10 نکته درباره رفع ایرادهاي اتصالات VPN

1- دسترسی کاربران به فایل سرورها امکان پذیر نيست

اگر کاربران از طریق آدرس IP امکان دسترسی به فایل سرور را داشته باشند، اما با استفاده از نام سرور نتوانند با سرور ارتباط برقرار کنند، محتمل ترین دلیل، وجود ایراد در Name Resolution یا تشخیص نام است. تشخیص نام می تواند در نام هاست NetBIOS یا DNS مشکل ايجاد کند.
اگر سیستم عامل کلاینت به NetBIOS وابسته باشد، کلاینت های VPN می توانند از طریق سرور VPN آدرس سرور WINS را تعیین کنند، اما اگر سیستم عامل کلاینت ترجیحاً از DNS استفاده می کند، کلاینت های VPN از طریق یک سرور DNS داخلی به نام سرور شبکه داخلی دسترسی پیدا می کنند.

هنگام استفاده از DNS برای تخصیص نام های شبکه داخلی از توانايی کلاینت ها برای تعیین صحیح نام دامین های دارای مجوز شبکه سازمانی اطمینان حاصل کنيد. این مشکل اغلب زمانی به وجود مي آيد که کامپیوترهای خارج از دامین برای دسترسی و استفاده از نام سرورهای موجود در شبکه داخلی، که پشت VPN قرار دارند، به استفاده از DNS اقدام مي کنند.

2 - کاربران نمی توانند به هیچ منبعی روی شبکه سازمانی دسترسی پیدا کنند

در بعضی مواقع کاربران می توانند به سرور VPN راه دور متصل شوند، اما نمي توانند به هیچ کدام از منابع موجود روی شبکه سازمانی دسترسی پیدا کنند. در چنین مواردی کاربران نمی توانند نام هاست را شناسايی کرده و حتی قادر نیستند به منابع موجود در شبکه سازمانی Ping کنند.

رایج ترین دلیل وقوع این مشکل این است که کاربران به شبکه ای متصل هستند که ID شبکه آن با شبکه سازمانی مستقر در پشت سرور VPN یکسان است. به عنوان مثال، کاربر به شبکه پرسرعت یک هتل متصل شده و به این ترتیب ID شبکه پس از تخصیص آدرس IP اختصاصی به صورت 24/10.0.0.0 اختصاص یافته است.

حال چنان چه شبکه سازمانی نیز روی همین ID شبکه 24/10.0.0.0تعریف شده باشد، آن گاه کاربر قادر به اتصال به شبکه سازمانی خود نخواهد بود، زیرا ماشین کلاینت VPN آدرس مقصد را به صورت شبکه ای محلی می بیند و اتصال شبکه راه دور را از طریق رابط VPN ارسال نمي کند.

دلیل عمده دیگر برای عدم موفقیت در اتصال این است که کلاینت های VPN اجازه دسترسی به منابع موجود روی شبکه سازمانی را به دلیل قوانین تعیین شده از جانب فایروال نمی یابند. راه حل این مشکل پیکربندی فایروال به گونه ای است که اجازه دسترسی به منابع شبکه ای را به کلاینت های VPN بدهد.

3 - کاربران نمی توانند از پشت ابزارهای NAT به سرور VPN متصل شوند

اغلب روترهای NAT و فایروال ها به اصطلاح از پشت ابزارهای NAT از پروتکل PPTP VPN پشتیبانی می کنند. هرچند برخی از فروشندگان طراز اول تجهيزات شبکه ای، ويرايشگر NAT را در پروتکل PPTP VPN خود تعبیه نمي کنند. اگر کاربری در پشت چنین ابزاری واقع شده باشد، ارتباط VPN براي اتصال از طريق PPTP با شكست مواجه خواهد شد. البته، ممكن است با ديگر پروتكل هاي VPN كار كند.

همه ابزارهاي NAT و فايروال ها در كار با پروتكل هاي VPN مبني بر IPSec از IPSec پشتيباني مي کنند. اين پروتكل هاي VPN شامل پياده سازي هاي اختصاصي مد تونل IPSec و L2TP/IPSec سازگار با RFC خواهند بود. همچنين اين دسته از پروتكل هاي VPN مي توانند با استفاده از (Encapsulating) ارتباطات IPSec و در هدر UDP از پيمايش NAT يا (NAT Traversa) پشتيباني کنند.

چنان چه سرور و كلاينت VPN شما از پيمايش NAT پشتيباني کرده و كلاينت تمايل دارد از L2TP/IPSec براي اتصال به سرور سازگار با NAT استفاده کند، رايج ترين دليل براي اين مشكل اين است كه كلاينت از سيستم عامل Windows XP SP2 استفاده مي كند.

سرويس پك 2 پيمايش NAT Traversal را روي كلاينت هاي L2TP/IPSec به اصطلاح مي شكند. شما مي توانيد اين مشكل را از طريق ويرايش رجيستري روي كلاينت VPN آن گونه كه در آدرس زير توضيح داده شده حل كنيد.

