توپولوژی شبکه ها را بهتر بشناسید

• شبکه ستاره­ ی یا Star
• شبکه حلقه­ ی یا Ring
• شبکه سرند یا Mesh
• شبکه های درختی Tree
• شبکه های ترکیبی Hybrid

 

  در توپولوژی شبکه Bus، کامپیوترها پشت سر هم روی یک کابل اصلی قرار میگیرند.

 

در این نوع از اتصال فیزیکی شبکه از کابلهای  Coaxial استفاده میشود.

کابل کشی ِ Bus به دو طریق صورت میگیرد:

۱٫ ضخیم یا Thicknet : در این روش کامپیوترها توسط یک کابل کوچک به کابل اصلی متصل می شوند.

۲٫ نازک یا thinnet : در این روش هر کامپیوتر توسط یک کابل کوچک به کامپیوتر مجاور متصل می شود.

در این شبکه وقتی کامپیوتری شروع به ارسال Data میکند، جریان وارد کابل شده و در هر دو جهت پیش میرود تا به انتهای کابل برسد در این فاصله جریان به تمام کامپیوترها میرسد ولی تنها کامپیوتر مقصد از آن استفاده میکند. وقتی جریان به انتهای کابل برسد برگشت پیدا میکند (Bouncing) و با جریان داخل سیم تداخل پیدا میکند(collision رخ میدهد). برای جلوگیری از بروز چنین مشکلی در انتهای کابل از Terminator استفاده میکنند.  حد اکثر تعداد کامپیوترها در شبکه Bus برابر ۳۰ عدد میباشد. مشکل اصلی این پیکربندی این است که اگر یک مشکل کوچک در یکی از کانکتورها، ترمیناتور یا کابل شبکه وجود بیاید کل شبکه بهم میریزد شبکه (done) میشود.

در توپولوژی شبکه Star، همه ی نودها به وسیله یک کابل به سوئیچ متصل می شوند.

در این نوع topology از یک وسیله مرکزی به نام های هاب یا سوییچ استفاده می شود. در یک شبکه star هر یک از کامپیوترها توسط یک کابل مجزا به هاب یا سوییچ وصل می شوند . بر خلاف توپولوژی bus. عیب این Topology در نیاز به سخت افزار اظافی یعنی هاب یا سوییچ میباشد و اگر آن دچار مشکل شود کل شبکه done میشود که البته چنین مشکلی به ندرت پیش می آید. مهمترین عیب این توپولوژی این می باشد که برای اضافه کردن یک workstation  می بایستی کابل کشی از هاب یا سوییچ تا سیستم مورد نظر انجام پذیرد.

توپولوژی شبکه حلقه ای یا Ring

در این نوع پیکربندی هر کامپیوتر منطقاً به کامپیوترهمسایه خود متصل است  این نوع شبکه بجای اینکه دو انتهای کابل شبکه بسته باشد به همدیگر متصل میشوند و یک حلقه را تشکیل میدهند به اینصورت که سیگنالی که از یک کامپیوتر تولید شده است بعد از گذر از تمام کامپیوترها دوبره به کامپیوتر تولید کننده بر می گردد و خودش ان را از شبکه حذف می کند. البته این پیکربندی حلقه یک ساختار منطقی است نه فیزیکی، به عبارت ساده تر حلقه در سیم کشی شبکه وجود دارد نه کابل کشی آن.

بزرگترین مشکل در توپولوژی Ring این است که اگر یک کامپیوتر از کار بیفتد ، دچار خطا شود ویا کابل قطع شود کل شبکه از کار میفتد.

توپولوژی شبکه Mesh:

در این نوع شبکه تمامی کامپیوترها با یکدیگر رابطه مستقیم دارند. در این نوع شبکه از کابل زیادی استفاده می شود و با اضافه کردن یک workstation بصورت تو در تو بایستی به هر یک از workstation های شبکه متصل گردد که مهمترین عیب این نوع شبکه اضافه کردن بیش از حد تجهیزات مخصوص شبکه و کابل می باشد.

توپولوژی شبکه درختی :

این توپولوژی از یک یا چند هاب فعال یا تکرار کننده برای اتصال ایستگاه ها به یکدیگر استفاده می کند. هاب مهمترین عنصر شبکه مبتنی بر توپولوژی در ختی است : زیرا کلیه ایستگاه ها را به یکدیگر متصل می کند. وظیفه هاب دریافت اطلاعات از یک ایستگاه و تکرار وتقویت آن اطلاعات وسپس ارسال آنها به ایستگاه دیگر می باشد.

توپولوژی شبکه ترکیبی یا Hybrid :

توپولوژی Hybrid از به هم پیوستن چند توپولوژی تشکیل می شود. که شامل توپولوژی های ستاره ای، حلقه ای و خطی، یک توپولوژی ترکیبی (Hybrid) به دست می آید.در این نوع شبکه یک ستون فقرات backbone یا همان توپولوژی bus شبکه های ستاره ای را به هم متصل می کند.

Backbone یا ستون فقرات: به توپولوژی ای که بین Segment ها ایجاد ارتباط می کند، Backbone می گویند.

مسیریاب‌هایی که حملات DDoS را هدایت می‌کنند

آمارها و ارقام منتشر شده از سوی شرکت‌های امنیتی اعلام می‌دارد که حملات DDoS به شدت محبوب شده‌اند. هکرها به خوبی درک کرده‌اند که رخنه‌ها را باید در محصولاتی شناسایی کنند که به‌طور پیوسته و انبوه از سوی مردم مورد استفاده قرار می‌گیرد. شناسایی رخنه‌ها در محصولات پر کاربرد به هکرها این توانایی را می‌دهد تا به راحتی شبکه‌ای از بات‌نت‌ها را به منظور پیاده‌سازی یک حمله منع سرویس توزیع شده پیاده‌سازی کنند. جدیدترین گزارش منتشر شده در این زمینه نشان می‌دهد، تعدادی از روترهای معروف خانگی در چند هفته گذشته در معرض حمله منع سرویس توزیع شده قرار گرفته‌اند.

حمله منع سرویس توزیع شده در سطح لایه کاربردی (Layer 7 HTTPS) اولین بار از سوی شرکت امنیتی Sucuri شناسایی شد. آن‌گونه که دانیل سید، بنیان‌گذار شرکت Sucuri  گفته است: «این شرکت موفق به شناسایی کمپینی شده است که بیش از ۱۲۰ هزار درخواست HTTPS را در هر ثانیه با استفاده از ۴۷ هزار آدرس IP تولید می‌کند.» شکل زیر تعداد درخواست‌ها بر حسب ثانیه را نشان می‌دهد.

او در بخشی از یادداشت خود نوشته است: «در حالی که ما در گذشته مسیریاب‌هایی را دیده‌ایم که به شکل مخربی مورد استفاده قرار گرفتند، اما تاکنون مشاهده نکرده‌ایم که آن‌ها در چنین مقیاس عظیمی مورد سوء استفاده قرار گیرند. تحلیل صورت گرفته نشان می‌دهند که تعدادی از محصولات ساخته شده از سوی سازندگان مسیر‌یاب‌های معروف در این حمله قربانی شده‌اند. از جمله این مسیریاب‌ها می‌توان به ۶۰۱۵ عدد مسیریاب ساخته شده توسط Huawei  (نسخه‌های HG8245H، HG658d، HG531 و…) که بیشترین آمار را از آن خود کردند (۵۱ درصد)،  ۲۱۱۹ عدد دستگاه ساخته شده از سوی شرکت Mikro RouterOS که نزدیک به ۱۸ درصد آمار از آن خود کرده بودند،  ۲۴۵ عدد مسیر‌یاب خانگی AirOS ساخته شده از سوی Ubiquiti Networks، مسیریاب بی‌سیم NuCom 11N ، Dell SonicWalls، VodaFone، Netgear  و مسیریاب‌های Cisco-IOS اشاره کرد.

