راهکارهای تامین امنیت و حفاظت از اطلاعات
1- RAID
استفاده از راهکار RAID باعث میشود بتوانید حفاظت از اطلاعات خود را بهتر انجام دهید. بر اساس نیازتان میتوانید از انواع پیکربندیهای RAID که پیشتر در کانال تک مستر شرح داده شده استفاده کنید: RAID 0, 1, 5, 6, 10, …. با انتخاب مناسبترین پیکربندی RAID میتوانید ریسک Data Loss که در نتیجه خرابی غیرمنتظره هارد دیسک اتفاق میافتد را کاهش دهید.
با انجام تنظیمات Spare Drive، وقتی یه هارد در هر یک از RAID Volume ها خراب شود، هارد Spare به صورت خودکار، جایگزین هارد خراب میشود تا از فقدان داده جوگیری شود.
2- تهیه بکاپ
راهکارهای بکاپ گیری به شرح زیرند:
بکاپ مستقیم: با استفاده از USB و درایو اکسترنال
بکاپ ریموت و از راه دور: با ابزار مبتنی بر وب
کلود بکاپ یا Cloud Backup: سرویسهای ابری زیادی هستند که سرویس بکاپ گیری را ارایه میدهند که در ادامه چند سرویس ابری عمومی یا Public Cloud را معرفی میکنیم:
Microsoft Azure
Amazon Glacier
Amazon S3
ElephantDrive
Symform
Google Cloud Storage
OpenStack Swift
WebDAV
اما بکاپ گیری روی سرویس های پابلیک کلود، با ریسکهایی همراه است:
اولین مساله، Privacy است. به طور کلی ما نمیتوانیم اتفاقاتی که در پابلیک کلود میافتد را کنترل کنیم مثلا اگر سرویس ابر عمومی تصمیم بگیرد که شرایط استفاده را عوض کند، کاری از دست ما بر نمیآید یه عنوان مثال چگونگی استفاده از فایلها، عکسها و ویدئوها را تغییر دهد.
دوم این که امکان پاک شدن عکسها و ویدئوها و بکاپ های ما وجود دارد مثلا گوگل اعلام کرده که بکاپ های اندرویدی دیوایسهایی که دو ماه غیرفعال باشند، به طور خودکار پاک میشوند. میبینید که داشتن بکاپ روی کلود چندان قابل اعتماد نیست.
اساسا پاسخی برای این سوال که چه روش بکاپ گیری میتواند 100 درصد، امنیت اطلاعات ما را حفظ کند وجود ندارد اما توصیه ما این است که قانون 3-2-1 که در ادامه توضیح داده خواهد شد را فراموش نکنید تا در صورت وقوع شرایط غیرمنتظره، اطلاعات شما در امان باشند.
3- تهیه Snapshot
در صورت تهیه Snapshot، میتوانید در هر لحظه، وضعیت سیستم خود را ثبت کنید تا اگر شرایط ناخواستهای پیش آمد، بتوانید سیستم را با این Snapshot ها به وضعیت قبلی برگردانید. منظور از وضعیت قبلی زمانی است که این Snapshot ثبت شده است.
با استفاده از ابزارهای مبتنی بر وب برای تهیه Snapshot، به آسانی از اطلاعات مهم خود بکاپ بگیرید و اطلاعاتی که از دست دادهاید را با برگرداندن وضعیت سیستم به حالت قبل از وقوع فقدان داده، بازیابی کنید.
@tecmaster
1- RAID
استفاده از راهکار RAID باعث میشود بتوانید حفاظت از اطلاعات خود را بهتر انجام دهید. بر اساس نیازتان میتوانید از انواع پیکربندیهای RAID که پیشتر در کانال تک مستر شرح داده شده استفاده کنید: RAID 0, 1, 5, 6, 10, …. با انتخاب مناسبترین پیکربندی RAID میتوانید ریسک Data Loss که در نتیجه خرابی غیرمنتظره هارد دیسک اتفاق میافتد را کاهش دهید.
با انجام تنظیمات Spare Drive، وقتی یه هارد در هر یک از RAID Volume ها خراب شود، هارد Spare به صورت خودکار، جایگزین هارد خراب میشود تا از فقدان داده جوگیری شود.
2- تهیه بکاپ
راهکارهای بکاپ گیری به شرح زیرند:
بکاپ مستقیم: با استفاده از USB و درایو اکسترنال
بکاپ ریموت و از راه دور: با ابزار مبتنی بر وب
کلود بکاپ یا Cloud Backup: سرویسهای ابری زیادی هستند که سرویس بکاپ گیری را ارایه میدهند که در ادامه چند سرویس ابری عمومی یا Public Cloud را معرفی میکنیم:
Microsoft Azure
Amazon Glacier
Amazon S3
ElephantDrive
Symform
Google Cloud Storage
OpenStack Swift
WebDAV
اما بکاپ گیری روی سرویس های پابلیک کلود، با ریسکهایی همراه است:
اولین مساله، Privacy است. به طور کلی ما نمیتوانیم اتفاقاتی که در پابلیک کلود میافتد را کنترل کنیم مثلا اگر سرویس ابر عمومی تصمیم بگیرد که شرایط استفاده را عوض کند، کاری از دست ما بر نمیآید یه عنوان مثال چگونگی استفاده از فایلها، عکسها و ویدئوها را تغییر دهد.
دوم این که امکان پاک شدن عکسها و ویدئوها و بکاپ های ما وجود دارد مثلا گوگل اعلام کرده که بکاپ های اندرویدی دیوایسهایی که دو ماه غیرفعال باشند، به طور خودکار پاک میشوند. میبینید که داشتن بکاپ روی کلود چندان قابل اعتماد نیست.
اساسا پاسخی برای این سوال که چه روش بکاپ گیری میتواند 100 درصد، امنیت اطلاعات ما را حفظ کند وجود ندارد اما توصیه ما این است که قانون 3-2-1 که در ادامه توضیح داده خواهد شد را فراموش نکنید تا در صورت وقوع شرایط غیرمنتظره، اطلاعات شما در امان باشند.
