Secure Remote Access
دسترسی امن و دورکاری سازمانی
نیاز به دسترسی از بیرون واقعی است؛ راه‌حلش اما باز کردن در به روی اینترنت نیست.
معرفی تخصصی
دسترسی امن و دورکاری در عمل چه کاری انجام می‌دهد
دورکاری در بیشتر سازمان‌ها نه با طراحی، بلکه با فوریت شروع شد: ابزار ریموت روی رایانهٔ کاربر نصب شد تا کار بخوابد. نتیجه، مجموعه‌ای از مسیرهای ورودی پراکنده است که هیچ‌کس فهرست کاملی از آن‌ها ندارد.
رویکرد درست، جابه‌جا کردن نقطهٔ کنترل است: به‌جای آنکه هر سرویس راه خودش را به بیرون باز کند، یک دروازهٔ مشخص وجود داشته باشد که همهٔ دسترسی‌ها از آن عبور کنند و همان‌جا احراز هویت، محدودسازی و ثبت رویداد انجام شود.
اصل حاکم بر طراحی، حداقل دسترسی لازم است: هر کاربر فقط به همان سرویسی می‌رسد که نقش او ایجاب می‌کند، نه به کل شبکهٔ سازمان.
مسئله
چه مشکلی را حل می‌کند
خطرناک‌ترین الگوی رایج، باز کردن مستقیم پورت دسترسی از راه دور روی اینترنت است. چنین سرویسی ظرف چند ساعت هدف تلاش‌های خودکار برای ورود قرار می‌گیرد و رمز قوی به‌تنهایی در برابر آن کافی نیست.
مسئلهٔ دوم دامنهٔ دسترسی است: کاربری که فقط به یک سامانه نیاز دارد، معمولاً به کل شبکه وصل می‌شود. در این حالت یک دستگاه خانگی آلوده، مسیر مستقیمی به قلب سازمان پیدا می‌کند.
- باز بودن مستقیم سرویس دسترسی از راه دور روی اینترنت
- ابزارهای ریموت پراکنده روی رایانهٔ کاربران، بدون نظارت مرکزی
- دسترسی یکسان همهٔ کاربران دورکار به کل شبکهٔ سازمان
- دسترسی پیمانکاران بدون محدودیت زمانی و بدون بسته شدن پس از پایان کار
- اتکا به رمز عبور به‌تنهایی، بدون عامل دوم احراز هویت
- نبود لاگ و ناتوانی در پاسخ به اینکه چه کسی و چه زمانی متصل شده است
کاربرد سازمانی
کجا به این خدمت نیاز پیدا می‌شود
دورکاری کارکنان
دسترسی روزمرهٔ همکاران به سامانه‌های موردنیاز نقششان، از دستگاه مجاز و با احراز هویت قوی.
دسترسی پیمانکار
دسترسی محدود به یک سامانهٔ مشخص، با بازهٔ زمانی تعریف‌شده که خودکار منقضی می‌شود.
پشتیبانی فنی از راه دور
مسیر کنترل‌شده برای تیم فنی جهت مدیریت سرورها و تجهیزات، با ثبت رویداد.
دسترسی اضطراری
مسیر از پیش تعریف‌شده و آزموده برای شرایطی که حضور فیزیکی ممکن نیست.
معماری پیشنهادی
ساختاری که پیشنهاد می‌کنیم
دسترسی از راه دور روی چهار کنترل بنا می‌شود. حذف هر کدام، سه تای دیگر را تضعیف می‌کند.
برای دیدن کامل نمودار، آن را به چپ و راست بکشید.
- دروازهٔ واحد ورودیک نقطهٔ مشخص برای همهٔ دسترسی‌های بیرونی، به‌جای چند مسیر پراکنده؛ همان نقطه‌ای که کنترل و ثبت در آن انجام می‌شود.
- احراز هویت چندعاملیعامل دوم علاوه بر رمز عبور، تا افشای اعتبار به‌تنهایی به دسترسی منجر نشود.
- تفکیک دسترسی بر پایهٔ نقشتعیین اینکه هر گروه کاربری به کدام سرویس می‌رسد؛ اتصال به شبکه معادل دسترسی به همهٔ آن نیست.
- ثبت رویداد و بازبینینگهداشت سوابق اتصال و بازبینی دوره‌ای دسترسی‌ها، تا اختیارات موقت دائمی نشوند.
قابلیت‌ها
اجزا و قابلیت‌های فنی
جمع‌آوری مسیرهای پراکنده
شناسایی همهٔ راه‌های فعلی ورود از بیرون و بستن مسیرهای غیرضروری پس از انتقال به دروازهٔ واحد.
راه‌اندازی دسترسی رمزگذاری‌شده
برپایی بستر دسترسی امن متناسب با ساختار سازمان و تعداد کاربران.
احراز هویت چندعاملی
افزودن عامل دوم برای دسترسی‌های بیرونی، به‌ویژه برای حساب‌های با اختیار بالا.
سیاست دسترسی مبتنی بر نقش
تعریف گروه‌ها و دامنهٔ مجاز هر گروه، به‌گونه‌ای که افزودن کاربر جدید یک تصمیم ساده باشد.
دسترسی موقت پیمانکار
ایجاد دسترسی با دامنه و مهلت مشخص و بسته شدن خودکار آن در پایان بازه.
