آموزش ایجاد VPN Site to Site در فایروال Sophos XG

VPNهای Site-to-Site به عنوان یکی از زیرساخت‌های حیاتی شبکه‌های سازمانی مدرن، امکان اتصال امن و شفاف چندین شبکه محلی در جغرافیای مختلف را فراهم می‌سازند. این فناوری با ایجاد تونل‌های رمزگذاری شده بر بستر اینترنت عمومی، نیاز به خطوط اختصاصی پرهزینه را مرتفع ساخته و امکان دسترسی یکپارچه به منابع سازمانی را بدون توجه به موقعیت فیزیکی فراهم می‌آورد. در این میان، فایروال‌های نسل بعدی مانند Sophos XG با ارائه قابلیت‌های پیشرفته VPN، پیاده‌سازی و مدیریت این ارتباطات امن را برای سازمان‌های با ابعاد مختلف تسهیل می‌نمایند.

این مقاله به ارائه یک راهنمای جامع، عملی و گام‌به‌گام برای پیاده‌سازی تونل VPN نوع Site-to-Site بین دو دستگاه فایروال Sophos XG می‌پردازد. مراحل ارائه شده بر اساس استانداردهای امنیتی روز و با در نظر گرفتن بهترین روش‌های عملیاتی (Best Practices) طراحی شده است. مقاله از سه بخش اصلی تشکیل گردیده است: ابتدا پیشنیازها و ملاحظات اولیه شامل جمع‌آوری اطلاعات ضروری و الزامات شبکه مورد بررسی قرار می‌گیرد. سپس، فرآیند پیکربندی تفصیلی به صورت متقارن در هر دو سایت (به عنوان مثال دفتر مرکزی و شعبه) با جزئیات کامل آموزش داده می‌شود که شامل تنظیمات Remote Gateway، پارامترهای Phase 1 و Phase 2 پروتکل IPSec و ایجاد قواعد فایروال مناسب می‌باشد.

در بخش سوم، روش‌های عیب‌یابی و بهینه‌سازی اتصال ارائه می‌گردد. این بخش شامل بررسی وضعیت تونل، تحلیل لاگ‌های سیستم برای تشخیص خطاهای رایج (مانند عدم تطابق پارامترها یا خطاهای احراز هویت) و ارائه راهکارهای عملی برای رفع آن‌ها است. همچنین، ملاحظات امنیتی پیشرفته‌ای چون انتخاب الگوریتم‌های رمزنگاری قوی (نظیر AES-256 و SHA-256)، پیاده‌سازی Perfect Forward Secrecy (PFS)، اعمال اصل کمترین امتیاز (Principle of Least Privilege) در قواعد دسترسی و روش‌های نظارت و نگهداری مستمر مورد تاکید قرار گرفته است.

هدف نهایی این مقاله، فراهم آوردن دانش لازم برای متخصصان شبکه و امنیت جهت استقرار یک کانال ارتباطی پایدار، کارآمد و با سطح امنیتی مناسب بین دفاتر سازمان است. با پیروی از دستورالعمل‌های ارائه شده، خوانندگان قادر خواهند بود نه تنها یک تونل VPN پایه ایجاد کنند، بلکه آن را مطابق با نیازهای امنیتی سازمان خود توسعه و بهینه‌سازی نمایند. این آموزش بر اساس آخرین نسخه‌های پایداری از سیستم عامل Sophos XG (نسخه 19.x به بالا) ارائه شده و می‌تواند به عنوان یک مرجع عملی در پروژه‌های واقعی پیاده‌سازی زیرساخت شبکه‌های سازمانی مورد استفاده قرار گیرد.

 

اهمیت VPNهای Site-to-Site در معماری شبکه‌های سازمانی

در عصر دیجیتال کنونی، سازمان‌ها و مؤسسات با چالش‌های متعددی در زمینه اتصال دفاتر و شعب جغرافیایی پراکنده روبرو هستند. نیاز به اشتراک‌گذاری امن و سریع منابع اطلاعاتی، دسترسی به سیستم‌های متمرکز، اجرای برنامه‌های کاربردی سازمانی و ارائه خدمات یکپارچه به کاربران نهایی در تمامی نقاط، مستلزم وجود زیرساخت ارتباطی قابل اعتماد و مقرون به صرفه است. VPNهای Site-to-Site به عنوان راه‌حلی استاندارد و پرکاربرد، پاسخی مؤثر به این نیازها ارائه می‌دهند.

این فناوری با بهره‌گیری از پروتکل‌های رمزنگاری قوی مانند IPSec و SSL/TLS، یک “تونل” امن بر روی زیرساخت ناامن اینترنت ایجاد می‌کند. مهم‌ترین مزایای این راهکار عبارتند از:

کاهش هزینه‌های عملیاتی: حذف نیاز به خطوط اختصاصی (Leased Line) پرهزینه و جایگزینی آن با اتصال اینترنت پرسرعت معمولی.

افزایش انعطاف‌پذیری: امکان اضافه کردن سایت‌های جدید یا تغییر پیکربندی سایت‌های موجود با سهولت نسبی.

ایجاد شفافیت شبکه‌ای (Network Transparency): کاربران و دستگاه‌ها در دو شبکه مجزا، یکدیگر را به گونه‌ای درک می‌کنند که گویی بخشی از یک شبکه محلی واحد هستند. این شفافیت برای سرویس‌هایی مانند Active Directory، اشتراک فایل و چاپگر، و دسترسی به پایگاه‌های داده حیاتی است.

تمرکز مدیریت امنیت: امکان اعمال سیاست‌های امنیتی، فیلترینگ و کنترل دسترسی متمرکز از طریق گیت‌وی‌های اصلی.

پشتیبانی از برنامه‌های حساس: امکان عبور ترافیک پروتکل‌های چندبخشی (Multicast) و اتصال‌گرا (Connection-Oriented) که برای برخی برنامه‌های تخصصی الزامی است.

پیاده‌سازی موفق این راهکار، علاوه بر دانش شبکه، نیازمند انتخاب سخت‌افزار و نرم‌افزار مناسب و پیکربندی دقیق آن‌ها است.

 

معرفی فایروال Sophos XG: پلتفرم یکپارچه امنیتی و ارتباطی

فایروال نسل بعدی Sophos XG (که اخیراً با نام Sophos Firewall نیز شناخته می‌شود) یک راه‌حل جامع امنیتی است که فراتر از عملکردهای سنتی فایروال عمل می‌کند. این پلتفرم بر پایه رویکردی یکپارچه (Synchronized Security) طراحی شده است که در آن اجزای مختلف امنیتی (مانند فایروال، آنتی‌ویروس، سیستم تشخیص نفوذ و کنترل برنامه) به طور پویا با یکدیگر تبادل اطلاعات کرده و سطح حفاظتی هوشمندانه‌ای ایجاد می‌کنند.

در زمینه VPN، Sophos XG قابلیت‌های برجسته‌ای ارائه می‌دهد که آن را به گزینه‌ای ایده‌آل برای پیاده‌سازی VPNهای Site-to-Site تبدیل می‌کند:

پشتیبانی از پروتکل‌های استاندارد: پشتیبانی کامل از IPSec (با هر دو نسخه IKEv1 و IKEv2) و SSL VPN، که امکان اتصال به طیف وسیعی از دستگاه‌های سازگار با استانداردهای صنعتی را فراهم می‌آورد.

رابط کاربری متمرکز و بصری: کنسول مدیریت مبتنی بر وب (Web Admin) با طراحی منطقی، فرآیند پیچیده پیکربندی VPN را به مراحلی ساده و قابل دنبال کردن تبدیل می‌کند.

ابزارهای قدرتمند مانیتورینگ و عیب‌یابی: نمایش زنده وضعیت تونل‌ها، لاگ‌های تفصیلی و ابزارهای تست ارتباط (مانند Ping و Packet Capture) که مستقیماً در کنسول ادغام شده‌اند.