3- تهیه Snapshot
در صورت تهیه Snapshot، میتوانید در هر لحظه، وضعیت سیستم خود را ثبت کنید تا اگر شرایط ناخواستهای پیش آمد، بتوانید سیستم را با این Snapshot ها به وضعیت قبلی برگردانید. منظور از وضعیت قبلی زمانی است که این Snapshot ثبت شده است.
با استفاده از ابزارهای مبتنی بر وب برای تهیه Snapshot، به آسانی از اطلاعات مهم خود بکاپ بگیرید و اطلاعاتی که از دست دادهاید را با برگرداندن وضعیت سیستم به حالت قبل از وقوع فقدان داده، بازیابی کنید.
@tecmaster
4- رمزگذاری
دو روش برای رمزگذاری پیشنهاد میشود:
IP Blocking:
لیست کسانی که مجازند به اطلاعات مورد نظر دسترسی داشته باشند را تهیه کنید و در کنار آن لیست سیاه کاربران را هم تهیه کنید. کاربران لیست سیاه با IP هایشان نمیتوانند به اطلاعات شما دست یابند.
رمزگذاری هارد درایو: اگر با استفاد از ابزار رمزگذاری، هارد خود را رمزگذاری کنید، حتی اگر دزدیده شود هم قابل دسترسی یا رخنه نیست.
تا به اینجا با انواع Data Loss که ممکن است با آنها رو به رو شویم و راهکارهای مقابله با Data Loss آشنا شدیم. اما شاید این سوال برایتان پیش آمده باشد که کدام راهکار را برای تامین امنیت و حفاظت از داده خود باید انتخاب کنید؟
جدول فوق راهنمای خوبی برای شماست تا انتخاب راهکار بکاپ گیری مناسب خود را انتخاب کنید.
@tecmaster
دو روش برای رمزگذاری پیشنهاد میشود:
IP Blocking:
لیست کسانی که مجازند به اطلاعات مورد نظر دسترسی داشته باشند را تهیه کنید و در کنار آن لیست سیاه کاربران را هم تهیه کنید. کاربران لیست سیاه با IP هایشان نمیتوانند به اطلاعات شما دست یابند.
رمزگذاری هارد درایو: اگر با استفاد از ابزار رمزگذاری، هارد خود را رمزگذاری کنید، حتی اگر دزدیده شود هم قابل دسترسی یا رخنه نیست.
تا به اینجا با انواع Data Loss که ممکن است با آنها رو به رو شویم و راهکارهای مقابله با Data Loss آشنا شدیم. اما شاید این سوال برایتان پیش آمده باشد که کدام راهکار را برای تامین امنیت و حفاظت از داده خود باید انتخاب کنید؟
جدول فوق راهنمای خوبی برای شماست تا انتخاب راهکار بکاپ گیری مناسب خود را انتخاب کنید.
@tecmaster
به تمام کاربران تکنولوژیها چه کاربران عادی و چه شرکتهای بزرگ، توصیه میشود از اطلاعات حساس و مهم خود بکاپ تهیه کنند تا در برابر خرابی یا فقدان داده (Data Loss) بتوانند از اطلاعات خود محافظت و امنیت اطلاعات خود را تامین کنند. ذخیره تنها یک فایلِ بکاپ برای این کار کافی نیست!
برای اینکه شانس بیشتری برای ریکاوری اطلاعات خراب و یا از دست رفته خود داشته باشد، از قانون 3-2-1 پیروی کنید!
قانون 3
از فایلهای مهم خود سه کپی تهیه کنید: یکی نسخه اصلی و دو تا بکاپ از آن.
قانون 2
فایلها را حداقل بر روی دو نوع استوریج یا وسیله ذخیره سازی نگه دارید تا در برابر انواع خطرات از آنها محافظت کنید.
قانون 1
یک کپیِ آف سایت تهیه کنید یعنی یک نسخه از اطلاعات خود را در مکانی خارج از خانه و یا محل کار خود نگهداری کنید.
منبع:QNAP
@tecmaster
برای اینکه شانس بیشتری برای ریکاوری اطلاعات خراب و یا از دست رفته خود داشته باشد، از قانون 3-2-1 پیروی کنید!
قانون 3
از فایلهای مهم خود سه کپی تهیه کنید: یکی نسخه اصلی و دو تا بکاپ از آن.
قانون 2
فایلها را حداقل بر روی دو نوع استوریج یا وسیله ذخیره سازی نگه دارید تا در برابر انواع خطرات از آنها محافظت کنید.
قانون 1
یک کپیِ آف سایت تهیه کنید یعنی یک نسخه از اطلاعات خود را در مکانی خارج از خانه و یا محل کار خود نگهداری کنید.
منبع:QNAP
@tecmaster
🤳پیش از خرید محافظ صفحه نمایش برای تلفن همراه سامسونگ سری Galaxy S10 خود این مطلب را مطالعه کنید!
بدون شک دستگاه تلفن همراه Galaxy S10 را میتوان در قالب یکی از منحصر به فردترین و جذابترین محصولات تاکنون عرضه شده از جانب کمپانی سامسونگ محسوب کرد، اما آیا میدانستید که تلفن همراه فوق با وجود تمامی مزیتها و قابلیتهای خود، در حال حاضر از مشکل بسیار بزرگی رنج میبرد که دسترسی تمامی افراد به تلفن همراه هوشمند شخصی شما را امکانپذیر میکند؟
وبسایت The Sun چندی پیش در طی خبری اعلام کرده است که تلفن همراه Galaxy S10 بنا به دلایلی نظیر باگهای نرمافزاری از ضعف در برابر برچسبها و یا گلسهای محافظ صفحه برخوردار بوده و در صورت استفاده از این وسایل، دسترسی به تلفن همراه را با اثرانگشت تمامی افراد میسر میسازد. این موضوع برای اولین بار توسط یک زوج انگلیسی کشف و سپس رسانهای شده است. زوج فوق بهصورت کاملاً تصادفی دریافتهاند که سنسور اسکن اثرانگشت تلفن همراه Galaxy S10 آنها در صورت استفاده از برچسبهای محافظ صفحه، به جای تنها اثرانگشت فرد دارنده و صاحب دستگاه، اثرانگشت تمامی افراد را، حتی مواردی که در دیتابیس خود ذخیره ندارد قبول کرده و دسترسی به تلفن همراه را میسر میکند. از جمله دیگر موارد موجود در این موضوع میتوان به یک خانم اشاره کرد که قادر است تا تلفن همراه مورد استفاده را با استفاده از انگشت شصت دست چپ خود باز کند، در حالی که وی فقط اثرانگشت شصت دست راست خود را اسکن کرده و در دیتابیس دستگاه ذخیرهسازی نموده است. او بعداً دریافته است که شوهر وی نیز قادر است تا دستگاه تلفن همراه همسر خود را با استفاده از اثرانگشت هر کدام از شصتهای دو دست خود باز کرده و به اطلاعات و محیط سیستمعامل دسترسی پیدا کند.
