تعریف کار
کاربران، منابع لازم و دستگاه‌های مجاز را مشخص کنید.
دسترسی دورکاری چیست؟
دسترسی دورکاری یعنی کاربر بتواند بیرون از محل سازمان، از منابع موردنیاز شغلی خود استفاده کند: نرمافزار حسابداری، فایل پروژه، برنامهٔ داخلی یا محیط کاری مدیریتشده. محل اجرای برنامه و روش اتصال میتوانند متفاوت باشند؛ مهم این است که کار قابل انجام و حدود دسترسی مشخص باشند.
این راهنما برای انتخاب و طراحی راهکار سازمانی است، نه دستور بازکردن پورت یا نصب نسخهٔ مشخص یک محصول. ابتدا کار واقعی کارکنان را شناسایی کنید؛ سپس مسیر اتصال، هویت، دستگاه و نگهداری را کنار هم طراحی کنید.
طراحی دسترسی
روش اتصال، هویت و مرز مجوزها را انتخاب کنید.
پایلوت واقعی
کار روزمره و محدودیت دسترسی را از بیرون سازمان بیازمایید.
تحویل و کنترل
روال پشتیبانی، لغو دسترسی و بازبینی را مستند کنید.
چه زمانی ایجاد دسترسی دورکاری لازم است؟
وقتی کارکنان خارج از دفتر کار می‌کنند، مدیر باید از سفر به یک نرمافزار دسترسی داشته باشد یا نیروی یک شعبه به منابع دفتر مرکزی نیاز دارد، بررسی راهکار دسترسی از راه دور منطقی است. اما نیاز یک کاربر به مشاهدهٔ گزارش، با نیاز کارشناس به مدیریت سرور یکسان نیست؛ نباید هر دو به یک سطح دسترسی برسند.
- کار اداری روزمره: استفاده از برنامه و فایل‌های مجاز بدون جابه‌جایی بی‌ضابطهٔ اطلاعات.
- همکاری چند محل: تعیین اینکه کاربران شعب چه منابع مشترکی لازم دارند.
- مدیریت فنی: مسیر جداگانه و محدود برای کارهای مدیریتی و حساب‌های دارای اختیار بیشتر.
- کار موقت: دسترسی با مالک و زمان پایان مشخص، به‌جای باقی‌ماندن حساب‌های فراموش‌شده.
موفقیت را با انجام کار بسنجید، نه صرفاً پیام «متصل شد». آیا کاربر مجاز می‌تواند عملیات لازم را انجام دهد؟ آیا منابع غیرمجاز واقعاً برای او قابل دسترسی نیستند؟
VPN، دسکتاپ از راه دور یا برنامهٔ تحت وب؟
VPN سازمانی برای دسترسی به منابع شبکه
VPN می‌تواند یک مسیر ارتباطی کنترل‌شده برای منابع داخلی فراهم کند، اما جای تعیین مجوز برنامه و فایل را نمی‌گیرد. اگر کاربر فقط به یک نرمافزار نیاز دارد، بررسی کنید آیا دسترسی محدودتر همان نیاز را برطرف می‌کند. مسیرهای شبکه، دسترسی به سرویس‌ها و جداسازی کاربران باید بخشی از طراحی باشند؛ اتصال VPN نباید مترادف دسترسی به همهٔ سیستم‌ها شود.
انتشار نرمافزار یا دسکتاپ مدیریتشده
در این روش، کاربر با محیط یا برنامه‌ای کار می‌کند که در بستر سازمان اجرا میشود. در معماری Remote Desktop Services مایکروسافت، Session Host می‌تواند برنامه یا دسکتاپ را ارائه کند و Gateway مسیر دسترسی کنترل‌شده و رمز‌شده فراهم کند. این نقش‌ها معادل یک تنظیم واحد روی هر رایانه نیستند.
گزینه‌های انتقال فایل، چاپ، کلیپ‌بورد و زمان پایان نشست باید با نیاز کاربر و سیاست داده هماهنگ شوند. اگر برنامه به قفل سخت‌افزاری، تجهیزات محلی یا نسخهٔ خاص سیستم‌عامل وابسته است، سازگاری آن در پایلوت بررسی شود. دسکتاپ مجازی نیز برای همهٔ سازمانها ضرورت ندارد؛ نوع بستر و ظرفیت با نیاز واقعی انتخاب می‌شوند.
دسترسی مستقیم به یک خدمت وب
اگر نرمافزار از ابتدا برای استفادهٔ وب طراحی شده، ممکن است ورود کنترل‌شده به همان خدمت کافی باشد. در این حالت هم مدیریت حساب، امنیت برنامه و سیاست اطلاعات لازم‌اند. برای بررسی محل اجرا و مسئولیت نگهداری، راهنمای سرویس‌های ابری سازمانی را ببینید؛ وب‌بودن یا ابری‌بودن به‌تنهایی تضمین امنیت نیست.
