پیاده‌سازی Site to Site VPN روی فایروال سیسکو ASA بین دو شعبه سازمان

در دنیای امروز، بسیاری از سازمان‌ها نیاز دارند که شعبات مختلف خود را از طریق یک ارتباط امن و خصوصی به یکدیگر متصل کنند. یکی از بهترین روش‌ها برای برقراری چنین ارتباطی، استفاده از Site-to-Site VPN (شبکه خصوصی مجازی سایت به سایت) است. در این مقاله، به بررسی مراحل پیاده‌سازی Site-to-Site VPN بر روی فایروال سیسکو ASA بین دو شعبه یک سازمان خواهیم پرداخت. این اتصال امن به کارکنان امکان می‌دهد تا به منابع شبکه‌ی شعبه دیگر از طریق اینترنت دسترسی داشته باشند، بدون اینکه نگرانی از تهدیدات امنیتی داشته باشند.

پیش‌نیازها و تنظیمات ابتدایی

پیش از آنکه به پیکربندی VPN پرداخته شود، ضروری است که برخی از پیش‌نیازها را به دقت بررسی و تنظیمات ابتدایی مورد نیاز برای راه‌اندازی ارتباط VPN به درستی انجام شوند. این پیش‌نیازها و تنظیمات شامل موارد سخت‌افزاری و نرم‌افزاری هستند که باید به‌طور کامل آماده شوند تا فرآیند پیکربندی VPN به درستی اجرا شود. در این بخش، به بررسی این پیش‌نیازها و تنظیمات ابتدایی می‌پردازیم.

فایروال سیسکو ASA

برای راه‌اندازی VPN، اولین چیزی که نیاز دارید، فایروال سیسکو ASA است که به‌عنوان دروازه امنیتی بین دو شبکه عمل می‌کند. این فایروال باید حداقل به یکی از مدل‌های ASA 5505، ASA 5510، ASA 5520 یا مدل‌های بالاتر از آن تجهیز شده باشد. همچنین باید به آخرین نسخه سیستم‌عامل سیسکو ASA (مثلاً نسخه 9.x) مجهز باشد. برخی مدل‌های قدیمی‌تر ممکن است پشتیبانی محدودی از ویژگی‌های VPN داشته باشند یا برای پیکربندی ویژگی‌های پیچیده‌تر نیاز به بروزرسانی داشته باشند.

اتصال به شبکه اینترنت

برای ایجاد تونل VPN بین دو شعبه، باید از اتصال اینترنتی پایدار و با پهنای باند مناسب برخوردار باشید. اتصال اینترنتی باید برای ایجاد یک ارتباط امن بین دو فایروال سیسکو ASA از طریق IP خارجی هر دو سایت موجود باشد. در بسیاری از موارد، برای این نوع اتصال از اینترنت پرسرعت مانند اینترنت فیبر نوری یا DSL استفاده می‌شود، زیرا ارتباط باید پایداری بالا و تاخیر کمی داشته باشد.

آدرس‌های IP معتبر

در هر دو طرف VPN باید آدرس‌های IP عمومی برای فایروال‌ها اختصاص داده شده باشد. این آدرس‌ها به عنوان “IP خارجی” شناخته می‌شوند و فایروال‌ها از این آدرس‌ها برای برقراری ارتباط با یکدیگر استفاده می‌کنند. برای مثال، فرض کنید که شعبه 1 با آدرس IP خارجی 192.168.1.1 و شعبه 2 با آدرس IP خارجی 192.168.2.1 شناخته می‌شود. این آدرس‌ها باید از ارائه‌دهنده خدمات اینترنت (ISP) دریافت شوند و به طور صحیح در فایروال‌ها تنظیم شوند.