این مسیریاب‌ها در چند هفته اخیر مورد سوء استفاده قرار گرفته‌اند و شبکه‌ای از بات‌نت‌ها را به وجود آورده‌اند. بر خلاف حملات مرسوم که هدف آن‌ها لایه شبکه است، حملات مبتنی بر لایه کاربردی به گونه‌ای طراحی شده‌‌اند که منابع وب سرورها و برنامه‌های کاربردی را در معرض خطر قرار دهند. عامل کلیدی که در این مدل حملات باعث موفقیت آن‌ها می‌شود به گستره و تنوع جغرافیایی آن‌ها باز می‌گردد. این شبکه متشکل از روترهای آلوده به شکل هدفمندی در کشورهای اسپانیولی زبان ( اسپانیا، اروگوئه و مکزیک) متمرکز بوده است. این تنوع جغرافیایی باعث شده است تا سایت‌هایی که قربانی این حمله شده‌اند، به خوبی نتوانند یک یا دو شبکه فعال در این زمینه را مسدود کنند. شکل زیر تنوع جغرافیایی روترهای خانگی را نشان می‌دهد که شبکه‌ای از بات‌نت‌ها را ساخته‌اند.

در نمونه مشابه دیگری، آزمایشگاه تحقیقاتی Level3 موفق به شناسایی خانواده‌ای از نرم‌افزارهای مخرب شد که به‌طور ویژه دستگاه‌های اینترنت اشیا را مورد حمله قرار داده‌اند و شبکه‌ای از بات‌نت‌ها را با هدف پیاده‌سازی حمله منع سرویس توزیع شده شکل داده بودند. این شرکت گزارش داده که بدافزارهای Bashlite، Lizkebab، gatgypt و Torlurs را در این زمینه شناسایی کرده است. این بدافزارها که به زبان سی نوشته شده‌اند و به شکل بهینه‌ شده‌ای برای دستگاه‌های اینترنت اشیا مجهز به سیستم‌عامل لینوکس طراحی شده‌اند تا به این لحظه نزدیک به یک میلیون دستگاه را قربانی خود ساخته‌اند. دستگاه‌های که باز هم به صورت هدفمند در کشورهای برزیل، تایوان و کلمبیا قرار داشته‌اند. بر همین اساس کارشناسان امنیتی یک‌بار دیگر هشدار داده‌اند که اگر امنیت دستگاه‌های اینترنت اشیا به‌طور جدی مورد توجه قرار نگیرد، نه تنها حریم خصوصی افراد به خطر خواهد افتاد، بلکه باعث می‌شود تا خسارت‌های جبران‌ناپذیری به صنعت اینترنت اشیا وارد شود.

رخنه امنیتی بزرگی صدها هزار دستگاه سیسکو را در معرض خطر قرار داد

ابزارهای امنیتی قدرتمندی که به منظور نفوذ به سامانه‌های مختلف از سوی نهادهای خاص مورد استفاده قرار می‌گیرند، اگر به صورت اتفاقی به دنیای زیرزمینی هکرها راه پیدا کنند، این پتانسیل را در اختیار آن‌ها قرار می‌دهند تا پیچیده‌ترین و خطرناک‌ترین حملات را پیاده‌سازی کنند.

هکرها با استفاده از ابزار هک متعلق به یک سازمان نظارتی خاص می‌توانند یک آسیب‌پذیری بزرگ امنیتی را مورد بهره‌برداری قرار داده و صدها هزار روتر، سوییچ و تجهیزات شبکه سیسکو را در معرض یک تهدید بزرگ قرار دهند. Shadowserver بنیاد مستقلی که متشکل از یک گروه از کارشناسان امنیتی است و شریک شرکت سیسکو نیز به شمار می‌رود و روترها و سوییچ‌های این شرکت که در سراسر جهان مورد استفاده قرار می‌گیرند را به لحاظ مسائل امنیتی مورد بازرسی قرار می‌دهد، گزارش کرده است: «این آسیب‌پذیری که هفته گذشته از سوی شرکت سیسکو افشا شده است، در حدود ۸۵۹ هزار دستگاه این شرکت را در معرض یک خطر جدی قرار می‌دهد.»

گزارش منتشر شده نشان می‌دهند ۲۵۹ هزار عدد از این دستگاه‌ها در ایالات متحده، ۴۴ هزار عدد در کشور روسیه و ۴۳ هزار عدد در کشور انگلستان قرار دارند. سیسکو در این ارتباط گفته است: «بنیاد Shadowserver تمایل دارد داده‌ها را با مالکان دستگاه‌های آلوده و آدرس‌های IP متعلق به آن‌ها به اشتراک قرار دهد. اگر مشتریان راغب هستند جزییات مربوط به این گزارش مشاهده کنند، آن‌ها می‌توانند با Shoadowserver تماس گرفته و از آن‌ها در خصوص نتایج به دست آمده از پویش دستگاه‌ها سوال کنند.» هکرهایی که بتوانند از رخنه تاثیرگذار بر سیستم‌عامل شبکه سیسکو (IOS) که در مسیریاب‌ها، سوییچ‌ها و دیگر ادوات شبکه‌ای مورد استفاده قرار می‌گیرد، بهره‌برداری ‌کنند، به داده‌های درون حافظه این دستگاه‌ها دست پیدا خواهند کرد. به این شکل نشتی اطلاعات محرمانه به وجود خواهد آمد.

سیسکو در این ارتباط گفته است: «نرم‌افزار شبکه ما امروزه به طور گسترده در سراسر جهان مورد استفاده قرار می‌گیرد.» بخش امنیت سیسکو گزارش کرده است که تعدادی از مشتریان این شرکت به واسطه این آسیب‌پذیری مورد سوء استفاده قرار گرفته‌اند. با این وجود اشاره‌ای به شدت این حملات نداشته است. این شرکت در ۱۵ آگوست هشداری در ارتباط با این آسیب‌پذیری امنیتی دریافت کرده است، اما اعلام نکرد چه کسی این اطلاعات را در اختیار شرکت قرار داده است.

سیسکو اعلام داشته است، یک گروه هکری به نام Shadow Brokers جزییات مربوط به این آسیب‌پذیری را به صورت آنلاین منتشر کرده‌اند و همچنین درباره نحوه بهره‌برداری از این آسیب‌پذیری اطلاعات لازم را در اختیار همگان قرار داده‌اند. در اواسط ماه آگوست این گروه هکری اعلام کرد اطلاعات خود را با استفاده از ابزارهایی که توسط یک سازمان خاص طراحی شده‌اند، به دست آورده است. بسیاری از تحلیل‌گران بر این باور هستند که منظور این گروه ابزارهای هکری است که از سوی NSA طراحی شده و مورد استفاده قرار می‌گیرد. اسناد منتشر شده اعلام می‌دارند که این سازمان چگونه قادر است به درون مراکز داده‌ای که بر مبنای تجهیزات شرکت‌هایی همچون سیسکو، Juniper Networks،  JNPR، Fortinet و یک شرکت چینی فعال در زمینه تجهیزات شبکه موسوم به Topsec ساخته می‌شوند، نفوذ کند. این گروه هکری در بیانیه‌ای اعلام داشته، حاضر است ابزارهای فوق را به بالاترین قیمت پیشنهاد شده به فروش برساند. سیسکو در ادامه سایر محصولات خود همچون نرم‌افزار محبوب شبکه را به منظور وجود اکسپلویت‌های مشابه مورد بررسی قرار داد. این نرم‌افزار از سوی سوییچ‌ها و روترهای مختلف این شرکت مورد استفاده قرار می‌گیرد.

سیسکو گفته است: «تا زمانی که وصله مربوطه برای این آسیب‌پذیری ارائه نشود، هیچ راهکاری برای ترمیم این مشکل وجود ندارد. با این حال ما یکسری اقدامات متقابل را برای محافظت از کاربران خود به مرحله اجرا می‌گذاریم.» این شرکت وعده داده است در سریع‌ترین زمان ممکن وصله مربوطه را ارائه کند.

