S/۰۹ · خدمات
شبکه و امنیت
همه‌ی دفاتر متصل، همه‌ی درها قفل.
فایروال، VPN بین دفاتر و شبکه‌ی داخلی سازمان: دفاتر و کارکنان دورکار به‌صورت امن متصل، ترافیک بخش‌بندی‌شده و همه‌چیز تحت نظر.
- فایروال
- OPNsense، pfSense
- VPN
- WireGuard، IPsec
- شامل
- بخش‌بندی و پایش
- ۰۱
شعبه‌ها و کارکنان دورکار طوری وصل می‌شوند که کسی کامل نمی‌فهمد.
- ۰۲
مهمان‌ها، دوربین‌ها و واحد مالی روی یک شبکه‌ی تخت هستند.
- ۰۳
از مشکلات از طریق کاربران باخبر می‌شوید، نه هشدارها.
- ۰۴
قوانین فایروالتان سال‌ها رشد کرده و کسی جرئت دست زدن به آن‌ها را ندارد.
- D/۰۱
فایروال
OPNsense یا pfSense را به‌صورت یک جفت راه می‌اندازیم تا اگر یک دستگاه از کار افتاد، اتصال کسی قطع نشود، و قوانین را از نو می‌چینیم تا هر کدام هدف روشنی داشته باشد. هر قانون توضیح و مسئول دارد و همین تغییر دادنش را حتی سال‌ها بعد بی‌خطر می‌کند.
شامل
- یک جفت فایروال با جابه‌جایی خودکار
- قوانین بر پایه‌ی «همه ممنوع مگر مجاز»، با دلیل برای هر قانون
- نام‌های مستعار و گروه‌ها به‌جای آدرس‌های IP پراکنده
- پشتیبان تنظیمات بیرون از دستگاه، پس از هر تغییر
opnsense · firewall · rules قانون اقدام مبدأ مقصد پورت کارکنان به وب pass STAFF_NET any 80, 443 مالی به ERP pass FINANCE_NET ERP_SERVER 443 دوربین‌ها به ضبط‌کننده pass CAMERA_NET NVR_HOST 554 مهمان به شبکه‌ی داخلی block GUEST_NET RFC1918 any پیش‌فرض block any any any - D/۰۲
VPN بین دفاتر
دفاتر و دیتاسنترها با تونل‌های رمزنگاری‌شده به هم وصل می‌شوند: WireGuard جایی که هر دو سر دست ماست، IPsec جایی که سرویس‌دهنده یا دستگاهی قدیمی‌تر آن را لازم دارد. مسیرها طوری برنامه‌ریزی می‌شوند که هر سایت فقط به آنچه لازم دارد برسد، و قطع شدن هر تونل هشدار می‌دهد.
شامل
- طرح آدرس‌دهی بدون زیرشبکه‌های هم‌پوشان
- تونل‌های WireGuard یا IPsec، با تعویض زمان‌بندی‌شده‌ی کلیدها
- مسیرهای محدود به نیاز هر سایت
- بررسی سلامت تونل‌ها و هشدار
docs/network/sites.mmd - D/۰۳
دسترسی از راه دور
هر نفر کلید WireGuard خودش را روی دستگاه خودش دارد که به یک گروه وصل است و همان گروه تعیین می‌کند به چه چیزهایی دسترسی دارد. وقتی کسی می‌رود یا لپ‌تاپش گم می‌شود، کلیدش در چند ثانیه حذف می‌شود، بی‌آن‌که به دسترسی بقیه دست بخورد.
