آموزش تنظیمات Site to Site IPSec-VPN روی فایروال FortiGate

FortiGate Site to Site IPSec-VPN | این نوع از VPN به ما این امکان را می دهد تا بتوانیم دو شعبه و یا دو شرکت را از  طریق یک شبکه به صورت ایمن به هم متصل کنیم، در ادامه با ما همراه باشید.

منظور از site to site VPN چیست و چه کاربردی دارد؟

به طور خلاصه site to site VPN به ارتباط تنظیم شده بین چند شبکه اشاره دارد. این شبکه ممکن است یک شبکه سازمانی باشد که به کمک آن، چند دفتر کار با یکدیگر کار می کنند و یا شبکه سازمانی با یک دفتر مرکزی و چندین شعبه در مناطق جغرافیایی مختلف.

لازم به ذکر است site to site VPN برای شرکت هایی که ترافیک خصوصی و محافظت شده برای شان در اولویت بالایی قرار دارد و همچنین برای سازمان هایی که بیش از یک دفتر کاری در موقعیت های مکانی مختلف دارند، مفید و کاربردی است.

غالبا به این صورت است که این مشاغل می بایست به منابعی دسترسی داشته باشند که در یک شبکه اصلی وجود دارند و شامل سرورهایی است که ایمیل ها و داده ها را ذخیره می کنند. در برخی موارد، ممکن است یک سرور، به عنوان مرکز عملیاتی اپلیکیشن های ضروری یک سازمان محسوب شود که در چنین شرایطی، یک site to site VPN، به همه سایت ها دسترسی کامل به اپلیکیشن ها را می دهد.

تاریخچه site to site VPN از بسیاری جهات، با سابقه ی خود اینترنت، تلاقی دارد. در ابتدا site to site VPN همان چیزی بود که ما در حال حاضر تحت عنوان اینترنت می شناسیم. آن ها در ابتدا از طریق استفاده از شبکه ی اصلی سوییچینگ با نام Advanced Research Projects Agency Network (ARPANET) و همچنین از طریق استفاده از پروتکل های Transmission Control / Internet (TCP/IP) امکان پذیر بودند.

پروتکل های TCP/IP نشان می دهند که چگونه داده ها بر اساس پکت ها، آدرس های ارائه شده، انتقال یافته و دریافتی، از طریق کامپیوترهای مختلف و در فضای اینترنت، سازماندهی می گردند. پیش از آن که اینترنت، مانند آن چیزی که امروزه می شناسیم، راه اندازی و معرفی گردد، کامپیوترها از طریق یک شبکه خصوصی و TCP/IP با هم مرتبط می شدند. بنابراین، شبکه های site to site پایه و اساس آن چیزی هستند که ما امروزه به عنوان اینترنت می شناسیم.

VPN های مدرن از آن جهت محبوبیت پیدا کردند که افراد تمایل زیادی به پنهان کردن آدرس آی پی خود به هنگام جستجو در اینترنت دارند. یک آدرس آی پی پنهان، به دانلود فایل های torrent بدون شناسایی آدرس آی پی فرد، کمک فراوانی می کند. در ضمن می توان به محتوای مسدود شده بر اساس موقعیت جغرافیایی نیز دست پیدا کرد. مهم تر از همه، یک شبکه ی عمومی، با سیلی از حملات سایبری روبرو می شود، در حالی که با استفاده از یک VPN، می توان امنیت بیشتری را با یک ارتباط رمزنگاری شده، تجربه کرد. این ویژگی ها، باعث شده اند که VPNها به برترین انتخاب در میان کاربران تبدیل شوند.

با این حال، VPNهایی که برای یک یا چند کاربر در یک زمان، طراحی شده اند، توانایی لازم جهت پاسخگویی به نیازهای یک سازمان بزرگ را نخواهند داشت. در بسیاری از موارد، سازمان های بزرگ باید حجم فراوانی از داده ها را بین موقعیت های مکانی مختلف، به صورت بسیار سریع و ایمن ارسال کنند و VPNی که برای یک کاربر عادی و یا برای جستجو در فضای اینترنت کافی باشد، هرگز قادر به مدیریت فرایند کاری چنین سازمانی نمی باشد.

آشنایی با VPN و انواع آن

VPN انواع مختلفی دارد که هر یک، دارای مزایای مخصوص به خود می باشد و بنابر نیازهای سازمانی، می توان گفت کدام VPN بهتر و مناسب تر است.