ثبت و بازبینی دوره‌ای
فعال‌سازی لاگ اتصال و تعریف چرخهٔ بازبینی، تا دسترسی‌های بلااستفاده شناسایی و حذف شوند.
مزیت‌ها
چه چیزی در عملیات روزمره تغییر می‌کند
سرویس داخلی روی اینترنت دیده نمی‌شود
آنچه لازم نیست از بیرون در دسترس باشد، اصلاً در معرض قرار نمی‌گیرد.
افشای رمز کافی نیست
عامل دوم، سرقت اعتبار را به دسترسی تبدیل نمی‌کند.
دامنهٔ محدود
هر کاربر فقط به آنچه نیاز دارد می‌رسد، نه به کل شبکه.
قطع دسترسی با یک اقدام
خروج همکار یا پایان کار پیمانکار، از یک نقطه و به‌صورت قطعی اعمال می‌شود.
سناریوهای استفاده
سه وضعیت پرتکرار و پاسخ ما به آن‌ها
این سناریوها الگوی طراحی‌اند، نه شرح پروژه‌های انجام‌شده؛ برای هر سازمان با اندازه‌گیری وضعیت واقعی بازنویسی می‌شوند.
- وضعیت
سازمانی که برای دورکاری، پورت دسترسی از راه دور چند ایستگاه کاری را مستقیماً روی اینترنت باز کرده است.
رویکردبرپایی دروازهٔ دسترسی با احراز هویت چندعاملی، انتقال کاربران به آن و بستن کامل پورت‌های مستقیم.
نتیجهٔ مورد انتظارتلاشهای خودکار ورود دیگر به سرویس داخلی نمی‌رسند و هر اتصال قابل شناسایی و ردیابی است.
- وضعیت
پیمانکاری که برای یک پروژهٔ کوتاه دسترسی گرفته و شش ماه بعد دسترسی‌اش همچنان فعال است.
رویکردتعریف دسترسی با دامنه و مهلت مشخص، و برقراری چرخهٔ بازبینی دوره‌ای دسترسی‌های بیرونی.
نتیجهٔ مورد انتظاردسترسیهای موقت واقعاً موقت می‌مانند و فهرست دسترسی‌های فعال همیشه قابل گزارش‌گیری است.
مراحل اجرا
از ارزیابی تا بهره‌برداری
شناسایی وضعیت موجود
فهرست کردن همهٔ مسیرهای فعلی دسترسی از بیرون و کاربران و سرویس‌های مرتبط با هر کدام.
طراحی مدل دسترسی
تعریف گروه‌های نقش، دامنهٔ مجاز هر گروه و سیاست احراز هویت.
پیاده‌سازی و انتقال
برپایی دروازه، انتقال مرحله‌ای کاربران و بستن مسیرهای قدیمی پس از اطمینان از جایگزینی.
آموزش و بازبینی
آموزش کاربران، تحویل مستندات و تعریف چرخهٔ بازبینی دوره‌ای دسترسی‌ها.
فناوری‌ها
سکوها و فناوری‌های مرتبط
فهرست فناوری‌هایی که در این حوزه با آن‌ها کار می‌کنیم. انتخاب نهایی در مرحلهٔ طراحی و بر پایهٔ وضعیت موجود سازمان انجام می‌شود.
- WireGuard
- IPsec VPN
- OpenVPN
- Multi-Factor Authentication
- RADIUS / LDAP Integration
- Remote Desktop Gateway
پرسش‌های متداول — دسترسی امن و دورکاری
کاربران دورکار به چه چیزی نیاز دارند؟
یک اتصال اینترنت و دستگاهی که سازمان آن را مجاز بداند. پیکربندی از سمت ما انجام می‌شود و برای کاربر به یک فرایند ساده خلاصه می‌گردد.
آیا این مسیر سرعت کار را کم می‌کند؟
رمزگذاری سربار اندکی دارد که معمولاً محسوس نیست. کندی‌های محسوس معمولاً از جای دیگری می‌آیند: جابه‌جایی حجم زیاد داده روی لینک، یا نرم‌افزاری که برای کار روی شبکهٔ محلی ساخته شده. این موارد در مرحلهٔ طراحی شناسایی و برایشان راه‌حل تعیین می‌شود.
احراز هویت چندعاملی برای همهٔ کاربران لازم است؟
برای همهٔ دسترسی‌های بیرونی توصیه می‌شود و برای حساب‌های با اختیار بالا ضروری است. در سازمان‌هایی که اجرای یکباره دشوار است، معمولاً از حساب‌های مدیریتی و واحدهای حساس شروع می‌کنیم و سپس گسترش می‌دهیم.
تفاوت این خدمت با اتصال شعب چیست؟
اتصال شعب، دو محل ثابت سازمان را به هم وصل می‌کند. دسترسی امن از راه دور، افراد را از هر نقطه به سرویس‌های مجازشان می‌رساند. این دو مکمل‌اند و معمولاً در یک معماری کنار هم طراحی می‌شوند.
خدمات مرتبط
دربارهٔ دسترسی امن و دورکاری در سازمان خود صحبت کنیم
در جلسهٔ تخصصی، وضعیت فعلی، محدودیت‌ها و اهداف قابل اندازه‌گیری شما بررسی می‌شود و تصویر روشنی از معماری پیشنهادی و مراحل اجرا ارائه می‌گردد.