پیش‌نیازهای راهاندازی دسترسی دورکاری
- تعداد کل کاربران و تعداد کاربران همزمان در ساعت‌های معمول کار
- برنامه‌ها، فایل‌ها، چاپگرها و سرویس‌های وابسته به شبکهٔ داخلی
- نوع و وضعیت دستگاه کاربران؛ سازمانی، شخصی یا مشترک
- محل اجرای نرمافزار و ظرفیت فعلی سرور، ذخیره‌سازی و شبکه
- کیفیت ارتباط سمت سازمان و محل‌های واقعی کار کاربران
- مالک هر مجوز، روش ورود، مسئول پشتیبانی و زمان پایان دسترسی
فهرست کاربران به‌تنهایی کافی نیست. عملیات رایج را ثبت کنید: ورود، بازکردن پرونده، ثبت سند، دریافت گزارش یا بارگذاری فایل. این فهرست هم انتخاب روش اتصال را دقیق‌تر می‌کند و هم معیار آزمون تحویل خواهد بود. در صورت نیاز به ظرفیت جدید، موضوع با بستر مجازی‌سازی سرور هماهنگ بررسی شود.
کیفیت اینترنت و کندی دسترسی از راه دور
برای اینترنت دورکاری یک عدد ثابت و عمومی پیشنهاد نکنید. حجم و نوع کار، تعداد نشستهای همزمان، سرعت آپلود محل سازمان، تأخیر و پایداری مسیر مهماند. سرعت دانلود بالای کاربر، مشکل آپلود محدود دفتر یا تأخیر مسیر را به‌تنهایی حل نمی‌کند.
آزمون از شبکهٔ داخلی کافی نیست؛ عملیات واقعی را از محل کاربر و در زمان مصرف معمول تکرار کنید. کندی ممکن است از ارتباط، ظرفیت سرور، پایگاه داده یا طراحی برنامه باشد. قبل از خرید تجهیزات، محل گلوگاه را مشخص کنید. اگر قطع ارتباط قابل‌تحمل نیست، مسیر جایگزین و روش اطلاع‌رسانی بررسی و آزموده شوند؛ تضمین نبود قطعی بدون شناخت بستر قابل اتکا نیست.
امنیت دسترسی دورکاری: هویت، دستگاه و مجوز
راهنمای NIST برای دورکاری و دستگاه‌های شخصی، حفاظت از اجزای راهکار، از جمله دستگاه کاربر، و تعریف سیاست متناسب با تهدیدها را ضروری می‌داند. بنابراین فقط امن‌کردن درگاه ورودی کافی نیست؛ وضعیت دستگاه و محل نگهداری داده نیز باید بررسی شوند.
- برای هر فرد حساب مشخص تعریف شود؛ حساب مشترک، بررسی مسئولیت و لغو دسترسی را دشوار می‌کند.
- مجوزها بر اساس نقش و نیاز واقعی باشند؛ حساب مدیریتی برای کار عادی استفاده نشود.
- احراز هویت چندمرحله‌ای، در بستر پشتیبانی‌شده، همراه با روش بازیابی حساب طراحی شود.
- بهروزرسانی دستگاه، حفاظت دادهٔ محلی و سیاست استفاده از تجهیزات شخصی تعیین شوند.
- قطع دسترسی حساب و نشست فعال در پایان همکاری، قابل اجرا و آزمون باشد.
چرا انتشار مستقیم RDP راهکار کامل نیست؟
بازکردن پورت Remote Desktop روی اینترنت، به‌تنهایی زیرساخت دورکاری امن ایجاد نمی‌کند. راهنمای مقابله با باج‌افزار CISA بر پرهیز از در معرض اینترنت قرار دادن RDP و استفاده از کنترلهای مناسب تأکید می‌کند. محدودسازی دسترسی، احراز هویت چندمرحله‌ای و بررسی تلاش‌های ورود نیز باید در طراحی دیده شوند.
ابزار دسترسی از راه دور را با مجوز مالک سازمان و از مسیر قابل پشتیبانی انتخاب کنید. حساب، ابزار یا مسیر اضطراری فراموش‌شده می‌تواند خارج از روال کنترل باقی بماند. رخدادهای مهم مانند ورود ناموفق و تغییر مجوز را در حد نیاز عملیاتی و سیاست سازمان بررسی کنید؛ ثبت رخداد جای کنترل دسترسی را نمی‌گیرد. جزئیات تعیین نقش‌ها در راهنمای مدیریت دسترسی کاربران توضیح داده شده است.
