ارتباط دو شبکه ی مجزا از راه دور به کمک اینترنت

سناریوی Gateway to Gateway یا Site to Site

سناریوی VPN Site to Site

ارتباط شبکه های راه دور با هم با کمترین هزینه

ماها عادت کردیم که هر وقت صحبت از ارتباط دو شبکه از راه دور میشه و مجلس حسابی داغ میشه، زرتی یاد VPN زدن بیفتیم ! نمیدونم ! شاید گفتن "حاجی ! ما VPN میزنیم !" کلاسی چیزی داشته باشه و حالا که فکرش رو میکنم پیاده سازی یک Infrastructure درست و حسابی برای VPN زدن واقعا مثل آپولو هوا کردن (حالا نه تا اون حد !) میمونه...

ما اینو میدونیم که وقتی یک ارتباط VPN به یک RAS Server و یا همون VPN Server میزنیم، عملا قادر به ارتباط با شبکه ی پشتی اون سرور هم هستیم و اگر خوش شانس باشیم و اینترنت در اون شبکه به روشهای مختلف مثل NAT یا Proxy یا هر کوفت زهر مار دیگه ایی به اشتراک گذاشته شده باشه (شرمنده ! یه لحظه اعصاب خراب شد !) میتونیم از طریق اون شبکه به اینترنت متصل هم بشیم !

بدین روش ما میتونیم یک کلاینت رو از طریق یک شبکه به یک شبکه ی دیگر متصل کنیم تا بتونه از منابع اون شبکه بهره ببره...ولی تا حالا به فکر سناریوی زیر افتادین ؟!

فکر کنین ما میخوایم دو شبکه رو به هم طوری وصل کنیم که اولا بتونن منابع همدیگه رو ببینن و ثانیا کسی نتونه وسط ماجرا اطلاعات ارسالی و دریافتی رو Sniff کنه و بعد بره هر غلطی دلش میخواد باهاشون بکنه ! مشکل اینجاست که این دو تا  شبکه در مکانهای دوری قرار دارن که استفاده از تجهیزاتی مثل آنتنهای Wireless رو بی معنی میکنه...مکانها رو تهران و لندن در نظر بگیرین...

راه حلهای زیادی برای این نوع ارتباط هستش که غالبا گرون هستن و فقط شرکتهای کلفت توانایی  پرداختشون رو دارن...یکیش رو که مثلا من مثال میزنم استفاده از خطوط اجاره ایی اختصاصی (Leased Line) هستش که در این راه باید به مخابرات کشورهای ایران تا انگلیس پول بدین تا براتون یک خط اختصاصی T1 و یا فیبر نوری بکشن تا دو تا شعبه ی شرکتتون بتونن با همدیگه ارتباط برقرار کنن...

شکلش میشه چیزی مثل شکل زیر که درش ما دو شعبه در لندن و تهران داریم و میخوایم که اینها رو به کمک خطوط اختصاصی به هم وصل کنیم...

و حالا مشکل شروع میشه...

مشکل اینجاست که سناریوی بالا خدا تومن پولش میشه و هر شرکتی توانایی پرداختش رو نداره چه بسا که من احتمال میدم که موضوعات سیاسی هم روی این نوع ارتباط تاثیر بگذارن و شما شاید حتی نتونین که عمل کابل کشی رو به خاطر اینکه ایرانی هستین انجام بدین !

از طرف دیگه فکر کنین یه جایی بین کشورهای ایران و انگلیس یکی یه غلطی کرد و اشتباهی کابل رو نابود کرد، یا اینکه یه لودر از زیر خاک کشیدش بیرون و منهدمش کرد و یا اینکه حتی مخابرات کشور واسطه به دلیل مشکلاتی ارتباط رو قطع کنه و حالا بیا و درستش کن !
پس راه حلهایی که شامل تریپهای "اختصاصی" میشه جیز هستند و اصلا نباید طرفشون رفت !

ما حتی میتونیم از خطوط تلفن برای این ارتباط استفاده کنیم که در اینصورت نیاز به دو RAS Server در هر شعبه داریم تا بتونه ارسالهای ما رو از طریق خطوط تلفن دریافت کنه و ما رو به شعبه ی دیگر متصل کنه...ولی مشکل اینم سرعت درپیت خطوط ارتباطی و از طرفی هزینه ی خدا تومنیش هستش که این راهکار رو هم جیز میکنه !

حالا که دیدیم راهکارهای معمولی غالبا گرون هستن باید به دنبال راهکارهای ارزون بیفتیم !

راهکاری که من در اینجا ارائه میکنم بهش میگن سناریوی G2G یا همون Gateway 2 Gateway...

سناریوی VPN زدن که در اول متن مطرحش کردم رو یادتونه ؟! توی اون سناریو هر کلاینت برای هر بار دسترسیش به منابع شعبه ی دیگر در لندن باید یه کانکشن VPN درست میکرد و در صورتیکه UserName و Password ش درست بود و Firewall هم بهش اجازه میداد، میتونست به شعبه ی دیگر یک VPN بزنه...وقتی که ارتباط مبتنی بر VPN برقرار میشد، اونوقت این کاربر بر اساس یوزری که اونجا تعریف شده بود میتونست به منابع اون شبکه دسترسی داشته باشه.