عیب یابی شبکه های اترنت – قسمت دوم

۷- تبدیل نام ها

ممکن است با استفاده از یک نرم افزار خدماتی موسوم به nslookup ، به بررسی طرف DNS شبکه خود واتصال آن به اینترنت بپردازید. همان طور که قبلا ً گفته شد این کار در هنگامی ضرورت می یابد که پس از پینگ کردن یک آدرس در اینترنت، نتوانسته باشید به یک URL بروید یا نام های DNS را ping کنید. با این حال nslookup که یک نرم افزار خدماتی خط فرمان است، امکان تبدیل نام های DNS به نشانی IP و بالعکس را مستقیما ً فراهم می کند. در خود نرم افزار nslookup ، چندین گزینه ی دیگر هم وجود دارد و برای دیدن تمامی گزینه های اختیاری کافی است پس از تایپ nslookup ، علامت ”؟” را درج کنید. اما ساده ترین راه برای استفاده از این نرم افزا، تایپ nslookup و سپس تایپ نام DNS یا نشانی IP مورد نظر است. بعد از این کار، با استفاده از تنظیمات پیش فرض سرویس دهنده DNS در سیستم میزبان، عملیات جستجو (lookup ) انجام خواهد شد. اگر نام یا نشانی درج شده را درست فرض کنیم، اختلال در تبدیل، نشان دهنده مشکلی در همان قسمت خاص است که معمولا ًیک ورودی ناصحیح سرویس دهنده DNS می باشد. در هنگام تفسیر نتایج حاصل از nslookup و دیگر ابزار معرفی شده در این مقاله باید احتیاط کرد، ما ابزار فوق هیچ ضرر و زیان جدی به شما وارد نمی کند، پس ارزش یکبار آزمایش را دارند.

۸- تست کابل

اولین کابلی که باید سلامت آن مورد بررسی قرار گیرد Patch Cable است که ارتباط ایستگاه کاری یا هرگونه تجهیزات شبکه را با پریز دیواری برقرار می کند. برای این کار, یک طرف Patch Cable را به پورت شبکه دستگاه Link Runner و طرف دیگر آن را به پورت Wiremap متصل می کنیم تا سلامت آن بررسی شود. قدم بعدی دنبال کردن مسیر کابل ها برای یافتن ,ایراد است.
در این وضعیت به سوییچ و رک می رسیم. اگر رک بزرگ و شلوغ باشد, معمولاً یافتن کابل مورد نظر در آن مشکل است خصوصاً اگر به درستی نیز علامت گذاری نشده باشند. برای رفع این مشکل, دستگاه Link Runner دو گزینه دارد. اول آنکه دستگاه یک آوای صوتی را روی کابل منتشر میکند.این صدا با tone probe قابل شنیدن است. از این طریق می توان کابل مرتبط را یافت و به خصوص برای موقعی مناسب است که نمی دانیم کابل به سوییچ متصل است یا خیر. به غیر از این وقتی طرف دورتر کابل مشخص است, آداپتور Wire map دستگاه می تواند برای بررسی سلامت کابل افقی و نحوه اتصالات آن مورد استفاده قرار گیرد. در همین حال, دستگاه اقدام به ارسال سیگنال نیز میکند. در این صورت چراغ مربوط به آن پورت روی سوییچ, هر ۳ ثانیه یک بار چشمک می زند و به این طریق می توان فهمید که کدام پورت از سوییچ به کابل مورد نظر ما متصل است. وقتی محل پورت مشخص شد, کابل را می توان روی پورت بدون استفاده دیگری تست کرد. اگر اشکال از پورت روی سوییچ باشد, ممکن است با تغییر کابل از پورتی به پورت دیگر , مشکل شبکه حل شود. اگرپورت های هاب یا سوییچ نیز سالم باشند, آنگاه باید به سراغ ایستگاههای کاری رفت, با اتصال مستقیم Link Runner به کارت شبکه می توان به درستی کارکرد آن را بررسی کرد. Link Runner با اتصال به کارت, لینکی را برقرار می کند و نوع و سرعت لینک را بررسی و گزارش می کند.اگر کارت شبکه سالم باشد, باید ایستگاه کاری را بوت کرد و از خط فرمان وبا استفاده از دستوری مانند ping این امکان را فراهم کرد که Link Runner ترافیک شبکه را مشاهده کند. اگر دستگاه وجود هیچگونه ترافیکی را گزارش نکرد باید به تنظیمات خود PC دقت کرد که ممکن است اشکال در آنجا نهفته باشد. اگر گزارش لینک و ترافیک همه چیز را به خوبی نشان دهد, آن گاه باید به تنظیمات شبکه ای PC مشکوک شد.

 

۹- بررسی فعالیت کلی سگمنت ها(Segment)

در یک شبکه اترنت یک طرفه یا Half Duplex به علت وجود تعداد ایستگاه هایی که می توانند به طور همزمان داده ها را ارسال کنند و همچنین محدودیت اندازه frame ها اگر تعداد زیادی از ایستگاهها به طور همزمان شروع به تبادل داده بنمایند, به علت تکرار تصادم یا Collision, کار آیی کل شبکه به شدت افت خواهد کرد.

البته بروز تعداد متعادلی پدیده تصادم در شبکه های اترنت Half Duplex امری طبیعی است ولیکن هنگامی که تعداد این تصادم ها رو به افزایش می گذارد, ترافیک شبکه نیز بالا می رود و بالا رفتن ترافیک شبکه که به علت ارسال مجدد پکت ها می باشد, افت کیفی شبکه را به دنبال دارد. در چنین شبکه ای منحنی کارآیی شبکه به یک باره سقوط می کند و نحوه تغییر این منحنی به تعداد فریم های ارسالی , تعداد تصادم ها و تعداد پکت هایی که به ارسال مجدد نیاز دارد, بستگی دارد. با کاهش کارآیی شبکه ,کار کردن برای کاربران شبکه مشکل می شود و انتقال داده ها نیز با وقفه و کندی صورت می گیرد. برای رفع این عیب, شناخت Segment های شبکه و بررسی ترافیک شبکه ضروری است. با استفاده از LinkRunner می توانید تست مربوط و اقدام بهینه را انجام دهید. اگر ترافیک شبکه در جریان باشد LinkRunner آن را به صورت نوارهایی روی صفحه نمایش خودش نشان می دهد.

۱۰- استفاده از DHCP

اگر لینک شبکه برقرار باشد و به آزمونهای اولیه پاسخ دهد, در نتیجه کاربر می تواند آزمایشهایی را با ping انجام دهد. اگر از Link Runner استفاده می کنید, این دستگاه در اینجا سعی می کند که ابتدا یک IP Address از سرور DHCP شبکه به دست بیاورد. DHCP در واقع یکی از معمولترین روشهای مبتنی بر انتشار (Broadcast) است. به طور معمول, برای هر subnet, یک سرور DHCP مجزا نیاز است(که این امر پر هزینه است و از نظر مدیریت نیز مشکل می باشد ) و یا اینکه DHCP رله کننده پراکسی هایی است که وظیفه نقل وانتقال در خواست ها را بین کلاینت ها وسرورها برعهده دارند( هنگامی که کلاینت ها و سرورها به طور فیزیکی در یک subnet قرار ندارند). این انتشار جهت دار می تواند راهنمای خوبی برای اطلاع از اوضاع ترافیک شبکه باشد. عدم موفقیت هر کلاینت یا Link Runner در اتصال خودکار به DHCP می تواند نشانه ای از بروز مشکل در سیستم رله کننده DHCP باشد. DHCP در اغلب شبکه های امروزی وجود دارد و دستگاه نیز می تواند با پیکر بندی IP دستی یا ایستا نیز کار کنند. پروسه کاری نیز شامل به دست آوردن یک نشانه DHCP برای سنجش صحت کار کرد کابل های محلی, هاب محلی, پورت سوییچ و نهایتاً کل زیر ساخت شبکه باشد.

 

۱۱- تست پیشرفته تر

اگر ایستگاه کاری می تواند با شبکه لینک برقرار کند, باید بررسی کنید که آدرس دهی ایستگاه کاری متناسب با subnet مرتبط با آن است یا خیر. سپس بررسی اینکه از protocol stack درستی استفاده می کند و به درستی نیز پیکربندی شده است یا نه. سپس باید همه اجزای برنامه های مورد نیاز را بررسی نمود. این کار معمولاً از طریق حذف کردن پروتکل ها یا حذف تنظیمات کارت شبکه و نصب مجدد آنها صورت می گیرد تا از صحت کارکرد آنها اطمینان حاصل شود. اگر همه این موارد نیز به درستی کار میکنند, احتمالاً رفع مشکل به دانش تخصصی بیشتر و پیشرفته تری نیاز دارد.

