S/۰۹ · خدمات
شبکه و امنیت
همه‌ی دفاتر متصل، همه‌ی درها قفل.
فایروال، VPN بین دفاتر و شبکه‌ی داخلی سازمان: اتصال امن دفاتر و کارکنان دورکار، ترافیک بخش‌بندی‌شده و همه‌چیز زیر نظر.
- فایروال
- OPNsense، pfSense
- VPN
- WireGuard، IPsec
- شامل
- بخش‌بندی و پایش
- ۰۱
هیچ‌کس دقیق نمی‌داند شعبه‌ها و کارکنان دورکار چطور به شبکه وصل می‌شوند.
- ۰۲
مهمان‌ها، دوربین‌ها و واحد مالی روی یک شبکه‌ی تخت هستند.
- ۰۳
مشکلات را اول کاربران خبر می‌دهند، نه هشدارها.
- ۰۴
قوانین فایروالتان سال‌ها روی هم انباشته شده‌اند و کسی جرئت نمی‌کند به آن‌ها دست بزند.
- D/۰۱
فایروال
OPNsense یا pfSense را به شکل یک جفت دستگاه راه می‌اندازیم تا اگر یکی از کار افتاد، اتصال کسی قطع نشود، و قوانین را از نو می‌چینیم تا هر کدام هدف روشنی داشته باشد. هر قانون توضیح و مسئول دارد، پس حتی سال‌ها بعد هم می‌شود بی‌دغدغه تغییرش داد.
شامل
- یک جفت فایروال با جابه‌جایی خودکار
- قوانین بر پایه‌ی «همه ممنوع مگر مجاز»، با دلیل برای هر قانون
- نام‌های مستعار و گروه‌ها به‌جای آدرس‌های IP پراکنده
- پشتیبان تنظیمات بیرون از دستگاه، پس از هر تغییر
opnsense · firewall · rules قانون اقدام مبدأ مقصد پورت کارکنان به وب pass STAFF_NET any 80, 443 مالی به ERP pass FINANCE_NET ERP_SERVER 443 دوربین‌ها به ضبط‌کننده pass CAMERA_NET NVR_HOST 554 مهمان به شبکه‌ی داخلی block GUEST_NET RFC1918 any پیش‌فرض block any any any - D/۰۲
VPN بین دفاتر
دفاتر و دیتاسنترها با تونل‌های رمزنگاری‌شده به هم وصل می‌شوند: WireGuard جایی که هر دو سر دست ماست، IPsec جایی که سرویس‌دهنده یا دستگاهی قدیمی‌تر آن را لازم دارد. مسیرها طوری برنامه‌ریزی می‌شوند که هر سایت فقط به آنچه لازم دارد برسد، و قطع شدن هر تونل هشدار می‌دهد.
شامل
- طرح آدرس‌دهی بدون زیرشبکه‌های هم‌پوشان
- تونل‌های WireGuard یا IPsec، با تعویض زمان‌بندی‌شده‌ی کلیدها
- مسیرهای محدود به نیاز هر سایت
- بررسی سلامت تونل‌ها و هشدار
docs/network/sites.mmd - D/۰۳
دسترسی از راه دور
هر نفر کلید WireGuard خودش را روی دستگاه خودش دارد که به یک گروه وصل است و همان گروه تعیین می‌کند به چه چیزهایی دسترسی دارد. وقتی کسی می‌رود یا لپ‌تاپش گم می‌شود، کلیدش در چند ثانیه حذف می‌شود، بی‌آن‌که به دسترسی بقیه دست بخورد.