4 - كاربران از سرعت پايين شكايت دارند

سرعت كم يكي از مشكلاتي است كه برطرف کردن آن بسيار دشوار است. دلايل زيادي براي كاهش كارايي ارتباط VPN وجود دارد و نكته مهم آن هم اين است كه كاربران بتوانند توضيح دهند دقيقاً در زمان انجام چه كاري با افت كارايي و كاهش در سرعت روبه رو مي شوند.

يكي از عمده ترين موارد هنگام كاهش كارايي ارتباط VPN زماني است كه كلاينت در پشت شبكه DSL قرار گرفته و از پروتكل PPPoE استفاده مي کند. چنين ارتباطات شبكه اي معمولاً موجب بروز مشكلات مرتبط با MTU شده كه مي توانند بر هر دو عامل اتصال و كارايي تأثيرگذار باشند. براي اطلاعات بيشتر درخصوص موارد مرتبط با MTU در كلاينت هاي ويندوزي به آدرس زير مراجعه کنيد.

5 - كاربران از طريق PPTP متصل مي شوند، اما امکان اتصال از طريق L2TP/IPSec وجود ندارد

PPTP پروتكل ساده اي براي پيكربندي و تنظيم روي سرور و كلاينت VPN است. فقط كافي است كه كاربر از نرم افزار كلاينت توكار VPN كه به همراه تمام نسخه هاي سيستم عامل ويندوز ارائه مي شود استفاده کرده و نام كاربري و كلمه عبور معتبر اكانتي را كه مجوز دسترسي از راه دور را دارد، در اختيار داشته باشد.

اگر كامپوننت سرور VPN براساس مسيريابي ويندوز و Remote Access Service باشد، به سادگي تنظيم شده و پس از اجراي يك راهنماي پيكربندي كوتاه به طور خودكار اجرا خواهد شد. L2TP/IPSec قدري پيچيده تر است. اعتبار كاربر و ماشين وي بايد توسط سرور VPN تأييد شوند.

تأييد اعتبار ماشين مي تواند از طريق يك كليد مشترك (Pre-shared Key) يا ماشين ثبت شده صورت گيرد. اگر از كليد مشترك استفاده مي كنيد (كه معمولاً به دلايل امنيتي توصيه نمي شود)، بررسي كنيد كه آيا كلاينت VPN براي استفاده از همان كليد مشترك پيكربندي شده يا خير؟ اگر از روش ثبت ماشين استفاده مي كنيد نيز مطمئن شويد كه كلاينت VPN مجوز مربوطه را دارد يا خير؟

6 - اتصال VPN سايت به سايت برقرار مي شود، اما هيچ ترافيكي بين گيت وي هاي VPN جابه جا نمي شود

هنگامي كه يك ارتباط VPN سايت به سايت بين سرورهاي RRAS ويندوزي ايجاد مي كنيد، اين امكان وجود دارد كه اتصال VPN درظاهر برقرار نشان داده شود، اما ترافيكي ميان شبكه هاي متصل شده رد و بدل نشود. اشكال در شناسايي نام سرورها ايجاد شده و هاست ها حتي قادر به پينگ كردن به شبكه راه دور نيز نيستند.

عمده ترين دليل براي بروز اين مشكل اين است كه هر دو طرف اتصال سايت به سايت روي يك ID شبكه يکسان هستند. راه حل آن نيز تغيير الگوي آدرس دهي IP روي يك يا هر دو شبكه بوده تا به اين ترتيب، تمام شبكه هاي متصل شده به صورت سايت به سايت روي IDهاي شبكه متفاوتي قرار داشته باشند.

7 - كاربران نمي توانند از پشت فايروال به ارتباط در مُد تونل IPSec اقدام کنند

به طور معمول سرور VPN و کلاينت ها به طور صحيح پيکربندي مي شوند تا بتوانند از مُد تونل IPSecيا ارتباط L2tp/IP Sec NAT-T براي ارتباط با يک سرور VPNاستفاده کنند و در نتيجه ارتباط با شکست مواجه مي شود. در برخي مواقع اين اتفاق را بعد از برقراري اتصال موفق اولين كلاينت مشاهده مي كنيد، اما كلاينت هاي بعدي كه در پشت همان ابزار NAT قرار دارند، با شكست در ارتباط روبه رو مي شوند.

دليل بروز اين مشكل اين است كه تمام سرورهاي IPSec NAT-T VPN با RFC سازگار نيستند. سازگاري با RFC نيازمند اين است كه سرور مقصد NAT-T VPN از تماس هاي IKE روي پورت منبع UDP 500 پشتيباني كرده تا آن هابتوانند ارتباطات چندگانه را از چندين كلاينت در پشت يك گيت وي VPN واحد مالتي پلكس كنند.

