خلاصه پروژه: در یک شبکه سازمانی، هدف ایجاد دسترسی راه دور پایدار برای کاربران بود. بخشی از مسیر دسترسی کار می‌کرد اما یکی از روش‌های VPN در مرحله برقراری ارتباط متوقف می‌شد.
مسئله چه بود؟
از بیرون شبکه باید به سرویس داخلی دسترسی برقرار می‌شد. بعضی مسیرهای دسترسی فعال بودند اما یک سناریوی VPN در مرحله ابتدایی Negotiation با Timeout مواجه می‌شد.
روش عیب‌یابی
به‌جای تغییر هم‌زمان چند تنظیم، مسیر ترافیک به‌صورت مرحله‌ای بررسی شد: Reachability، NAT، Firewall، دسترسی به سرویس داخلی و در نهایت تفاوت‌های پروتکل VPN.
موارد بررسی‌شده
- مسیر ورود ترافیک از اینترنت
- قوانین NAT و Firewall
- دسترسی کاربران VPN به LAN
- ثبت Logهای مرتبط با Negotiation
- تفکیک مشکل مسیر شبکه از مشکل پروتکل
یافته مهم
وقتی یک روش دسترسی از همان مسیر عمومی و همان سرور کار می‌کند، بخش مهمی از زیرساخت تأیید می‌شود. در نتیجه می‌توان دامنه خطا را روی تنظیمات خاص همان روش VPN محدود کرد، به‌جای اینکه کل معماری شبکه دوباره طراحی شود.
نتیجه
دسترسی راه دور عملیاتی شد و مسیر کاربران به شبکه داخلی پایدار ماند. مشکل روش دوم نیز بدون ایجاد اختلال در سرویس فعال، جداگانه برای بررسی بیشتر نگه داشته شد.
درس‌های پروژه
- در عیب‌یابی VPN، ابتدا مسیر شبکه را از تنظیمات پروتکل جدا کنید.
- Logها مهم‌تر از تغییرات حدسی هستند.
- یک روش سالم می‌تواند به‌عنوان Baseline برای مقایسه استفاده شود.
- تغییرات باید مرحله‌ای و قابل بازگشت باشند.
خدمات مرتبط
برای طراحی یا عیب‌یابی Remote Access، Routing و Firewall می‌توانید صفحه خدمات MikroTik و VPN و ارتباط امن دفاتر را ببینید.
سؤالات متداول
اگر یک VPN کار کند و دیگری نه، چه نتیجه‌ای می‌گیریم؟
معمولاً یعنی مسیر پایه شبکه تا حد زیادی سالم است و باید تفاوت تنظیمات، پروتکل و Policyهای مرتبط بررسی شود.
اولین قدم در عیب‌یابی VPN چیست؟
ثبت وضعیت موجود و بررسی Reachability، NAT، Firewall و Logها قبل از هر تغییر.
چرا تفکیک مسیر از پروتکل اهمیت دارد؟
در دسترسی راه دور، موفق بودن اتصال TCP به یک سرویس داخلی الزاماً به معنی سالم بودن تبادل کلید IPsec یا عبور ترافیک UDP نیست. بنابراین در زمان Timeout باید وضعیت UDP 500 و 4500، قوانین NAT و لاگ‌های دو سمت بررسی شوند. در سناریوهایی که NAT وجود دارد، تنظیمات NAT Traversal نیز اهمیت پیدا می‌کند.
نکته امنیتی در تغییرات
باز کردن موقت دسترسی از اینترنت بدون محدودیت مبدأ یا ثبت تغییر می‌تواند سطح حمله را افزایش دهد. بهتر است ابتدا از تنظیمات روتر و فایروال نسخه پشتیبان تهیه شود و سپس هر تغییر به‌صورت کنترل‌شده و قابل بازگشت انجام گیرد. نتیجه هر آزمون باید با زمان و پیام خطای مربوط ثبت شود.
برای آشنایی با طراحی اصولی تونل و انتخاب پروتکل، راهنمای راه‌اندازی VPN سازمانی را مطالعه کنید.