امکان تعریف Policyهای پیشرفته: امکان ایجاد قواعد فایروال و مسیریابی دقیق برای ترافیک عبوری از تونل VPN، مبتنی بر کاربر، برنامه، سرویس و زمان.

قابلیت‌های امنیتی افزوده: امکان اعمال بازرسی عمیق بسته‌ها (Deep Packet Inspection)، فیلترینگ محتوا و کنترل برنامه‌ها حتی بر روی ترافیک رمزگذاری شده VPN.

مقیاس‌پذیری: توانایی پشتیبانی از ده‌ها و حتی صدها تونل Site-to-Site همزمان، متناسب با مدل سخت‌افزاری انتخاب شده.

 

فایروال Sophos XG با لایسنس معتبر:

هر دو دستگاه باید دارای لایسنس فعال و سخت‌افزار مناسب (ظرفیت پردازشی و حافظه) برای پردازش ترافیک رمزنگاری‌شده باشند.

به‌روزرسانی Firmware: توصیه می‌شود آخرین نسخه پایدار سیستم عامل (مثلاً SFOS v20 یا جدیدتر) نصب باشد تا از آخرین اصلاحات امنیتی و بهبود قابلیت‌ها بهره‌مند شوید.

دسترسی مدیریتی: داشتن Credentialهای دسترسی سطح Administrator به کنسول مدیریت هر دو فایروال.

اتصال اینترنت پایدار و قابل اعتماد:

آدرس IP عمومی: ایده‌آل: آدرس IP عمومی ثابت (Static Public IP) برای هر دو سایت. این کار پیکربندی را ساده‌تر و اتصال را پایدارتر می‌کند.

راه‌حل جایگزین برای IP پویا: در صورت استفاده از سرویس‌های اینترنتی با IP پویا (Dynamic IP)، باید از یک سرویس Dynamic DNS (DDNS) معتبر استفاده شود. Sophos XG دارای کلاینت DDNS داخلی است که می‌توان آن را پیکربندی کرد. نام دامنه اختصاص‌یافته (مثلاً hq-site.ddns.net) در قسمت آدرس Remote Gateway وارد می‌شود.

پورت‌های ضروری: اطمینان حاصل کنید که پورت‌های مورد نیاز پروتکل IPSec (معمولاً UDP 500 برای IKE، UDP 4500 برای NAT-Traversal و پروتکل 50 ESP) در سمت اینترنت هر دو فایروال باز بوده و توسط ISP یا تجهیزات بالادستی مسدود نشده‌اند.

طراحی صحیح آدرس‌دهی شبکه:

رنج‌های IP غیرتکراری: شبکه‌های محلی (LAN) در دو سایت باید از رنج‌های IP متفاوت و غیرهمپوشان استفاده کنند. استفاده از رنج‌های تکراری باعث تداخل آدرس و شکست کامل ارتباط می‌شود.

مثال صحیح: سایت A: 10.10.1.0/24 ، سایت B: 10.10.2.0/24

مثال غلط (تداخل): هر دو سایت: 24/192.168.1.0

در نظر گرفتن آینده: رنج‌های انتخاب شده باید ظرفیت کافی برای رشد آینده دستگاه‌های هر سایت را داشته باشند. استفاده از رنج‌های Private (مطابق RFC 1918) مانند 10.0.0.0/8، 172.16.0.0/12 و /16192.168.0.0توصیه می‌شود.

 

اطلاعات مورد نیاز: چک‌لیست جامع پیکربندی

تمامی اطلاعات زیر باید قبل از شروع در یک سند (مانند جدول زیر) ثبت و در دو سایت تأیید شوند.

 

بخش اطلاعات	سایت A (دفتر مرکزی – HQ)	سایت B (شعبه – BRANCH)	توضیحات و نکات حیاتی
شناسه سایت	HQ	BRANCH	نام‌گذاری توصیفی برای سهولت مدیریت.
آدرس IP عمومی WAN	203.0.113.10	198.51.100.20	مهم: این آدرس باید از WAN Interface فایروال قابل دسترسی باشد (معمولاً آدرس روی اینترفیس خود فایروال یا IPی که از طریق NAT به آن ترجمه شده است).
نام/آدرس DDNS	hq.company.com (در صورت استفاده)	branch.company.com (در صورت استفاده)	جایگزین آدرس IP در صورت پویا بودن.
رنج شبکه LAN محلی	192.168.1.0/24	192.168.2.0/24	حتماً غیرتکراری باشند.
آدرس IP داخلی فایروال	192.168.1.1 (Gateway LAN)	192.168.2.1 (Gateway LAN)	معمولاً آدرس اینترفیس LAN فایروال.
پیش‌کلید اشتراکی (PSK)	X8$m#pQ2!vL9wR@5	همان مقدار سایت A	امنیت حیاتی: از یک رشته طولانی (حداقل ۲۰ کاراکتر)، پیچیده (حروف بزرگ/کوچک، اعداد، نمادها) استفاده کنید. هرگز از کلیدهای پیش‌فرض یا ساده استفاده نکنید. این کلید مانند یک رمز عبور مشترک است.
تنظیمات فاز ۱ (IKE)	نسخه: IKEv2 رمزنگاری: AES-256 احراز هویت: SHA256 گروه DH: 14 (2048-bit) حالت: Main طول عمر: ۲۸۸۰۰ ثانیه	دقیقاً مشابه سایت A	تطابق کامل در دو طرف الزامی است. این بخش مذاکره اولیه امن را انجام می‌دهد.
تنظیمات فاز ۲ (IPSec)	رمزنگاری: AES-256 احراز هویت: SHA256 پروتکل: ESP حالت: Tunnel PFS: فعال (گروه ۱۴) طول عمر: ۳۶۰۰ ثانیه	دقیقاً مشابه سایت A	تطابق کامل در دو طرف الزامی است. این بخش امنیت ترافیک داده کاربر را بر عهده دارد.
شبکه‌های محلی و راه‌دور	شبکه محلی: 192.168.1.0/24 شبکه راه‌دور: 192.168.2.0/24	شبکه محلی: 192.168.2.0/24 شبکه راه‌دور: 192.168.1.0/24	در فاز ۲ تعریف می‌شوند. جهت‌دهی آن‌ها معکوس است.

 

مرحله‌به‌مرحله پیکربندی در سمت اول (دفتر مرکزی – HQ)

این بخش، فرآیند پیکربندی VPN را بر روی فایروال سایت اصلی (Head Office) به صورت گام‌به‌گام و با جزئیات کامل شرح می‌دهد. رعایت دقیق ترتیب مراحل و وارد کردن صحیح اطلاعات جمع‌آوری شده در بخش پیشنیازها، کلید موفقیت است.

ایجاد Zone و اینترفیس لازم (بررسی و آماده‌سازی)

به طور پیش‌فرض، Sophos XG پس از تنظیم اولیه، Zoneها و اینترفیس‌های ضروری را ایجاد می‌کند. در این مرحله باید از صحت پیکربندی آن‌ها اطمینان حاصل کنید.

ورود به کنسول مدیریت: به آدرس IP مدیریت فایروال HQ مراجعه کرده و با حساب مدیر وارد شوید.

بازبینی اینترفیس‌ها: به منوی Administration > Device Access > Interfaces بروید.

اینترفیس WAN (مثلاً Port1): بررسی کنید که آدرس IP عمومی (Static یا از DHCP) به درستی دریافت شده و در حالت Active است. Zone آن باید WAN باشد.

اینترفیس LAN (مثلاً Port2): بررسی کنید که آدرس IP داخلی (مثلاً 192.168.1.1) به درستی تنظیم شده و در حالت Active است. Zone آن معمولاً LAN است.

بازبینی Zoneها: به منوی Network > Zones بروید. Zoneهای LAN و WAN باید موجود باشند. Zone VPN نیز به طور خودکار توسط سیستم ایجاد می‌شود که تمام تونل‌های IPSec در آن قرار می‌گیرند. از وجود آن اطمینان حاصل کنید.