ابزارهای مدیریت و تست شبکه همچون PLC’s Smart Bits TeraMetrics XD و Acterna DA۳۴۰۰ Ethernet Data Network Analyzer نیز نقشی مهم در عیب یابی و شناسایی شبکه ها ایفا می کنند. مدیریت شبکه در واقع در بهترین شکل آن، شامل ترکیب بندی و دیده بانی دوردست Remote Monitoring شبکه می شود که به شما امکان می دهد علا وه بر انجام اصلا حات نهایی از راه دور، سالم بودن شبکه خود را نیز ارزیابی کنید.

عیب یابی شبکه های اترنت – قسمت اول

پیکربندی و برپائی شبکه های اترنت کاری تقریباً ساده است. موضوع عیب یابی که شامل تشخیص و تعیین نوع مشکل و رفع آن می شود نیز از مباحث مهم نگهداری شبکه ها به شمار می رود. منشأ این عیب می تواند نرم افزاری، سخت افزاری، عدم تطابق تجهیزات، ناهماهنگی بین اجزا، تنظیمات نادرست و … باشد. افراد دست اندرکار رفع مشکلا ت شبکه در تمامی موارد، الزاماً نباید مدارک علمی چندان سطح بالا یی داشته باشند. چون در این میدان تجربه و کارآزمودگی حرف اول را می زند و معمولا ًً داشتن اطلا عات اولیه و زیربنایی از شبکه ها کافی به نظر می رسد. عیب یابی یک شبکه بسیار شبیه حل معما است. اگر یک ایده کلی در مورد نحوه عملکرد شبکه به دست آورده اید و می دانید کدام بخش ها به یکدیگر وابسته هستند. چنانچه در هنگام راه اندازی شبکه به مشکلاتی برخورده اید، رهنمودهای زیر برای تست سریع شبکه راه گشا خواهد بود؛ بسیاری از این مشکلات به سادگی برطرف می شوند. اما به شرط آن که قبلا با راه حل ها آشنا شده باشید. در این بخش عیب یابی شبکه های کامپیوتری توضیح داده می شود. به خاطر داشته باشید به عنوان یک تکنیسین شبکه داشتن ابزارهائی مانند Link Runner شناسائی و رفع عیب شبکه ساده تر خواهد شد.

۱- اتصال پذیری

شاید بدیهی به نظر برسد،اما در قدم اول باید مشخص شود که آیا همه کامپیوترها، سرویس دهنده ها، چاپگرها و دیگر دستگاه های متصل به شبکه می توانند با یکدیگر ارتباط برقرار کنند یا خیر. برای این منظور، در شبکه ی باسیم، باید مطمئن شد که میان هر دستگاه و هاب یا سوییچ مرکزی یک کابل ارتباطی مطمئنی وجود دارد که به ترتیب درستی متصل شده باشند، چرا که وجود دو نوع کابل شبکه مختلف و اتصال نادرست آنها مشکل ساز می شود. اکثر کابل های مدرن UTP (جفت های تابیده بی حفاظ) اتصال دهنده هایی دارند که در هر دو انتها به یکدیگر متصل می شوند. در خود این اتصال دهنده ها، چندین سیم مجزا هست که ممکن است به همان پین های اتصالی در همان انتها وصل شوند یا به صورت ضربدری اتصال یابند. کابل های مستقیم، یک کامپیوتر شخصی، سرویس دهنده یا دیگر وسایل شبکه را به هاب یا سویچ متصل می کنند. کابل های ضربدری، اتصال دو کامپیوتر شخصی به یکدیگر را ممکن می سازند و در اتصال سریالی یک هاب یا سو ییچ به هاب یا سوییچ دیگر کاربرد دارند. استفاده غلط از کابل ها(که غالبا ً هیچ علامتی هم ندارند) باعث می شود سیگنال ها به مقصد نرسد. اگر به ترتیب رنگ های اتصال یک کابل اطمینان ندارید، ساده ترین راه وصل کردن کابل مذکور و سپس بررسی LED اتصال در آداپتور یا انتهای سوییچ است. اکثر کابل ها یک LED (دیود نوری) کوچک سبز رنگ دارند که در صورت برقراری اتصال قبل از روشن شدن دستگاه، روشن می شود. در بعضی کابل ها این دیود نوری به دو رنگ زرد یا نارنجی در می آید تا اتصال ۱۰۰ مگابایت در ثانیه یا گیگابایت باشد (در بعضی دیگر، چراغ های راهنمای ۱۰۰ مگابایتی جداگانه ای وجود دارد.) اما اگر هیچ نوری به چشم نخورد، مطمئنا ً کابل نادرستی را به کار برده اید. در این صورت چاره ی کار تعویض کابل است، هر چند در برخی از سوییچ ها، دگمه هایی در کنار پورت های خاص معمولا با علامت Uplink وجود دارد که امکان استفاده از یک کابل مستقیم برای برقراری اتصال با هاب یا سوییچ دیگر را فراهم می کند. برخی از جدیدترین سوییچ ها می توانند به طور خودکار کابل های مورد استفاده را بررسی کنند و از داخل ترتیب رنگ های پورت را به شکلی مناسب تغییر دهند.

 

۲- چشمک زدن LED

در برخی از موارد ممکن است LED اتصال به عوض آنکه دائما ً روشن باشد، چشمک بزند. حالت اخیر به این معناست که فعالیت هایی در این خط ارتباطی انجام شده اما در نصب پورت ناسازگاری هایی وجود داشته است. مثلا ً فرض کنید که آداپتور کامپیوتر شخصی روی ۱۰۰ مگابایت در ثانیه و پورت سوییچ روی ۱۰ مگابایت در ثانیه تنظیم شده باشد. خوشبختانه در حال حاضر تقریبا ً تمامی وسیله ها، به منظور اجتناب و عدم سازگاری سرعت در دو طرف، از تشخیص خودکار (auto Sensing ) سرعت پورت و نصب دو طرفه پشتیبانی می کنند. با این حال در هنگام استفاده از وسایل کارخانه های مختلف به مشکلاتی برخورده ایم که تنها با تنظیم دستی پارامترهای فوق بر طرف می شود.

۳- اتصال های بی سیم

بررسی اتصالات بی سیم اندکی سخت تر است، چونکه برقراری اتصال، نشانه ی مشخصی ندارد. با این حال، در کنار اکثر آداپتورهای بی سیم، نرم افزارهایی به بازار عرضه شده که برقراری اتصال را به شما اعلام می کند و فارغ از فروشنده مربوطه با تسهیلات مشابهی در ویندوز XP عرضه می شود. برای عیب یابی اتصالات بی سیم، در وهله نخست مطمئن شوید که کلیه گزینه های امنیتی یا رمز گذا، غیر فعال شده اند. سپس اطمینان یابید که آداپتور روی حالت صحیح تنظیم شده باشد. اکثر آداپتورها یک حالت ad hoc برای اتصال دو وسیله همانند دارند و برای کاربرد در یک access point به پیکر بندی جداگانه ای مجهز هستند. مطمئن شوید که در سراسر شبکه از یک کانال و SSID واحد (ID مجموعه سرویس دهنده که Lan بی سیم را شناسایی می کند) استفاده می شود.

