تونل بین دفاتر باید بر اساس نیاز ارتباطی، آدرس‌دهی و توان نگهداری طراحی شود؛ صرفاً Up شدن VPN موفقیت نیست. پیش از انتخاب WireGuard یا IPsec، شبکه‌های دو سمت، سرویس‌های مجاز، IP عمومی، NAT و روش پایش را مشخص کنید.
اول نیاز ارتباطی را بنویسید
مشخص کنید کدام Subnetها باید به هم دسترسی داشته باشند و چه سرویس‌هایی مانند File Server، VoIP یا RDP لازم‌اند. اگر دو دفتر از رنج یکسان استفاده می‌کنند، Routing مستقیم مبهم می‌شود و بهتر است پیش از تونل، برنامه آدرس‌دهی اصلاح شود. دسترسی کامل Any-to-Any معمولاً لازم نیست.
WireGuard چه زمانی مناسب است؟
مستندات MikroTik، WireGuard را یک VPN مدرن و ساده معرفی می‌کند. تنظیم Peer و Allowed Address خواناست و برای RouterOS 7 انتخاب کاربردی است. کلید خصوصی باید فقط روی همان روتر بماند. Allowed Address آدرس‌های مجاز ورودی و انتخاب Peer برای ترافیک خروجی را مشخص می‌کند؛ در RouterOS جای Route جدول مسیریابی را نمی‌گیرد. Route شبکه راه دور باید جداگانه تعریف شود و محدوده Allowed Address بین Peerهای یک رابط نباید هم‌پوشانی داشته باشد.
IPsec چه زمانی مزیت دارد؟
IPsec مجموعه‌ای از پروتکل‌ها برای امن‌سازی Packet روی شبکه ناامن است و در بسیاری از تجهیزات سازمانی استاندارد مشترک محسوب می‌شود. برای اتصال MikroTik به برند دیگر یا محیطی با Policyهای موجود، IPsec ممکن است سازگارتر باشد. Proposal، Phaseها، Lifetime و Encryption Domain باید در دو سمت دقیقاً مستند شوند.
Route، Firewall و NAT
- برای Subnet راه دور Route معتبر ایجاد کنید.
- Forward Rule را فقط برای مبدا، مقصد و سرویس‌های لازم باز کنید.
- قانون NAT Bypass باید پیش از Masquerade عمومی ارزیابی شود.
- پورت یا Protocol تونل فقط از سمت‌های لازم پذیرفته شود.
- دسترسی مدیریتی Winbox و SSH را از اینترنت عمومی محدود کنید.
آزمون مرحله‌ای پیش از تحویل
ابتدا از خود روتر Ping یا Traceroute را با Source مناسب اجرا کنید، سپس ارتباط یک کلاینت با Gateway و سرویس مقصد را بسنجید. مسیر برگشت، DNS داخلی، MTU و Fragmentation را جدا بررسی کنید. برای VoIP یا ارتباط حساس، Packet Loss و Jitter را اندازه بگیرید؛ رمزنگاری مشکل لینک ضعیف را حل نمی‌کند.
پشتیبان‌گیری و پایش
پیش از تغییر، Export بدون اطلاعات حساس و Backup امن تهیه کنید. کلیدها را در Ticket یا پیام عمومی قرار ندهید. وضعیت Handshake، ترافیک Peer، Logهای IPsec و قطع ارتباط WAN باید مانیتور شود. یک روش دسترسی اضطراری محلی نیز در نظر بگیرید.
پرسش‌های رایج
کدام‌یک همیشه سریع‌تر است؟
نتیجه به مدل روتر، شتاب‌دهی سخت‌افزاری، نسخه RouterOS، الگوریتم و ظرفیت لینک وابسته است؛ تست واقعی لازم است.
آیا می‌توان کل شبکه‌ها را بدون Firewall وصل کرد؟
از نظر فنی ممکن است، اما اصل حداقل دسترسی و تفکیک سرویس‌ها ریسک را کمتر می‌کند.
نمونه طرح قبل از اجرا
یک جدول دوطرفه آماده کنید که در آن WAN IP یا DDNS، Subnet محلی، Subnet راه دور، پورت و Protocol تونل، Routeها و سرویس‌های مجاز نوشته شده باشد. سپس Rollback را مشخص کنید: Backup تنظیمات، مسیر دسترسی محلی و زمان برگشت. این طرح کوچک از تغییر هم‌زمان چند Rule و گم‌شدن علت قطعی جلوگیری می‌کند.
منابع رسمی
مستند WireGuard در MikroTik و مستند IPsec را بخوانید. برای چارچوب کلی، راهنمای طراحی VPN و تنظیمات پایه MikroTik را ببینید.
برای اجرای تخصصی این راهکار در شبکه سازمانی، صفحه خدمات میکروتیک را مشاهده کنید.