تنظیمات پیشرفته اینترفیس (در صورت نیاز): در برخی سناریوها، مانند زمانی که فایروال در حالت Transparent است یا پیکربندی Dual-WAN دارید، ممکن است نیاز به ایجاد اینترفیس‌ها یا Zoneهای جدید باشد. برای پیکربندی پایه VPN، تنظیمات پیش‌فرض کافی است.

ایجاد Remote Gateway (تعریف مشخصات سایت مقابل)

این مرحله، سایت راه‌دور (Branch) را به Sophos XG معرفی می‌کند.

به منوی VPN > IPSec VPN بروید.

در صفحه اصلی IPSec VPN، مطمئن شوید که تب Site-to-Site انتخاب شده است.

بر روی دکمه Add در بالای صفحه کلیک کنید. یک پنجره پیکربندی جدید باز می‌شود.

جزئیات اتصال پایه:

Connection Name: یک نام توصیفی وارد کنید، مانند To-BRANCH-Site.

Connection Type: از منوی کشویی، گزینه Site-to-Site را انتخاب کنید.

Gateway Type: Remote Gateway را انتخاب کنید. این بدان معناست که شما در حال تعریف Gateway سایت مقابل هستید.

Active: تیک این گزینه را فعال نگه دارید تا اتصال پس از پیکربندی به صورت خودکار فعال شود.

بخش Remote Gateway:

Address: در این فیلد، آدرس IP عمومی سایت مقابل (Branch) را وارد کنید (198.51.100.20). اگر سایت مقابل از DDNS استفاده می‌کند، نام دامنه آن (مثلاً branch.company.com) را وارد نمایید.

(اختیاری) Local Gateway: معمولاً به صورت خودکار روی Any یا آدرس WAN اینترفیس شما تنظیم می‌شود. در صورتی که فایروال چندین آدرس WAN دارد، می‌توانید آدرس خاصی که باید برای این اتصال استفاده شود را مشخص کنید.

بخش Credentials (مهم):

Authentication Method: Pre-shared Key را انتخاب کنید (رایج‌ترین روش).

در فیلدهای Pre-shared Key و Confirm Pre-shared Key، همان کلید پیچیده و از پیش توافق شده (مثلاً X8$m#pQ2!vL9wR@5) را دقیقاً وارد کنید. دقت در وارد کردن حروف بزرگ و کوچک و نمادها ضروری است.

بر روی دکمه Save کلیک کنید. پس از ذخیره، به طور خودکار به صفحه تنظیمات Phase 1 برای این اتصال جدید هدایت می‌شوید.

ایجاد Phase 1 Connection (IKE – تبادل کلید اولیه)

فاز ۱ مسئول ایجاد یک کانال مدیریتی امن بین دو فایروال برای مذاکره و تبادل پارامترهای امنیتی فاز ۲ است.

پس از ذخیره Remote Gateway، در صفحه Phase 1 قرار دارید. اگر از صفحه خارج شده‌اید، به VPN > IPSec VPN رفته، روی اتصال To-BRANCH-Site کلیک و تب Phase 1 را انتخاب کنید.

پارامترهای امنیتی را دقیقاً مطابق اطلاعات پیش‌نیاز تنظیم کنید:

Version: IKEv2 را انتخاب کنید (امن‌تر، ساده‌تر و با قابلیت‌هایی مانند تشخیص قطع خودکار اتصال Dead Peer Detection-DPD).

Exchange Mode: Main را انتخاب کنید (امن‌تر. حالت Aggressive فقط در موارد خاص مانند زمانی که آدرس IP دو طرف مشخص نیست و از شناسه استفاده می‌شود، کاربرد دارد).

Encryption: از منوی کشویی، AES-256 را انتخاب کنید.

Authentication: از منوی کشویی، SHA256 را انتخاب کنید.

DH Group: 14 (2048-bit) را انتخاب کنید. گروه‌های بالاتر (مانند 19, 20, 21) امنیت بیشتری دارند اما بار پردازشی را افزایش می‌دهند.

Key Lifetime: مقدار 28800 ثانیه (۸ ساعت) را وارد کنید. این مدت زمان معتبر بودن کلیدهای فاز ۱ است.

تنظیمات پیشرفته (Advanced):

NAT Traversal (NAT-T): اگر هر یک از فایروال‌ها پشت یک دستگاه NAT قرار دارند (معمولاً در سرویس‌های اینترنتی رایج است)، این گزینه را Enable کنید. فعال کردن آن در بیشتر موارد توصیه می‌شود.

Dead Peer Detection (DPD): این گزینه را Enable کنید. DPD به فایروال اجازه می‌دهد در صورت قطع شدن غیرمنتظره سایت مقابل، سریعاً مطلع شده و منابع را آزاد کند. می‌توانید بازه پیش‌فرض آن را حفظ کنید.

بر روی دکمه Save کلیک کنید.

ایجاد Phase 2 Connection (IPSec – تونل انتقال داده)

فاز ۲ مسئول ایجاد تونل امن واقعی برای رمزگذاری و انتقال ترافیک داده‌های کاربر بین دو شبکه است.

پس از ذخیره فاز ۱، روی تب Phase 2 در بالای صفحه کلیک کنید.

بر روی دکمه Add کلیک کنید تا یک Phase 2 جدید ایجاد شود.

جزئیات پایه:

Name: یک نام توصیفی مانند HQ-to-BRANCH-Traffic وارد کنید.

تعریف شبکه‌ها (مهم):

Local Networks: بر روی دکمه Select کلیک کنید. در پنجره باز شده، شبکه محلی سایت خود (HQ) را انتخاب کنید. اگر در لیست نیست، بر روی Add Host/Network کلیک و رنج /24192.168.1.0را به عنوان یک شبکه جدید تعریف و انتخاب کنید.

Remote Networks: بر روی دکمه Select کلیک کنید. شبکه محلی سایت مقابل (Branch) را به عنوان یک میزبان/شبکه جدید با رنج /24192.168.2.0 تعریف و انتخاب کنید.

 

پارامترهای امنیتی فاز ۲

Encryption: AES-256 را انتخاب کنید.

Authentication: SHA256 را انتخاب کنید.

Perfect Forward Secrecy (PFS): گزینه Enable را فعال کنید. این قابلیت امنیتی مهم، کلیدهای جلسه فاز ۲ را از کلیدهای فاز ۱ مستقل می‌کند. DH Group آن را روی 14 تنظیم کنید.

Protocol: ESP را انتخاب کنید (پروتکل استاندارد رمزنگاری در IPSec).

Key Lifetime: مقدار 3600 ثانیه (۱ ساعت) را وارد کنید. پس از این زمان، کلیدهای فاز ۲ مجدداً مذاکره می‌شوند.

بر روی دکمه Save کلیک کنید.

ایجاد Policy و Ruleهای ضروری فایروال

ایجاد تونل به معنای مجاز بودن عبور ترافیک نیست. برای عبور بسته‌ها از تونل، باید قواعد فایروال صریحی ایجاد شوند.

به منوی Security & SD-WAN > Rules and policies > Firewall rules بروید.

بر روی Add firewall rule و سپس Add new rule کلیک کنید.

قاعده اول: اجازه خروج ترافیک از LAN به شبکه راه‌دور از طریق VPN

Policy Name: Allow LAN-HQ to LAN-BRANCH via VPN

Action: Allow

Source zones: LAN (منطقه شبکه داخلی HQ)

Source networks and devices: 192.168.1.0/24 (یا شبکه LAN شما)

Destination zones: VPN (این Zone کلیه تونل‌های IPSec را در بر می‌گیرد)

Destination networks: 192.168.2.0/24 (شبکه راه‌دور – Branch)

Services: Any (می‌توانید در آینده آن را به سرویس‌های خاصی مانند HTTP, RDP, SMB محدود کنید)

Application: Any (می‌توانید در صورت نیاز، کنترل برنامه اعمال کنید)

Users: Any

Schedule: Always

Log traffic: می‌توانید برای نظارت، تیک Log firewall rule را بزنید.