شامل
- یک کلید برای هر نفر و هر دستگاه، هرگز مشترک
- دسترسی بر اساس گروه: کارکنان، IT، پیمانکاران
- حذف در چند ثانیه، با یک چک‌لیست کوتاه برای خروج افراد
- لاگ اتصال که نشان می‌دهد چه کسی و کی وصل شده
wireguard · wg-staff · peers همتا گروه آدرس آخرین اتصال sara-laptop کارکنان 10.99.0.12 ۲ دقیقه پیش reza-phone کارکنان 10.99.0.14 ۱۱ دقیقه پیش it-admin IT 10.99.0.2 همین حالا contractor-01 پیمانکار 10.99.0.40 ۳ روز پیش old-laptop-07 لغوشده — حذف‌شده ۲۲ مهر - D/۰۴
بخش‌بندی
شبکه‌ی تخت را به منطقه‌هایی برای کارکنان، واحد مالی، سرورها، دوربین‌ها و مهمان‌ها تقسیم می‌کنیم و ترافیک فقط جایی از یک منطقه به منطقه‌ی دیگر می‌رود که قانونی اجازه‌اش را داده باشد. این‌طوری یک دوربین هک‌شده یا لپ‌تاپ آلوده‌ی یک مهمان راه به جایی ندارد.
شامل
- طرح VLAN با یک زیرشبکه برای هر منطقه
- تنظیم سوئیچ‌ها و Wi-Fi متناسب با آن
- قوانین بین منطقه‌ها روی فایروال، پیش‌فرض ممنوع
- شبکه‌ی مهمان فقط با دسترسی به اینترنت
docs/network/vlans.mmd - D/۰۵
تشخیص نفوذ
Suricata ترافیک ورودی را برای حمله‌های شناخته‌شده بررسی می‌کند و CrowdSec آدرس‌هایی را که سرویس‌هایتان را اسکن می‌کنند یا برای حدس رمز به آن‌ها هجوم می‌آورند مسدود می‌کند. هر دو را برای شبکه‌ی شما تنظیم می‌کنیم تا همان چند هشداری که به تیمتان می‌رسد واقعاً ارزش توجه داشته باشد.
شامل
- Suricata روی فایروال، با مجموعه‌قوانین به‌روز
- مسدودسازی CrowdSec برای اسکن و حدس رمز
- تنظیم دقیق، تا هشدارها کم و معنادار بمانند
- خلاصه‌ی هفتگی از آنچه مسدود شده
crowdsec · decisions · fw-hq $ cscli decisions list --since 24h
× 203.0.113.45 ssh-bruteforce ban 4h
× 198.51.100.7 http-probing ban 4h
× 192.0.2.81 port-scan ban 24h
! suricata ET SCAN Nmap SYN scan dropped ×34
✓ 3 bans active · 0 alerts escalated
- D/۰۶
پایش
کیفیت لینک‌ها، پهنای باند، تونل‌ها و سلامت دستگاه‌ها را از یک جا زیر نظر می‌گیریم، با هشدارهایی که پیش از آن‌که کاربران متوجه شوند به تیمتان می‌رسند. داشبوردها برای کسانی ساخته می‌شوند که آن‌ها را می‌خوانند: یک نمای کوتاه برای مدیران و جزئیات برای کسی که مشکل را رفع می‌کند.
شامل
- پایش لینک‌ها، تونل‌ها، فایروال‌ها و سوئیچ‌ها با Zabbix
- پهنای باند به تفکیک سایت و منطقه
- هشدار با ایمیل یا پیام‌رسان، با آستانه‌های روشن
- گزارش ماهانه‌ی دسترس‌پذیری و ظرفیت
zabbix · sites overview سایت‌های فعال
۳ / ۳
همه‌ی تونل‌ها برقرار
لینک دفتر مرکزی
۴۱۲ Mbps
۴۱٪ از ۱ Gbps
تأخیر شعبه
۱۸ ms
بدون از دست رفتن بسته
دسترس‌پذیری · ۳۰ روز
۹۹٫۹۸٪
یک بازه‌ی برنامه‌ریزی‌شده
- ۰۱
بررسی
شبکه‌ی فعلی را نقشه‌برداری می‌کنیم: سایت‌ها، دستگاه‌ها، لینک‌ها، قوانین و نقاط ضعف.
- ۰۲
طراحی
منطقه‌ها، تونل‌ها و سیاست‌ها را پیش از هر تغییری ترسیم و با شما نهایی می‌کنیم.
