وقتی صحبت از بومی‌سازی سیستم‌ها می‌شود، بیشتر ذهن‌ها سراغ نرم‌افزارهای اداری یا سامانه‌های مالی می‌رود. ولی زیر همه این نرم‌افزارها لایه‌ای هست که اگر از کار بیفتد، هیچ چیز دیگری کار نمی‌کند: زیرساخت شبکه. سازمانی که نام دامنه‌اش روی سرویس خارجی ثبت و پاسخ‌دهی می‌شود، ایمیلش روی سرور ابری خارجی است و فایروالش برای فعال ماندن لایسنس باید به سرور سازنده وصل شود، در عمل کلید زیرساختش را به دست دیگری داده است. در این مقاله اجزای اصلی شبکه را یکی‌یکی بررسی می‌کنیم: DNS، ایمیل، VPN، مسیریاب و فایروال. می‌گوییم کدام‌ها را واقع‌بینانه می‌شود بومی کرد و در پیاده‌سازی امن هر کدام به چه نکاتی باید توجه کرد.
چرا بومی‌سازی باید از لایه شبکه شروع شود؟
سرویس‌های شبکه «وابستگی پنهان» همه سرویس‌های دیگرند. وب‌سایت، اتوماسیون اداری، درگاه پرداخت و حتی کیف پول‌ها و نودهای بلاکچین، همه به حل نام (Name Resolution)، مسیریابی درست و کنترل ترافیک متکی‌اند. اگر یکی از این حلقه‌ها به سرویس خارجی وابسته باشد، تحریم، قطع ارتباط بین‌الملل یا حتی تغییر سیاست یک شرکت خارجی می‌تواند کل سازمان را از کار بیندازد.
منظور از بومی‌سازی در این لایه لزوماً ساختن همه‌چیز از صفر نیست. هدف اصلی این است که کنترل، داده و توان عملیاتی داخل سازمان یا کشور بماند. در بیشتر موارد بهترین راه، استفاده از نرم‌افزارهای متن‌باز بالغ و بومی کردن دانش بهره‌برداری از آن‌هاست. در مقاله نقش نرم‌افزار متن‌باز در بومی‌سازی زیرساخت‌های فناوری اطلاعات این موضوع را مفصل‌تر بررسی کرده‌ایم.
DNS: اولین و حیاتی‌ترین حلقه
سامانه نام دامنه (DNS) نام‌ها را به آدرس IP ترجمه می‌کند. اگر DNS از کار بیفتد، برای کاربران انگار کل شبکه قطع شده است، حتی وقتی سرورها سالم‌اند. DNS را می‌شود به‌طور کامل بومی کرد و جزو کم‌هزینه‌ترین و پربازده‌ترین قدم‌های بومی‌سازی است.
دو نقش متفاوت DNS
- Resolver بازگشتی (Recursive Resolver): به پرسش‌های کاربران داخلی پاسخ می‌دهد. نرم‌افزارهایی مثل Unbound، BIND و PowerDNS Recursor برای این کار مناسب‌اند.
- سرور معتبر (Authoritative): رکوردهای دامنه‌های خود سازمان را نگه می‌دارد. BIND، PowerDNS Authoritative و Knot DNS گزینه‌های شناخته‌شده این نقش هستند.
بهتر است این دو نقش روی سرورهای جداگانه اجرا شوند تا خطا یا حمله به یکی، دیگری را از کار نیندازد.
نکات پیاده‌سازی امن DNS
- Resolver باز نسازید: Resolver سازمانی فقط باید به شبکه‌های داخلی پاسخ دهد. Resolver باز به‌راحتی در حملات تقویت (Amplification) سوءاستفاده می‌شود.
- DNSSEC: امضای دیجیتال رکوردها جلوی جعل پاسخ و مسمومیت حافظه نهان (Cache Poisoning) را می‌گیرد. فعال کردن اعتبارسنجی DNSSEC روی Resolver داخلی کار ساده‌ای است. امضای دامنه‌های سازمان هم به مدیریت دقیق کلیدها نیاز دارد.
- Split-Horizon: رکوردهای داخلی، مثل آدرس سرورهای پایگاه داده، نباید از بیرون قابل مشاهده باشند. باید نمای داخلی و خارجی را از هم جدا کرد.
- RPZ و فیلترینگ امنیتی: با Response Policy Zone می‌شود دامنه‌های مخرب شناخته‌شده را در سطح DNS مسدود کرد. این کار لایه دفاعی مؤثری در برابر بدافزار و فیشینگ است.