روی Save کلیک کنید.

قاعده دوم: اجازه ورود پاسخ ترافیک از VPN به LAN

 

یک قاعده جدید دیگر ایجاد کنید.

Policy Name: Allow Reply from BRANCH to HQ

Action: Allow

Source zones: VPN

Source networks and devices: 192.168.2.0/24

Destination zones: LAN

Destination networks: 192.168.1.0/24

Services: Any

Application: Any

Users: Any

Schedule: Always

روی Save کلیک کنید.

 

اولویت‌دهی قواعد (Rule Ordering): پس از ایجاد، اطمینان حاصل کنید که این قواعد Allow جدید، در لیست قواعد، بالاتر از قاعده Deny پیش‌فرض (معمولاً قاعده آخر به نام “Drop illegal connections” یا مشابه) قرار گرفته‌اند. قواعد در Sophos XG به ترتیب از بالا به پایین پردازش می‌شوند.

نکته: در برخی تنظیمات، ممکن است نیاز به ایجاد قواعد NAT اضافه نباشد، زیرا Sophos XG به طور خودکار برای ترافیک VPN از NAT صرف‌نظر می‌کند (No-NAT). اما اگر در شبکه شما شرایط خاصی حاکم است، باید بررسی شود.

تست اولیه: در این مرحله، پیکربندی سمت HQ کامل است. برای بررسی، در صفحه IPSec VPN > Site-to-Site، وضعیت (Status) اتصال To-BRANCH-Site را چک کنید. تا زمانی که سمت مقابل پیکربندی نشده باشد، احتمالاً وضعیت Disconnected یا در حال تلاش برای اتصال خواهد بود که طبیعی است.

 

مرحله‌به‌مرحله پیکربندی در سایت دوم (شعبه – Branch Office)

پیکربندی در سایت دوم باید به صورت متقارن و دقیقاً معکوس با سایت اول انجام شود. این تقارن، شرط ضروری برای برقراری موفقیت‌آمیز تونل IPSec است. در این بخش، تمامی مراحل مشابه بخش قبل، اما با جایگزینی مقادیر “محلی” (Local) و “راه‌دور” (Remote) تکرار می‌شود.

اصل طلایی پیکربندی: هر آنچه در سایت HQ به عنوان “Remote” تعریف کردید، در سایت Branch باید به عنوان “Local” تنظیم شود و بالعکس.

مراحل متناظر در سایت دوم

مرحله ۱: ورود و بررسی اولیه

به کنسول مدیریت وب فایروال شعبه (Branch) با آدرس IP مدیریتی آن (مثلاً https://192.168.2.1) وارد شوید.

سلامت اتصال اینترنت (WAN Interface) و شبکه داخلی (LAN Interface) را همانند بخش ۶.۱ بررسی کنید.

مرحله ۲: ایجاد Remote Gateway (تعریف HQ به عنوان سایت مقابل)

در اینجا، سایت “راه‌دور”، در واقع دفتر مرکزی (HQ) است.

به VPN > IPSec VPN > تب Site-to-Site بروید.

روی Add کلیک کنید.

جزئیات اتصال:

Connection Name: To-HQ-Site (استفاده از نامی متقارن توصیه می‌شود).

Connection Type: Site-to-Site

 

Gateway Type: Remote Gateway

Active: ✔ فعال.

بخش Remote Gateway:

Address: آدرس IP عمومی یا نام DDNS سایت HQ را وارد کنید (203.0.113.10 یا hq.company.com).

بخش Credentials:

Authentication Method: Pre-shared Key

Pre-shared Key / Confirm Pre-shared Key: همان کلید از پیش توافق شده را که در سایت HQ استفاده کردید، دقیقاً وارد کنید (X8$m#pQ2!vL9wR@5). هرگونه تفاوت در اینجا باعث شکست احراز هویت می‌شود.

روی Save کلیک کنید. به صفحه تنظیمات Phase 1 هدایت خواهید شد.

مرحله ۳: پیکربندی Phase 1 (IKE) – تطابق کامل ضروری است

تنظیمات این بخش باید دقیقاً کلمه به کلمه و عدد به عدد با تنظیمات Phase 1 در سایت HQ مطابقت داشته باشد.

در صفحه Phase 1 اتصال To-HQ-Site، مقادیر زیر را تنظیم کنید:

Version: IKEv2 (باید با HQ یکسان باشد)

Exchange Mode: Main (باید با HQ یکسان باشد)

Encryption: AES-256 (باید با HQ یکسان باشد)

Authentication: SHA256 (باید با HQ یکسان باشد)

DH Group: 14 (2048-bit) (باید با HQ یکسان باشد)

Key Lifetime: 28800 (باید با HQ یکسان باشد)

تنظیمات پیشرفته: (باید با HQ یکسان باشد)

NAT Traversal (NAT-T): Enable (توصیه می‌شود، مگر اینکه مطمئن باشید هیچ NATی در مسیر نیست).

Dead Peer Detection (DPD): Enable (توصیه می‌شود).

روی Save کلیک کنید.

مرحله ۴: پیکربندی Phase 2 (IPSec) – تعریف معکوس شبکه‌ها

این مرحله حساس‌ترین بخش از نظر منطق پیکربندی است. شبکه‌ای که در HQ به عنوان “Local” تعریف شد، در اینجا “Remote” است و بالعکس.

به تب Phase 2 بروید و روی Add کلیک کنید.

 

جزئیات پایه:

Name: BRANCH-to-HQ-Traffic

تعریف شبکه‌ها (بخش حیاتی و معکوس):

Local Networks: اینجا به معنی شبکه محلی خود سایت Branch است. روی Select کلیک کرده و شبکه /24192.168.2.0را انتخاب یا ایجاد کنید.

Remote Networks: اینجا به معنی شبکه راه‌دور (سایت HQ) است. روی Select کلیک کرده و شبکه 192.168.1.0/24 را انتخاب یا ایجاد کنید.

نکته: دقت کنید که جای این دو نسبت به پیکربندی HQ معکوس شده است. در HQ: Local=192.168.1.0/24, Remote=192.168.2.0/24. در Branch: Local=192.168.2.0/24, Remote=192.168.1.0/24.

پارامترهای امنیتی: (باید دقیقاً با HQ یکسان باشد)

Encryption: AES-256

Authentication: SHA256

PFS: Enable با DH Group: 14

Protocol: ESP

Key Lifetime: 3600

روی Save کلیک کنید.

 

ایجاد قواعد فایروال در Branch

قواعد فایروال نیز باید منطق معکوس را دنبال کنند و اجازه تبادل ترافیک بین شبکه‌های محلی و منطقه VPN را بدهند.

به Security & SD-WAN > Rules and policies > Firewall rules بروید.

قاعده اول: اجازه خروج ترافیک از LAN شعبه به شبکه HQ

 

Policy Name: Allow LAN-BRANCH to LAN-HQ via VPN

Action: Allow

Source zones: LAN (منطقه شبکه داخلی Branch)

Source networks and devices: 192.168.2.0/24

Destination zones: VPN

Destination networks: 192.168.1.0/24 (شبکه راه‌دور – HQ)

Services: Any

روی Save کلیک کنید.

 

قاعده دوم: اجازه ورود پاسخ ترافیک از VPN به LAN شعبه

Policy Name: Allow Reply from HQ to BRANCH

Action: Allow

Source zones: VPN

Source networks and devices: 192.168.1.0/24

Destination zones: LAN

Destination networks: 192.168.2.0/24

Services: Any

 

روی Save کلیک کنید.

اولویت‌دهی: اطمینان حاصل کنید این قواعد Allow جدید، در بالای قاعده Deny پیش‌فرض قرار گیرند.

بررسی نهایی و تأیید اتصال

پس از تکمیل پیکربندی در هر دو سایت:

به صفحه VPN > IPSec VPN > Site-to-Site در هر یک از فایروال‌ها مراجعه کنید.

