VPN المؤسسي: ربط موقعين بأمان

تمت ترجمة هذا المقال آليًا من الفرنسية وهو قيد المراجعة. الأسعار بالدينار الجزائري دون ضريبة.

يخلق VPN (شبكة خاصة افتراضية) نفقاً مشفّراً ومصادقاً عبر الإنترنت. إذا كان لديك شركتان، يربط VPN site‑to‑site بينهما: يصل أجهزة كل موقع إلى الخوادم والطابعات في الموقع الآخر كما لو كانت على نفس الشبكة، دون أن يكون المرور قابلًا للقراءة عبر الإنترنت. للمستخدمين عن بُعد، يُشار إلى VPN الوصول البعيد. يركز هذا الدليل أساساً على site‑to‑site ويشير إلى الاختلافات للوصول البعيد.

كيف يعمل VPN المؤسسي؟

المبدأ الأساسي

خذ موقعين:

• الموقع A: شبكة 10.10.1.0/24، راوتر أو جدار ناري في 10.10.1.1.
• الموقع B: شبكة 10.10.2.0/24، راوتر أو جدار ناري في 10.10.2.1.

يصل كل موقع إلى الإنترنت عبر مشغله، مع عنوان IP عام خاص به. بدون VPN، مشاركة خادم بين A وB يلزم تعريضه على الإنترنت. مع VPN، يقوم الجدار الناري A بتشفير الحزم الموجهة إلى 10.10.2.0/24 وإرسالها إلى الجدار الناري B، الذي يفك تشفيرها ويعيد توجيهها للجهاز المستهدف. بالنسبة لأجهزة الكمبيوتر، يكون ذلك شفافاً: يصلون إلى عنوان في الموقع الآخر، على سبيل المثال 10.10.2.20، كعنوان محلي.

شرطان. أولاً، يجب أن تستخدم الشبكتان نطاقات عناوين مختلفة. ثانياً، يجب على كل جدار ناري معرفة مسار الشبكة الأخرى (في IPsec، هذه هي محددات الحركة؛ في WireGuard، الـ «AllowedIPs») ويجب أن تسمح القواعد بالمرور المطلوب.

المصادقة والتشفير

قبل أي تبادل، يجب على كل طرف إثبات هويته، وإلا قد يتظاهر جدار ناري B مزيف بأنه الحقيقي. توجد ثلاث طرق:

• مفتاح مشترك مسبقاً (PSK), في IPsec: سر يُدخل مُسبقاً على كلا الجدارين. اختره طويلاً وعشوائياً.
• شهادات, في IPsec وOpenVPN: كل طرف يُقدّم شهادة موقّعة من سلطة (CA) يقرّرها الطرف الآخر.
• أزواج المفاتيح, في WireGuard: كل طرف يمتلك مفتاحاً خاصاً ومفتاحاً عاماً؛ على كل جدار ناري، يُعلن المفتاح العام للطرف الآخر. لا توجد شهادة ولا سلطة لإدارتها.

تُشفّر البيانات بعد ذلك. يفاوض IPsec خوارزمياته (عادةً AES). لا يتفاوض WireGuard: يستخدم مجموعة ثابتة، مع ChaCha20 وPoly1305 للتشفير وCurve25519 لتبادل المفاتيح.

تقنيات VPN: IPsec, WireGuard, OpenVPN

بعض الشركات المصنعة تقدم أيضاً «VPN SSL» مع عميلها الخاص. هو مخصص لكل علامة تجارية: يُستخدم للوصول عن بُعد، وليس لربط جهازين من ماركات مختلفة.

IPsec

IPsec معيار مفتوح من IETF ظهر في تسعينيات القرن الماضي، وهو موجود في جميع جدران الحماية المؤسسية تقريبًا. استخدم IKEv2 (RFC 7296) بدلًا من IKEv1 القديم.

المزايا

• التوافقية: يمكن لـ MikroTik و FortiGate و Cisco أو pfSense إنشاء نفق بينهما.
• النضج: عقود من النشر والتدقيق.
• عملاء IKEv2 مدمجون في أنظمة متعددة للوصول عن بُعد.

الحدود

• الكثير من الإعدادات يجب مطابقتها على الجانبين: نسخة IKE، الخوارزميات، أوقات الصلاحية، محددات الحركة. اختلاف واحد فقط يمنع إنشاء النفق.
• التشخيص يتطلب قراءة سجلات الطرفين.
• خلف NAT، يُغلف الحركة في UDP 4500، ويجب السماح به على الجدران النارية.