- ۰۳
اجرا
تغییرات در بازه‌های برنامه‌ریزی‌شده، سایت‌به‌سایت، با برنامه‌ی بازگشت آماده.
- ۰۴
مستندسازی و پایش
نمودارها، مستندات قوانین و پایشی که نمی‌گذارد شبکه از طرحش فاصله بگیرد.
یک پروژه‌ی شبکه معمولاً بسته به تعداد سایت‌ها چهار تا هشت هفته طول می‌کشد. تغییرات در بازه‌های توافق‌شده و سایت‌به‌سایت انجام می‌شوند تا کسب‌وکار در این مدت به کارش ادامه دهد.
- هفته‌ی ۱
بررسی همه‌ی سایت‌ها: دستگاه‌ها، لینک‌ها، قوانین فعلی و نقاط ضعف.
- هفته‌ی ۲
طرح آدرس‌دهی، منطقه‌ها، تونل‌ها و قوانین را ترسیم و با شما نهایی می‌کنیم.
- هفته‌ی ۳ و ۴
فایروال و بخش‌بندی در سایت اصلی، در یک بازه‌ی برنامه‌ریزی‌شده.
- هفته‌ی ۵ و ۶
تونل به بقیه‌ی سایت‌ها و دسترسی از راه دور کارکنان، قدم‌به‌قدم.
- هفته‌ی ۷ و ۸
تنظیم تشخیص نفوذ و پایش، و بعد مستندسازی و تحویل.
نمودارهای شبکه
سایت‌ها، منطقه‌ها، تونل‌ها و طرح آدرس‌دهی، رسم‌شده و نگهداری‌شده در مخزن شما.
قوانین مستند
هر قانون فایروال با هدف و مسئولش، تا تغییرات بی‌خطر باشند.
پشتیبان تنظیمات
تنظیمات فایروال‌ها و سوئیچ‌ها، نسخه‌بندی‌شده و ذخیره‌شده بیرون از دستگاه‌ها.
اطلاعات ورود و کلیدها
حساب‌های مدیریتی، کلیدهای VPN و گواهی‌ها به نام شما، و دسترسی ما در پایان کار حذف می‌شود.
پایش
داشبوردها و هشدارهایی که تیمتان بدون ما می‌خواند و بر اساسشان اقدام می‌کند.
یک بازبینی پیگیری
بازبینی پس از سه ماه: قوانین، هشدارها و هر چیزی که از طرح اصلی فاصله گرفته.
- OPNsense
- pfSense
- WireGuard
- IPsec
- VLANs
- Suricata
- CrowdSec
- Zabbix
با سخت‌افزار فعلی ما کار می‌کنید؟
معمولاً بله. هر چه سالم است نگه می‌داریم و فقط تعویض چیزی را پیشنهاد می‌کنیم که دست‌وپایتان را بسته.
قطعی پیش می‌آید؟
تغییرات در بازه‌های توافق‌شده و با برنامه‌ی بازگشت آماده انجام می‌شوند، پس اختلال به حداقل می‌رسد.
تستش هم می‌کنید؟
بله. می‌توانیم روی شبکه‌ی نهایی تست نفوذ اجرا کنیم تا ثابت شود محکم است.
چقدر طول می‌کشد؟
برای بیشتر کسب‌وکارها، بسته به تعداد سایت‌ها، چهار تا هشت هفته. یک دفتر تنها را می‌شود در دو هفته انجام داد.
از ما چه چیزی لازم دارید؟
دسترسی به تجهیزات فعلی، یک رابط در هر سایت و زمان‌هایی توافق‌شده که یک قطعی کوتاه در آن‌ها قابل‌قبول است.
بگویید چه چیزی می‌سازید.
هر پروژه با یک مشاوره شروع می‌شود: شما ایده و هر چه می‌دانید را می‌آورید و ما از دلش طرحی درمی‌آوریم که بشود رویش ساخت.
رزرو مشاوره