وضعیت (Status) اتصال ایجاد شده (To-BRANCH-Site در HQ و To-HQ-Site در Branch) را بررسی کنید.

اتصال موفق: اگر همه تنظیمات صحیح باشد، پس از چند ثانیه وضعیت باید به Connected (سبز رنگ) تغییر کند.

 

جزئیات اتصال: بر روی نام اتصال کلیک کنید و به تب Status بروید. در اینجا می‌توانید اطلاعاتی مانند آدرس‌های IP محلی و راه‌دور، مدت زمان اتصال (Uptime)، حجم داده رمزگذاری شده (Encrypted Bytes) و حجم داده دریافتی (Decrypted Bytes) را مشاهده کنید. وجود داده در این بخش، نشانه عبور ترافیک است.

تست عملکرد: از یک دستگاه در شبکه HQ (مثلاً 192.168.1.100) به یک دستگاه در شبکه Branch (مثلاً 192.168.2.100) ping بزنید. پاسخ موفقیت‌آمیز ping، نشانه نهایی برقراری کامل تونل و صحت قواعد فایروال است.

نکته نهایی: اگر وضعیت اتصال روی Connecting باقی ماند یا Disconnected شد، به بخش بعدی مقاله (عیب‌یابی) مراجعه کنید. رایج‌ترین دلیل، عدم تطابق در یکی از پارامترهای Phase 1، Phase 2 یا Pre-shared Key بین دو سایت است.

 

بررسی اتصال و عیب‌یابی (Troubleshooting)

حتی با دقت بالا در پیکربندی، ممکن است تونل VPN به درستی راه‌اندازی نشود یا پس از مدتی قطع شود. در این بخش، روش‌های سیستماتیک برای تشخیص و رفع مشکلات متداول ارائه می‌شود. عیب‌یابی مؤثر مستلزم دنبال کردن یک فرآیند منطقی از کلی‌ترین سطح (وضعیت اتصال) به جزئی‌ترین سطح (لاگ‌های سیستم) است.

 

بررسی اتصال و عیب‌یابی (Troubleshooting)

حتی با دقت بالا در پیکربندی، ممکن است تونل VPN به درستی راه‌اندازی نشود یا پس از مدتی قطع شود. در این بخش، روش‌های سیستماتیک برای تشخیص و رفع مشکلات متداول ارائه می‌شود. عیب‌یابی مؤثر مستلزم دنبال کردن یک فرآیند منطقی از کلی‌ترین سطح (وضعیت اتصال) به جزئی‌ترین سطح (لاگ‌های سیستم) است.

بررسی وضعیت تونل و ابزارهای اولیه تشخیص

اولین قدم، مشاهده وضعیت کلی و استفاده از ابزارهای ساده تشخیص درون‌ساخت Sophos XG است.

الف) بررسی داشبورد وضعیت IPSec:

به VPN > IPSec VPN بروید.

در تب Site-to-Site، ردیف مربوط به تونل خود را پیدا کنید. ستون‌های کلیدی عبارتند از:

Status: وضعیت نهایی اتصال را نشان می‌دهد.

Connected (سبز): تونل به درستی برقرار است.

Disconnected (خاکستری): تونل فعال نیست. ممکن است هرگز وصل نشده یا قطع شده باشد.

Connecting (نارنجی/زرد): فایروال در حال تلاش برای مذاکره Phase 1 است. ماندن در این حالت معمولاً نشانه عدم تطابق پارامترها یا مشکل دسترسی شبکه است.

Remote Gateway: آدرس سایت مقابل را نشان می‌دهد. از صحت آن مطمئن شوید.

Traffic: آیکون‌های سبز نشان‌دهنده عبور ترافیک رمزگذاری/رمزگشایی شده هستند. اگر تونل Connected است اما ترافیکی نشان نمی‌دهد، مشکل از قواعد فایروال یا مسیریابی است.

ب) بررسی جزئیات وضعیت (Status Tab):

روی نام تونل کلیک کنید و به تب Status بروید. اطلاعات حیاتی اینجا شامل:

IKE Status: وضعیت Phase 1 (مثلاً ESTABLISHED).

IPSec Status: وضعیت Phase 2 (مثلاً INSTALLED).

Local/Remote IP: آدرس‌های IPای که برای ارتباط IPSec استفاده می‌شوند را تأیید کنید.

Encrypted/Decrypted Bytes: حجم ترافیک رد و بدل شده. اگر صفر است، احتمالاً ترافیکی از تونل عبور نکرده یا مشکل فایروال وجود دارد.

ج) استفاده از ابزارهای تشخیص داخلی:

Packet Capture (ردیابی بسته): این قدرتمندترین ابزار برای دیدن بسته‌های خام است.

به System > Troubleshooting > Packet capture بروید.

یک Capture جدید ایجاد کنید. Interface را روی اینترفیس WAN خود قرار دهید.

Filter را روی host <آدرس-IP-سایت-مقابل> و port 500 or port 4500 تنظیم کنید تا تنها ترافیک IKE/ISAKMP را ببینید.

Capture را شروع کنید و سعی کنید VPN را مجدداً راه‌اندازی کنید. اگر بسته‌های IKE از سمت مقابل را می‌بینید اما پاسخی نمی‌فرستید، مشکل از فایروال شماست. اگر هیچ بسته‌ای نمی‌بینید، مشکل از مسیر شبکه یا فایروال مقابل است.

Ping و Trace Route: از منوی System > Troubleshooting > Network Diagnostics می‌توانید مستقیماً از خود فایروال، به آدرس IP عمومی سایت مقابل ping بزنید. اگر ping برقرار نشد، ابتدا باید مشکل ارتباط شبکه پایه (Underlying Network Connectivity) را حل کنید.

 

بررسی لاگ‌های سیستم (System Logs) – قلب عیب‌یابی

اگر وضعیت کلی مشکل را نشان می‌دهد، قدم بعدی مراجعه به لاگ‌های تفصیلی است. Sophos XG لاگ‌های تخصصی و خوانایی برای IPSec دارد.

به Logs & Reports > Log Viewer بروید.

از منوی کشویی سیستم لاگ، گزینه IPSec را انتخاب کنید. این لاگ، تمام رویدادهای مرتبط با مذاکره و نگهداری تونل‌های IPSec را نشان می‌دهد.

فیلتر کردن: می‌توانید فیلتر را روی نام connection خاصی (مثلاً To-BRANCH-Site) تنظیم کنید.

تحلیل لاگ‌ها: به دنبال پیام‌های خطا (Error) یا هشدار (Warning) باشید. زمان رویداد را بررسی کرده و منطبق با زمانی که مشکل رخ داده است، لاگ‌ها را ببینید.

 

نمونه‌هایی از پیام‌های کلیدی در لاگ IPSec

IKEv2 child SA negotiation failed یا No proposal chosen: رایج‌ترین خطا. نشان‌دهنده عدم تطابق در پارامترهای Phase 2 (Encryption, Authentication, PFS, شبکه‌ها) بین دو طرف است. پیشنهاد (Proposal) ارسالی یک طرف، مورد پذیرش طرف دیگر قرار نمی‌گیرد.

IKE SA authentication failed: خطای احراز هویت. معمولاً به دلیل عدم تطابق Pre-shared Key بین دو سایت رخ می‌دهد. ممکن است شامل کدهای فرعی مانند AUTHENTICATION_FAILED باشد.

IKEv2 exchange failed یا establishing IKE SA failed: خطای کلی در مرحله Phase 1. می‌تواند ناشی از عدم تطابق پارامترهای Phase 1، مشکل دسترسی (مانند مسدود بودن پورت UDP 500/4500) یا عدم امکان رسیدن به آدرس IP مقابل باشد.

DPD action set to delete: Dead Peer Detection فعال بوده و به دلیل عدم دریافت پاسخ از طرف مقابل، تونل را حذف (Delete) کرده است. می‌تواند نشانه قطعی اینترنت یک طرف یا بار پردازشی بسیار بالا باشد.