WireGuard

WireGuard أحدث. مدمج في نواة Linux منذ الإصدار 5.6 (مارس 2020)، متاح في RouterOS 7 من MikroTik وفي OPNsense، ومكوّن في pfSense.

المزايا

• الإعداد قصير: بضعة أسطر لكل طرف.
• الكود المصدر مختصر، لذا أسهل للتدقيق.
• مفاتيح الجلسة تُجدد تلقائياً، تقريباً كل دقيقتين طالما النفق ينقل حركة.

الحدود

• ليس كل الأجهزة تدعمه، خاصة جدران نارية شركات قديمة: تحقق من المواصفات قبل الاختيار.
• لا توجد خيارات لخوارزميات: إنها جودة تصميم، لكنها لا تناسب متطلبات أخرى.
• للولوج عن بُعد، لا يوجد دليل مستخدمين: زوج مفاتيح لكل جهاز، يُدار يدويًا.
• أقل تاريخ نشر من IPsec في المنظمات الكبرى.

إعداد VPN للشركة في AsloTech

توفر AsloTech وتثبت جدران حماية MikroTik وFortinet، التي تحمل القناة. تتبع الطريقة أربع مراحل:

1. التشخيص : زيارة كلا الموقعين. نحدد نوع اتصال الإنترنت (ألياف، ADSL، 4G أو 5G)، وجود عنوان IP عام قابل للوصول، معدل الرفع المتاح، الأجهزة الموجودة وخطة العناوين.
2. اختيار البروتوكول : WireGuard إذا كان كلا الجهازين يدعمانه؛ IPsec مع IKEv2 خلاف ذلك، أو إذا كانت العلامتان مختلفتان وأحدهما لا يدعم WireGuard. بين MikroTik وFortiGate، يُفضَّل IPsec مع IKEv2، لأن كلاهما يدعمانه؛ للـ WireGuard على FortiGate، تحقق من ورقة المنتج أن نسخة FortiOS تدعمه.
3. التثبيت : خطة عناوين بدون تداخل، إعداد الجدران النارية، تبادل المفاتيح، المسارات والقواعد المحدودة للمرور الضروري.
4. اختبارات : اختبارات التسليم والتشغيل. صعود النفق، اختبار ping في كلا الاتجاهين، الوصول إلى الخدمات الحقيقية (مشاركة الملفات، الطابعة، تطبيق العمل)، اختبار الانقطاع وإعادة التشغيل، حفظ الإعدادات.

مؤشرات عرض السعر. أرقام تقريبية ملاحظة في عروضنا المؤكدة. كل مبلغ يأتي من عرض واحد: ليست متوسطات.

• تنفيذ حل VPN WireGuard : 65 000 دج دون ضريبة.
• إعداد مستخدم VPN إضافي : 6 000 دج دون ضريبة.

مثال على حساب لا يُعد عرض سعر: تنفيذ WireGuard مع 5 مستخدمين إضافيين سيعطي 65 000 + 5 × 6 000 = 65 000 + 30 000 = 95 000 دج HT، إذا كان المستخدمون يُحاسبون كما في هذا العرض. السعر الحقيقي يعتمد على عدد المواقع، المعدات الموجودة وتعقيد المشروع. جدار الحماية نفسه (MikroTik أو Fortinet)، تراخيصه المحتملة وتركيبها يُحسب على أساس عرض سعر.

حالات الاستخدام والمخاطر

الحالات الشائعة

• مكتبين أو ثلاثة أو متاجر مترابطة باستمرار: وصول إلى خادم الملفات، لتطبيق الإدارة، إلى مسجل الكاميرات.
• العمل عن بُعد : VPN للوصول البعيد يمنع فتح سطح المكتب البعيد (RDP، المنفذ 3389) على الإنترنت.
• كاميرات عن بُعد : يُستبدل VPN إعادة توجيه المنافذ (انظر الوصول عن بُعد إلى الكاميرات). تُمنع القوانين الاتصال بالإنترنت بأنظمة المراقبة بالكاميرات في المنشآت العامة وتلك التي تُصوّر المساحات المفتوحة للجمهور (المرسوم التنفيذي رقم 09-410 المعدل بالمرسوم رقم 16-61، المادة 20 bis)؛ تحقق من وضعك قبل فتح الوصول عن بُعد.
• نسخ احتياطي خارجي : نسخ النسخ الاحتياطية إلى الموقع الآخر (انظر القاعدة 3-2-1).
• هاتفية : يمكن لخدمة IP أن تخدم موقعًا بعيدًا عبر القناة، إذا كان معدل الرفع والوقت المتأخر مقبولين (انظر هاتفية IP واستمرارية الخدمة وخدمة IP أو أنالوجية).
• تكرار : اتصالان إنترنت (مثلاً ألياف وبـ4G) مع قناتين وتبديل تلقائي.

