دروازهٔ VPN: دسترسی خصوصی و امن تیم به سرورها

دروازهٔ VPN در عمل یک ابزار کنترل دسترسی است. سناریوهایی که بیشتر برایش انتخاب می‌شود:

در client VPN هر کاربر یک نرم‌افزار کلاینت روی لپ‌تاپ یا گوشی نصب می‌کند و هنگام نیاز وصل می‌شود. این مدل برای تیم‌های کوچک، دورکاری و دسترسی موردی مناسب است. سقف هر پلن بر اساس تعداد کلاینت هم‌زمان تعریف شده است، نه تعداد کل حساب‌ها.

در site-to-site دو شبکه به‌صورت دائمی به هم متصل می‌شوند؛ معمولاً روتر یا فایروال دفتر یک سر تونل است و دروازهٔ ایران‌کلاد سر دیگر. کاربران دفتر بدون نصب هیچ کلاینتی به منابع ابری دسترسی دارند، انگار سرورها در همان ساختمان‌اند. پلن کسب‌وکار ۲ تونل و پلن سازمانی ۱۰ تونل site-to-site دارد؛ پلن شخصی فقط client VPN است.

بیشتر سازمان‌ها ترکیبی از هر دو را استفاده می‌کنند: site-to-site برای دفتر مرکزی و شعبه‌ها، client VPN برای کارمندان دورکار و تیم فنی.

هر دروازه قیمت ماهانهٔ ثابت دارد که مثل بقیهٔ سرویس‌های ایران‌کلاد ساعتی از کیف پول کسر می‌شود. مبلغ ساعتی از تقسیم قیمت ماهانه بر ۷۲۰ ساعت و گرد کردن به بالا محاسبه می‌شود، پس یک ماه سی‌روزه دقیقاً به قیمت اعلام‌شده می‌رسد. قرارداد یا پیش‌پرداخت لازم نیست و با حذف دروازه هزینه متوقف می‌شود.

پلن را بر اساس دو عدد انتخاب کنید: بیشترین تعداد کاربری که هم‌زمان وصل می‌شوند و مجموع پهنای باندی که از تونل عبور می‌کند. برای مقایسه با سایر هزینه‌ها صفحهٔ قیمت‌گذاری و ماشین‌حساب هزینه را ببینید.

پلن شخصی برای فریلنسرها و تیم‌های دو تا پنج نفره‌ای است که فقط می‌خواهند SSH و پنل‌های مدیریتی را پشت VPN ببرند. پهنای باند ۵۰ مگابیت برای کار ترمینالی، انتقال فایل‌های معمولی و دسترسی به داشبوردها کافی است.

پلن کسب‌وکار برای شرکت‌های کوچک و متوسطی است که هم کارمند دورکار دارند و هم یک یا دو دفتر را به سرورها وصل می‌کنند. سقف ۲۵ کاربر هم‌زمان و دو تونل site-to-site معمولاً تا چند ده نفر کارمند پاسخ‌گوست، چون همه هم‌زمان وصل نیستند.

پلن سازمانی برای شعبه‌های متعدد، تیم‌های بزرگ یا انتقال حجم بالای داده بین دفتر و ابر طراحی شده است: ۲۵۰ کاربر هم‌زمان، ۱۰ تونل site-to-site و پهنای باند یک گیگابیت.

امن‌ترین چیدمان این است که سرورهای داخلی، مثل دیتابیس و سرویس‌های پشتی، اصلاً روی آدرس عمومی گوش ندهند و فقط از طریق شبکهٔ خصوصی با هم صحبت کنند. شبکهٔ خصوصی در ایران‌کلاد رایگان است و هر حساب تا ۱۰ شبکه با محدوده‌های ‎/24 خصوصی مثل 10.0.0.0/24 می‌تواند داشته باشد.

دروازهٔ VPN در این چیدمان تنها راه ورود انسان‌ها به این شبکه است. روی سرورهایی که هنوز آدرس عمومی دارند، در فایروال پورت‌های مدیریتی را فقط برای محدودهٔ آدرس VPN باز کنید و بقیه را ببندید. سرویس‌هایی که باید عمومی باشند، مثل وب‌سایت، از مسیر متعادل‌ساز بار یا CDN در دسترس می‌مانند.