شبکه داخلی (Inside Network)

علاوه بر آدرس IP خارجی، شبکه داخلی هر دو شعبه نیز باید به‌طور دقیق تعریف شوند. به‌عنوان مثال، شعبه 1 دارای شبکه داخلی 192.168.10.0/24 است و شعبه 2 دارای شبکه داخلی 192.168.20.0/24 است. این آدرس‌ها باید برای مسیریابی ترافیک VPN به‌طور دقیق مشخص شوند، تا اطمینان حاصل شود که ترافیک از یک شعبه به درستی به شعبه دیگر ارسال می‌شود.

تنظیمات DNS و NTP

برای اطمینان از هماهنگی صحیح در شبکه و زمان، لازم است که تنظیمات DNS و NTP (Network Time Protocol) به درستی پیکربندی شوند. پیکربندی صحیح NTP تضمین می‌کند که زمان هر دو فایروال سیسکو ASA همگام باشد، زیرا برای پروتکل‌های امنیتی مانند ISAKMP، هم‌زمان بودن زمان‌ها امری حیاتی است. همچنین، پیکربندی DNS برای ترجمه نام دامنه به آدرس‌های IP در صورت نیاز می‌تواند مفید باشد.

دسترسی به رابط مدیریتی

برای انجام پیکربندی‌ها، باید به رابط مدیریتی فایروال سیسکو ASA دسترسی داشته باشید. این رابط معمولاً از طریق کنسول یا SSH (Secure Shell) قابل دسترسی است. توصیه می‌شود که برای امنیت بیشتر، از SSH به جای Telnet استفاده کنید، زیرا SSH یک ارتباط رمزنگاری شده و ایمن را فراهم می‌کند. برای استفاده از SSH، باید آن را در فایروال فعال کنید و یک کلید SSH معتبر برای احراز هویت ایجاد کنید.

کلید پیش‌فرض (Pre-Shared Key)

برای پیکربندی VPN، نیاز به یک کلید پیش‌فرض (Pre-shared Key یا PSK) خواهید داشت. این کلید، یک رشته متنی است که در هر دو فایروال تنظیم می‌شود و برای تأسیس ارتباط امن بین دو سایت استفاده می‌شود. انتخاب یک کلید پیش‌فرض قوی و مطمئن بسیار مهم است، زیرا هر کسی که به این کلید دسترسی داشته باشد، می‌تواند به ارتباط VPN دست یابد. پیشنهاد می‌شود که از ترکیب حروف بزرگ و کوچک، اعداد و کاراکترهای ویژه در این کلید استفاده کنید تا امنیت ارتباط افزایش یابد. در مثال ما، از “mysecretkey” به‌عنوان کلید پیش‌فرض استفاده شده است.

پیکربندی فایروال‌ها برای اجازه دادن به ترافیک VPN

قبل از اینکه VPN بتواند به درستی کار کند، باید قوانین امنیتی فایروال را به گونه‌ای تنظیم کنید که ترافیک VPN اجازه عبور از فایروال‌ها را داشته باشد. این قوانین شامل باز کردن پورت‌های خاص برای پروتکل‌های VPN مانند IKE (Internet Key Exchange) و IPsec می‌شوند. برای مثال، پورت‌های UDP 500 (برای IKE) و UDP 4500 (برای NAT-T) باید باز باشند تا امکان برقراری تونل VPN فراهم شود.

مستندات و برنامه‌ریزی

مهم است که تمام اطلاعات و تنظیمات مربوط به VPN از جمله آدرس‌های IP، کلید پیش‌فرض، و تنظیمات فایروال‌ها مستندسازی شوند. این مستندات به شما کمک می‌کنند که در صورت بروز مشکل یا نیاز به به‌روزرسانی، به راحتی به تنظیمات قبلی دسترسی داشته باشید. علاوه بر این، برنامه‌ریزی برای تست VPN و نظارت بر عملکرد آن نیز از اهمیت بالایی برخوردار است تا از درستی و امنیت ارتباط اطمینان حاصل شود.