- افزونگی: دست‌کم دو سرور در دو محل فیزیکی یا دو شبکه متفاوت داشته باشید و انتقال زون (Zone Transfer) را فقط با TSIG و به سرورهای مجاز اجازه دهید.
- رمزنگاری کانال: برای جلوگیری از شنود درون‌سازمانی می‌توانید DNS over TLS یا DNS over HTTPS را روی Resolver داخلی فعال کنید. همزمان باید مطمئن شوید کلاینت‌ها مستقیماً سراغ Resolverهای عمومی خارجی نمی‌روند.
ایمیل سازمانی: داده‌های حساس در صندوق‌های خارجی
ایمیل یکی از حساس‌ترین مخازن داده هر سازمان است: قرارداد، مکاتبات مدیریتی، اطلاعات مالی و لینک‌های بازیابی رمز عبور. نگه‌داری آن روی سرویس خارجی هم ریسک تعلیق حساب دارد و هم مسئله حاکمیت داده را پیش می‌کشد. برای جزئیات بیشتر این بحث، مقاله حاکمیت داده و ابر بومی را ببینید.
اجزای یک سرور ایمیل بومی
- MTA (عامل انتقال پیام): مثل Postfix یا Exim برای ارسال و دریافت.
- سرور IMAP/POP3: مثل Dovecot برای دسترسی کاربران به صندوق.
- فیلتر هرزنامه و بدافزار: مثل Rspamd یا SpamAssassin در کنار ضدبدافزار ClamAV.
- وب‌میل و تقویم: بسته‌هایی مثل Roundcube، SOGo یا راهکارهای یکپارچه‌ای که این اجزا را با هم ارائه می‌دهند.
نکات امنیتی ایمیل
- SPF، DKIM و DMARC را درست پیکربندی کنید. بدون این سه رکورد، هم جعل ایمیل به نام سازمان آسان است و هم احتمال دارد ایمیل‌های شما در اسپم گیرنده بنشیند.
- رمزنگاری انتقال: STARTTLS را با گواهی معتبر اجباری کنید و برای سخت‌گیری بیشتر از MTA-STS یا DANE (در صورت فعال بودن DNSSEC) استفاده کنید.
- احراز هویت چندعاملی برای وب‌میل، و محدودیت تلاش ورود برای جلوگیری از حملات حدس رمز عبور.
- جلوگیری از Open Relay: سرور فقط باید برای کاربران احراز هویت‌شده ایمیل خارجی ارسال کند.
- پشتیبان‌گیری و آرشیو منظم، رمزنگاری‌شده و آزموده‌شده. بومی‌سازی بدون پشتیبان یعنی جابه‌جا کردن ریسک، نه کاهش آن.
یک واقعیت را هم باید پذیرفت: ایمیل ذاتاً سرویسی بین‌المللی است. اگر ارتباط بین‌الملل محدود شود، ایمیل داخلی کار می‌کند ولی تبادل با خارج قطع می‌شود. بومی‌سازی ایمیل این مشکل را حل نمی‌کند، اما تضمین می‌کند ارتباطات داخلی و داده‌های سازمان آسیب نبینند.
VPN سازمانی: دسترسی راه دور امن
در اینجا منظور از VPN، شبکه خصوصی مجازی سازمانی برای اتصال کارکنان دورکار و اتصال شعب به یکدیگر است. بسیاری از سازمان‌ها برای این کار به تجهیزات تجاری خارجی وابسته‌اند که لایسنس و به‌روزرسانی‌شان می‌تواند با تحریم قطع شود. این در حالی است که درگاه‌های VPN در سال‌های اخیر یکی از پرتکرارترین اهداف حمله بوده‌اند و به‌روز نبودن آن‌ها ریسک جدی است.
گزینه‌های متن‌باز
- WireGuard: کد کوچک و قابل ممیزی، رمزنگاری مدرن و کارایی بالا. برای اتصال شعب و دسترسی راه دور بسیار مناسب است.
- OpenVPN: بالغ و انعطاف‌پذیر، با پشتیبانی گسترده از روش‌های احراز هویت.
- IPsec با strongSwan یا Libreswan: استاندارد و سازگار با تجهیزات گوناگون، مناسب اتصال سایت‌به‌سایت.
نکات امنیتی VPN
- زیرساخت کلید عمومی (PKI) داخلی برای صدور و ابطال گواهی کاربران و دستگاه‌ها راه بیندازید.
- احراز هویت چندعاملی را اجباری کنید و VPN را به سرویس دایرکتوری سازمان متصل کنید تا حساب کارمندان جداشده فوراً غیرفعال شود.
