная платформа

Все серверы клиента хостятся в нашем облаке. Это даёт предсказуемый SLA, прозрачные ресурсы (CPU/RAM/диски), снапшоты и сетевую изоляцию. Каналы связи между серверами и до офисов — по оптике с резервированием, что особенно важно при пиковых нагрузках в высокий сезон.

Active Directory

Развёрнут отдельный корпоративный домен. AD — единый источник учётных записей: один логин у сотрудника даёт доступ к терминальным сессиям, файловым ресурсам, 1С и веб-порталу. Через GPO раздаются стандартные настройки рабочих сессий, политики паролей, ограничения на запуск посторонних программ.

RDS-ферма с Connection Broker

Три терминальных сервера объединены в одну ферму, перед ней — RDS Connection Broker. При логине пользователя Broker направляет его на наименее загруженный узел; при падении любого из трёх серверов сессии распределяются между оставшимися без потери работоспособности фермы. Текущая ёмкость — около 60 одновременных пользователей; масштабируется добавлением узла без изменений на стороне клиентов.

Файловый сервер и 1С

Файловый сервер — общие папки с разграничением по филиалам и отделам, регулярные снапшоты и независимая копия в нашем централизованном бэкап-хранилище. 1С-сервер настроен под нагрузку, регламентные операции (тесты целостности, переиндексация, очистка временных таблиц) выполняются по расписанию, бэкапы базы проверяются восстановлением.

Доступ из офисов и снаружи

Сотрудники подключаются тремя способами в зависимости от ситуации:

• Из офисов — напрямую к ферме через защищённый канал между офисом и облаком.
• Из вне через Zero Trust VPN — клиент с проверкой состояния устройства и контекста подключения; доступ выдаётся per-application, без открытия всей внутренней сети.
• Через веб-интерфейс с 2FA — браузерный портал с двухфакторной аутентификацией. Удобен для коротких подключений с чужого устройства или планшета, без установки VPN-клиента.

SIEM и аудит

Контроллеры домена, RDS-узлы, файловый сервер, 1С-сервер и пограничные сервисы доступа подключены к централизованному SIEM. Собираются события безопасности — входы и выходы, изменения групп, попытки доступа к файлам, аномальные сессии. На критичные события настроен алертинг дежурной смене. Это даёт реальную, не «бумажную», картину безопасности и закрывает требования по аудиту операций с персональными данными клиентов.

Результат

• 60 одновременных сотрудников в пяти филиалах в Молдове и Румынии работают в единой инфраструктуре под единым SLA.
• Заметное ускорение работы по сравнению с прежней разрозненной средой: терминальная сессия с 1С на одной площадке устраняет задержки клиент-сервер по WAN.
• Безопасный гибридный доступ — офис, удалёнка, веб с 2FA — без необходимости открывать наружу больше, чем нужно.
• Полный аудит через SIEM для всех серверов и точек входа, готовый к проверкам и инцидентам.
• Масштабирование без боли: ёмкость фермы наращивается добавлением узла, ёмкость файлового и 1С — увеличением ресурсов VM, без перенастройки клиентов.