پیکربندی ISAKMP (Internet Security Association and Key Management Protocol)

پروتکل ISAKMP یکی از پروتکل‌های اصلی برای مدیریت ارتباطات VPN است که به‌طور خاص برای احراز هویت و ایجاد کلیدهای امنیتی مورد استفاده قرار می‌گیرد. در فرآیند برقراری ارتباط VPN بین دو فایروال سیسکو ASA، پروتکل ISAKMP نقش کلیدی در تأسیس تونل‌های امن ایفا می‌کند. هدف از ISAKMP ایجاد یک ارتباط امن برای تبادل کلیدهای رمزگذاری و احراز هویت بین دو طرف ارتباط است. در این بخش، مراحل پیکربندی ISAKMP را به تفصیل بررسی می‌کنیم.

1. فعال‌سازی ISAKMP

برای آغاز پیکربندی، ابتدا باید پروتکل ISAKMP را در فایروال سیسکو ASA فعال کنید. این پروتکل برای مدیریت ارتباطات امنیتی و تبادل کلیدهای رمزنگاری بین دو دستگاه استفاده می‌شود. برای فعال‌سازی ISAKMP، از دستور زیر استفاده می‌کنیم:

در اینجا، outside نمایانگر رابط شبکه خارجی (که همان IP عمومی فایروال است) است. این دستور پروتکل ISAKMP را برای این رابط فعال می‌کند و آماده تبادل اطلاعات امنیتی می‌شود.

2. تنظیم سیاست‌های ISAKMP

بعد از فعال‌سازی ISAKMP، باید یک سیاست امنیتی ISAKMP تعریف کنید که ویژگی‌هایی مانند الگوریتم‌های رمزگذاری و هش برای احراز هویت و رمزگذاری ارتباطات VPN را مشخص کند. این سیاست‌ها برای تأسیس ارتباطات ISAKMP و سپس ایجاد تونل IPsec استفاده خواهند شد.

برای پیکربندی سیاست ISAKMP در فایروال سیسکو ASA، از دستورات زیر استفاده می‌کنیم:

در اینجا:

• encryption aes: این گزینه از الگوریتم AES برای رمزگذاری استفاده می‌کند. AES یکی از قدرتمندترین و امن‌ترین الگوریتم‌های رمزگذاری موجود است.

• hash sha: از SHA (Secure Hash Algorithm) برای تأمین یکپارچگی داده‌ها استفاده می‌شود.

• authentication pre-share: از کلید پیش‌فرض (Pre-shared Key) برای احراز هویت دو طرف استفاده می‌شود. این کلید به‌طور مشترک در هر دو فایروال تنظیم می‌شود.

• group 2: این گزینه به انتخاب گروه Diffie-Hellman می‌پردازد که به تولید کلیدهای عمومی و خصوصی برای هر طرف ارتباط کمک می‌کند.

• lifetime 86400: این مدت زمان طول عمر برای سیاست ISAKMP را به مدت 24 ساعت (86400 ثانیه) تنظیم می‌کند. بعد از این مدت، ارتباط نیاز به تجدید دارد.

3. تنظیم کلید پیش‌فرض (Pre-shared Key)

برای ارتباطات VPN با استفاده از ISAKMP، باید یک کلید پیش‌فرض (Pre-shared Key یا PSK) برای احراز هویت تنظیم کنید. این کلید باید در هر دو فایروال سیسکو ASA یکسان باشد. کلید پیش‌فرض در حقیقت رمز عبوری است که به‌عنوان مرجع برای تایید هویت هر دو طرف استفاده می‌شود.

برای تنظیم این کلید در فایروال ASA، از دستور زیر استفاده می‌کنیم:

در اینجا، 192.168.2.1 آدرس IP خارجی فایروال شعبه 2 است و “mysecretkey” کلید پیش‌فرضی است که در هر دو فایروال تنظیم می‌شود. این کلید باید در هر دو طرف ارتباط یکسان باشد تا تونل VPN برقرار شود.

