دامنه و هویت
کاربر، سایت، دستگاه و سرویس مجاز را تعیین کنید.
VPN سازمانی برای چه نیازی ساخته میشود؟
VPN میتواند مسیر حفاظت‌شده‌ای برای دسترسی کاربران یا اتصال سایتها فراهم کند. هدف این مقاله، دسترسی مجاز به منابع سازمان است، نه دورزدن سیاست یا پنهان‌کردن هویت. دامنه، مالک و شرایط دسترسی باید پیش از اجرا مشخص باشند.
راهنمای دورکاری و دسترسی از راه دور NIST، امنیت اجزای مسیر از جمله دستگاه کاربر و سیاست‌های مرتبط را مطرح می‌کند. فقط اتصال موفق به دروازه، سلامت دستگاه یا امنیت تمام سرویس‌های قابل دسترسی را تأیید نمیکند.
طراحی مسیر
احراز هویت، تونل و سیاست دسترسی را هماهنگ کنید.
پایلوت
ورود و دسترسی مجاز و غیرمجاز را بررسی کنید.
نگهداری
کلید، حساب و رویداد را با مسئول مشخص پیگیری کنید.
دسترسی کاربر و VPN بین سایتها
در دسترسی کاربر، هویت فرد، دستگاه و منابع مجاز اهمیت دارند. در اتصال سایت‌به‌سایت، دو بستر با دامنهٔ شبکه و سیاست مشخص به هم متصل می‌شوند. این دو سناریو الزاماً تنظیم و معیار تحویل یکسان ندارند.
برای برنامهٔ دورکاری، راهنمای دسترسی دورکاری را نیز ببینید. طراحی کامل شعب با آدرس‌دهی و وابستگی سرویس در ارتباط بین شعبات توضیح داده میشود؛ این مقاله بر خود دسترسی VPN و چرخهٔ امنیت آن متمرکز است.
انتخاب روش و محصول بر اساس پشتیبانی واقعی
سیستم‌عامل‌ها، دروازه، ظرفیت، امکان به‌روزرسانی و روش احراز هویت را بررسی کنید. قابلیت و تنظیم امنیتی باید با نسخهٔ پشتیبانی‌شده و مستندات روز سازنده تطبیق داده شوند. نام یک پروتکل، به‌تنهایی امنیت یک استقرار را تضمین نمیکند.
معماری IPsec در RFC 4301، حفاظت و سیاست پردازش ترافیک IP را توضیح می‌دهد. این مبنا، جای انتخاب تنظیمات و الگوریتم روز برای محصول واقعی نیست. روش قدیمی یا فاقد حفاظت مناسب را صرفاً به‌دلیل راحتی اتصال، گزینهٔ عمومی قرار ندهید.
احراز هویت، MFA و چرخهٔ حساب‌ها
برای کاربران، حساب جدا و مالک مشخص داشته باشید. در صورت تناسب و پشتیبانی راهکار، احراز هویت چندعاملی در دامنهٔ دسترسی طراحی شود. راهنمای CISA دربارهٔ MFA بر تقویت دسترسی راه دور تأکید دارد؛ سازوکار واقعی و مسیر بازیابی باید بررسی شوند.
ورود موفق کاربر مجاز و رد کاربر غیرمجاز، حساب لغوشده و عامل نامعتبر جدا آزموده شوند. حساب مشترک و رمز یکسان برای چند فرد، پیگیری مسئولیت را دشوار می‌کند. خروج فرد از سازمان باید با لغو دسترسی و بررسی نشست‌های مرتبط همراه باشد.
مجوز محدود و تفکیک دسترسی منابع
کاربر فروش الزاماً به شبکهٔ مدیریت سرورها نیاز ندارد. گروه، سرویس و مسیر مجاز را با نقش سازمان تعریف کنید و دسترسی غیرضروری را حذف کنید. تونل برقرارشده نباید راه ورود به همهٔ بخش‌ها شود.
قواعد فایروال سازمانی و مدیریت دسترسی کاربران با VPN هماهنگ شوند. فقط آزمون دسترسی مجاز کافی نیست؛ مسیر ممنوع نیز با مجوز آزمون باید مسدود بماند. استثنا، مسئول و موعد بازبینی داشته باشد.
مسیریابی، DNS و انتخاب Split Tunnel
در Split Tunnel بخشی از ترافیک از تونل می‌گذرد و در Full Tunnel دامنهٔ گسترده‌تری از آن عبور می‌کند. انتخاب با نیاز کنترل، ظرفیت و بستر کاربر تعیین شود؛ هیچ‌کدام بدون بررسی، بهترین روش همهٔ سازمان‌ها نیست.
مسیر رفت‌وبرگشت، DNS داخلی و تداخل شبکهٔ خانه با سازمان را در پایلوت بررسی کنید. تونل ممکن است فعال باشد اما برنامه به دلیل نام‌گذاری یا مسیر نادرست کار نکند. تغییر DNS یا بازکردن همهٔ مسیرها، راهکار پیش‌فرض این مقاله نیست.
کلید، گواهی و نگهداری دروازه
چرخهٔ ایجاد، نگهداری، تمدید و لغو کلید یا گواهی و حساب‌ها مشخص شود. راز دسترسی در گزارش عمومی، کانال گروهی یا درخواست معمولی پشتیبانی تکثیر نشود. فقط افراد مجاز، اختیار مدیریت و دسترسی بازیابی داشته باشند.
دروازه و دستگاه کاربر به نگهداری، به‌روزرسانی و پایش نیاز دارند. امنیت Endpoint مکمل کنترل دسترسی است. مشاهدهٔ فعالیت مشکوک یا تغییر مهم باید مسئول رسیدگی داشته باشد؛ وجود VPN جای برنامهٔ پاسخ را نمی‌گیرد.