- اتصال به VPN نباید دسترسی به کل شبکه بدهد. هر کاربر فقط باید به منابع مورد نیازش دسترسی داشته باشد. این همان اصلی است که در معماری Zero Trust به آن می‌پردازیم.
- لاگ اتصال‌ها را به سامانه مرکزی بفرستید و الگوهای غیرعادی را پایش کنید.
مسیریاب: جایی که سخت‌افزار مهم می‌شود
بومی‌سازی مسیریاب (Router) از بقیه اجزا پیچیده‌تر است، چون پای سخت‌افزار در میان است. در لایه نرم‌افزار گزینه‌های بالغی وجود دارد: FRRouting و BIRD پروتکل‌های BGP، OSPF و IS-IS را پیاده‌سازی می‌کنند و توزیع‌هایی مثل VyOS سیستم‌عامل کامل مسیریاب را روی سرور معمولی یا ماشین مجازی ارائه می‌دهند. برای شبکه‌های سازمانی و حتی بخشی از نیازهای مراکز داده، سرور x86 با کارت شبکه مناسب کافی است.
در هسته شبکه‌های اپراتوری با ترافیک بسیار بالا، اما، هنوز به تراشه‌های تخصصی نیاز است و تولید آن‌ها در داخل به‌سادگی ممکن نیست. رویکرد واقع‌بینانه این است که کنترل نرم‌افزاری و دانش پیکربندی بومی شود و وابستگی سخت‌افزاری با تنوع تأمین‌کننده و ذخیره قطعات مدیریت شود.
نکات امنیتی مسیریاب
- صفحه مدیریت را از ترافیک کاربران جدا کنید (Out-of-Band Management) و دسترسی SSH را فقط از شبکه مدیریت مجاز کنید.
- نشست‌های BGP را با فیلتر پیشوند، احراز هویت و در صورت امکان اعتبارسنجی RPKI محافظت کنید تا خطر ربایش مسیر (Route Hijacking) کم شود.
- میان‌افزار (Firmware) و ایمیج‌ها را فقط از منبع معتبر و با بررسی امضا نصب کنید. این موضوع مستقیماً به امنیت زنجیره تأمین نرم‌افزار و سخت‌افزار مربوط است.
- پیکربندی‌ها را در سامانه کنترل نسخه نگه دارید تا تغییرات قابل ردیابی و بازگشت‌پذیر باشند.
فایروال داخلی: از بسته‌گیری تا تشخیص نفوذ
فایروال‌های تجاری خارجی معمولاً برای به‌روزرسانی امضاها، پایگاه داده تهدیدات و حتی فعال ماندن برخی قابلیت‌ها به اتصال دائم با سرور سازنده نیاز دارند. با قطع این ارتباط، فایروال شاید کار کند، ولی به‌مرور در برابر تهدیدات جدید کور می‌شود.
گزینه‌های بومی‌پذیر
- nftables / iptables در لینوکس: پایه‌ای و بسیار انعطاف‌پذیر، ولی به تخصص بالا نیاز دارد.
- OPNsense و pfSense: توزیع‌های فایروال مبتنی بر FreeBSD با رابط گرافیکی و قابلیت‌هایی مثل VPN، پروکسی و مدیریت پهنای باند.
- Suricata یا Snort: سامانه تشخیص و جلوگیری از نفوذ (IDS/IPS) برای بازرسی عمیق ترافیک.
نکات امنیتی فایروال
- سیاست پیش‌فرض باید «رد همه» باشد و فقط ترافیک لازم صریحاً مجاز شود.
- بخش‌بندی (Segmentation) شبکه: کاربران، سرورها، تجهیزات مدیریتی و سامانه‌های کنترل صنعتی را در ناحیه‌های جدا قرار دهید.
- برای امضاهای IDS، مخزن داخلی و فرایند به‌روزرسانی مستقل راه بیندازید. تیم امنیت هم باید بتواند قواعد اختصاصی بنویسد.
- بازبینی دوره‌ای قواعد را فراموش نکنید. قواعد بلااستفاده و بیش از حد باز از رایج‌ترین ضعف‌ها هستند.