در موارد اشاره شده، صفحه نمایش تلفن همراه Galaxy S10 توسط یک برچسب محافظ ژلهای به قیمت 2.70 یورو (کمتر از 40 هزار تومان، با توجه به قیمت فعلی ارز فوق) محافظت شده است. هنوز مشخص نیست که آیا مشکل امنیتی اشاره شده تمامی برچسبهای محافظ صفحه را شامل شده و یا فقط موارد خاصی را تحت تأثیر قرار داده است، اما آنچه کاملاً واضح و آشکار است، ضعف شدید دستگاه Galaxy S10 در عملکرد سنسور تشخیص اثرانگشت و در خطر بودن امنیت کاربران میباشد. کمپانی سامسونگ مشکل اشاره شده را بهصورت رسمی تائید کرده و در بیانیهای اکیداً به کاربران و مصرفکنندگان تلفن همراه Galaxy S10 توصیه کرده است که تا زمان عرضه یک وصله امنیتی و یا بهروزرسانی نرمافزاری جهت رفع مشکل، سنسور تشخیص اثرانگشت را بهصورت کامل غیرفعال کرده و به محافظت از تلفن همراه خود با استفاده از رویههای دیگری همچون پسورد و ... بپردازند.
تلفن همراه Galaxy S10 کمپانی سامسونگ با پشتیبانی از سنسور فراصوت به اسکن اثرانگشت پرداخته و از این طریق به شناسایی و تمایز افراد و محافظت از دستگاه میپردازد. حسگر به کار رفته در طراحی و توسعه تلفن همراه هوشمند فوق با استفاده از امواج فوق به تشخیص لبهها و خطوط انگشت شخص پرداخته و نقشه یا به عبارتی دیگر نگاشتی از اثر منحصر به فرد انگشت وی را ترسیم و ذخیرهسازی میکند. تکنولوژی فوق اگرچه در نوع خود رویه و روشی جدید و مدرن به شمار میرود، اما برخی از برچسبهای محافظ صفحه با ایجاد یک فاصله هوایی بین حسگر و انگشت فرد امکان عملکرد صحیح و بیعیب و نقص سنسور را مختل کرده و بر همین اساس بر طبق اعلام رسمی کمپانی سامسونگ، برخی از برچسبهای موجود در بازار از سازگاری مناسب با تکنولوژی فوق برخوردار نمیباشند، اما به نظر میرسد که موضوع به اینجا ختم نشده و دستگاه تلفن همراه هوشمند Galaxy S10 به دلیل باگهای نرمافزاری از مشکلات امنیتی حادتری رنج میبرد. خوشبختانه مشکلات این تلفن همراه سختافزاری نبوده و کمپانی سامسونگ در طی بیانیهای رسمی اعلام کرده است که در حال تلاش جهت رفع این موضوع و عرضه وصله امنیتی مربوطه در قالب یک یا چند بهروزرسانی در آینده میباشد.
هنوز مشخص نیست که آیا این مشکل فقط محدود به تلفن همراه Galaxy S10 شده و یا دیگر محصولات کمپانی سامسونگ نظیر Galaxy Note 10 نیز تحت تأثیر آن قرار گرفتهاند.
البته بعد از انتشار این خبر چند وصله امنیتی از سوی سامسونگ منتشر شده که احتمال میرود این باگ نرم افزاری را رفع کرده باشد .
با اینحال نسبت به انتخاب محافظ صفحه نمایش برای گوشیهاییکه مجهز به حسگر اثر انگشت زیر صفحه نمایش هستند دقت کنید.
@tecmaster
وبسایت The Sun چندی پیش در طی خبری اعلام کرده است که تلفن همراه Galaxy S10 بنا به دلایلی نظیر باگهای نرمافزاری از ضعف در برابر برچسبها و یا گلسهای محافظ صفحه برخوردار بوده و در صورت استفاده از این وسایل، دسترسی به تلفن همراه را با اثرانگشت تمامی افراد میسر میسازد. این موضوع برای اولین بار توسط یک زوج انگلیسی کشف و سپس رسانهای شده است. زوج فوق بهصورت کاملاً تصادفی دریافتهاند که سنسور اسکن اثرانگشت تلفن همراه Galaxy S10 آنها در صورت استفاده از برچسبهای محافظ صفحه، به جای تنها اثرانگشت فرد دارنده و صاحب دستگاه، اثرانگشت تمامی افراد را، حتی مواردی که در دیتابیس خود ذخیره ندارد قبول کرده و دسترسی به تلفن همراه را میسر میکند. از جمله دیگر موارد موجود در این موضوع میتوان به یک خانم اشاره کرد که قادر است تا تلفن همراه مورد استفاده را با استفاده از انگشت شصت دست چپ خود باز کند، در حالی که وی فقط اثرانگشت شصت دست راست خود را اسکن کرده و در دیتابیس دستگاه ذخیرهسازی نموده است. او بعداً دریافته است که شوهر وی نیز قادر است تا دستگاه تلفن همراه همسر خود را با استفاده از اثرانگشت هر کدام از شصتهای دو دست خود باز کرده و به اطلاعات و محیط سیستمعامل دسترسی پیدا کند.
