طراحی توپولوژی اتصال
بر اساس تعداد شعب، لینک های اینترنت و سرویس های مرکزی، مدل hub-and-spoke یا full mesh را انتخاب می کنیم و آدرس دهی شعب را بدون تداخل برنامه ریزی می کنیم.
شبکه و مجازی سازی
راه اندازی VPN سازمانی و اتصال امن شعب
اگر کارخانه برای ثبت فاکتور با AnyDesk به یک سیستم در دفتر مرکزی وصل می شود، وقت راه اندازی VPN سازمانی است، چون چنین اتصالی هم کند است و هم کنترل نشده. با این کار، شبکه شعب از روی اینترنت و از طریق تونل رمزشده به دفتر مرکزی وصل می شود. کارمندان دورکار هم فقط به سرورهایی دسترسی می گیرند که برای کارشان لازم است.
ابزارها و فناوری ها
vpn-branch-connectivity
- IPsec IKEv2
- WireGuard
- OpenVPN
- MikroTik RouterOS
- FortiGate
- pfSense
- FortiClient
- Zabbix
5بخش کار
4خروجی
4مرحله
VPN سازمانی و اتصال شعب چیست؟
با راه اندازی VPN سازمانی، شبکه شعب، کارخانه و کارمندان دورکار از طریق تونل های رمزشده روی اینترنت به دفتر مرکزی وصل می شوند و هر کدام فقط به سرورهای لازم دسترسی دارند. این کار سراغ مشکل هایی از این دست می رود: کارخانه ای که برای ثبت فاکتور با AnyDesk به یک سیستم در دفتر وصل می شود، کارمند دورکاری که به فایل سرور نمی رسد، و شرکتی که نمی داند چه کسی از بیرون به شبکه وصل است. پیکوسیستم توپولوژی hub-and-spoke یا full mesh و آدرس دهی بدون تداخل شعب را طراحی می کند و Site to Site VPN را با IPsec یا WireGuard بین روترهای MikroTik، FortiGate یا pfSense می سازد. VPN کاربران با حساب جدا برای هر نفر راه می افتد و ترافیک بین شعب با rule فایروال محدود می شود. نقشه اتصال شعب، کانفیگ مستند تونل ها، فهرست کاربران VPN و راهنمای نصب کلاینت در دست شما می ماند.
چه زمانی به VPN سازمانی و اتصال شعب نیاز دارید؟
- کارخانه با AnyDesk به سیستمی در دفتر وصل می شود تا فاکتور ثبت کند.
- کارمندان دورکار به فایل سرور شرکت دسترسی ندارند.
- تونل بین شعب روزی چند بار قطع می شود.
- نمی دانیم چه کسی از بیرون به شبکه وصل است.
VPN سازمانی و اتصال شعب شامل چه کارهایی است؟
Site to Site VPN
تونل IPsec یا WireGuard را بین روترهای MikroTik، FortiGate یا pfSense شعب و مرکز راه می اندازیم و مسیریابی بین شبکه ها را تنظیم می کنیم.
دسترسی ریموت کارمندان
VPN کاربر با OpenVPN، WireGuard یا FortiClient راه اندازی می شود. هر کاربر حساب جدا دارد و دسترسی بر اساس گروه محدود می شود.
فایروال بین شعب
ترافیک بین شعب را با rule مشخص کنترل می کنیم تا هر شعبه فقط به سرویس های لازم مثل نرم افزار حسابداری یا فایل سرور برسد.
پایش و تونل پشتیبان
برای قطعی تونل ها هشدار تنظیم می کنیم. اگر شعبه دو لینک اینترنت دارد، تونل پشتیبان روی لینک دوم ساخته می شود.
بعد از VPN سازمانی و اتصال شعب چه چیزی تحویل می گیرید؟
- نقشه اتصال شعب و جدول آدرس دهی
- کانفیگ تونل ها و ruleهای فایروال با توضیح
- فهرست کاربران VPN و گروه های دسترسی
- راهنمای نصب کلاینت VPN برای کارمندان
راهنمای VPN سازمانی و اتصال شعب
Site to Site VPN با IPsec یا WireGuard؟
IPsec با IKEv2 تقریباً روی همه روترها و فایروال های سازمانی وجود دارد و بین برندهای مختلف کار می کند. بسیاری از روترها برای رمزنگاری آن شتاب دهنده سخت افزاری دارند. در مقابل، تنظیم آن پارامترهای زیادی دارد و ناهماهنگی کوچکی در الگوریتم یا lifetime دو طرف، تونل را بالا نمی آورد.