4. پیکربندی Lifetime و تنظیمات اضافی

در تنظیمات ISAKMP، علاوه بر تعیین طول عمر (Lifetime) برای سیاست‌های ISAKMP، ممکن است نیاز به تنظیمات اضافی برای ارتباطات امن و همچنین تنظیمات مربوط به کیفیت ارتباط داشته باشید.

یکی از این تنظیمات، تنظیم پارامترهای Diffie-Hellman است. این پارامتر به‌طور مستقیم بر میزان امنیت و سرعت تبادل کلید تأثیر می‌گذارد. گروه‌های مختلف Diffie-Hellman می‌توانند از لحاظ امنیت و عملکرد متفاوت باشند. به‌طور معمول، گروه 2 (که در مثال‌های قبلی ذکر شد) به‌عنوان یک انتخاب استاندارد با تعادل خوبی بین امنیت و عملکرد است.

برای انتخاب گروه‌های مختلف Diffie-Hellman، از دستورات زیر استفاده می‌کنیم:

در اینجا، گروه 14 یک گروه پیشرفته‌تر از Diffie-Hellman است که به‌طور کلی امنیت بالاتری را ارائه می‌دهد، اما ممکن است کمی عملکرد کمتری نسبت به گروه‌های قدیمی‌تر داشته باشد.

5. پیکربندی Authentication Method

برای افزایش امنیت در برقراری ارتباط VPN، می‌توانید از روش‌های مختلف احراز هویت استفاده کنید. به‌طور معمول، در فایروال‌های سیسکو، احراز هویت به‌وسیله کلید پیش‌فرض انجام می‌شود، اما این پروسه می‌تواند به روش‌های مختلف مانند استفاده از گواهی‌نامه‌ها (Certificates) یا احراز هویت مبتنی بر RADIUS یا TACACS+ تنظیم شود.

برای تنظیم احراز هویت مبتنی بر گواهی‌نامه‌ها، باید یک گواهی دیجیتال معتبر برای فایروال دریافت کنید و از دستورات زیر استفاده کنید:

این دستورات امکان احراز هویت از طریق گواهی‌نامه‌ها را فعال می‌کنند که به‌طور معمول در شبکه‌های سازمانی بزرگ استفاده می‌شود.

6. آزمایش ISAKMP و Troubleshooting

پس از پیکربندی ISAKMP، باید مطمئن شوید که ارتباطات ISAKMP به درستی برقرار می‌شوند. برای این کار، می‌توانید از دستورات زیر برای نظارت و بررسی وضعیت ارتباطات ISAKMP استفاده کنید:

این دستور وضعیت ارتباطات ISAKMP را نشان می‌دهد و می‌توانید از آن برای شناسایی مشکلات احتمالی در ارتباطات استفاده کنید.

در صورت بروز مشکلات، بررسی مقادیر پیش‌فرض مانند کلید پیش‌فرض، پارامترهای الگوریتم‌ها، و تنظیمات سیاست‌ها بسیار مهم است. همچنین، اطمینان حاصل کنید که پورت‌های مورد نیاز (UDP 500 و UDP 4500) باز هستند و هیچ فایروالی مانع برقراری ارتباط نمی‌شود.

پیکربندی تنظیمات IPsec

گام بعدی، پیکربندی تنظیمات IPsec است. پروتکل IPsec برای رمزگذاری ترافیک بین دو سایت استفاده می‌شود. برای انجام این کار، باید یک سیاست IPsec و یک کانال امن تعریف کنیم.

برای پیکربندی IPsec، از دستورات زیر استفاده می‌کنیم:

در اینجا، “VPN-SET” یک نام برای مجموعه تبدیل است که از الگوریتم‌های AES برای رمزگذاری و SHA برای هش استفاده می‌کند.

پیکربندی Tunnel Group

سپس باید یک Tunnel Group تعریف کنیم که مشخصات ارتباط بین دو فایروال را نگه‌داری کند. این کار را با استفاده از دستور زیر انجام می‌دهیم:

در اینجا، آدرس IP فایروال شعبه 2 (192.168.2.1) به عنوان آدرس مقصد برای VPN قرار داده شده و کلید پیش‌فرض نیز تعریف شده است.