جدول مقایسه: قابلیت بومی‌سازی اجزای شبکه
| جزء شبکه | قابلیت بومی‌سازی | نمونه ابزار متن‌باز | مهم‌ترین نکته امنیتی |
|---|---|---|---|
| DNS | کامل و کم‌هزینه | BIND، Unbound، PowerDNS، Knot | DNSSEC، جلوگیری از Resolver باز |
| ایمیل | کامل (برای ارتباط داخلی) | Postfix، Dovecot، Rspamd | SPF/DKIM/DMARC و MFA |
| VPN | کامل | WireGuard، OpenVPN، strongSwan | PKI داخلی و دسترسی حداقلی |
| مسیریاب | نرم‌افزار کامل، سخت‌افزار محدود | FRRouting، BIRD، VyOS | جداسازی مدیریت، امنیت BGP |
| فایروال | کامل، با نیاز به تخصص | nftables، OPNsense، Suricata | رد پیش‌فرض و بخش‌بندی |
سرویس‌های پشتیبان که نباید فراموش شوند
چند سرویس کم‌دیده هم وجود دارند که بدون آن‌ها زیرساخت بومی ناقص می‌ماند:
- NTP: همگام بودن ساعت برای اعتبار گواهی‌ها، لاگ‌ها و احراز هویت ضروری است. چند منبع زمان داخلی با Chrony داشته باشید.
- مخزن بسته‌ها (Mirror): نسخه داخلی مخازن سیستم‌عامل، تا به‌روزرسانی امنیتی به اینترنت بین‌الملل وابسته نباشد.
- لاگ و پایش مرکزی: ابزارهایی مثل Zabbix یا Prometheus برای پایش و یک پشته مدیریت لاگ برای تحلیل رخدادها.
اشتباهات رایج در بومی‌سازی شبکه
- مهاجرت یک‌باره: جایگزینی همزمان همه تجهیزات معمولاً به قطعی منجر می‌شود. اجرای موازی و انتقال مرحله‌ای امن‌تر است. در نقشه راه بومی‌سازی بدون توقف کسب‌وکار این مراحل را شرح داده‌ایم.
- تکیه بر پیکربندی پیش‌فرض: نرم‌افزار متن‌باز رایگان است، ولی امن بودنش به پیکربندی بستگی دارد.
- نبود مستندات و نیروی متخصص: اگر فقط یک نفر سیستم را بشناسد، وابستگی خارجی جایش را به وابستگی فردی داده است.
- آزمایش نکردن: پیش از بهره‌برداری، زیرساخت جدید باید تست نفوذ و آزمون بار شود.
سوالات متداول
آیا بومی‌سازی شبکه یعنی قطع کامل ارتباط با اینترنت جهانی؟
خیر. هدف این است که سرویس‌های حیاتی سازمان در صورت قطع یا محدودیت ارتباط خارجی هم کار کنند. شبکه بومی همچنان می‌تواند به اینترنت جهانی متصل باشد، فقط به آن وابسته نیست.
از کدام جزء شروع کنیم؟
معمولاً DNS و NTP بهترین نقطه شروع‌اند، چون کم‌هزینه‌اند، اثر زیادی بر پایداری دارند و ریسک مهاجرتشان پایین است. بعد از آن نوبت ایمیل، VPN و فایروال است.
آیا نرم‌افزار متن‌باز خارجی واقعاً «بومی» محسوب می‌شود؟
وقتی کد منبع در دسترس باشد، بتوان آن را ممیزی و از منبع کامپایل کرد و بدون مجوز سازنده اجرا و نگه‌داری‌اش کرد، کنترل عملاً در اختیار سازمان است. البته باید منشأ کد و وابستگی‌های آن را بررسی کرد و نسخه‌ها را در مخزن داخلی نگه داشت.
آیا فایروال متن‌باز برای سازمان‌های بزرگ کافی است؟
برای بسیاری از سازمان‌ها بله، به شرط داشتن سخت‌افزار مناسب و تیم متخصص. در ترافیک‌های بسیار سنگین یا نیازهای خاص باید پیش از تصمیم‌گیری، آزمون کارایی واقعی انجام شود.
جمع‌بندی
بیشتر اجزای زیرساخت شبکه، یعنی DNS، ایمیل، VPN و فایروال، را امروز می‌شود با ابزارهای متن‌باز بالغ به‌طور کامل بومی کرد. در مسیریاب‌ها هم دست‌کم لایه نرم‌افزار و کنترل در اختیار خود سازمان قرار می‌گیرد. اما بومی‌سازی به‌خودی‌خود امنیت نمی‌آورد. امنیت از پیکربندی درست، رمزنگاری، بخش‌بندی، پایش مداوم و نیروی انسانی آموزش‌دیده به دست می‌آید. اگر این کار مرحله‌ای، مستند و همراه با آزمون‌های امنیتی انجام شود، سازمان به زیرساختی می‌رسد که هم پایدارتر است و هم در برابر تحریم و قطع سرویس آسیب‌پذیری کمتری دارد.