ظرفیت و کیفیت VPN و خط پشتیبان
توان دستگاه هنگام اجرای حفاظت، ظرفیت آپلود و تأخیر مسیر می‌توانند روی عملکرد اثر بگذارند. عدد لینک بدون سنجش تونل و برنامهٔ واقعی معیار کافی نیست. تست انتقال فایل با مکالمه یا کار برنامهٔ سازمانی یکسان نیست.
در Failover اینترنت، تغییر مسیر ممکن است به برقراری مجدد تونل نیاز داشته باشد. رفتار نشست، دسترسی و بازیابی در بستر واقعی آزموده شود. ادامهٔ بی‌وقفهٔ همهٔ تونل‌ها بدون طراحی و شاهد مشخص تضمین نمی‌شود.
چک‌لیست تحویل و هزینه VPN سازمانی
پیش از تغییر، بکاپ تنظیمات، مجوز و مسیر بازگشت آماده باشند. ابتدا گروه محدود را وارد کنید و معیار دسترسی و کارکرد برنامه را بسنجید؛ سپس دامنه را با تأیید گسترش دهید. آزمون‌ها نباید اختیار دسترسی فراتر از نیاز بسازند.
تعداد کاربر یا سایت، ظرفیت، محصول و مجوز، احراز هویت و دامنهٔ پشتیبانی بر هزینه اثر دارند. نصب، ابزار و نگهداری جدا مشخص شوند؛ زمان پاسخ یا حضور شبانه‌روزی بدون توافق وعده داده نمی‌شود.
- دامنه، هویت و سرویس‌های مجاز مستند
- ورود مجاز و رد حساب و مسیر غیرمجاز آزموده
- DNS و مسیر و کار برنامه درست
- لغو دسترسی و چرخهٔ کلید و گواهی مشخص
- عملکرد و بازیابی و محدودیت‌ها ثبت
- بکاپ و مستندات محرمانه تحویل
راه‌اندازی VPN سازمانی در ویوان نت
نیاز کاربر یا سایت، سیستم‌عامل‌ها و سرویس‌های مجاز را مشخص کنید تا روش و معیار تحویل انتخاب شوند. تعداد کاربران و هدف بررسی را در بخش پشتیبانی ویوان نت توضیح دهید؛ رمز، کلید یا تنظیمات محرمانه را در درخواست معمولی نفرستید.
سناریوی آموزشی: تونل فعال است، برنامه باز نمی‌شود
فرض کنید کاربر مجاز وارد VPN شده اما برنامهٔ داخلی را باز نمیکند. تیم باید DNS، مسیر و قواعد همان سرویس را بررسی کند؛ فعال‌بودن تونل فقط بخشی از مسیر را تأیید کرده است.
پس از اصلاح محدود و مجاز، دسترسی برنامه و باقی‌ماندن منع منابع غیرضروری آزموده میشود. رفع مشکل نباید با اعطای دسترسی به تمام شبکه انجام شود.
این مثال آموزشی است، نه پروژهٔ واقعی یا نتیجهٔ عددی ویوان نت؛ روش اجرا و آزمون باید با بستر و اختیار سازمان هماهنگ شوند.
این راهنما از مجموعهٔ پهنای باند، اینترنت و ارتباطات امن ویوان نت است. برای شناخت مجموعه، معرفی ویوان نت را ببینید.
پرسش‌های متداول دربارهٔ VPN سازمانی
VPN سازمانی به چه کار میآید؟
برای دسترسی مجاز کاربر یا اتصال سایتها با سیاست مشخص استفاده میشود. هدف، حفاظت و کنترل ارتباط منابع سازمان است، نه اختیار نامحدود یا دورزدن سیاست.
تونل فعال یعنی همهٔ دسترسیها امن هستند؟
خیر. هویت، مجوز، سلامت دستگاه، مسیر و نگهداری نیز مهماند. اتصال موفق به دروازه، کارکرد همهٔ برنامهها یا منع منابع غیرمجاز را تأیید نمیکند.
Split Tunnel بهتر است یا Full Tunnel؟
انتخاب به نیاز کنترل، ظرفیت و بستر کاربر بستگی دارد. دامنهٔ مسیر و سیاست DNS و امنیت دستگاه باید هماهنگ باشند؛ روش واحد برای همه مناسب نیست.
آیا هر VPN میتواند MFA داشته باشد؟
قابلیت به محصول، روش احراز هویت و ادغامها وابسته است. در انتخاب، پشتیبانی و آزمون ورود و بازیابی بررسی شوند؛ صرف نام محصول قابلیت را ثابت نمیکند.
بعد از خروج کارمند چه باید کرد؟
حساب و کلید یا گواهی و دسترسی مرتبط طبق روال لغو و نشستها بررسی شوند. مسئول، روش و شاهد لغو از قبل در طرح دسترسی مشخص باشند.
هزینه VPN سازمانی چگونه تعیین میشود؟
تعداد کاربر یا سایت، ظرفیت و محصول، مجوز و هویت و نگهداری اثر دارند. نصب و پشتیبانی جدا مشخص شوند؛ مبلغ و زمان پاسخ ثابت بدون نیازسنجی معتبر نیستند.
منابع فنی و مطالعهٔ بیشتر
منابع برای مبانی و نمونهٔ روش‌ها هستند؛ انتخاب محصول، ظرفیت و تنظیمات واقعی باید در زمان اجرا و بستر سازمان بررسی شوند.