خیلی از شرکت‌ها همه سرویس‌هایشان را یک‌جا به فضای ابری نمی‌برند. نرم‌افزار مالی یا سایت روی سرور ابری می‌رود، اما سرور فایل، چاپگرها و شاید کنترلر دامین در دفتر می‌مانند. برای اینکه این دو بخش مثل یک شبکه واحد کار کنند، به یک اتصال امن و پایدار بین دفتر و دیتاسنتر نیاز است. این مقاله روی نکات خاص اتصال دفتر به سرورهای ابری تمرکز دارد.
چرا VPN و نه پورت باز؟
بدون VPN، تنها راه دسترسی به سرور ابری باز کردن پورت سرویس‌ها روی اینترنت است: RDP، دیتابیس، اشتراک فایل. یعنی هر سرویس مستقیم در معرض حمله قرار می‌گیرد. با VPN، سرور ابری فقط از مسیری رمزگذاری‌شده و از شبکه دفتر در دسترس است و پورت‌های داخلی آن روی اینترنت بسته می‌مانند.
دو الگوی رایج
- VPN مستقیم روی سرور: اگر فقط یک سرور ابری دارید، می‌توانید تونل را مستقیم بین فایروال دفتر و خود سرور برقرار کنید. ساده است، اما با زیاد شدن سرورها مدیریتش سخت می‌شود.
- فایروال یا روتر مجازی در دیتاسنتر: یک فایروال مجازی، مثل pfSense، OPNsense یا روتر مجازی MikroTik، جلوی سرورهای ابری قرار می‌گیرد و تونل بین آن و فایروال دفتر برقرار می‌شود. سرورها پشت آن در یک شبکه خصوصی قرار می‌گیرند. برای بیش از یک سرور، الگوی تمیزتر و امن‌تری است.
پروتکل‌های رایج برای این اتصال IPsec و WireGuard هستند. انتخاب به تجهیزات دو طرف بستگی دارد؛ مهم این است که هر دو طرف به‌خوبی از آن پشتیبانی کنند.
طراحی آدرس‌ها و DNS
- بازه IP تکراری نباشد: اگر شبکه دفتر و شبکه خصوصی سرورها هر دو
192.168.1.0/24باشند، مسیریابی کار نمی‌کند. از ابتدا بازه‌های متفاوت انتخاب کنید. - DNS را هماهنگ کنید: اگر دامین Active Directory دارید، سرور ابری باید از DNS داخلی دامین استفاده کند تا نام‌ها و ورود به دامین درست کار کند.
- کنترلر دامین دوم: اگر سرورهای ابری به دامین وابسته‌اند، یک کنترلر دامین در سمت ابری باعث می‌شود قطع شدن تونل، احراز هویت را در آن سمت متوقف نکند.
کدام سرویس روی VPN خوب کار می‌کند؟
تونل VPN هرچقدر هم خوب باشد، سرعت و تأخیرش با شبکه داخلی دفتر قابل مقایسه نیست.
- مناسب: Remote Desktop و RemoteApp، نرم‌افزارهای تحت وب، ایمیل و بکاپ‌گیری شبانه.
- مشکل‌ساز: باز کردن فایل‌های حجیم از اشتراک فایل ابری، و نرم‌افزارهای کلاینت‌سروری که برنامه روی کامپیوتر کاربر نصب است و مستقیم با دیتابیس روی سرور ابری کار می‌کند؛ این‌ها روی لینک دارای تأخیر معمولاً بسیار کند می‌شوند.
برای نرم‌افزارهای کلاینت‌سروری، معمولاً بهتر است کاربران با Remote Desktop یا RemoteApp روی همان سرور کار کنند تا برنامه و دیتابیس کنار هم باشند و فقط تصویر از روی VPN عبور کند.
پایداری و امنیت اتصال
- برای دفتر یک لینک اینترنت پشتیبان در نظر بگیرید و تونل را طوری تنظیم کنید که روی لینک دوم هم برقرار شود.
- وضعیت تونل را پایش کنید تا قطعی آن پیش از تماس کاربران دیده شود.
- در فایروال، به‌جای اجازه کامل بین دو شبکه، فقط ترافیک لازم را مجاز کنید؛ مثلاً از دفتر به پورت RDP و سرویس‌های مشخص سرور.
- پس از راه‌اندازی VPN، پورت‌های مدیریتی سرور ابری را روی IP عمومی ببندید.
چک‌لیست
- بازه‌های IP دفتر و دیتاسنتر هم‌پوشانی ندارند.
- DNS و دامین در هر دو سمت درست کار می‌کنند.
- نرم‌افزارهای حساس به تأخیر از طریق RDP یا وب استفاده می‌شوند.
- قوانین فایروال بین دو شبکه محدود و مشخص است.
- پورت‌های مدیریتی سرور ابری روی اینترنت بسته‌اند.
- تونل پایش می‌شود و مسیر پشتیبان دارد.
مدل ترکیبی، اگر درست طراحی شود، بهترین ویژگی‌های دفتر و دیتاسنتر را با هم جمع می‌کند. کارشناسان ITPlus724 می‌توانند اتصال VPN بین دفتر و سرورهای ابری شما را طراحی، راه‌اندازی و نگهداری کنند.