در موارد اشاره شده، صفحه نمایش تلفن همراه Galaxy S10 توسط یک برچسب محافظ ژلهای به قیمت 2.70 یورو (کمتر از 40 هزار تومان، با توجه به قیمت فعلی ارز فوق) محافظت شده است. هنوز مشخص نیست که آیا مشکل امنیتی اشاره شده تمامی برچسبهای محافظ صفحه را شامل شده و یا فقط موارد خاصی را تحت تأثیر قرار داده است، اما آنچه کاملاً واضح و آشکار است، ضعف شدید دستگاه Galaxy S10 در عملکرد سنسور تشخیص اثرانگشت و در خطر بودن امنیت کاربران میباشد. کمپانی سامسونگ مشکل اشاره شده را بهصورت رسمی تائید کرده و در بیانیهای اکیداً به کاربران و مصرفکنندگان تلفن همراه Galaxy S10 توصیه کرده است که تا زمان عرضه یک وصله امنیتی و یا بهروزرسانی نرمافزاری جهت رفع مشکل، سنسور تشخیص اثرانگشت را بهصورت کامل غیرفعال کرده و به محافظت از تلفن همراه خود با استفاده از رویههای دیگری همچون پسورد و ... بپردازند.
تلفن همراه Galaxy S10 کمپانی سامسونگ با پشتیبانی از سنسور فراصوت به اسکن اثرانگشت پرداخته و از این طریق به شناسایی و تمایز افراد و محافظت از دستگاه میپردازد. حسگر به کار رفته در طراحی و توسعه تلفن همراه هوشمند فوق با استفاده از امواج فوق به تشخیص لبهها و خطوط انگشت شخص پرداخته و نقشه یا به عبارتی دیگر نگاشتی از اثر منحصر به فرد انگشت وی را ترسیم و ذخیرهسازی میکند. تکنولوژی فوق اگرچه در نوع خود رویه و روشی جدید و مدرن به شمار میرود، اما برخی از برچسبهای محافظ صفحه با ایجاد یک فاصله هوایی بین حسگر و انگشت فرد امکان عملکرد صحیح و بیعیب و نقص سنسور را مختل کرده و بر همین اساس بر طبق اعلام رسمی کمپانی سامسونگ، برخی از برچسبهای موجود در بازار از سازگاری مناسب با تکنولوژی فوق برخوردار نمیباشند، اما به نظر میرسد که موضوع به اینجا ختم نشده و دستگاه تلفن همراه هوشمند Galaxy S10 به دلیل باگهای نرمافزاری از مشکلات امنیتی حادتری رنج میبرد. خوشبختانه مشکلات این تلفن همراه سختافزاری نبوده و کمپانی سامسونگ در طی بیانیهای رسمی اعلام کرده است که در حال تلاش جهت رفع این موضوع و عرضه وصله امنیتی مربوطه در قالب یک یا چند بهروزرسانی در آینده میباشد.
هنوز مشخص نیست که آیا این مشکل فقط محدود به تلفن همراه Galaxy S10 شده و یا دیگر محصولات کمپانی سامسونگ نظیر Galaxy Note 10 نیز تحت تأثیر آن قرار گرفتهاند.
البته بعد از انتشار این خبر چند وصله امنیتی از سوی سامسونگ منتشر شده که احتمال میرود این باگ نرم افزاری را رفع کرده باشد .
با اینحال نسبت به انتخاب محافظ صفحه نمایش برای گوشیهاییکه مجهز به حسگر اثر انگشت زیر صفحه نمایش هستند دقت کنید.
@tecmaster
🛡به چه ملزوماتی در ویندوز سرور 2019 برای استفاده از Always On VPN نیاز داریم؟
(مخصوص مدیران آی تی)
(مخصوص مدیران آی تی)
درک این نکته مهم است که بدانیم مولفه Always On بخشی از ویژگی Always On VPN است که عملکردی در سطح کلاینت دارد. شما میتوانید از AOVPN در کامپیوترهای کلاینت استفاده کنید تا به انواع مختلف زیرساختهای شبکه خصوصی مجازی متصل شوید.
ملزومات کلاینتی موردنیاز برای AOVPN
درک این نکته مهم است که بدانیم مولفه Always On بخشی از ویژگی Always On VPN است که عملکردی در سطح کلاینت دارد. شما میتوانید از AOVPN در کامپیوترهای کلاینت استفاده کنید تا به انواع مختلف زیرساختهای شبکه خصوصی مجازی متصل شوید.
در حالی که نزدیک به 15 تا 20 سال است که ما میتوانیم به شکل دستی و عادی ارتباط مبتنی بر شبکههای خصوصی مجازی را در سیستمعامل کلاینت ویندوز ایجاد کرده و از آن استفاده کنیم، اما Always On VPN یک ویژگی کاملا جدید است. برای آنکه بتوانید از ویژگی فوق استفاده کنید، کامپیوترهای کلاینت و کارمندان شما باید از ویندوز 10 استفاده کنند. بهطور خاص، آنها باید سیستمعامل ویندوز 10 نسخه 1607 یا جدیدتر را روی سامانههای خود داشته باشند. در حالت کلی ویژگی فوق با نسخههای زیر هماهنگ است:
ویندوز 10 1607+
ویندوز 10 1709+
ویندوز 10 1803+
یک دقیقه صبر کنید، چرا ما به بیلدهای مختلف و جداگانه اشاره کردیم؟ پاسخ روشن است. از نظر فنی Always On VPN بهطور رسمی در زمان انتشار ویندوز 10 نسخه 1607 معرفی شد، اما به مرور زمان پیشرفت کرد. اجازه دهید بهطور خلاصه و مختصر آنچه در طول سالها تغییر کرده و پیشرفت کرده است را دومرتبه فهرست کنیم.
ویندوز 10 1607: قابلیت اصلی برای راهاندازی-خودکار اتصال به یک VPN را ارائه کرد.
ویندوز 10 1709: بهروزرسانیها و تغییراتی که شامل اضافه کردن حالت Device Tunnel در این نسخه اضافه شد. اگر قصد دارید یک حالت Device Tunnel را برای مدیریت کامپیوترها استفاده کنید کاری که بیشتر شرکتها انجام میدهند حداقل به نسخه 1709 روی کامپیوترهای کلاینتی نیاز دارید.