شامل
- یک کلید برای هر نفر و هر دستگاه، هرگز مشترک
- دسترسی بر اساس گروه: کارکنان، IT، پیمانکاران
- حذف در چند ثانیه، با یک چک‌لیست کوتاه برای خروج افراد
- لاگ اتصال که نشان می‌دهد چه کسی و کی وصل شده
wireguard · wg-staff · peers همتا گروه آدرس آخرین اتصال sara-laptop کارکنان 10.99.0.12 ۲ دقیقه پیش reza-phone کارکنان 10.99.0.14 ۱۱ دقیقه پیش it-admin IT 10.99.0.2 همین حالا contractor-01 پیمانکار 10.99.0.40 ۳ روز پیش old-laptop-07 لغوشده — حذف‌شده ۲۲ مهر - D/۰۴
بخش‌بندی
شبکه‌ی تخت را به منطقه‌هایی برای کارکنان، واحد مالی، سرورها، دوربین‌ها و مهمان‌ها تقسیم می‌کنیم و ترافیک فقط جایی از یک منطقه به منطقه‌ی دیگر می‌رود که قانونی اجازه‌اش را داده باشد. این‌طوری یک دوربین هک‌شده یا لپ‌تاپ آلوده‌ی یک مهمان راه به جایی ندارد.
شامل
- طرح VLAN با یک زیرشبکه برای هر منطقه
- تنظیم سوئیچ‌ها و Wi-Fi متناسب با آن
- قوانین بین منطقه‌ها روی فایروال، پیش‌فرض ممنوع
- شبکه‌ی مهمان فقط با دسترسی به اینترنت
docs/network/vlans.mmd - D/۰۵
تشخیص نفوذ
Suricata ترافیک ورودی را برای حمله‌های شناخته‌شده بررسی می‌کند و CrowdSec آدرس‌هایی را که سرویس‌هایتان را اسکن می‌کنند یا برای حدس رمز به آن‌ها هجوم می‌آورند مسدود می‌کند. هر دو را برای شبکه‌ی شما تنظیم می‌کنیم تا همان چند هشداری که به تیمتان می‌رسد واقعاً ارزش توجه داشته باشد.
شامل
- Suricata روی فایروال، با مجموعه‌قوانین به‌روز
- مسدودسازی CrowdSec برای اسکن و حدس رمز
- تنظیم دقیق، تا هشدارها کم و معنادار بمانند
- خلاصه‌ی هفتگی از آنچه مسدود شده
crowdsec · decisions · fw-hq $ cscli decisions list --since 24h
× 203.0.113.45 ssh-bruteforce ban 4h
× 198.51.100.7 http-probing ban 4h
× 192.0.2.81 port-scan ban 24h
! suricata ET SCAN Nmap SYN scan dropped ×34
✓ 3 bans active · 0 alerts escalated
- D/۰۶
پایش
کیفیت لینک‌ها، پهنای باند، تونل‌ها و سلامت دستگاه‌ها را از یک جا زیر نظر می‌گیریم، با هشدارهایی که پیش از آن‌که کاربران متوجه شوند به تیمتان می‌رسند. داشبوردها برای کسانی ساخته می‌شوند که آن‌ها را می‌خوانند: یک نمای کوتاه برای مدیران و جزئیات برای کسی که مشکل را رفع می‌کند.
شامل
- پایش لینک‌ها، تونل‌ها، فایروال‌ها و سوئیچ‌ها با Zabbix
- پهنای باند به تفکیک سایت و منطقه
- هشدار با ایمیل یا پیام‌رسان، با آستانه‌های روشن
- گزارش ماهانه‌ی دسترس‌پذیری و ظرفیت
zabbix · sites overview سایت‌های فعال
۳ / ۳
همه‌ی تونل‌ها برقرار
لینک دفتر مرکزی
۴۱۲ Mbps
۴۱٪ از ۱ Gbps
تأخیر شعبه
۱۸ ms
بدون از دست رفتن بسته
دسترس‌پذیری · ۳۰ روز
۹۹٫۹۸٪
یک بازه‌ی برنامه‌ریزی‌شده
- ۰۱
بررسی
شبکه‌ی فعلی را نقشه‌برداری می‌کنیم: سایت‌ها، دستگاه‌ها، لینک‌ها، قوانین و نقاط ضعف.
- ۰۲
طراحی
مناطق، تونل‌ها و سیاست‌ها، ترسیم و توافق‌شده پیش از هر تغییری.