مراحل اجرای راهکار دورکاری سازمانی
- نیازسنجی: ثبت کاربران، منابع، عملیات کاری و محدودیت‌های دستگاه و ارتباط.
- طراحی: انتخاب روش اتصال، سطح مجوز، کنترل هویت، ظرفیت و اقلام تحویل.
- پایلوت محدود: استفاده از کاربران منتخب و دادهٔ غیرحساس برای آزمون کار واقعی.
- آزمون مجوز: بررسی دسترسی مجاز، رد دسترسی غیرمجاز و لغو حساب و نشست.
- استقرار مرحله‌ای: اضافه‌کردن کاربران با آموزش ورود، خطاهای متداول و مسیر پشتیبانی.
- پذیرش: ثبت نتایج آزمون، محدودیت‌های باقی‌مانده و مسئول نگهداری.
در پایلوت، قطع و وصل ارتباط و ورود مجدد را هم بررسی کنید؛ باید معلوم باشد عملیات نیمه‌تمام چگونه مدیریت میشود. تغییرات با برنامهٔ بازگشت انجام شوند تا در صورت مشکل، کاربران داخلی یا سرویس فعلی مختل نمانند. انتخاب راهکار نباید صرفاً بر پایهٔ موفقیت یک اتصال آزمایشی کوتاه باشد.
نگهداری، پشتیبانی و بازیابی
مسئول رسیدگی به حساب قفل‌شده، پایان مجوز، اختلال اینترنت یا کمبود ظرفیت را از ابتدا مشخص کنید. بازبینی دورهای حساب‌ها، نشست‌ها، بهروزرسانی و مجوزها، بخشی از بهره‌برداری است. برای پیگیری خطا، زمان رخداد، نام خدمت و متن خطا کافی است؛ رمز یا اطلاعات محرمانه در درخواست پشتیبانی ارسال نشود.
راهکار دسترسی از راه دور، نسخهٔ پشتیبان اطلاعات سازمان نیست. بازیابی فایل و برنامه و بازگردانی تنظیمات بستر باید جدا طراحی شوند. توقف درگاه دسترسی با خراب‌شدن پایگاه داده یک مسئله نیست و روش رسیدگی متفاوتی دارد. برنامهٔ نگهداری را با بخش‌های پشتیبان‌گیری و بازیابی و پشتیبانی و مانیتورینگ هماهنگ کنید.
هزینه ایجاد دسترسی دورکاری امن
تعداد کاربران همزمان، نوع نرمافزار، ظرفیت سرور، ارتباط، تجهیزات کنترل دسترسی، مجوز، امنیت و پشتیبانی بر هزینه اثر دارند. اجرا و پیکربندی اولیه را از هزینهٔ دورهای ارتباط، اشتراک، نگهداری و تمدید مجوز جدا کنید؛ یک برآورد بدون شناخت برنامه و مصرف واقعی قابل اتکا نیست.
شرایط مجوز بستر منتخب را پیش از خرید بررسی کنید. برای مثال، در مستندات مجوز دسترسی RDS مایکروسافت، مجوز کاربر یا دستگاه و سازگاری نسخه‌ها مطرح است. این موضوع را با نسخه و شیوهٔ استقرار واقعی تطبیق دهید؛ امکان فنی اتصال، جای بررسی مجوز استفاده نیست. این راهنما قیمت روز یا نسخهٔ مشخصی را پیشنهاد نمی‌کند.
چک‌لیست تحویل دسترسی دورکاری
- انجام عملیات کاری توافق‌شده از محل‌ها و دستگاه‌های مجاز
- آزمون ورود، محدودیت منابع و رد دسترسی خارج از نقش کاربر
- آزمون لغو حساب و نشست و ثبت روال پایان همکاری
- آزمون کیفیت ارتباط و نشستهای همزمان مطابق دامنهٔ پروژه
- ثبت تنظیمات، ظرفیت، مجوزها و مالک مسئول، با تحویل امن دسترسی
- راهنمای کاربر، روش رسیدگی به اختلال، برنامهٔ نگهداری و محدودیت‌های باقی‌مانده
بررسی و اجرای دسترسی دورکاری در ویوان نت
برای شروع، تعداد تقریبی کاربران، نام برنامه‌های موردنیاز، محل کار و نوع دستگاه را در بخش پشتیبانی ویوان نت توضیح دهید. رمز، کد ورود یا فایل حاوی دادهٔ محرمانه را در درخواست عمومی قرار ندهید. پس از نیازسنجی، محدودهٔ طراحی، اجرا و آزمون تحویل قابل تعریف است.
