وقتی شرکت چند شعبه دارد، همه باید به نرم‌افزار مالی، فایل‌ها و سیستم‌های مرکزی دسترسی داشته باشند. VPN سایت‌به‌سایت روی بستر اینترنت یک تونل رمزنگاری‌شده بین دو دفتر می‌سازد تا شبکه‌های دو طرف، بدون نیاز به خط اختصاصی گران، مثل یک شبکه واحد با هم کار کنند.
VPN سایت‌به‌سایت با VPN دسترسی از راه دور چه فرقی دارد؟
در VPN دسترسی از راه دور، هر کاربر با نرم‌افزاری روی لپ‌تاپ یا گوشی خودش وصل می‌شود. در VPN سایت‌به‌سایت، اتصال بین دو دستگاه (فایروال یا روتر) در دو دفتر برقرار است و کاربران شعبه بدون هیچ نرم‌افزار خاصی به منابع مرکز دسترسی دارند. رایج‌ترین پروتکل برای این کار IPsec است.
قدم اول: آدرس‌دهی بدون تداخل
مهم‌ترین و رایج‌ترین خطا، تداخل آدرس‌هاست. اگر دفتر مرکزی و شعبه هر دو از بازه پیش‌فرض 192.168.1.0/24 استفاده کنند، تونل برقرار می‌شود اما ارتباط کار نمی‌کند. قبل از هر چیز برای هر دفتر یک بازه یکتا تعیین کنید؛ مثلاً:
- دفتر مرکزی: 10.10.0.0/16
- شعبه ۱: 10.11.0.0/16
- شعبه ۲: 10.12.0.0/16
این الگو خواناست و برای افزودن شعبه‌های بعدی هم جا دارد.
قدم دوم: معماری؛ ستاره یا شبکه کامل؟
- ستاره‌ای (Hub-and-Spoke): هر شعبه فقط به مرکز وصل است. ساده و مناسب وقتی بیشتر ترافیک به سمت سرورهای مرکزی است.
- شبکه کامل (Full Mesh): هر شعبه به همه شعب دیگر هم وصل است. وقتی شعبه‌ها مستقیم با هم کار زیادی دارند مفید است، اما مدیریتش پیچیده‌تر می‌شود.
برای بیشتر شرکت‌ها مدل ستاره‌ای کافی و قابل‌مدیریت‌تر است.
قدم سوم: تنظیمات امن تونل
- از الگوریتم‌های رمزنگاری به‌روز، مثلاً AES با کلید ۲۵۶ بیتی و SHA-256 یا بالاتر، و IKEv2 استفاده کنید و الگوریتم‌های قدیمی مثل DES و MD5 را کنار بگذارید.
- کلید مشترک (Pre-Shared Key) را بلند و تصادفی انتخاب کنید یا از گواهی دیجیتال استفاده کنید.
- فقط ترافیک لازم را مجاز کنید؛ لازم نیست هر شعبه به همه سرورهای مرکز دسترسی کامل داشته باشد.
قدم چهارم: لینک پشتیبان و جابه‌جایی خودکار
قطعی اینترنت یک شعبه یعنی توقف کامل کار آن شعبه. با یک لینک اینترنت دوم از یک سرویس‌دهنده متفاوت و تنظیم جابه‌جایی خودکار (Failover)، اگر لینک اصلی قطع شود تونل از مسیر دوم برقرار می‌شود. فناوری‌هایی مثل SD-WAN این کار را هوشمندتر انجام می‌دهند و می‌توانند ترافیک را بر اساس کیفیت لحظه‌ای لینک‌ها جابه‌جا کنند.
قدم پنجم: اولویت ترافیک کاری
وقتی دانلود یک فایل حجیم، پهنای باند شعبه را پر کند، نرم‌افزار مالی و تماس‌های تلفنی کند می‌شوند. با اولویت‌بندی ترافیک (QoS)، ترافیک کاری مهم همیشه جلوتر از ترافیک کم‌اهمیت قرار می‌گیرد.
خطاهای رایج و نشانه‌هایشان
- تداخل آدرس: تونل برقرار است اما هیچ ارتباطی کار نمی‌کند.
- مشکل MTU: صفحات وب یا اشتراک فایل گاهی باز نمی‌شوند یا نیمه‌کاره می‌مانند؛ معمولاً با تنظیم MSS Clamping روی تونل حل می‌شود.
- قطع شدن تونل پس از مدتی: ناهماهنگی زمان‌های Lifetime یا تنظیمات DPD بین دو طرف.
- DNS: کاربران شعبه نام سرورها را پیدا نمی‌کنند چون DNS داخلی مرکز در تنظیمات شعبه نیست.
پایش؛ قبل از اینکه شعبه زنگ بزند
وضعیت تونل‌ها، تأخیر و افت بسته‌ها را پایش کنید تا قطعی یا افت کیفیت پیش از اعتراض کاربران دیده شود. هشدار خودکار در زمان قطع یک تونل، فرصت می‌دهد مشکل قبل از شروع ساعت کاری حل شود.
اگر شعبه جدیدی در راه است یا ارتباط شعب فعلی‌تان پایدار نیست، کارشناسان ما طراحی و راه‌اندازی اتصال امن بین شعب را انجام می‌دهند.