Connection established successfully: پیام موفقیت. اگر این پیام را می‌بینید اما ترافیک عبور نمی‌کند، مشکل به احتمال زیاد از فایروال یا مسیریابی پس از برقراری تونل است.

لاگ فایروال (Firewall): اگر تونل وضعیت Connected را نشان می‌دهد اما ترافیک عبور نمی‌کند، به لاگ‌های فایروال مراجعه کنید.

در Log Viewer، سیستم لاگ را روی Firewall تنظیم کنید.

فیلتر Action را روی Drop قرار دهید و آدرس‌های مبدأ و مقصد شبکه‌های خود (/24192.168.1.0 و /24192.168.2.0) را در فیلترها وارد کنید. این کار به شما نشان می‌دهد که آیا قواعد فایروال شما در حال مسدود کردن ترافیک هستند.

 

رایج‌ترین خطاها، علل و راه‌حل‌های گام‌به‌گام

در اینجا جدولی از مشکلات متداول و اقدامات اصلاحی ارائه شده است:

مشکل (علامت)	علل محتمل	راه‌حل و اقدامات تشخیصی
تونل وصل نمی‌شود. وضعیت: Disconnected یا Connecting
خطای لاگ: No proposal chosen	عدم تطابق تنظیمات Phase 2 .	1. Phase 2 را در دو طرف دقیقاً مقایسه کنید: Encryption, Authentication, PFS فعال/غیرفعال و DH Group)، Protocol (ESP/AH)، شبکه‌های Local/Remote معکوس بودن آن‌ها را چک کنید از سادگی شروع کنید: در مرحله عیب‌یابی، PFS را غیرفعال کنید و از الگوریتم‌های پایه مثلاً AES128/SHA1  استفاده کنید. پس از اتصال، دوباره آن‌ها را قوی تنظیم کنید.
خطای لاگ: AUTHENTICATION_FAILED	عدم تطابق Pre-shared Key (PSK).	1. PSK را در هر دو طرف مجدداً وارد کنید. کاراکترهای خاص (مانند \, “, ‘) گاهی مشکل‌زا هستند. از یک PSK ساده‌تر (فقط حروف و اعداد) برای تست استفاده کنید. 3. مطمئن شوید در یک سایت فاصله (Space) اضافی ابتدا یا انتهای کلید نباشد.
خطای لاگ: establishing IKE SA failed	عدم تطابق تنظیمات Phase 1 یا مشکل دسترسی شبکه.	Phase 1 را در دو طرف دقیقاً مقایسه کنید: Version (IKEv1/v2), Exchange Mode, Encryption, Authentication, DH Group. 2. NAT-Traversal را در هر دو طرف فعال کنید. 3. از پینگ از فایروال به آدرس عمومی طرف مقابل اطمینان حاصل کنید. 4. بررسی کنید پورت‌های UDP 500 و 4500 در فایروال طرفین و همچنین توسط ISP مسدود نشده باشند.
هیچ لاگ IPSec مرتبطی ایجاد نمی‌شود.	دسترسی شبکه پایه وجود ندارد. آدرس Remote Gateway اشتباه است یا ترافیک مسدود می‌شود.	1. از Ping و Traceroute از فایروال به آدرس مقابل استفاده کنید. 2. Packet Capture روی اینترفیس WAN را برای دیدن بسته‌های IKE اجرا کنید. 3. آدرس IP عمومی وارد شده برای Remote Gateway را دوباره بررسی کنید. 4. مطمئن شوید هیچ قاعده فایروال روی WAN، ترافیک خروجی به پورت 500/4500 به سمت آن آدرس خاص را مسدود نمی‌کند.
تونل وصل است (Connected) اما ترافیک عبور نمی‌کند.
وضعیت تونل سبز است اما Encrypted Bytes صفر می‌ماند.	قواعد فایروال (Firewall Rules) وجود ندارند یا نادرست هستند.	قواعد فایروال ایجاد شده در بخش‌های ۶.۵ و ۷.۱ را مجدداً بررسی کنید. لاگ فایروال را برای ترافیک Drop شده بین شبکه‌های LAN بررسی کنید. مطمئن شوید قواعد Allow ایجاد شده در Zoneهای صحیح  LAN به VPN و بالعکس) هستند و بالاتر از قاعده Deny عمومی قرار گرفته‌اند.
پینگ از یک طرف جواب می‌دهد، از طرف دیگر نه.	قواعد فایروال یک طرفه (Asymmetric) یا مسیریابی.	1. قواعد فایروال باید در هر دو طرف به صورت متقارن ایجاد شده باشند Allow در هر دو جهت. در شبکه‌های پیچیده‌تر، مطمئن شوید دستگاه‌های مبدأ در LAN، Gateway پیش‌فرضشان را درست تنظیم کرده‌اند (یعنی آدرس فایروال خودشان). اگر از VLAN یا subnetهای خاصی استفاده می‌کنید، ممکن است نیاز به ایجاد Static Route روی فایروال داشته باشید تا مسیر بازگشت ترافیک را بداند.
تونل مکرراً قطع و وصل می‌شود.	ناپایداری اتصال اینترنت یک طرف، پایداری کلید (Lifetime) بسیار کوتاه، مشکل DPD.	1. Key Lifetime در Phase 1 و Phase 2 را بررسی کنید. مقادیر خیلی کوتاه (مثلاً زیر ۵ دقیقه) می‌تواند باعث قطعی مکرر شود. 2. Dead Peer Detection را بررسی کنید. گاهی تنظیمات Aggressive آن می‌تواند باعث قطعی ناخواسته شود. می‌توانید بازه آن را افزایش دهید. 3. پایداری خط اینترنت هر دو سایت را بررسی کنید (از طریق لاگ‌های سیستم یا مانیتورینگ WAN).
پس از به‌روزرسانی Firmware تونل قطع شده.	تغییرات پیش‌فرض الگوریتم‌ها در نسخه جدید.	1. پس از Major Upgrade، حتماً تنظیمات Phase 1 و Phase 2 را در هر دو طرف بازبینی کنید. 2. ممکن است نیاز باشد VPN را غیرفعال/فعال کنید یا حتی پیکربندی آن را حذف و از نو ایجاد نمایید. 3. مستندات Release Notes آن به‌روزرسانی را برای تغییرات مرتبط با VPN بررسی کنید.

 

روند کلی عیب‌یابی: همیشه از یک طرف شروع کنید (مثلاً HQ)، لاگ‌های آن را بررسی و سعی کنید مشکل را در همان طرف ریشه‌یابی کنید. سپس با همکار مسئول سایت مقابل ارتباط برقرار کرده و تنظیمات را به دقت مقایسه کنید. استفاده از یک چک‌لیست مقایسه‌ای برای پارامترهای Phase 1 و Phase 2 بسیار کمک‌کننده است.

 

ملاحظات امنیتی و بهینه‌سازی

پس از برقراری موفقیت‌آمیز تونل VPN پایه، نوبت به تقویت امنیت، اعمال کنترل‌های دقیق‌تر و بهینه‌سازی عملکرد برای یک محیط عملیاتی پایدار می‌رسد. پیکربندی اولیه تنها دسترسی را فراهم می‌کند، اما یک پیاده‌سازی حرفه‌ای باید اصول «دفاع در عمق» (Defense in Depth) و «کمترین امتیاز» (Least Privilege) را رعایت کند.

 

انتخاب الگوریتم‌های قوی و پروتکل‌های امن

امنیت تونل VPN به طور مستقیم به قدرت الگوریتم‌های رمزنگاری و صحت پیکربندی پروتکل وابسته است.

الف) ارتقاء الگوریتم‌های Phase 1 IKE:

پروتکل: حفظ IKEv2 به جای IKEv1. IKEv2 دارای مزایای امنیتی مانند مقاومت در برابر حملات انکار سرویس (DoS)، احراز هویت قوی‌تر، و پشتیبانی ذاتی از Mobility و Multihoming است.