• VPN های Remote Access

لازم به ذکر است VPN های دسترسی از راه دور، به ارتباط موقتی بین یک یا دو کاربر و یک لوکیشن مرکزی اشاره دارد. در اکثر مواقع، یک remote access VPN، امکان دسترسی به دیتاسنتر را به لوکیشن های مختلف می دهد. در برخی شرایط نیز، اتصالی که از Internet Protocol Security (IPsec) استفاده می کند، کافی است. با این حال، استفاده از VPN در سازمان ها، امری رایج است تا از امنیت موجود در هر دو سمت VPN بهره مند گردد.

یک remote access VPN، را می توان ابزار مفید برای سازمان هایی در نظر گرفت که کارمندان شان، دورکاری می کنند. چنانچه این کارمندان نیاز به دسترسی خصوصی یا دسترسی به اطلاعات مهمی که در سرورهای سازمان قرار دارند، داشته باشند، می توانند به remote access VPN متصل گردند. به این ترتیب، کارمندان قادر به دسترسی ایمن به منابع مورد نیاز خود می باشند. شرایطی که این نوع VPN در اختیار کاربران دورکار قرار می دهد، مشابه شرایطی دفتر کار اصلی است که با استفاده از کابل اترنت به سرور متصل می گردند.

• Intranet-based Site-to-site

یک intranet-based site-to-site VPN، تعدادی LAN را به هم متصل می کند تا یک WAN ایجاد شود. ممکن است سازمان ها از این نوع تنظیمات به عنوان SD-WAN استفاده کند. این نوع VPN را می توان یک ابزار مناسب برای ترکیب منابع موجود در دفاتر کاری متفاوت دانست، به طوری که گویا همه آن ها در داخل یک موقعیت مکانی یکسان قرار دارند.

یک intranet-based site-to-site VPN به خصوص هنگامی مفید و کاربردی واقع می شود که هر سایت، منابع مختص به خود را توسعه دهد و یا میزبان پردازنده های منحصر به فردی باشد که کل سازمان از دسترسی به آن بهره می برد. به عنوان مثال، اگر یک دفتر کار، دارای سیستمی باشد که دائما با توجه به درخواست های مشتریان خود، به روز رسانی شده و یا تنظیم می شود، یک intranet-based site-to-site VPN به دفاتر مختلف کاری، فارغ از موقعیت مکانی آن ها، امکان دسترسی ایمن به همه محصولات خود را می دهد.

• Extranet-based site to site

وی پی ان های extranet-based site to site غالبا توسط دو یا چند سازمان مختلف مورد استفاده قرار می گیرند که قصد دارند منابع خاصی را به اشتراک بگذارند، اما از دسترسی سایرین پنهان بماند. با استفاده از این VPN، هر یک از سازمان های مذکور، می توانند به VPN متصل شده و انتخاب کنند که چه مواردی را می خواهند با شرکت های دیگر به اشتراک بگذارند. در این صورت، این سازمان ها می توانند بدون فاش شدن داده ها، با یکدیگر تبادل اطلاعات داشته باشند.

آموزش تنظیمات Site to Site IPSec-VPN روی فایروال FortiGate (فورتی گیت)

از قسمت VPN > IPsec Wizard وارد مراحل VPN Creation Wizard می شویم، در قسمت VPN Setup یک نام به عنوان مثال S-t-S-VPN انتخاب می کنیم و Template type را هم Site to Site انتخاب می کنیم.

چون هر دو فورتی گیت ما به صورت مستقیم به اینترنت دسترسی دارن و عملا ping هم رو دارند در قسمت NAT configuration ما No Nat between sites رو انتخاب می کنیم.

در این آموزش قرار هست دوتا دستگاه فورتی گیت با هم در ارتباط باشن پس در Remote device type ما FotriGate را انتخاب می کنیم، در آموزش های آینده از سیسکو نیز استفاده می کنیم.

حلا وارد مرحله Authentication می شویم در اینجا هم میتوانیم با اسم و FQDN دستگاه مقابل را وارد کنیم و هم با آیپی، ما در اینجا به کمک IP Address که 192.168.160.150 را وارد می کنیم و از Pre-shared key نیز استفاده می کنیم.

در مرحله بعد یعنی Policy & Routing باید در Local interface اینترفیس DMZ را معرفی کنیم و Local subnets را هم IP شبکه DMZ میزاریم.

در قسمت Remote Subnets نیز رنج IP شبکه های مقابل را میزاریم که در این سناریو 192.168.50.0/24 می باشد.

در قسمت Internet Access نیز None را انتخاب می کنیم.

حالا وارد فورتی گیت Branch شده و مانند تنظیمات فورتی اول عمل می کنیم.

در مرحله بعد اطلاعات فورتی اول را وارد می کنیم که در اینجا 192.168.120 می باشد و دقیقا از همان Pre-shared key که در فورتی اول زده بودیم استفاده می کنیم.

حالا کار تمام است و باید ارتباط PC-Branch با PC-1 برقرار شده باشد.