WireGuard
WireGuard — протокол, взятый за основу мобильных подключений. 
управляет всем процессом: от авторизации и подтверждения доступа до создания туннеля.
Внутри подключения
Знакомые технологии.
Общий подход.
объединяет проверенные VPN-протоколы с конфигурацией и проверкой доступа вашей организации.
— клиент на устройстве. 
— программный комплекс организации. Именно их совместная работа даёт персональные настройки, два подключения и маршруты по правилам организации.
OpenVPN
OpenVPN — протокол, взятый за основу подключений на компьютерах. управляет всем процессом: от создания туннеля до установки маршрутов и настройки DNS по правилам организации.
Поверх VPN-протокола
Организация задаёт.
Приложение применяет.
По HTTPS
Приложение получает и обновляет конфигурацию с домена выбранного профиля с проверкой учётных данных. Настройки и данные авторизации разных профилей хранятся отдельно.
По правилам
проверяет учётную запись и второй фактор, если он настроен. Он определяет доступные ресурсы и срок сессии. VPN-протокол сам по себе не заменяет эти проверки.
По назначению
Правила определяют путь к рабочим и интернет-ресурсам. Для DNS-запросов используются корпоративные, заданные в настройках интернет-подключения или системные DNS-серверы — с учётом подключений и платформы.
Защита ключей
На устройстве.
С учётом платформы.
Android
Аппаратный ключ WireGuard используется, если Android Keystore и устройство поддерживают необходимые операции. Иначе применяется программный ключ, защищённый локальным хранилищем. может проверять аппаратную аттестацию и определять срок использования зарегистрированного ключа для корпоративных подключений.
iOS
Ключ WireGuard создаётся программно и хранится с использованием Keychain. Apple App Attest отдельно подтверждает подлинность экземпляра приложения. Это не превращает ключ WireGuard в аппаратный.
Компьютеры
Используют сертификаты и ключи из конфигурации OpenVPN. Сохранённые пароли защищает системное хранилище. Защита самих файлов конфигурации различается между Windows, macOS и Linux.
Хранение данных на каждой платформеРаздельные подключения
Корпоративные ресурсы.
Свой защищённый путь.
Два подключения.
Разные назначения.
Внутренние сайты, системы и документы доступны через отдельное защищённое подключение. Корпоративный интернет предназначен для внешних сервисов. Организация задаёт маршруты и права для обоих направлений.
Ваше устройство
Корпоративные ресурсыЗащищённый доступ по правилам организации
Внутренние сайты,системы и документы
Корпоративный интернетОтдельное подключение к внешним ресурсам
Разрешённыевнешние сервисы
Разделение для безопасности
Внутренняя сеть доступна через отдельное защищённое подключение. Его трафик не проходит через выходные серверы корпоративного интернета. Права сотрудника определяет организация.
Удобство в работе
Подключения можно включать отдельно или вместе. Приложение выбирает нужный путь по настройкам организации — между рабочим сайтом и внешним сервисом не приходится переключаться вручную.
Два пути трафика при использовании корпоративного интернета
Через организацию.
И напрямую.
Организация задаёт правила.
Прямой трафик остаётся вне её серверов.
Ваше устройство
Корпоративный интернетЗашифрованное подключение к серверу организации
По правилам организацииОбычная сеть устройстваНапрямую через Wi-Fi или мобильного оператора
Региональные сервисыСхема показывает обычный интернет-режим. Организация определяет правила доступа и распределение трафика; сотрудник включает подключение. Региональные ресурсы — сети из конфигурации организации. Их прямой трафик не поступает на серверы компании. Для рабочих ресурсов путь может отличаться. В зарубежной поездке сотрудник может выбрать разрешённый организацией режим доступа к сервисам РФ — тогда региональный трафик проходит через корпоративные серверы. Для редких случаев организация может разрешить отдельный вариант со всем внешним интернет-трафиком, включая региональные ресурсы, через свои серверы. Схема обычного прямого пути к этому варианту не относится. Выбор DNS и передаваемые сведения описаны в политике конфиденциальности.
Подключение — к .
. не является клиентом сторонних VPN-сервисов и может подключаться только к . Конфигурацию и доступ предоставляет программный комплекс организации.