ویندوز 10 1803: یکسری باگهای شناسایی شده در بیلد 1709 را برطرف کرد. در واقعیت، امروزه کمتر شرکتی را پیدا میکنید که از ویژگی Always On VPN استفاده کند و از نسخه 1803 استفاده نکرده باشد. خوشبختانه، زیرساخت بهروزرسانی ویندوز 10 بسیار بهتر از قبل شده است، به این معنا که بسیاری از سامانههای امروزی بهطور خودکار در حال ارتقا به نسخههای جدیدتر ویندوز 10 است.
لازم به توضیح است که ویژگی Always On VPN با نسخههای
Windows 10 Home, Pro، Enterprise
کار میکند.
در نتیجه User Tunnel با تمامی نسخههای ویندوز سازگاری دارد.
یکبار دیگر تکرار میکنیم که اگر میخواهید از حالت Device Tunnel و ویژگی Always On VPN استفاده کنید باید به دامنه متصل باشید و همچنین از نسخههای سازمانی یا آموزشی ویندوز استفاده کنید.
متصل به دامنه
همانگونه که اشاره شد، زمانیکه قصد دارید از حالت AOVPN Device Tunnel استفاده کنید، کامپیوترهای کلاینت باید به دامنه متصل باشند. با این وجود، اگر تنها به دنبال پیادهسازی حالت User Tunnel هستید نیازی نیست کامپیوترها عضوی از دامنه باشند. هرچند کلاینتها هنوز باید Windows 10 1607 یا نسخههای جدیدتر را استفاده کنند، در این حالت کلاینتها میتوانند کامپیوترهای خانگی باشند که به یک ایستگاه کاری ساده متصل شدهاند و عضوی از دامنه نیستند.
این موضوع به ویژه در مستندات مایکروسافت به آن اشاره شده است، زیرا قابلیت فوق به سازمانها و کارمندان آنها اجازه میدهد از ویژگی Always On VPN استفاده کنند و در نتیجه با اصل BYOD کاملا سازگار است. در حالی که این موضوع جالب است، اما انتظار نمیرود که تمامی سازمانها به کارمندان خود اجازه دهند کامپیوترهای شخصی را به VPN سازمانی متصل کنند. اکثر سازمانها یک دسترسی محدود در ارتباط با BYOD را با بهکارگیری تکنولوژی های ابرمحور شبیه به Office 365 برای بررسی ایمیلها و اسناد ارائه میکنند. اما اتصال کامپیوترها و دستگاهها به شبکه سازمانی بر مبنای یک تونل شبکه خصوصی مجازی لایه 3 که امکان اتصال کامل را ارائه میکند چندان عملی نخواهد بود، زیرا یک کابوس شبانه برای مدیران امنیتی سازمانها به وجود میآورد و تقریبا همه آنها با این مسئله مخالفت میکنند.
@tecmaster
ملزومات کلاینتی موردنیاز برای AOVPN
درک این نکته مهم است که بدانیم مولفه Always On بخشی از ویژگی Always On VPN است که عملکردی در سطح کلاینت دارد. شما میتوانید از AOVPN در کامپیوترهای کلاینت استفاده کنید تا به انواع مختلف زیرساختهای شبکه خصوصی مجازی متصل شوید.
در حالی که نزدیک به 15 تا 20 سال است که ما میتوانیم به شکل دستی و عادی ارتباط مبتنی بر شبکههای خصوصی مجازی را در سیستمعامل کلاینت ویندوز ایجاد کرده و از آن استفاده کنیم، اما Always On VPN یک ویژگی کاملا جدید است. برای آنکه بتوانید از ویژگی فوق استفاده کنید، کامپیوترهای کلاینت و کارمندان شما باید از ویندوز 10 استفاده کنند. بهطور خاص، آنها باید سیستمعامل ویندوز 10 نسخه 1607 یا جدیدتر را روی سامانههای خود داشته باشند. در حالت کلی ویژگی فوق با نسخههای زیر هماهنگ است:
ویندوز 10 1607+
ویندوز 10 1709+
ویندوز 10 1803+
یک دقیقه صبر کنید، چرا ما به بیلدهای مختلف و جداگانه اشاره کردیم؟ پاسخ روشن است. از نظر فنی Always On VPN بهطور رسمی در زمان انتشار ویندوز 10 نسخه 1607 معرفی شد، اما به مرور زمان پیشرفت کرد. اجازه دهید بهطور خلاصه و مختصر آنچه در طول سالها تغییر کرده و پیشرفت کرده است را دومرتبه فهرست کنیم.
ویندوز 10 1607: قابلیت اصلی برای راهاندازی-خودکار اتصال به یک VPN را ارائه کرد.
ویندوز 10 1709: بهروزرسانیها و تغییراتی که شامل اضافه کردن حالت Device Tunnel در این نسخه اضافه شد. اگر قصد دارید یک حالت Device Tunnel را برای مدیریت کامپیوترها استفاده کنید کاری که بیشتر شرکتها انجام میدهند حداقل به نسخه 1709 روی کامپیوترهای کلاینتی نیاز دارید.
ویندوز 10 1803: یکسری باگهای شناسایی شده در بیلد 1709 را برطرف کرد. در واقعیت، امروزه کمتر شرکتی را پیدا میکنید که از ویژگی Always On VPN استفاده کند و از نسخه 1803 استفاده نکرده باشد. خوشبختانه، زیرساخت بهروزرسانی ویندوز 10 بسیار بهتر از قبل شده است، به این معنا که بسیاری از سامانههای امروزی بهطور خودکار در حال ارتقا به نسخههای جدیدتر ویندوز 10 است.
لازم به توضیح است که ویژگی Always On VPN با نسخههای
Windows 10 Home, Pro، Enterprise
کار میکند.
در نتیجه User Tunnel با تمامی نسخههای ویندوز سازگاری دارد.
یکبار دیگر تکرار میکنیم که اگر میخواهید از حالت Device Tunnel و ویژگی Always On VPN استفاده کنید باید به دامنه متصل باشید و همچنین از نسخههای سازمانی یا آموزشی ویندوز استفاده کنید.