۴- پیکر بندی IP

بعد از اینکه ثابت کردید وسایل شما به لحاظ فیزیکی به یکدیگر متصل هستند،در قدم بعد مطمئن شوید که آنها می توانند با یکدیگر ارتباط برقرار کنند. در اکثر شبکه هایی که با TCP/IP کار می کنند، برای برقراری ارتباط باید نشانی IP یگانه ای به تک تک وسیله ها اختصاص یابد. نشانی ها را می توان به صورت دستی پیکر بندی نمود، اما بهتر آن است که از پروتکل پیکربندی دینامیک میزبان (DHCP ) استفاده شود که در آن یک سرویس دهنده DHCP ، نشانی های IP را از محل یک مخزن تعیین شده، توزیع می کند. به این ترتیب هیچ وقت دو یا چند سیستم، نشانی های یکسانی نخواهند داشت. بیشتر مسیریاب ها و پل های ارتباطی، یک سرویس دهندهDHCP داخلی دارند. همچنین می توان سرویس دهنده ویندوز را طوری پیکر بندی نمود که این عملیات را انجام دهد و پس از پیکربندی نیاز به کاردیگری نداشته باشد. باتمام این حرف ها ممکن است اشتباهاتی رخ دهد. هنگامی که مشکلی پیش آمد در ابتدای کار عیب یابی، مطمئن شوید که نشانی های درستی به کار رفته است. تمامی کارهای فوق را می توان با استفاده از برنامه خدماتی ipconfig موجود در ویندوز و از طریق یک پنجره فرمان در کامپیوتر شخصی یا سرویس دهنده آزمایش نمود. در هر پنجره فرمان، ipconfig را تایپ کنید تا نشانی IP اختصاص یافته به هر رابط شبکه را ببینید. با اضافه کردن”all ”به انتهای فرمان، دیگر اطلاعات شبکه همچون نشانی MAC ، نشانی سرویس دهنده DHCP به کار رفته و پل ارتباطی پیش فرض و نشانی های DNS به نمایش در می آید،اطلاعاتی که در هنگام اشکال زدایی از شبکه می تواند مفید واقع شود. اگر تنظیمات DHCP را تغییر داده اید اما کامپیوتر شخصی یک سرویس گیرنده هنوز آن را اعمال نکرده است، می توانید با اضافه کردن elease به فرمان ipconfig ، کامپیوتر مذکور را وادار به استفاده از نشانی جدید نمایید و با اضافه کردن renew به انتهای فرمان، ipconfig را دوباره اجرا کنید. چنانچه ipconfig هیچ نوع نشانی را به نمایش نگذارد، این احتمال هست که سرویس دهنده DHCP ، غیر فعال یا غیر قابل دسترسی باشد.این احتمال هم وجود دارد که کامپیوتر شخصی یا سرویس دهنده، طوری پیکربندی نشده باشد که بتواند با استفاده از DHCP به نشانی یابی خودکار خود دست یابد. در این وضعیت کافی است تنظیمات کامپیوتر شخصی را تغییر دهید. در برخی از سیستم های ویندوز ممکن است به نشانی هایی برخورد کنید که با ۱۶۹ شروع می شود (۱۶۹.xxx.xxx.xxx ) و این در صورت است که تخصیص خودکار پیکربندی شده اما هیچ سرویس دهنده DHCP وجود ندارد، اما از لحاظ عیب یابی باید آن را یک خطا به حساب آورد.

 

۵- بررسی Ping

یکی دیگر از ابزارهای اصلی برای عیب یابی، نرم افزار خدماتی ping است. Ping پرکاربردترین ابزار عیب¬یابی شبکه ها است و تقریباًهمه کسانی که درگیر رفع اشکال شبکه هستند با این دستور و نحوه استفاده از آن آشنا می باشند, اما چرا این ابزار ساده, این قدر مفید است؟
Ping کردن موفقیت آمیز سرویس های اصلی شبکه نظیر Web applicationها و User authentication نشان خواهد داد که سرویس ها به تنهایی از محل کلاینت ها قابل دسترسی هستند. در واقع موفقیت انجام یک ping ساده نشان می دهد که ارتباط مستقیم یا End-to-End بین دو دستگاه درلایه ۳ مشکلی ندارد. انجام کامل این عمل در شبکه می تواند نمایی کامل از وضعیت شبکه را به دست بدهد. البته درخواست های ICMP در ترافیک داده ها اولویت پایینی دارند و اگر روتری در مسیر دستگاههای پر کاربرد باشد , ممکن است آن دستگاهها را به موقع ارسال ننماید. سرورهای خارج از شبکه یک سازمان بزرگ نیز می تواند از جانب کلاینت ها به عنوان مقصد Ping برای بررسی صحت ارتباط شبکه WAN مورد استفاده قرار گیرند. اگر سرورهای سمت داخلی فایروال به ping پاسخ دهند اما سرورهایی که پشت فایروال هستند, تقاضای ping را نادیده بگیرند, تکنسین های شبکه را به این نتیجه می رسانند که باید نگاهی به مسیریاب ها یا سایر ادوات مربوط به زیر ساخت شبکه بیندازند و اشکال را در آنها جستجو کنند اگر نتیجه برعکس باشد یعنی سرورهای پشت فایروال به ping پاسخ می دهند ولی سرورهای سمت داخل, تقاضای ping را نادیده می گیرند, آنگاه تکنسین شبکه باید در پی پاسخ این سؤال باشد که چرا بعضی از بخشهای شبکه در دسترس نیستند. اگر حالت سوم روی دهد یعنی همه سرورهای دو طرف فایروال به ping پاسخ دهند, اما کلاینت ها به درستی پاسخ نمی دهند , نتیجه می گیریم که در نقل و انتقال فیزیکی داده ها اشکالی وجود دارد.
در خط فرمان داس ping را تایپ می کنید و این بار در انتهای آن، نشانی IP یا نام DNS دیگر سیستم های دلخواه خود برای برقراری ارتباط را اضافه می کنید. بعضی از مسیریاب ها و دیگر وسایل شبکه امکان صدور فرمانهای ping را هم فراهم می کنند. در هر دو حالت مجموعه ای از بسته های ارتباطی ICMP (پروتکل کنترل پیام ای اینترنتی ) به نشانی مورد نظر فرستاده می شود. اگر سیستم هدف پاسخ دهد مدت زمان لازم برای مجموع رفت و برگشت مشخص خواهد شد. در این شکل،هدف اول (۱۹۲.۹۲.۱۹۵.۲۲۲ ) در شبکه LAN است و بسیار سریع (با سرعت یک متر بر ثانیه) پاسخ می دهد. هدف دوم (۱۹۲.۹۲.۱۹۵.۲۲۲ )یک سرویس دهنده DNS عمومی (در این مورد، Free ) است و مدت زمان بیشتری می طلبد. اگر هیچ پاسخی در کار نباشد یا کامپیوتر میزبان غیر قابل دسترسی است و یا قبل از دریافت پاسخ، مدت مهلت زمانی به پایان رسیده است. در هر صورت ایراد کار مشخص نمی شود اما کاربرد ping ، سرنخ های مهمی را به همراه می آورد.بهتر است در عیب یابی مشکلات مربوط به اتصال به اینترنت قبل از همه، پل ارتباطی را بررسی کنیم. اگر پل ارتباطی پاسخی ندهد، احتمالا ً مشکل درهمین قسمت است یعنی یا مسیر یاب از کار افتاده و یا خط ارتباطی غیر فعال است. اما اگر بتوانیم پل ارتباطی را ping کنیم، همچنین یک نشانی اینترنتی را ping کنیم و اگر به این شیوه بتوانیم به اینترنت راه پیدا کنیم اما امکان مرور وب یا بازیابی email فراهم نباشد، مشکلی در DNS خواهد بود یا سرویس دهنده DNS غیرفعال است که با استفاده از برنامه nslookup آن را بررسی می کنیم و یا در کامپیوتر سرویس گیرنده، نشانی اشتباهی پیکر بندی شده است که با کاربرد ipconfig آن را پیدا می نمایم. حصارهای امنیتی (Firewalls ) را به گونه ای می توان پیکر بندی نمود که مانع ورود ICMP شود، به همین خاطر ناتوانی در پینگ کردن یک وسیله راه دور الزاما ً به معنای مشکل ارتباطی نمی باشد. اکثر مسیریاب های خانگی یا تجاری کوچک به گونه ای پیکر بندی خواهند شد که به درخواست های Ping دریافتی از طریق اینترنتی پاسخ ندهند، اما پینگ های محلی را همچنان باید پاسخ گفت.