پیکربندی Routing و NAT (Network Address Translation)

برای اطمینان از اینکه ترافیک بین دو سایت به درستی از طریق VPN ارسال می‌شود، باید اطمینان حاصل کنید که Routing به درستی تنظیم شده است. در این مرحله، آدرس‌های داخلی و خارجی هر سایت باید به‌طور مناسب تنظیم شوند تا ترافیک از طریق تونل VPN عبور کند.

برای تنظیم Routing در فایروال سیسکو ASA، می‌توان از دستورات زیر استفاده کرد:

این دستور، ترافیک به شبکه 192.168.20.0/24 را از طریق IP فایروال شعبه 1 (192.168.1.1) مسیریابی می‌کند.

همچنین باید اطمینان حاصل کنید که NAT در دو طرف VPN به درستی پیکربندی شده است. این کار با استفاده از دستور زیر انجام می‌شود:

این دستور از NAT داینامیک برای ترافیک داخل به خارج استفاده می‌کند.

تست و نظارت بر VPN

پس از انجام پیکربندی‌ها، باید ارتباط VPN را تست کنید تا از درستی اتصال اطمینان حاصل کنید. برای انجام این کار، می‌توانید از دستور ping برای آزمایش اتصال بین دو سایت استفاده کنید.

به عنوان مثال، از فایروال شعبه 1 می‌توانید پینگ زیر را انجام دهید:

اگر پاسخ دریافت کردید، نشان‌دهنده این است که تونل VPN به درستی برقرار شده است.

همچنین، برای نظارت و بررسی وضعیت VPN در فایروال سیسکو ASA، می‌توانید از دستور زیر استفاده کنید:

این دستورات اطلاعات مربوط به وضعیت تونل‌های ISAKMP و IPsec را نمایش می‌دهند.

مشکلات رایج و رفع آن‌ها

در فرآیند پیکربندی Site-to-Site VPN، ممکن است با مشکلاتی مواجه شوید. برخی از مشکلات رایج عبارتند از:

• مشکل در تأسیس ارتباط ISAKMP: این مشکل ممکن است ناشی از تنظیمات نادرست پروتکل ISAKMP باشد. مطمئن شوید که تنظیمات کلید پیش‌فرض و الگوریتم‌های رمزگذاری در هر دو طرف یکسان باشند.

• مشکل در رمزگذاری ترافیک IPsec: این مشکل ممکن است ناشی از ناسازگاری تنظیمات پروفایل‌های IPsec باشد. اطمینان حاصل کنید که الگوریتم‌های رمزگذاری و هش در هر دو طرف یکسان باشند.

• مشکل در مسیریابی ترافیک: ممکن است ترافیک از طریق VPN مسیریابی نشود. اطمینان حاصل کنید که آدرس‌های شبکه و مسیریابی به درستی تنظیم شده باشند.

نتیجه‌گیری

راه‌اندازی Site-to-Site VPN بین دو شعبه یک سازمان با استفاده از فایروال سیسکو ASA، یکی از راه‌حل‌های امن برای اتصال دو شبکه از راه دور است. در این مقاله، مراحل پیکربندی VPN شامل تنظیمات ISAKMP، IPsec، Tunnel Group و Routing به تفصیل توضیح داده شد. با پیروی از این مراحل، می‌توانید ارتباط امن بین دو شعبه خود برقرار کنید و به منابع شبکه از هر دو طرف دسترسی داشته باشید.

برای سازمان‌هایی که به دنبال پشتیبانی و مشاوره حرفه‌ای در زمینه پیکربندی فایروال سیسکو و VPN هستند، “وینو سرور” به عنوان یک راه‌حل معتبر و تخصصی در این حوزه، آماده ارائه خدمات مشاوره و پشتیبانی است.