متصل به دامنه
همانگونه که اشاره شد، زمانیکه قصد دارید از حالت AOVPN Device Tunnel استفاده کنید، کامپیوترهای کلاینت باید به دامنه متصل باشند. با این وجود، اگر تنها به دنبال پیادهسازی حالت User Tunnel هستید نیازی نیست کامپیوترها عضوی از دامنه باشند. هرچند کلاینتها هنوز باید Windows 10 1607 یا نسخههای جدیدتر را استفاده کنند، در این حالت کلاینتها میتوانند کامپیوترهای خانگی باشند که به یک ایستگاه کاری ساده متصل شدهاند و عضوی از دامنه نیستند.
این موضوع به ویژه در مستندات مایکروسافت به آن اشاره شده است، زیرا قابلیت فوق به سازمانها و کارمندان آنها اجازه میدهد از ویژگی Always On VPN استفاده کنند و در نتیجه با اصل BYOD کاملا سازگار است. در حالی که این موضوع جالب است، اما انتظار نمیرود که تمامی سازمانها به کارمندان خود اجازه دهند کامپیوترهای شخصی را به VPN سازمانی متصل کنند. اکثر سازمانها یک دسترسی محدود در ارتباط با BYOD را با بهکارگیری تکنولوژی های ابرمحور شبیه به Office 365 برای بررسی ایمیلها و اسناد ارائه میکنند. اما اتصال کامپیوترها و دستگاهها به شبکه سازمانی بر مبنای یک تونل شبکه خصوصی مجازی لایه 3 که امکان اتصال کامل را ارائه میکند چندان عملی نخواهد بود، زیرا یک کابوس شبانه برای مدیران امنیتی سازمانها به وجود میآورد و تقریبا همه آنها با این مسئله مخالفت میکنند.
@tecmaster
پیکربندی تنظیمات
اجازه دهید اینگونه تصور کنیم که تمامی مولفهها و ملزومات موردنیاز سرور برای اتصال به شبکه خصوصی مجازی را آماده کردهاید و اکنون قصد پیکربندی یک اتصال به شبکه خصوصی مجازی را دارید و در حقیقت با موفقیت توانستهاید یک اتصال به شبکه خصوصی مجازی سنتی را به شکل دستی پیادهسازی کنید و زیرساخت شما در این زمینه مشکلی ندارد. اکنون، چه کاری باید انجام دهیم تا کلاینتها بتوانند از اتصال مبتنی بر ویژگی Always On استفاده کنند؟
پیکربندی تنظیمات و خطمشیهای Always On VPN کار سختی نیست. شما باید درباره گزینههای در دسترس اطلاع داشته باشید تا بتوانید به درستی این ویژگی را در محیط سازمانی مستقر کرده و فایلها و اسکریپتها را پیکربندی کنید. ما نمیتوانیم تمامی گزینهها را بهطور کامل پوشش دهیم، بلکه در اینجا روش پیکربندی کلی تنظیمات به منظور برقراری یک اتصال دستی به شبکه خصوصی مجازی، پیکربندی تنظیمات امنیتی و تأیید اعتبار و سپس ابزاری که اجازه میدهد پیکربندیها را به برخی از فایلهای پیکربندی ارسال کنید را بررسی خواهیم کرد. تنظیمات شبکه خصوصی مجازی در قالبهای XML و PS1 (اسکریپت پاورشل) ذخیره میشوند. شما ممکن است در برخی موارد مجبور شوید یک یا هر دو این فایلها را برای کارمندان خاصی به شکل مشخصی پیکربندی کنید. برای اطلاعات بیشتر در ارتباط با سایر تنظیمات پیشنهاد میکنم به مقاله
vpn-deploy-client-vpn-connections
مراجعه کنید.هنگامی که فایلهای پیکربندی را ایجاد کردید در مرحله بعد باید پیکربندیها را برای کلاینتها ارسال کنید. در حالت ایدهآل شما باید به نوعی یک راهحل مدیریت دستگاه تلفن همراه (MDM) داشته باشید تا تنظیمات را برای کارمندان ارسال کنید. در حالی که تکنولوژی های مختلفی در ارتباط با MDM ارائه شدهاند، اما پیشنهاد ما در این زمینه دو محصول مایکروسافت بهنامهای
System Center Manager (SCCM) و Microsoft Intune
است.
اگر بهطور پیشفرض SCCM را به شکل سازمانی در اختیار دارید، عالی است. به راحتی میتوانید تنظیمات مبتنی بر پاورشل را پیکربندی کنید و تنظیمات را برای کامپیوترهای کلاینت ارسال کنید تا ویژگی Always On VPN فوق برای آنها فعال شود.
اگر SCCM را در اختیار ندارید، اما کسبوکار شما مبتنی بر ابر است، بازهم راهکار جالب دیگری در اختیارتان قرار دارد. شما میتوانید از Intune برای تنظیم کردن تنظیمات AOVPN از طریق پیکربندی XML استفاده کنید. یکی از مزایای استفاده از مسیر Intune این است که Intune میتواند کامپیوترهای غیر عضو دامنه را مدیریت کند، بنابراین میتوانید به لحاظ تئوری کامپیوترهای خانگی و شخصی کاربران را در زیرساختهای مدیریت شده با Intune قرار دهید و آنها را برای اتصال تنظیم کنید.
SCCM و Intune
دو راهکار عالی هستند، اما شرکتها نمیتوانند از آنها استفاده کنند. در چنین حالتی گزینه سومی برای ارسال تنظیمات Always On VPN در اختیار مدیران شبکهها قرار دارد. البته در روش فوق باید با نحوه اسکریپتنویسی در پاولشل آشنا باشید. در حقیقت راهکار سوم طرح دومی است که مایکروسافت ارائه کرده، هرچند پیشنهاد میکند که سازمانها از راهکار MDM برای ارسال تنظیمات AOVPN استفاده کنند. البته راهکار پاورشل به سادگی دو روش یاد شده نیست، بزرگترین مشکلی که وجود دارد این است که پاورشل برای ارسال تنظیمات AOVPN باید در سطح بالا اجرا شود، در نتیجه خودکارسازی کار سختی خواهد بود، زیرا برای ورود به سیستم کاربر (مکانی که باید ارتباط VPN را منتشر کنید) باید یک مدیر محلی باشید که اسکریپت به درستی اجرا شود.