 

۶- ردیابی مسیر

پینگ های ارسالی به یک میزبان اینترنتی، بیشر از پینگ های محلی طول می کشد، زیرا ممکن است میان سیستم های مبدا و هدف، چند مسیر یاب موجود باشد. با استفاده از یک برنامه خدماتی ویندوز موسوم به tracert (traceroute برای کاربران لینوکس ) می توان تعداد این قبیل ”توقفگاه ها” (hops ) و نشانی های مسیریاب های واسط را تعیین کرد. پس از تایپ tracert نشانی IP هدف (یا نام DNS ) را اضافه کنید. بسته های ارتباطی برای رسیدن به نشانی IP مورد نظر (۱۹۵.۹۲.۱۹۵.۲۲۲ )، نخست از طریق یک مسیریاب محلی به نشانی ۱۹۲.۱۶۸.۰.۲۲۲ ارسال می شوند و سپس قبل از رسیدن به مقصد نهایی، چند نقطه ی دیگر را پشت سر می گذارند. در مورد عیب یابی محلی، معمولا ً فقط به اولین ”توقفگاه ” توجه می کنیم، هر چند در صورت بروز مشکلات اجرایی و دیگر اطلاعات راه گشاه خواهد بود.

امنیت در شبکه های بی سیم

امنیت در شبکه های بی سیم
از آن‌جا که شبکه‌های بی سیم، در دنیای کنونی هرچه بیشتر در حال گسترش هستند، و با توجه به ماهیت این دسته از شبکه‌ها، که بر اساس سیگنال‌های رادیویی‌اند، مهم‌ترین نکته در راه استفاده از این تکنولوژی، آگاهی از نقاط قوت و ضعف آن‌ست. نظر به لزوم آگاهی از خطرات استفاده از این شبکه‌ها، با وجود امکانات نهفته در آن‌ها که به‌مدد پیکربندی صحیح می‌توان به‌سطح قابل قبولی از بعد امنیتی دست یافت، بنا داریم در این بخش به «امنیت در شبکه های بی سیم» بپردازیم.

سه روش امنیتی در شبکه های بی سیم عبارتند از :
– WEP: Wired Equivalent Privacy
در این روش از شنود کاربرهایی که در شبکه مجوز ندارند جلوگیری به عمل می آید که مناسب برای شبکه های کوچک بوده زیرا نیاز به تنظیمات دستی( KEY ) مربوطه در هر Client می باشد. اساس رمز نگاری WEP بر مبنای الگوریتم RC4 بوسیله RSA می باشد.

– SSID: Service Set Identifier
شبکه های WLAN دارای چندین شبکه محلی می باشند که هر کدام آنها دارای یک شناسه (Identifier ) یکتا می باشند این شناسه ها در چندین Access Point قرار داده می شوند . هر کاربر برای دسترسی به شبکه مورد نظر بایستی تنظیمات شناسه SSID مربوطه را انجام دهد .

– MAC : Media Access Control
لیستی از MAC آدرس های مورد استفاده در یک شبکه به AP (Access Point ) مربوطه وارد شده بنابراین تنها کامپیوترهای دارای این MAC آدرسها اجازه دسترسی دارند به عبارتی وقتی یک کامپیوتر درخواستی را ارسال می کند MAC آدرس آن با لیست MAC آدرس مربوطه در AP مقایسه شده و اجازه دسترسی یا عدم دسترسی آن مورد بررسی قرار می گیرد .این روش امنیتی مناسب برای شبکه های کوچک بوده زیرا در شبکه های بزرگ امکان ورود این آدرسها به AP بسیار مشکل می باشد.
ضعف امنیتی در شبکه‌های بی‌سیم و خطرات معمول
خطر معمول در کلیه‌ی شبکه‌های بی‌سیم مستقل از پروتکل و تکنولوژی مورد نظر، بر مزیت اصلی این تکنولوژی که همان پویایی ساختار، مبتنی بر استفاده از سیگنال‌های رادیویی به‌جای سیم و کابل، استوار است. با استفاده از این سیگنال‌ها و در واقع بدون مرز ساختن پوشش ساختار شبکه، نفوذگران قادرند در صورت شکستن موانع امنیتی نه‌چندان قدرت‌مند این شبکه‌ها، خود را به‌عنوان عضوی از این شبکه‌ها جازده و در صورت تحقق این امر، امکان دست‌یابی به اطلاعات حیاتی، حمله به سرویس دهنده‌گان سازمان و مجموعه، تخریب اطلاعات، ایجاد اختلال در ارتباطات گره‌های شبکه با یکدیگر، تولید داده‌های غیرواقعی و گمراه‌کننده، سوءاستفاده از پهنای‌باند مؤثر شبکه و دیگر فعالیت‌های مخرب وجود دارد.

در مجموع، در تمامی دسته‌های شبکه‌های بی‌سیم، از دید امنیتی حقایقی مشترک صادق است :

تمامی ضعف‌های امنیتی موجود در شبکه‌های سیمی، در مورد شبکه‌های بی‌سیم نیز صدق می‌کند. در واقع نه تنها هیچ جنبه‌یی چه از لحاظ طراحی و چه از لحاظ ساختاری، خاص شبکه‌های بی‌سیم وجود ندارد که سطح بالاتری از امنیت منطقی را ایجاد کند، بلکه همان گونه که ذکر شد مخاطرات ویژه‌یی را نیز موجب است.
نفوذگران، با گذر از تدابیر امنیتی موجود، می‌توانند به‌راحتی به منابع اطلاعاتی موجود بر روی سیستم‌های رایانه‌یی دست یابند.
اطلاعات حیاتی‌یی که یا رمز نشده‌اند و یا با روشی با امنیت پایین رمز شده‌اند، و میان دو گره در شبکه‌های بی‌سیم در حال انتقال می‌باشند، می‌توانند توسط نفوذگران سرقت شده یا تغییر یابند.
حمله‌های DoS به تجهیزات و سیستم‌های بی‌سیم بسیار متداول است.
نفوذگران با سرقت کدهای عبور و دیگر عناصر امنیتی مشابه کاربران مجاز در شبکه‌های بی‌سیم، می‌توانند به شبکه‌ی مورد نظر بدون هیچ مانعی متصل گردند.
با سرقت عناصر امنیتی، یک نفوذگر می‌تواند رفتار یک کاربر را پایش کند. از این طریق می‌توان به اطلاعات حساس دیگری نیز دست یافت.
کامپیوترهای قابل حمل و جیبی، که امکان و اجازه‌ی استفاده از شبکه‌ی بی‌سیم را دارند، به‌راحتی قابل سرقت هستند. با سرقت چنین سخت افزارهایی، می‌توان اولین قدم برای نفوذ به شبکه را برداشت.
یک نفوذگر می‌تواند از نقاط مشترک میان یک شبکه‌ی بی‌سیم در یک سازمان و شبکه‌ی سیمی آن (که در اغلب موارد شبکه‌ی اصلی و حساس‌تری محسوب می‌گردد) استفاده کرده و با نفوذ به شبکه‌ی بی‌سیم عملاً راهی برای دست‌یابی به منابع شبکه‌ی سیمی نیز بیابد.
در سطحی دیگر، با نفوذ به عناصر کنترل کننده‌ی یک شبکه‌ی بی‌سیم، امکان ایجاد اختلال در عمل‌کرد شبکه نیز وجود دارد.

سیگنال‌های وای‌فای از روی دست شما تقلب می‌کنند!

پژوهش‌گران موفق به طراحی سامانه‌ای شده‌اند که می‌تواند کلیدهای تایپ شده توسط کاربر را شناسایی کند. این سامانه از سیگنال‌های وای‌فای به منظور استخراج کلیدها استفاده می‌کند. زمانی که در حال فشار دادن کلید خاصی هستید، دستان و انگشتان شما قالب و مسیر حرکت منحصر به فردی به خود می‌گیرند و به این شکل یک الگوی منحصر به فرد را به وجود می‌آورند که این الگو باعث به وجود آمدن طول موجی در مقادیر CSI می‌شود که اکنون پژوهش‌گران می‌توانند آن‌را روبایش کنند.