WireGuard کانفیگ کوتاه تری دارد، فقط با یک پورت UDP کار می کند و روی پردازنده های معمولی سریع است. روی میکروتیک فقط از RouterOS 7 در دسترس است. اگر هر دو طرف میکروتیک یا لینوکس باشند، راه اندازی WireGuard بین دو میکروتیک گزینه ساده ای است. برای اتصال به FortiGate یا تجهیزات برند دیگر معمولاً IPsec انتخاب امن تری است.
چرا تونل بین شعب قطع و وصل می شود؟
یکی از دلایل رایج MTU است. سربار IPsec اندازه بسته را بزرگ می کند و اگر TCP MSS روی تونل کوچک نشود، صفحه های وب و نرم افزارهای تحت شبکه نیمه باز می شوند، در حالی که ping سالم است. تنظیم MSS clamping روی رابط تونل این مشکل را حل می کند.
دلیل دیگر ناهماهنگی lifetime در فاز 1 و فاز 2 یا غیرفعال بودن DPD است که باعث می شود یک طرف تونل را بسته بداند و طرف دیگر نه. وقتی شعبه پشت مودم است، NAT-T لازم است و در WireGuard مقدار persistent-keepalive باید تنظیم شود تا ارتباط در NAT مودم بسته نشود. تغییر IP شعبه هایی که IP ثابت ندارند هم بدون DDNS تونل را قطع می کند.
اتصال دو شعبه با میکروتیک: قبل از شروع چه چیزی بررسی شود؟
اول آدرس دهی. اگر هر دو دفتر از 192.168.1.0/24 استفاده می کنند، مسیریابی بین آن ها ممکن نیست و یکی باید آدرس جدید بگیرد. این کار روی پرینترها، دوربین ها و دستگاه هایی که IP دستی دارند اثر دارد و باید برنامه ریزی شود.
دوم نوع لینک اینترنت. بسیاری از لینک های LTE و برخی سرویس ها پشت CGNAT هستند و از بیرون قابل دسترسی نیستند، پس شعبه باید شروع کننده اتصال باشد و مرکز IP ثابت داشته باشد. فهرست سرویس ها و پورت هایی که هر شعبه لازم دارد هم باید پیش از نوشتن ruleهای فایروال آماده باشد.
وقتی تعداد شعب زیاد می شود: مسیریابی و توپولوژی
با دو یا سه شعبه، hub-and-spoke با route ثابت کافی است. با زیاد شدن شعب، نوشتن و به روز نگه داشتن routeها دستی سخت می شود و OSPF روی تونل ها مسیرها را خودکار پخش می کند. در full mesh تعداد تونل ها سریع زیاد می شود، پس فقط برای شعبی که ترافیک مستقیم زیادی دارند ارزش دارد.
در hub-and-spoke لینک اینترنت دفتر مرکزی گلوگاه همه ترافیک بین شعب است. قبل از اضافه کردن شعبه جدید، ظرفیت این لینک و توان رمزنگاری روتر مرکز را بررسی کنید.
مراحل VPN سازمانی و اتصال شعب
-
01
بررسی وضعیت شعب
تجهیزات، لینک اینترنت و نوع IP هر شعبه و سرویس هایی را که باید در دسترس باشند فهرست می کنیم.
-
02
طرح اتصال
توپولوژی، پروتکل و سیاست دسترسی را پیشنهاد می دهیم و با شما نهایی می کنیم.
-
03
راه اندازی مرحله ای
ابتدا یک شعبه را وصل و تست می کنیم و بعد بقیه را یکی یکی اضافه می کنیم.
-
04
تست و تحویل
دسترسی به سرویس ها، سرعت و رفتار تونل هنگام قطع لینک تست می شود و بعد مستندات به شما داده می شود.
سؤالات متداول درباره VPN سازمانی و اتصال شعب
برای همه شعب IP ثابت لازم است؟
IP ثابت در دفتر مرکزی کار را ساده تر می کند. شعبه هایی که IP ثابت ندارند هم با تنظیم درست IPsec یا WireGuard به مرکز وصل می شوند. در بررسی اولیه وضعیت لینک هر شعبه را می بینیم.