عدد پهنای باند هر پلن سقف ترافیکی است که از تونل عبور می‌کند: ۵۰ مگابیت در پلن شخصی، ۲۰۰ مگابیت در پلن کسب‌وکار و یک گیگابیت در پلن سازمانی. این ظرفیت میان همهٔ کاربرانی که هم‌زمان وصل‌اند تقسیم می‌شود؛ اگر چند نفر هم‌زمان فایل‌های حجیم جابه‌جا می‌کنند یا تهیهٔ نسخهٔ پشتیبان از دفتر از مسیر تونل انجام می‌شود، پلن بالاتر را در نظر بگیرید.

دروازه روی زیرساخت داخل ایران اجرا می‌شود، پس مسیر بین کاربران داخل کشور و سرورهای شما کوتاه می‌ماند و تأخیر کار ترمینالی یا دسترسی به داشبوردها محسوس نیست. سرعت واقعی هر کاربر به کیفیت اینترنت خود او هم بستگی دارد. یک عادت خوب: فقط ترافیک مربوط به شبکهٔ خصوصی را از تونل عبور دهید و مرور عادی اینترنت را مستقیم نگه دارید تا ظرفیت دروازه برای کار اصلی بماند.

هر دو راه درست‌اند؛ تفاوت در این است که وقت نگه‌داری را چه کسی صرف می‌کند:

پس از فعال‌سازی سرویس، ساخت دروازه این مسیر را دارد:

VPN سطح حمله را به‌شدت کوچک می‌کند: ربات‌هایی که شبانه‌روز اینترنت را برای پورت SSH یا پنل وردپرس باز اسکن می‌کنند، دیگر چیزی برای حدس زدن رمز پیدا نمی‌کنند. ترافیک بین کاربر و دروازه هم رمزنگاری می‌شود، پس استفاده از وای‌فای عمومی برای دسترسی به سامانه‌های داخلی خطر شنود ندارد.

اما VPN جای همه‌چیز را نمی‌گیرد. اگر لپ‌تاپ یک کارمند آلوده باشد، مهاجم از همان تونل وارد می‌شود؛ پس احراز هویت قوی روی خود سرورها، کلید SSH به‌جای رمز و اصل کمترین دسترسی همچنان لازم‌اند. کلاینت افرادی را که از تیم جدا می‌شوند فوراً حذف کنید و از یک کلاینت مشترک برای چند نفر استفاده نکنید.

اگر امروز VPN را روی یک سرور یا روتر دفتر اداره می‌کنید، مهاجرت را موازی انجام دهید. ابتدا دروازهٔ جدید را بسازید و چند کاربر آزمایشی را به آن منتقل کنید، در حالی که VPN قدیمی همچنان کار می‌کند. محدودهٔ آدرس VPN جدید را در فایروال سرورها مجاز کنید و مطمئن شوید همهٔ سرویس‌های داخلی از مسیر جدید در دسترس‌اند.

برای تونل‌های site-to-site، تنظیمات روتر دفتر را در زمان کم‌ترافیک تغییر دهید و تنظیمات قبلی را نگه دارید تا در صورت مشکل برگردید. وقتی همهٔ کاربران و دفاتر منتقل شدند، VPN قدیمی را خاموش و قاعدهٔ فایروال مربوط به آن را حذف کنید.

دروازهٔ VPN هنوز قابل سفارش نیست. پلن‌ها، قیمت‌ها و صورت‌حساب ساعتی آماده‌اند و صفحهٔ پنل آن‌ها را نمایش می‌دهد، اما ساخت دروازه پس از آماده‌سازی نهایی زیرساخت فعال می‌شود. فهرست نهایی پروتکل‌های قابل استفاده در هر پلن هم هنگام فعال‌سازی اعلام خواهد شد.

سقف‌ها ثابت‌اند: هر حساب حداکثر ۱۰ دروازه، و تعداد کاربر هم‌زمان، تونل site-to-site و پهنای باند هر دروازه به پلن آن بستگی دارد. این سرویس برای دسترسی خصوصی به منابع خودتان طراحی شده است، نه برای مرور عمومی اینترنت. اگر امروز به VPN نیاز دارید، آن را روی یک سرور ابری راه‌اندازی کنید و پس از فعال‌سازی به دروازهٔ مدیریت‌شده مهاجرت کنید.