رمزنگاری (Encryption): استفاده از AES-256-GCM به جای AES-256-CBC. الگوریتم GCM (Galois/Counter Mode) نه تنها محرمانگی را تأمین می‌کند، بلکه یکپارچگی و اصالت (Authenticated Encryption) را نیز به طور همزمان و کارآمدتر فراهم می‌نماید. در صورت عدم پشتیبانی طرف مقابل، AES-256 حداقل استاندارد است.

احراز هویت (Authentication): ارتقاء به SHA-384 یا SHA-512. اگرچه SHA-256 هنوز ایمن محسوب می‌شود، استفاده از توابع هش با طول خروجی بلندتر (مانند SHA-384) سطح امنیتی را در برابر پیشرفت‌های آینده محاسبات کوانتومی افزایش می‌دهد.

گروه دیفی-هلمن (DH Group): مهاجرت به گروه‌های بی‌ضوی (Elliptic Curve) مانند 19 (256-bit)، 20 (384-bit) یا 21 (521-bit). این گروه‌ها در مقایسه با گروه‌های کلاسیک (مانند گروه 14 با 2048 بیت)، سطح امنیتی بسیار بالاتر با کلیدهای کوتاه‌تر و کارایی محاسباتی بهتر ارائه می‌دهند. استفاده از گروه 24 (با Modp 2048 و SHA-256) نیز گزینه مناسبی است که توسط CNSA (سوییت الگوریتم ملی امنیت سایبری آمریکا) تأیید شده است.

ب) ارتقاء الگوریتم‌های Phase 2 IPSec:

ترکیب رمزنگاری و احراز هویت: استفاده از AES-256-GCM به عنوان پروتکل واحد که احراز هویت داخلی دارد، کارایی را بهبود می‌بخشد. در غیر اینصورت، ترکیب AES-256 با SHA-256 حداقل استاندارد است.

Perfect Forward Secrecy (PFS): همیشه فعال (Enable) باشد. این قابلیت تضمین می‌کند که به خطر افتادن کلیدهای بلندمدت Phase 1، منجر به افشای ترافیک رمزگذاری شده گذشته نخواهد شد. گروه DH برای PFS باید حداقل به اندازه گروه Phase 1 قوی باشد (ترجیحاً از همان گروه‌های بی‌ضوی مانند 19، 20 یا 21 استفاده شود).

طول عمر کلید (Key Lifetime): کاهش طول عمر کلیدهای Phase 2 (مثلاً به ۲۸۸۰۰ ثانیه برای Phase 1 و ۳۶۰۰ ثانیه برای Phase 2) تعادل مناسبی بین امنیت و کارایی ایجاد می‌کند. مقادیر کوتاه‌تر (مثلاً ۱۸۰۰ ثانیه) امن‌تر اما بار پردازشی بیشتری ایجاد می‌کنند.

ج) جایگزینی Pre-shared Key با گواهی دیجیتال:

محدودیت PSK: Pre-shared Key اگرچه ساده است، اما برای احراز هویت ماشین به ماشین در مقیاس بزرگ مدیریت‌پذیر نیست و خطر افشا یا اشتراک غیرامن وجود دارد.

مزایای گواهی دیجیتال: احراز هویت مبتنی بر گواهی‌های X.509 (Certificate Authentication) سطح امنیتی بالاتری ارائه می‌دهد. هر فایروال دارای یک گواهی خصوصی منحصربه‌فرد است که توسط یک مرکز صدور گواهی (CA) داخلی امضا شده است. این روش:

امکان احراز هویت قوی و غیرقابل انکار را فراهم می‌کند.

مدیریت متمرکز و امکان لغو گواهی (Revocation) در صورت به خطر افتادن دستگاه را ممکن می‌سازد.

برای سناریوهای با بیش از دو سایت، بسیار مقیاس‌پذیرتر است.

راه‌اندازی: ایجاد یک CA داخلی در Sophos XG (در منوی Administration > Device access > Certificates) و سپس صدور و نصب گواهی برای هر فایروال. در تنظیمات VPN، Authentication Method را به Certificate تغییر داده و گواهی مربوطه را انتخاب کنید.

اعمال محدودیت‌های دسترسی و کنترل ترافیک (Least Privilege)

یک تونل VPN نباید به معنای دسترسی نامحدود همه به همه چیز باشد. ترافیک باید بر اساس نیاز کسب‌وکار فیلتر و کنترل شود.

الف) تصحیح و محدودسازی قواعد فایروال:

جایگزینی Any با سرویس‌های خاص: در قواعد فایروال ایجاد شده، به جای سرویس Any، لیست دقیقی از پروتکل‌ها و پورت‌های مورد نیاز را مشخص کنید. به عنوان مثال:

Microsoft-DS (برای اشتراک فایل و چاپگر)

RDP (برای دسترسی از راه دور به دسکتاپ)

HTTPS, SQL-Server

PING (فقط برای عیب‌یابی)

محدودسازی شبکه‌ها: به جای کل subnet (192.168.1.0/24)، در صورت امکان، آدرس‌های IP یا رنج‌های خاصی از میزبان‌های سرور یا کاربران مجاز را به عنوان مبدأ یا مقصد تعریف کنید.

ایجاد قواعد جداگانه برای کاربران و گروه‌ها: Sophos XG می‌تواند قواعد فایروال را بر اساس هویت کاربر (User/Group) اعمال کند. این امکان، کنترل بسیار ظریفی را فراهم می‌سازد (مثلاً فقط کاربران گروه “Accountants” بتوانند به سرور مالی شعبه دسترسی داشته باشند). این کار مستلزم یکپارچه‌سازی فایروال با سرویس دایرکتوری مانند Active Directory است.

 

ب) فعال‌سازی بازرسی عمیق بسته‌ها (Deep Packet Inspection):

تنگنا نیست، یک ضرورت است: ترافیک VPN نیز باید مشابه ترافیک اینترنت، از فیلترهای امنیتی Sophos XG عبور کند.

Web Filtering & Application Control: در قواعد فایروال مربوط به VPN، پروفایل‌های فیلتر وب و کنترل برنامه را فعال کنید. این کار از دسترسی به وب‌سایت‌های مخرب یا استفاده از برنامه‌های غیرمجاز (مانند تورنت یا برنامه‌های چت شخصی) از طریق تونل VPN جلوگیری می‌کند.

IPS (Intrusion Prevention System): ماژول IPS را برای ترافیک VPN فعال نمایید. این سیستم می‌تواند الگوهای حملات شناخته شده یا رفتارهای مخربی را که ممکن است از یک شبکه به شبکه دیگر گسترش یابد، شناسایی و مسدود کند.

ATP (Advanced Threat Protection) و Sandboxing: برای حداکثر محافظت، می‌توان ترافیک فایل‌های دانلود شده از طریق VPN را نیز برای بررسی در سندباکس ارسال کرد.

ج) جداسازی منطقی با استفاده از Zoneهای سفارشی:

به جای استفاده مستقیم از Zone پیش‌فرض VPN، می‌توان برای هر تونل یا گروهی از تونل‌ها، Zoneهای سفارشی (مانند VPN-to-BRANCH-A, VPN-to-DATACENTER) ایجاد کرد. این امر امکان اعمال سیاست‌های امنیتی کاملاً مجزا برای هر اتصال و همچنین شفافیت بیشتر در مانیتورینگ و گزارش‌گیری را فراهم می‌آورد.

 

مانیتورینگ، نگهداری و طرح تداوم کسب‌وکار

یک تونل VPN یک «تنظیم و فراموش» (Set and Forget) نیست، بلکه یک دارایی حیاتی شبکه است که نیاز به نظارت و نگهداری مستمر دارد.

الف) راه‌اندازی نظارت فعال (Active Monitoring):

استفاده از داشبوردها: از Dashboard اصلی Sophos XG برای دیدن وضعیت سلامت کلی تونل‌ها و حجم ترافیک آن‌ها استفاده کنید. ویجت‌های مربوط به VPN را به داشبورد شخصی خود اضافه کنید.