انتظار میرود که مایکروسافت در زمان انتشار نسخه بعدی ویندوز سرور یک الگوی خطمشی Group Policy را برای ارسال تنظیمات Always On VPN آماده کند، زیرا همه کاربران Group Policy را دارند، اما همه MDM را ندارند. با توجه به اینکه مباحث مربوط به AOVPN بهطور مداوم بهبود مییابد و احتمالا تغییراتی در این حوزه از تکنولوژی رخ میدهد، پیشنهاد میکنم هرچند وقت یکبار مستندات مایکروسافت را بررسی کنید.
@tecmaster
اجازه دهید اینگونه تصور کنیم که تمامی مولفهها و ملزومات موردنیاز سرور برای اتصال به شبکه خصوصی مجازی را آماده کردهاید و اکنون قصد پیکربندی یک اتصال به شبکه خصوصی مجازی را دارید و در حقیقت با موفقیت توانستهاید یک اتصال به شبکه خصوصی مجازی سنتی را به شکل دستی پیادهسازی کنید و زیرساخت شما در این زمینه مشکلی ندارد. اکنون، چه کاری باید انجام دهیم تا کلاینتها بتوانند از اتصال مبتنی بر ویژگی Always On استفاده کنند؟
پیکربندی تنظیمات و خطمشیهای Always On VPN کار سختی نیست. شما باید درباره گزینههای در دسترس اطلاع داشته باشید تا بتوانید به درستی این ویژگی را در محیط سازمانی مستقر کرده و فایلها و اسکریپتها را پیکربندی کنید. ما نمیتوانیم تمامی گزینهها را بهطور کامل پوشش دهیم، بلکه در اینجا روش پیکربندی کلی تنظیمات به منظور برقراری یک اتصال دستی به شبکه خصوصی مجازی، پیکربندی تنظیمات امنیتی و تأیید اعتبار و سپس ابزاری که اجازه میدهد پیکربندیها را به برخی از فایلهای پیکربندی ارسال کنید را بررسی خواهیم کرد. تنظیمات شبکه خصوصی مجازی در قالبهای XML و PS1 (اسکریپت پاورشل) ذخیره میشوند. شما ممکن است در برخی موارد مجبور شوید یک یا هر دو این فایلها را برای کارمندان خاصی به شکل مشخصی پیکربندی کنید. برای اطلاعات بیشتر در ارتباط با سایر تنظیمات پیشنهاد میکنم به مقاله
vpn-deploy-client-vpn-connections
مراجعه کنید.هنگامی که فایلهای پیکربندی را ایجاد کردید در مرحله بعد باید پیکربندیها را برای کلاینتها ارسال کنید. در حالت ایدهآل شما باید به نوعی یک راهحل مدیریت دستگاه تلفن همراه (MDM) داشته باشید تا تنظیمات را برای کارمندان ارسال کنید. در حالی که تکنولوژی های مختلفی در ارتباط با MDM ارائه شدهاند، اما پیشنهاد ما در این زمینه دو محصول مایکروسافت بهنامهای
System Center Manager (SCCM) و Microsoft Intune
است.
اگر بهطور پیشفرض SCCM را به شکل سازمانی در اختیار دارید، عالی است. به راحتی میتوانید تنظیمات مبتنی بر پاورشل را پیکربندی کنید و تنظیمات را برای کامپیوترهای کلاینت ارسال کنید تا ویژگی Always On VPN فوق برای آنها فعال شود.
اگر SCCM را در اختیار ندارید، اما کسبوکار شما مبتنی بر ابر است، بازهم راهکار جالب دیگری در اختیارتان قرار دارد. شما میتوانید از Intune برای تنظیم کردن تنظیمات AOVPN از طریق پیکربندی XML استفاده کنید. یکی از مزایای استفاده از مسیر Intune این است که Intune میتواند کامپیوترهای غیر عضو دامنه را مدیریت کند، بنابراین میتوانید به لحاظ تئوری کامپیوترهای خانگی و شخصی کاربران را در زیرساختهای مدیریت شده با Intune قرار دهید و آنها را برای اتصال تنظیم کنید.
SCCM و Intune
دو راهکار عالی هستند، اما شرکتها نمیتوانند از آنها استفاده کنند. در چنین حالتی گزینه سومی برای ارسال تنظیمات Always On VPN در اختیار مدیران شبکهها قرار دارد. البته در روش فوق باید با نحوه اسکریپتنویسی در پاولشل آشنا باشید. در حقیقت راهکار سوم طرح دومی است که مایکروسافت ارائه کرده، هرچند پیشنهاد میکند که سازمانها از راهکار MDM برای ارسال تنظیمات AOVPN استفاده کنند. البته راهکار پاورشل به سادگی دو روش یاد شده نیست، بزرگترین مشکلی که وجود دارد این است که پاورشل برای ارسال تنظیمات AOVPN باید در سطح بالا اجرا شود، در نتیجه خودکارسازی کار سختی خواهد بود، زیرا برای ورود به سیستم کاربر (مکانی که باید ارتباط VPN را منتشر کنید) باید یک مدیر محلی باشید که اسکریپت به درستی اجرا شود.
انتظار میرود که مایکروسافت در زمان انتشار نسخه بعدی ویندوز سرور یک الگوی خطمشی Group Policy را برای ارسال تنظیمات Always On VPN آماده کند، زیرا همه کاربران Group Policy را دارند، اما همه MDM را ندارند. با توجه به اینکه مباحث مربوط به AOVPN بهطور مداوم بهبود مییابد و احتمالا تغییراتی در این حوزه از تکنولوژی رخ میدهد، پیشنهاد میکنم هرچند وقت یکبار مستندات مایکروسافت را بررسی کنید.