تیمی متشکل از دانشمندان علوم کامپیوتر دانشگاه ایالتی میشیگان و دانشگاه نانجینگ پکن در مقاله‌ای به تشریح سامانه‌ای پرداختند که آن‌را WiKey نام‌گذاری کرده‌اند. سامانه‌ای که با اکثر دستگاه‌های وای‌فای (از قبیل روترها) مجهز به قابلیت چند ورودی/چند خروجی (multiple-input and multiple-output) سازگاری دارد. هر کانال مایمو بین هر یک از آنتن‌های ارسال-دریافت (TX-RX) متعلق به یک جفت گیرنده و فرستنده قرار گرفته و چندین زیرحامل (sub-carriers) را در معرض تهدید قرار می‌دهد.

این دستگاه‌های وای‌فای به‌ طور پیوسته وضعیت کانال وای‌فای را برای انتقال موثر و بهبود نرخ سازگاری برای هر یک از MiMostreamها تحت نظارت قرار می‌دهند. اکثر روترها این توانایی را دارند تا وضعیت یک کانال وای‌فای را تحت نظر گرفته و اطلاعات حالت کانال (CSI) سرنام channel state information را برداشت کنند. این مقادیر CSI، به نوبه خود، توصیف کننده اطلاعاتی هستند که ما آن‌ها را پاسخ کانال فرکانس (CFR) یا نوسانات موجود در سیگنال به نمایش گذاشته شده میان هر یک از آنتن‌های زیرحامل می‌نامیم. نوساناتی که به شدت پیرامون یک کانال وای‌فای قرار دارند. همان‌گونه که ممکن است حدس زده باشید، CFR حتا این قابلیت را دارد تا حرکت دست و انگشتان را که به واسطه تایپ کلیدها طول موجی را به وجود می‌آورد، شناسایی کند.

در این آزمایش‌، پژوهش‌گران یک روتر وای‌فای TP-Link TL-WR1043ND  و یک لپ‌تاپ لنوو مدل X200 را مورد استفاده قرار دادند. زمانی که کاربر در حال تایپ یک موضوع بود، پژوهش‌گران از آنتن‌های روتر برای جمع‌آوری تمامی مقادیر مربوط به اطلاعات حالت کانال استفاده کردند. بعد از جمع‌آوری داده‌ها با استفاده از چند فیلتر مختلف پارازیت‌هایی که از منابع مختلف دریافت شده بود را حذف کردند و کلیدها را به صورت ایزوله شده، استخراج کردند. با استفاده از یک الگوریتم ویژه‌ محققان توانستند هر ضربه‌ای که به کلیدها وارد می‌شوند را دریافت کنند. اطلاعات به دست آمده، نشان داد که آن‌ها موفق شده‌اند، یک ابزار واقعی که قادر است کلیدهای تایپ شده را استخراج کند، طراحی کنند.

به طور کلی میزان موفقیت WiKey در شناسایی درست کلیدها زمانی که کلیدها به صورت تکی فشرده می‌شوند، ۹۶٫۴ درصد بود است. البته این نرخ موفقیت، زمانی که کلیدها به طور مداوم و برای تایپ یک جمله مورد استفاده قرار می‌گیرند، به نرخ ۹۳٫۵ درصد می‌رسد.

مجرمان سایبری و پژوهش‌گران امنیتی در سال‌های اخیر به امنیت صفحه‌کلیدها توجه ویژه‌ای از خود نشان داده‌اند. با تلاش‌های مداوم و گاهی اوقات تعامل با یکدیگر، آن‌ها نشان داده‌اند که بدافزارها نه فقط این توانایی را دارند تا کلیدهای تایپ شده را با استفاده از سیگنال‌های FM از یک کامپیوتر ایزوله شده برداشت کنند، بلکه ثابت کرده‌اند که می‌توان هویت یک کاربر را شناسایی کرده و بر اساس آن چیزی که تایپ می‌کند به ردیابی او پرداخت.

لازم به گفتن نیست که این سامانه با محدودیت‌هایی همراه است. برای این آزمایش، پژوهش‌گران مجبور شدند تعدادی از متغیرها را به طور ویژه تنظیم کنند. آماده‌سازی محیطی با حداقل پارازیت‌ها، دستگاهی که در فاصله دو متری میان روتر و صفحه‌کلید قرار دارد، ارائه آموزش لازم به افراد به طوری که در طول روز سر یا دیگر اعضا بدن خود را حرکت ندهند، از جمله این فاکتورها به شمار می‌روند. پژوهش‌گران امیدوار هستند در آینده مشکل عدم کارایی سیگنال‌ها که به واسطه پارازیت‌های محیطی ضعیف هستند را با اتکا بر فناوری‌های استخراج ژست‌های حرکتی بهبود بخشند.

بررسی قابلیت‌های VMware vSphere Web Client

از زمان انتشار نسخه ۵ بسته مجازی سازی vSphere ESXi شرکت وی‌ام ور نرم افزاری را معرفی کرد که با استفاده از آن امکان اتصال و مدیریت دیتاسنتر، کلاستر، میزبان و ماشین‌های مجازی از طریق وب امکان پذیر شد. مدت‌ها بود که صحبت از تسهیل مدیریت بستر مجازی از طرف راهبران سیستم، مشتریان و همکاران تجاری وی‌ام ور درخواست شده بود که نهایتا وی‌ام ور این نرم افزار تحت وب را ارائه داد. اگرچه نسخه اولیه آن برخی امکانات نرم افزار vSphere Client را که با زبان C#نوشته شده بود را پشتیبانی نمی‌کرد اما در نسخه ۵٫۱ و بعد از آن حدود ۹۸ درصد قابلیت‌ها پوشش داده شده است و برخی قابلیت‌های جدید به آن اضافه شده که در vSphere Client وجود ندارد.

vSphere Web Client جایگزین vSphere Client است و در نسخه های بعدی vSphere Suite نرم افزار vSphere Client گنجانده نخواهد شد و قابلیت‌های جدید vSphere Web Client نیز در آن قابل دسترس نیست. به این خاطر توصیه می کنم اگر تاکنون از این نرم افزار استفاده نکرده اید در اینجا با مزایا و قابلیت های آن بیشتر آشنا شوید و از آن بهره مند شوید.

از مزایای اصلی این نرم افزار می‌توان به موارد زیر اشاره کرد:

• قابلیت راهبری بستر مجازی با استفاده از سیستم عامل‌های مختلف مکینتاش، لینوکس، ویندوز
• راهبری بستر مجازی بدون نیاز به نصب
• راهبری بستر مجازی از طریق مرورگرهای دستگاه های تبلت و یا موبایل در هر کجای شبکه
• رابط کاربری زیبا و پیشرفته تر
• تسریع در برقراری ارتباط

vSphere Web Client با استفاده از Adobe Flex پیاده سازی شده است و به این خاطر کار با آن بسیار آسان است و گراف‌های آن نیز ظاهر زیباتری دارد.

نصب و تنظیم vSphere Web Client

نصب این نرم افزار نیاز به تنظیمات خاصی ندارد و خصوصا در نسخه ۵٫۱ این تنظیمات به حداقل رسیده است. با استفاده از دیویدی vCenter Serverمی‌توانید پس از نصب vCenter Server نرم افزار vSphere Web Client را نصب کنید. در صورتی که قابلیت Single Sign-on را نیز نصب و تنظیم کرده باشید vSphere Web Client می‌تواند به Active Directory متصل شده و با استفاده از آن هویت حساب‌های کاربری موجود را تایید کند.

برای اتصال به Web Client مرورگر شما بایستی از Flash Player نسخه ۱۱٫۱ یا بالاتر استفاده کند. همچنین با نصب یک پلاگین اضافی با نامVMware Client Integration Plug-in می‌توانید از طریق کامپیوتر خود کنسول ماشین مجازی را ببینید، حساب کاربری ویندوز از طریق SSO بررسی شود و یا فایل‌هایOVF را انتقال دهید.

vSphere Web Client در هر نسخه جدید مدیریت بستر مجازی VMware vSphere را آسان‌تر می‌کند و راهبران سیستم کنترل بهتری بر مسائل آن پیدا می‌کنند که این موضوع سبب می‌شود انجام کارهای روزمره و وظایف برنامه ریزی شده سیستم سرعت یابد.

والینگ: نسل جدیدی از حملات سایبری!