تنظیم هشدار (Alerts): در System > Log settings > Alerts، هشدارهایی برای رویدادهای بحرانی VPN تعریف کنید، مانند:

IPSec tunnel down

IKE authentication failure

Maximum number of Phase 2 negotiations reached (ممکن است نشانه حملۀ brute-force باشد)

گزارش‌گیری منظم: از ماژول Reports در Sophos XG برای ایجاد و دریافت گزارش‌های دوره‌ای (روزانه/هفتگی) از حجم ترافیک VPN، کاربران پرترافیک و تلاش‌های اتصال ناموفق استفاده نمایید.

ب) برنامه نگهداری منظم:

بررسی و به‌روزرسانی منظم: در یک بازه زمانی منظم (مثلاً فصلی):

۱. صحت و اعتبار گواهی‌های دیجیتال را بررسی کنید.

۲. تنظیمات VPN را با مستندات امنیتی سازمان تطبیق دهید.

۳. Firmware فایروال‌ها را به آخرین نسخه پایدار ارتقا دهید و پس از آن سلامت تونل‌ها را مجدداً تست کنید.

آزمایش بازیابی از خرابی (Failover Testing): اگر از High Availability (HA) استفاده می‌کنید، به طور دوره‌ی عملکرد صحیح کلیدزنی (Failover) بین دستگاه اصلی و standby را آزمایش کنید تا اطمینان حاصل شود که تونل‌های VPN به درستی بازیابی می‌شوند.

بایگانی و مستندسازی: پیکربندی نهایی VPN، از جمله کلیه آدرس‌ها، کلیدها (در محل امن)، و طرح منطقی شبکه را به دقت مستند کنید. این مستندات برای بازیابی پس از فاجعه (Disaster Recovery) و انتقال دانش به همکاران حیاتی است.

ج) برنامه‌ریزی برای مقیاس‌پذیری و تداوم کسب‌وکار:

پیش‌بینی رشد: با افزوده شدن شعب جدید، از قالب‌های پیکربندی (Configuration Templates) استفاده کنید تا اطمینان حاصل شود همه تونل‌های جدید با سیاست‌های امنیتی یکسان راه‌اندازی می‌شوند.

طرح جایگزین (Failover) لینک اینترنت: برای سایت‌های حیاتی، امکان استفاده از اتصال چندگانه اینترنت (Dual-WAN) بر روی Sophos XG و پیکربندی VPN برای کار بر روی هر دو لینک (با اولویت‌بندی) را در نظر بگیرید. این کار در صورت قطعی یک لینک، تداوم ارتباط را تضمین می‌کند.

بررسی دوره‌ای نیازهای کسب‌وکار: به طور منظم با واحدهای مختلف سازمان گفتگو کنید تا اطمینان حاصل کنید دسترسی‌های فراهم شده از طریق VPN همچنان ضروری و متناسب با نیازهای آن‌هاست. دسترسی‌های غیرضروری را حذف کنید.

با اجرای این ملاحظات امنیتی و بهینه‌سازی‌ها، تونل VPN Site-to-Site شما از یک اتصال ساده، به یک کانال ارتباطی امن، کنترل‌شده، قابل نظارت و قابل اعتماد تبدیل می‌شود که به خوبی در معماری کلی امنیت شبکه سازمان یکپارچه شده است.

 

نتیجه‌گیری

پیاده‌سازی یک تونل VPN Site-to-Site بین فایروال‌های Sophos XG، فرآیندی استراتژیک و فنی است که فراتر از اتصال ساده دو شبکه، زیرساختی امن و شفاف برای یکپارچگی عملیات سازمانی ایجاد می‌کند. این مقاله با ارائه یک راهنمای جامع و ساختاریافته، نشان داد که این فرآیند، با وجود پیچیدگی‌های ذاتی پروتکل IPSec و الزامات امنیتی، با پیروی از یک چارچوب منطقی و گام‌به‌گام، کاملاً قابل مدیریت و اجرا است.

خلاصه مسیر طی شده: مسیر از آماده‌سازی دقیق آغاز شد، جایی که جمع‌آوری اطلاعات صحیح و طراحی شبکه، سنگ بنای موفقیت را گذاشت. سپس، پیکربندی متقارن و منظم در دو سر تونل، با تأکید بر تطابق کامل پارامترهای حیاتی Phase 1 و Phase 2، مورد بررسی قرار گرفت. در گام بعدی، فرآیند عیب‌یابی سیستماتیک آموزش داده شد که مانند یک نقشه راه، مدیر شبکه را از بررسی وضعیت کلی تا واکاوی لاگ‌های تخصصی برای رفع ریشه‌ای خطاها هدایت می‌کند. نهایتاً، مقاله از پیکربندی پایه فراتر رفته و وارد حوزه امن‌سازی پیشرفته و بهینه‌سازی حرفه‌ای شد. در این بخش، ارتقاء به الگوریتم‌های رمزنگاری قوی‌تر مانند AES-256-GCM و گروه‌های دیفی-هلمن بی‌ضوی (ECP)، جایگزینی احراز هویت مبتنی بر گواهی دیجیتال به جای Pre-shared Key، و اعمال اصل «کمترین امتیاز» از طریق کنترل‌های دقیق فایروال، بازرسی عمیق بسته‌ها (DPI) و فیلترینگ برنامه مطرح گردید.

دستاورد نهایی: خروجی نهایی این مسیر، تنها یک خط ارتباطی نیست؛ بلکه ایجاد یک «زیرساخت ارتباطی امن و هوشمند» است. این زیرساخت قادر است:

حریم خصوصی و یکپارچگی داده‌ها را در بستر عمومی اینترنت با استفاده از قوی‌ترین مکانیزم‌های رمزنگاری تضمین کند.

کنترل و شفافیت کامل بر روی ترافیک مبادله شده بین شعب، با امکان اعمال سیاست‌های امنیتی متمرکز و مبتنی بر هویت کاربر را فراهم آورد.

از طریق ابزارهای قدرتمند مانیتورینگ، هشدار و گزارش‌گیری در Sophos XG، امکان نظارت فعال و پیش‌دستانه بر سلامت و امنیت تونل را به تیم فناوری اطلاعات بدهد.

با طراحی مبتنی بر بهترین روش‌ها (Best Practices)، انعطاف‌پذیری لازم برای مقیاس‌پذیری (افزودن شعب جدید) و تحمل پذیری خطا (پیاده‌سازی طرح‌های جایگزین) را دارا باشد.

جمع‌بندی نهایی: در دنیای امروز که تهدیدات سایبری پیچیده‌تر و پراکندگی جغرافیایی دفاتر سازمانی یک واقعیت اجتناب‌ناپذیر است، VPNهای Site-to-Site نه به عنوان یک گزینه، بلکه به عنوان یک ضرورت زیرساختی برای هر سازمانی که به امنیت و تداوم کسب‌وکار خود می‌اندیشد، مطرح هستند. فایروال Sophos XG با ترکیب قدرتمندانه یک موتور VPN استاندارد و قوی، با یک سویت امنیتی یکپارچه و یک رابط مدیریت متمرکز، بستری ایده‌آل برای پیاده‌سازی این ضرورت فراهم می‌کند. این مقاله نشان داد که با درک صحیح از مفاهیم، برنامه‌ریزی دقیق و اجرای منظم، می‌توان این بستر را نه تنها راه‌اندازی، بلکه به گونه‌ای مستحکم و بهینه ساخت که به عنوان رگ حیاتی امن و قابل اعتماد سازمان، سال‌ها به صورت پایدار خدمت‌رسانی نماید. کلید موفقیت بلندمدت، در تداوم نگهداری، نظارت مستمر و به‌روزرسانی مداوم این زیرساخت در برابر تهدیدات نوظهور و نیازهای در حال توسعه کسب‌وکار نهفته است.