حالا فکر کنین که شعبه ی شما 400 تا کاربر داره که اینا باید با شعبه ی لندن در ارتباط باشن و این میشه ترافیک کیلویی VPN چونکه هر کاربر هی میخواد زرتی یه VPN بزنه به اون خراب شده و بعدش زرتی قطعش کنه که اینکار نه تنها زمانبر هستش بلکه پهنای باند رو هم میخواد اشغال کنه، چونکه VPN بر روی زیرساخت اینترنت عمل میکنه و اگر چند تا کاربر خیر سرشون یادشون بره که Disconnect کنن یه دفعه میبینین که پهنای باند شبکه الکی اشغال شده و حالا بیا و درستش کن !

در راهکار G2G ما میایم و VPN Server های شعبات رو طوری تنظیم میکنیم که هر وقت و تنها هر وقت نیازی به ارتباط هر کاربر از شبکه خودش به شبکه ی دیگر بود، این ارتباط به طور خودکار انجام بشه و بعدش این کاربر بدون اینکه حتی متوجه بشه اتفاقی افتاده یه دفعه ببینه که میتونه شبکه ی شعبه ی لندن رو که هزاران کیلومتر باهاش فاصله داره مثل شبکه ی داخلی خودش ببینه !

پیاده سازی این راهکار مثل این هستش که ما انگار دو تا شبکه رو به کمک یک Router به همدیگه متصل کردیم و کاربرای شبکه ها اصلا متوجه نمیشن که وقتی درخواستی رو از شبکه ی دیگر میکنند، یک ارتباط VPN به طور خودکار شروع میشه و اونها رو وصل میکنه و بعد از اینکه کارشون تموم شد اونها رو قطع میکنه و بدین ترتیب پهنای باند هم حداقل استفاده ازش میشه...

به این Router یی که مثال زدم این دو شبکه رو به هم وصل میکنه میگن اینترنت !

و میدونین خوبی این سناریو چیه ؟! هزینه ایی که باید برای این ارتباط پرداخت کنین فقط برمیگرده به هزینه ایی که باید برای سرعت اینترنتتون به ISP تون بدین و دیگه مشکلاتی مثل پرداخت هزینه های مختلف و سرسام آور به مخابرات و یا احتمال قطعی نخواهد رفت !
اینترنت همیشه و همیشه وجود داره و متصل هستش و به همین دلیل احتمال اینکه ارتباط قطع بشه به اندازه ی احتمال اینه که اینترنت کل دنیا و Router های بین المللی قطع بشن !

این سناریو وقتی عملی تر میشه که مثلا ما در شعبه ی لندنمون یک کلاستر از سرورهایی داشته باشیم که با یک بانک اطلاعاتی ذخیره شده درون یک SAN ارتباط دارن و این بانک اطلاعاتی شامل اطلاعات بسیار مهم و حیاتی شرکت هستش که اگر به دست نامحرم بیفته میتونه شرکت رو ورشکسته  بکنه...این اطلاعات میتونه چیزهایی مثل کد برنامه هایی باشه که اون شرکت مینویسه و یا اسناد و مدارک خاص اون شرکت...

حالا کاربران شعبه ی تهران وقتی که بخوان به اون اطلاعات مهم دسترسی داشته باشن فقط باید آدرس IP مربوطه رو ذکر کنن و بعدش VPN Server خودش تمامی کارها رو برای ارتباط انجام میده و کاربر رو با اون اطلاعات مهم مرتبط میکنه...خوبی این سناریو در اینجاست که ما داریم از ارتباط امن VPN استفاده میکنیم که داده های در حال انتقال رو رمز میکنه و بدینصورت حتی اگر این اطلاعات در بین راه به دست هکرها هم بیفته، اونها چیزی جز یه مشت شر و ور رمز شده رو نخواهند دید !

میتونیم این سناریو رو مثل شکل زیر حتی گسترده ترش هم بکنیم و مثلا در شعبه تهران یک وب سرور داخلی درست کنیم که سایت خودم یعنی www.CyberLone.com روش سوار شده ولی ما نمیخوایم که کاربرانی به غیر از  کاربران شعبه خودمون و شعبه لندن بهش دسترسی داشته باشن، پس VPN Server ها رو طوری تنظیم میکنیم که هر وقت کاربری در شعبه لندن آدرس www.CyberLone.com رو در Web Browserش وارد کرد بصورت امن به وب سرور ما در تهران وصل بشه...

شکل زیر گویای این سناریو که یه کمی پیچیده تر از قبل هستش میباشد :

شکل  : سناریوی پیشرفته ی G2G

در نهایت به پیاده سازی این سناریو میرسیم...پیاده سازی این سناریو حتی اگر هم بخواین به صورت شبیه سازی انجامش بدین کاری زمانبر هستش و بهمین دلیل ترجیح میدم که در مقاله های بعدی به تشریح پیاده سازی این سناریو به صورت عملی بپردازم.

هر سوالی در مورد این سناریو داشتین بپرسین و اگر کسی خواست اونرو به صورت عملی برای شرکت و یا هر چیز دیگه انجامش بده میتونه با من برای اینکار تماس بگیره...خوشحال میشم که بتونم این سناریو رو براتون پیاده سازی کنم (البته جیبهام هم قراره بعد از چندین سال تار عنکبوت زدن کمی خوشحال بشن ! شما که ناراحت نمیشین ؟!)

موفق باشید

دانلود مقاله ی بالا به صورت نسخه ی PDF :

ارتباط دو شبکه ی مجزا از راه دور به کمک اینترنت -- سناریوی G2G یا Gateway To Gateway -- سناریوی VPN Site to Site