دسترسی ریموت کارمندان به شبکه امن است؟
با راه اندازی درست، بله. هر کارمند حساب خودش را دارد، رمزنگاری به روز است و فقط سرورهای لازم در دسترس اند. احراز هویت دومرحله ای را هم می شود اضافه کرد، و همه ورودها لاگ می شوند.
این همان VPN برای عبور از فیلترینگ است؟
خیر. VPN سازمانی برای اتصال شعب و کارمندان به شبکه داخلی شرکت است و مسیر اینترنت کاربران را تغییر نمی دهد. ترافیک فقط بین شبکه های خود شرکت رمزنگاری و منتقل می شود.
جست وجوهای مرتبط
- Site to Site VPN
- اتصال دو شعبه با میکروتیک
- راه اندازی WireGuard بین دو میکروتیک
- Site to Site VPN IPsec
- Site to Site VPN MikroTik
- راه اندازی سرور WireGuard
- راه اندازی VPN WireGuard
مقاله های مرتبط
-
شبکه و میکروتیک نصب WireGuard روی اوبونتو: ساخت سرور VPN سریع با چند خط تنظیمات
WireGuard VPN ساده و سریع با پیکربندی کوتاه است. نصب روی اوبونتو، ساخت کلید، فایل wg0.conf سرور، فعال کردن مسیریابی و NAT، افزودن کاربر، کانفیگ کلاینت، AllowedIPs، wg show و عیب یابی عدم handshake. -
شبکه و میکروتیک نصب OpenVPN روی اوبونتو: ساخت سرور VPN با easy-rsa و فایل کلاینت
راه اندازی سرور OpenVPN روی اوبونتو با easy-rsa: ساخت مرجع گواهی، گواهی سرور و کاربران، فایل server.conf، فعال کردن مسیریابی و فایروال، ساخت فایل ovpn، ابطال گواهی کاربر و نکات امنیتی و عیب یابی. -
شبکه و میکروتیک VPN سازمانی چیست؟ اتصال امن شعبه ها و کارمندان با Site to Site و Remote Access
VPN سازمانی دو شبکه یا یک کارمند را از روی اینترنت به شبکه شرکت وصل می کند. Site to Site و Remote Access، مقایسه IPsec و WireGuard و OpenVPN، مشکل آدرس های هم پوشان و MTU، نمونه کانفیگ WireGuard و اشتباه های رایج. -
شبکه و میکروتیک مراحل راه اندازی شبکه شرکت: از نیازسنجی و آدرس دهی تا مستندسازی
راه اندازی شبکه شرکت از نیازسنجی شروع می شود و به تست، بکاپ از تنظیمات و مستندسازی ختم می شود. مراحل کار با نمونه جدول آدرس دهی و VLAN و اشتباه هایی که بعدها هزینه دارند. -
مجازی سازی و ابر نصب vCenter Server Appliance: مراحل نصب VCSA، پیش نیاز DNS و تنظیمات بعد از نصب
vCenter مدیریت مرکزی هاست های ESXi است. پیش نیازهای نصب مثل DNS رو به جلو و معکوس و NTP، انتخاب اندازه Appliance، مراحل نصب دو مرحله ای VCSA، ساخت Datacenter و Cluster، افزودن هاست، بکاپ vCenter و خطاهای رایج نصب. -
شبکه و میکروتیک ماشین حساب ساب نت آنلاین: محاسبه CIDR، ماسک، Broadcast و محدوده هاست
ماشین حساب ساب نت و CIDR برای مدیران شبکه: آدرس شبکه، ماسک، Wildcard، Broadcast، محدوده هاست قابل استفاده و تقسیم یک شبکه به زیرشبکه های کوچک تر، بدون فرستادن چیزی به سرور.
خدمات مرتبط
استعلام
کارتان را بگویید، مسیر و هزینه را می گوییم
چند خط درباره وضعیت فعلی و چیزی که می خواهید بنویسید. یک مهندس خودش با شما تماس می گیرد و درخواست به واحد فروش نمی رود.
- 01درخواست را می خوانیم و اگر ابهامی بود تماس می گیریم.
- 02در صورت نیاز، بررسی اولیه ریموت یا بازدید انجام می شود.
- 03پیشنهاد مکتوب با دامنه کار، زمان بندی و هزینه می فرستیم.