سناریوی آموزشی: دسترسی دو کارمند به نرمافزار حسابداری
فرض کنید دو کارمند باید چند روز در هفته از خانه با نرمافزار حسابداری کار کنند. هدف، ثبت و مشاهدهٔ اطلاعات مجاز است، نه مدیریت سرور یا دسترسی به تمام پوشه‌های شرکت. ابتدا سازگاری برنامه با اجرای راه دور و سیاست نگهداری داده بررسی میشود.
در پایلوت، کاربران با حساب شخصی و مجوز محدود، روی دادهٔ آزمایشی کار می‌کنند. ثبت سند، دریافت گزارش، ارتباط از خانه، دسترسی غیرمجاز و قطع حساب آزموده می‌شوند. اگر چاپ یا انتقال فایل لازم است، همان قابلیت مشخص بررسی میشود؛ نه اینکه همهٔ انتقال‌ها پیش‌فرض آزاد باشند.
انتخاب نهایی به نتیجهٔ آزمون، ظرفیت، مجوز و توان نگهداری بستگی دارد. اگر روش منتخب نیاز واقعی را پاسخ ندهد، پیش از توسعهٔ دسترسی اصلاح میشود. این سناریو پروژهٔ واقعی ویوان نت نیست و کاهش هزینه یا امنیت کامل را تضمین نمی‌کند.
این راهنما از مجموعهٔ مجازی‌سازی و پردازش ابری ویوان نت است. برای شناخت مجموعه، معرفی ویوان نت را ببینید.
پرسش‌های متداول دربارهٔ دسترسی دورکاری
آیا برای دورکاری حتماً باید VPN راهاندازی شود؟
خیر. ممکن است یک برنامهٔ وب با کنترل هویت مناسب، انتشار نرمافزار یا دسکتاپ از راه دور پاسخگو باشد. انتخاب به برنامه، محل داده، دستگاه کاربر و سیاست سازمان بستگی دارد؛ اتصال به کل شبکه برای همهٔ کاربران لازم نیست.
آیا بازکردن مستقیم پورت Remote Desktop روی اینترنت کافی است؟
خیر. دسترسی مستقیم عمومی، راهکار کامل دورکاری نیست و ریسک ایجاد می‌کند. مسیر کنترل‌شده، احراز هویت چندمرحله‌ای در بستر پشتیبانی‌شده، محدودیت مجوز و بررسی رخدادها باید در طراحی لحاظ شوند؛ مسیر RDP نباید بدون کنترل مناسب عمومی شود.
برای دسترسی دورکاری چه سرعت اینترنتی نیاز است؟
عدد یکسانی برای همهٔ سازمانها وجود ندارد. نوع کار، تعداد کاربران همزمان، آپلود سمت سازمان، تأخیر و پایداری مسیر مهماند. عملیات واقعی از محل کاربر در ساعات مصرف معمول باید آزموده شود؛ فقط سرعت دانلود، معیار کافی نیست.
کارکنان میتوانند با لپتاپ شخصی دورکاری کنند؟
در صورت پذیرش سیاست سازمان و کنترلهای متناسب با حساسیت داده ممکن است. بهروزرسانی، حفاظت دستگاه، ذخیرهٔ محلی و روش قطع دسترسی باید بررسی شوند. برای اطلاعات حساس ممکن است دستگاه مدیریتشده یا محدودکردن انتقال فایل مناسبتر باشد.
بعد از پایان همکاری، چگونه دسترسی دورکاری لغو میشود؟
علاوه بر غیرفعالکردن حساب، نشستهای فعال، مجوز برنامه، عضویت گروهها و ابزارهای دسترسی اختصاصی باید طبق قابلیت بستر بررسی شوند. نتیجه با تلاش برای ورود و دسترسی مجدد آزموده و در روال خروج کارکنان ثبت شود.
هزینه ایجاد دسترسی دورکاری چگونه محاسبه میشود؟
تعداد کاربران همزمان، نوع برنامه، ظرفیت سرور، ارتباط، تجهیزات کنترل دسترسی، مجوز محصول، امنیت و نگهداری مؤثرند. هزینهٔ اجرا و هزینهٔ دورهای جدا برآورد شوند؛ پیش از خرید، سازگاری و شرایط مجوز بستر منتخب بررسی شود.
منابع فنی و مطالعهٔ بیشتر
انتخاب و پیکربندی نهایی باید با مستندات نسخهٔ مورد استفاده و سیاست سازمان تطبیق داده شود. منابع زیر برای مبانی امنیت و یک نمونهٔ معماری‌اند؛ مقاله به محصول خاصی محدود نیست.