إذا كان المبنيان قريبًا، قد يكون ربط سلكي أبسط وأكثر استقرارًا من VPN: انظر ألياف بصرية أو نحاسية لمبنيين.

فخاخ شائعة

• تداخل عناوين : كثير من أجهزة التوجيه تستخدم 192.168.1.0/24 أو 192.168.0.0/24 بشكل افتراضي. إذا كان لدى الموقعين نفس النطاق، لا يمكن لـVPN تمييزهما. أعد توجيه أحد الموقعين قبل إنشاء القناة.
• عنوان عام غير قابل للوصول : على اتصال 4G أو 5G، قد يشارك المشغل عنوانًا عامًا مشتركًا بين عدة مشتركي (CGNAT)، وبالتالي لا يمكن الوصول إلى الموقع من الإنترنت. قد يعمل VPN إذا كان الموقع الآخر قابلًا للوصول: الطرف المخفي يبدأ الاتصال. إذا لم يكن أي منهما كذلك، يجب طلب عنوان عام من المشغل أو المرور عبر خادم وسيط. إذا تغير العنوان العام، استخدم اسم DNS ديناميكي. تحقق من هذه النقطة قبل التزام VPN.
• معدل الرفع : معدل القناة محدود بمعدل رفع الموقع المرسل، غالبًا أقل بكثير من معدل النزول. قِسّه.
• MTU : يضيف التجسيم بايتات إلى كل حزمة. الأعراض النموذجية: التبادلات الصغيرة تمر، بينما التحويلات الكبيرة تتوقف. اضبط MTU للـ tunnel (1420 افتراضي لـ WireGuard) أو استخدم MSS clamping.
• انقطاع الكهرباء : شغّل الراوتر والمودم على جهاز UPS، وتأكد أن القناة تعود تلقائياً عند استعادة التيار.
• قواعد واسعة جداً : ربط شبكتين لا يعني السماح بكل شيء. حدّد التدفقات حسب الشبكة، الجهاز، والمنافذ، مع تقسيم VLAN.

أمان الـ VPN

VPN مُكوَّن جيداً يحمي الحركة بين الطرفين، لكنه لا يحمى كل شيء:

• في النفق، يُشفَّر المرور. لا يمكن قراءته لأي شخص يلتقطه على الإنترنت.
• داخل كل شبكة محلية، لا يشفّر الـ VPN أي شيء. القناة تتوقف عند جدارَي الحماية. جهاز مخترق يرى حركة المرور في شبكته، ويمكنه الوصول إلى الموقع الآخر إذا سمحت القواعد بذلك.
• يؤثّر VPN موقع إلى موقع على اثنين من الأجهزة، وليس الأشخاص. للوصول عن بُعد، أنشئ حساباً لكل شخص، فعّل المصادقة متعددة العوامل إذا سمح الجهاز بذلك، وأوقف حساب الزميل الذي يغادر.
• يُعرض خدمة VPN نفسها على الإنترنت. احتفظ بجدار الحماية محدثًا، وافتح فقط منفذ VPN.

اجمع الـ VPN مع جدار الحماية مُعدّ بشكل صحيح. لاختيار الجهاز الذي سيحمل النفق، انظر MikroTik, Fortinet أو Cisco.

الخطوات التالية

استعرض صفحة الأمان الشبكي وجدار الحماية لدراسة احتياجاتك، أو صفحة الشبكات المعلوماتية لتوصيل الكابلات والمعدات النشطة. اقرأ أيضاً كيفية تقسيم شبكتك باستخدام VLAN لتقييد ما يمر بين المواقع، ولماذا يُعد جدار الحماية ضروريًا لحماية نقطة دخول VPN الخاصة بك.

الأسئلة المتكررة

يُقرأ أيضًا