- ۰۳
اجرا
تغییرات در بازه‌های برنامه‌ریزی‌شده، سایت‌به‌سایت، با برنامه‌ی بازگشت آماده.
- ۰۴
مستندسازی و پایش
نمودارها، مستندات قوانین و پایشی که شبکه را صادق نگه می‌دارد.
یک پروژه‌ی شبکه معمولاً بسته به تعداد سایت‌ها چهار تا هشت هفته طول می‌کشد. تغییرات در بازه‌های توافق‌شده و سایت‌به‌سایت انجام می‌شوند تا کسب‌وکار در این مدت به کارش ادامه دهد.
- هفته‌ی ۱
بررسی همه‌ی سایت‌ها: دستگاه‌ها، لینک‌ها، قوانین فعلی و نقاط ضعف.
- هفته‌ی ۲
طرح آدرس‌دهی، منطقه‌ها، تونل‌ها و قوانین، ترسیم و توافق‌شده با شما.
- هفته‌ی ۳ و ۴
فایروال و بخش‌بندی در سایت اصلی، در یک بازه‌ی برنامه‌ریزی‌شده.
- هفته‌ی ۵ و ۶
تونل به بقیه‌ی سایت‌ها و دسترسی از راه دور کارکنان، قدم‌به‌قدم.
- هفته‌ی ۷ و ۸
تنظیم تشخیص نفوذ و پایش، و بعد مستندسازی و تحویل.
نمودارهای شبکه
سایت‌ها، منطقه‌ها، تونل‌ها و طرح آدرس‌دهی، رسم‌شده و نگهداری‌شده در مخزن شما.
قوانین مستند
هر قانون فایروال با هدف و مسئولش، تا تغییرات بی‌خطر باشند.
پشتیبان تنظیمات
تنظیمات فایروال‌ها و سوئیچ‌ها، نسخه‌بندی‌شده و ذخیره‌شده بیرون از دستگاه‌ها.
اطلاعات ورود و کلیدها
حساب‌های مدیریتی، کلیدهای VPN و گواهی‌ها به نام شما، و دسترسی ما در پایان کار حذف می‌شود.
پایش
داشبوردها و هشدارهایی که تیمتان بدون ما می‌خواند و بر اساسشان اقدام می‌کند.
یک بازبینی پیگیری
بازبینی پس از سه ماه: قوانین، هشدارها و هر چیزی که از طرح اصلی فاصله گرفته.
- OPNsense
- pfSense
- WireGuard
- IPsec
- VLANs
- Suricata
- CrowdSec
- Zabbix
با سخت‌افزار فعلی ما کار می‌کنید؟
معمولاً بله. آنچه سالم است را نگه می‌داریم و فقط تعویض چیزی را پیشنهاد می‌کنیم که مانع شماست.
قطعی خواهیم داشت؟
تغییرات در بازه‌های توافق‌شده و با برنامه‌ی بازگشت آماده انجام می‌شوند، پس اختلال به حداقل می‌رسد.
تستش هم می‌کنید؟
بله. می‌توانیم روی شبکه‌ی نهایی تست نفوذ اجرا کنیم تا ثابت شود محکم است.
چقدر طول می‌کشد؟
برای بیشتر کسب‌وکارها، بسته به تعداد سایت‌ها، چهار تا هشت هفته. یک دفتر تنها را می‌شود در دو هفته انجام داد.
از ما چه چیزی لازم دارید؟
دسترسی به تجهیزات فعلی، یک رابط در هر سایت و زمان‌هایی توافق‌شده که یک قطعی کوتاه در آن‌ها قابل‌قبول است.
بگویید چه چیزی می‌سازید.
هر پروژه با یک جلسه‌ی مشاوره شروع می‌شود: شما ایده و هر آنچه می‌دانید را می‌آورید، ما آن را به طرحی تبدیل می‌کنیم که بشود رویش ساخت.
رزرو مشاوره