حل اين مشكل از طريق تماس با فروشنده سرور VPN و حصول اطمينان از اين كه پياده سازيVPN IPSec NAT-T با RFC سازگاري دارد يا خير، امكان پذير خواهد بود. اگر اين گونه نبود، از فروشنده درباره وجود Firmware براي به روز رساني سؤال كنيد.

8 - كاربران نمي توانند به برخي از IDهاي شبكه سازماني دسترسي پيدا كنند

برخي از اوقات كاربران مواردي را گزارش مي كنند كه در آن ذكر شده، مي توانند بعد از برقراري ارتباط VPN به برخي از سرورها دسترسي پيدا كنند، اما بقيه سرورها قابل دسترسي نيستند. آنان وقتي ارتباط خود را آزمايش مي كنند، مشاهده مي كنند كه نمي توانند با استفاده از نام يا آدرس IP به سرور مورد نظر خود پينگ كنند.

دليل عمده براي اين مشكل اين است كه سرور VPN ورودي هاي جدول روزمره را براي تمام IDهاي شبكه هايي كه كاربر نمي تواند به آنان متصل شود، در اختيار ندارد. كاربران فقط قادر به اتصال به سرورهايي هستند كه روي زيرشبكه سرور VPN باشند، اما از طريق سرور VPN قادر به ارتباط با IDهاي شبكه راه دور نيستند.

راه حل اين مشكل پركردن جدول مسيريابي روي سرورVPN به گونه اي است كه آدرس گيت وي تمام IDهاي شبكه هايي را كه VPN بايد به آنان متصل شود، در آن وجود داشته باشد.

9 - كاربران هنگام اتصال به سرور VPN قادر به اتصال به اينترنت نيستند

در برخي مواقع كاربران نمي توانند پس از اين كه اتصال VPN برقرار شد، به اينترنت متصل شوند. در اين حالت همزمان با قطع ارتباط VPN كاربران در اتصال به اينترنت مشكلي نخواهند داشت. اين مشكل زماني مشاهده مي شود كه نرم افزار كلاينت VPN براي استفاده از سرور VPN به عنوان گيت وي پيش فرض خود پيكربندي شده باشد. اين تنظيم، تنظيم پيش فرض نرم افزار كلاينت VPN مايكروسافت است.

از آنجا كه همه هاست ها دور از محل كلاينت VPN مستقر هستند، ارتباطات اينترنت به سمت سرور VPN مسيردهي خواهند شد. اگر سرور VPN به گونه اي پيكربندي نشده باشد كه ارتباط با اينترنت را از طريق كلاينت هاي VPN ميسر سازد، هرگونه تلاشي براي اتصال به اينترنت با شكست روبه رو خواهد شد.

راه حل اين مشكل پيكربندي سرور VPN به گونه اي است تا به كلاينت ها اجازه دسترسي به اينترنت را بدهد. سرور RRAS ويندوز و بسياري از فايروال ها از چنين پيكربندي پشتيباني مي كنند. در برابر اصرار براي غيرفعال کردن تنظيمات پيكربندي كلاينت VPN جهت استفاده سرور VPN از گيت وي پيش فرض خود مقاومت كنيد. زيرا اين كار ويژگي Split Tueling را كه يكي از تهديدات شناخته شده و خطرناك امنيتي محسوب مي شود، فعال خواهد کرد.

10 - چندين كاربر با استفاده از يك مجوز اعتبار PPP به سرور VPN متصل مي شوند

يكي از خطراتي كه تمام سازمان هايي را كه اقدام به پياده سازي امكانات دسترسي راه دور به سرور VPN مي کنند، تهديد مي كند، اين است كه كاربران اطلاعات مربوط به نام كاربري و كلمه عبور را با يكديگر به اشتراک مي گذارند. در بسياري از پياده سازي هاي سرور VPN شما قادر خواهيد بود نه تنها پيش از برقراري ارتباط VPN نسبت به بررسي اعتبار و مجوز كاربر اقدام كنيد، بلكه اگر آن كاربر به دسترسي به شبكه از طريق VPN مجاز نبود، درخواست لغو ارتباط به سرور صادر شود.

اگر كاربران به استفاده اشتراكي از مجوزها اقدام کنند، اين عمل وضعيتي را ايجاد خواهد کرد تا كاربران غيرمجاز بتوانند با استفاده از مجوز كاربران مجاز به شبكه متصل شوند. يك راه حل براي اين مشكل استفاده از الگوهاي اضافي بررسي اعتبار است.

به عنوان مثال، شما مي توانيد مجوز كلاينت كاربر را نيز بررسي كنيد. به اين ترتيب، هيچ كاربر ديگري نمي تواند با مجوز يك كاربر مجاز وارد شبكه شود. انتخاب ديگر استفاده از كارت هاي هوشمند، ابزارهاي بيومتريك و ديگر روش هاي دو فاكتوري تعيين هويت است