@tecmaster
مولفههای سرور AOVPN
اکنون که میدانیم در سمت کلاینت به چه ملزوماتی برای ایجاد Always On VPN نیاز داریم، لازم است درباره ملزوماتی اطلاع به دست آوریم که در سمت سرور/ زیرساخت اجازه برقراری یک اتصال را میدهند. جالب است که مولفههای
Always On AOVPN
هیچ ارتباطی با زیرساختهای سرور ندارند. بخش Always On بهطور کامل در سمت کلاینت مدیریت میشود. بنابراین، تمام کاری که باید از طرف سرور انجام دهیم این است که مطمئن شویم که امکان دریافت اتصالات VPN ورودی وجود دارد. اگر در حال حاضر نیرویی دارید که میتواند ارتباط با شبکه خصوصی مجازی VPN را با موفقیت برقرار کند، به احتمال زیاد زیرساخت سرور برای تعامل با AOVPN آماده است.
سرور دسترسی از راه دور
بدیهی است، شما به یک سرور VPN نیاز دارید تا بتوانید اتصالات VPN را میزبانی کنید، درست است؟ خوب ، نه به این شکل. در ویندوز سرور، نقشی که میزبان اتصالات
VPN ، AOVPN و DirectAccess
است وجود دارد.
این نقش Remote Access نامیده میشود، اما شما در واقع میتوانید Always On VPN را استفاده کنید بدون آنکه ویندوز سرور به عنوان remote Access Server تعریف شده باشد. از آنجایی که Always On عملکرد سمت کلاینت دارد، این امکان را فراهم میآورد تا زیرساختهای سمت سرور VPN توسط فروشندگان شخص ثالث میزبانی شود. حتی اگر این موضوع به لحاظ فنی دقیق و قابل اجرا باشد، بدون شک چیزی نیست که مایکروسافت انتظار آنرا داشته باشد. ما علاقه داریم از
Microsoft Always On VPN
برای میزبانی نقش Remote Access در ویندوز سرور استفاده کنیم که نقش سیستم ورودی را برای تمامی ارتباطات راه دور کلاینتها بازی میکند.
بسیاری از افراد فرض میکنند که AOVPN جزء جداییناپذیر ویندوز سرور 2019 است، زیرا یک تکنولوژی کاملا جدید است و سرور 2019 به تازگی عرضه شده، اما در واقع اینگونه نیست. شما میتوانید زیرساخت VPN خود
(نقش Remote Access)
را روی سرور 2019 ، سرور 2016 یا حتی Server 2012 R2 میزبان کنید. این کار در پسزمینه انجام میشود و به کلاینتها امکان میدهد تا اتصالات VPN خود را انتخاب کنند.
بعد از نصب نقش Remote Access روی ویندوز سرور جدید خود، متوجه میشوید که بیشتر تنظیمات VPN از طریق کنسول (RRAS) سرنام
Routing and Remote Access
مدیریت و پیکربندی میشوند. زمانیکه پیکربندی VPN را انجام میدهید، متوجه خواهید شد که پروتکلهای مختلفی وجود دارند که میتوانند به منظور برقراری ارتباط VPN بین کلاینت و سرور استفاده شوند و شما باید حداقل اطلاع اولیه در مورد این پروتکلها داشته باشید.
@tecmaster
اکنون که میدانیم در سمت کلاینت به چه ملزوماتی برای ایجاد Always On VPN نیاز داریم، لازم است درباره ملزوماتی اطلاع به دست آوریم که در سمت سرور/ زیرساخت اجازه برقراری یک اتصال را میدهند. جالب است که مولفههای
Always On AOVPN
هیچ ارتباطی با زیرساختهای سرور ندارند. بخش Always On بهطور کامل در سمت کلاینت مدیریت میشود. بنابراین، تمام کاری که باید از طرف سرور انجام دهیم این است که مطمئن شویم که امکان دریافت اتصالات VPN ورودی وجود دارد. اگر در حال حاضر نیرویی دارید که میتواند ارتباط با شبکه خصوصی مجازی VPN را با موفقیت برقرار کند، به احتمال زیاد زیرساخت سرور برای تعامل با AOVPN آماده است.
سرور دسترسی از راه دور
بدیهی است، شما به یک سرور VPN نیاز دارید تا بتوانید اتصالات VPN را میزبانی کنید، درست است؟ خوب ، نه به این شکل. در ویندوز سرور، نقشی که میزبان اتصالات
VPN ، AOVPN و DirectAccess
است وجود دارد.
این نقش Remote Access نامیده میشود، اما شما در واقع میتوانید Always On VPN را استفاده کنید بدون آنکه ویندوز سرور به عنوان remote Access Server تعریف شده باشد. از آنجایی که Always On عملکرد سمت کلاینت دارد، این امکان را فراهم میآورد تا زیرساختهای سمت سرور VPN توسط فروشندگان شخص ثالث میزبانی شود. حتی اگر این موضوع به لحاظ فنی دقیق و قابل اجرا باشد، بدون شک چیزی نیست که مایکروسافت انتظار آنرا داشته باشد. ما علاقه داریم از
Microsoft Always On VPN
برای میزبانی نقش Remote Access در ویندوز سرور استفاده کنیم که نقش سیستم ورودی را برای تمامی ارتباطات راه دور کلاینتها بازی میکند.
بسیاری از افراد فرض میکنند که AOVPN جزء جداییناپذیر ویندوز سرور 2019 است، زیرا یک تکنولوژی کاملا جدید است و سرور 2019 به تازگی عرضه شده، اما در واقع اینگونه نیست. شما میتوانید زیرساخت VPN خود
(نقش Remote Access)
را روی سرور 2019 ، سرور 2016 یا حتی Server 2012 R2 میزبان کنید. این کار در پسزمینه انجام میشود و به کلاینتها امکان میدهد تا اتصالات VPN خود را انتخاب کنند.
بعد از نصب نقش Remote Access روی ویندوز سرور جدید خود، متوجه میشوید که بیشتر تنظیمات VPN از طریق کنسول (RRAS) سرنام
Routing and Remote Access
مدیریت و پیکربندی میشوند. زمانیکه پیکربندی VPN را انجام میدهید، متوجه خواهید شد که پروتکلهای مختلفی وجود دارند که میتوانند به منظور برقراری ارتباط VPN بین کلاینت و سرور استفاده شوند و شما باید حداقل اطلاع اولیه در مورد این پروتکلها داشته باشید.
@tecmaster