در دنیای امنیت اطلاعات، همیشه قاعده‌ای کلی وجود دارد. شرکتی امنیتی، یک مکانیزم امنیتی می‌سازد و چندی بعد مجرمان سایبری ابزاری برای گذر از این مکانیزم امنیتی طراحی می‌کنند. شاید در گذشته درباره فیشینگ، فیشینگ قلاب‌دار و راه‌های مختلفی که هکرها با استفاده از آن‌ها کاربران را فریب می‌دادند، مطالب زیادی خوانده باشید. حملات فیشینگ قدمتی بسیار طولانی دارند و مجرمان خیلی پیش‌تر از آنکه کامپیوترها پا به عرصه ظهور نهند، از این مدل حملات استفاده می‌کردند.

اما به نظر می‌رسد اکنون دیگر زمان حملات فیشینگ سنتی به سر رسیده است و باید در انتظار حملات والینگ و دیگر مکانیزم‌های پیچیده مهندسی اجتماعی باشید که در نزدیکی شما قرار دارند. اما پرسش اصلی این است که اساساً والینگ چیست و چرا خطرناک‌تر از فیشینگ سنتی است. در این مقاله به واکاوی این مدل از حملات خواهیم پرداخت.

هکرها در حال ساخت قایق بزرگ‌تری هستند
بدون اغراق می‌توان گفت تنها زمانی از وجود این چنین حملاتی آگاه خواهید شد که با تمامی روش‌های مهندسی اجتماعی که در آن کلاهبرداران آنلاین از ایمیل‌ها، تماس‌های تلفنی، پیام‌های فوری و حتی چاپ سنتی از طریق دستگاه فکس کلاهبرداری‌های می‌کنند، آشنا باشید. روش‌های مهندسی اجتماعی جدید، به مجرمان سایبری حیات تازه‌ای بخشیده‌اند. امروزه، آنلاین بودن برای بسیاری از افراد و سازمان‌های بزرگ چالش سختی محسوب می‌شود؛ در بسیاری از کسب‌وکارها حتی اختلالی چنددقیقه‌ای ممکن است خسارات زیادی به همراه آورد. مکانیزم حمله فیشینگ عمدتاً بر شهرت و نام تجاری سازمان‌ها، مشاغل شخصی و سودهای مالی شرکت‌ها و سازمان‌ها تأثیرگذار است. مجرمان سایبری به دو دلیل در این مدل حملات قدرتمند ظاهر می‌شوند. اول آنکه به حساب‌های ایمیلی که در معرض خطر قرار گرفته‌اند، دسترسی پیدا کرده‌اند و دوم آنکه موفق شده‌اند به کانال‌های شغلی معتبر و قانونی دست پیدا کنند. هدف اصلی مجرمان سایبری در این مدل حملات، فریب دادن متخصصان است.

والینگ چه حرف تازه‌ای برای گفتن دارد؟
به نظر می‌رسد حملات فیشینگ سنتی، هر ترفندی را که هکر نیاز دارد، در اختیارش قرار داده است. پس چرا باید از والینگ واهمه داشته باشیم؟ به‌تازگی اخباری منتشر شده است که نشان می‌دهد در سبک جدیدی از حملات، هکرها نیازی ندارند که کاربران روی لینک‌های آلوده کلیک کرده یا نرم‌افزارهای مخرب را اجرا کنند. در عوض، برای اولین بار مجرمان سایبری سیستم‌های آنلاین را به‌طور گسترده تحت نظارت قرار داده‌اند. این کار با هدف به دست آوردن اعتبار اینترنتی مورد نیاز هکرها انجام می‌شود. بعد از به دست آوردن این اعتبار، هکرها به سراغ کاربران نهایی می‌روند که ارزش زیادی دارند. آن‌ها کاربران سطح بالا را مجاب می‌کنند که مدیرعامل شرکت ایمیلی برایشان ارسال کرده و به این شکل آن‌ها را متقاعد می‌سازند که باید وجه مورد نیاز مدیرعامل را برای او انتقال داده یا اجازه یک معامله را بدهند.

بر خلاف فیشینگ سنتی که ایمیل‌هایی با آدرس‌های فریبنده برای قربانیان ارسال می‌کند، در والینگ هکرها به دنبال اعتبار هستند. این اعتبار از هر ابزار دیگری قدرتمندتر است. این موضوع را با ذکر یک نمونه واقعی تشریح  می‌کنیم.
داستان مربوط به شرکت «Alpha Payroll» است. کاربری چندی پیش فریب درخواستی را خورده بوده که در ظاهر این چنین بود که مدیرعامل شرکت برای او ایمیلی ارسال کرده است. متن ایمیلی که برای کاربر ارسال شده بود، به این شکل بود: «تهیه یک نسخه کپی از تمامی فرم‌های ۲۰۱۵ W-2 که شرکت Alpha Payroll تولید کرده، بر عهده مشتریان این شرکت است.»

کالبد شکافی یک پیام

ایمیل ارسال‌شده به ظاهر درست است و هیچ‌گونه نشانه‌ای از یک حمله در آن به چشم نمی‌خورد. اما جزئیات فنی چه می‌گویند؟ بعد از دریافت این ایمیل، در روز هشتم آوریل، بعد از آنکه یکی از مشتریان این شرکت گزارش داد کارمندان آن‌ها اظهارنامه‌های مالیاتی جعلی را با شماره تأمین اجتماعی آن‌ها به ثبت رسانده‌‌اند، یک سلسله تحقیقات داخلی صورت گرفت که خبر از فیشینگ موفقی می‌داد. تعدادی از کارشناسان گزارش دادند که یک مکانیزم داخلی برای به اشتراک‌گذاری اطلاعات W-2 در داخل مجموعه به فعالیت مشغول است که می‌تواند دلیلی برای پیاده‌سازی این حمله باشد. متأسفانه در این حادثه شرکت Alpha Payroll کارمند قربانی خود را اخراج کرد! کریس توماس، کارشناس امنیتی در این باره گفت: «اگر قرار باشد هر کارمند قربانی فیشینگ را اخراج کنید، در مدت زمان کوتاهی هیچ کارمندی وجود نخواهد داشت.»

نهادهای امنیتی هشدار می‌دهند
در آوریل سال جاری میلادی، «Phoenix Division» که یکی از واحدهای مبارزه با جرایم سایبری در پلیس فدرال است، به‌طور رسمی به سازمان‌ها و مشاغل بزرگ درباره رشد چشمگیر کلاه‌برداری و سوءاستفاده از ایمیل‌های BEC، سرنام Business Email Compromise، هشدار داد.
Phoenix Division در بخشی از گزارش خود آورده است: «کلاه‌برداران و مجرمان سایبری مترصد فرصتی هستند تا ایمیل‌های شرکت‌ها را جعل کنند یا با استفاده از روش‌های مهندسی اجتماعی اطلاعات مربوط به هویت مدیرعامل، وکیل شرکت یا فروشندگان قابل اعتماد را به سرقت ببرند یا جعل کنند. این مجرمان سایبری عمدتاً به دنبال کارمندانی هستند که در بخش‌های مالی به فعالیت اشتغال داشته و وظیفه نقل و انتقال پول شرکت‌ها را بر عهده دارند. آن‌ها به شیوه‌ای کاملاً حرفه‌ای و هماهنگ با ادبیات شرکت هدف، با افراد شاغل در بخش مالی به صحبت می‌پردازند و در ادامه به نقل و انتقال غیرقانونی پول‌ها مبادرت می‌ورزند. در حال حاضر چند مدل مختلف از این چنین کلاه‌برداری‌هایی شناسایی شده است. قربانیان این چنین حملاتی را شرکت‌های بزرگ، شرکت‌های فعال در حوزه فناوری، استارت‌آپ‌های کوچک و سازمان‌های غیرانتفاعی تشکیل می‌دهند. در بیشتر مواقع مجرمان سایبری شرکت‌هایی را به عنوان هدف خود انتخاب می‌کنند که با تأمین‌کنندگان خارجی در ارتباط هستند یا به‌طور روزانه تراکنش‌های مالی را انجام می‌دهند.

کلاه‌برداران و مجرمان سایبری مترصد فرصتی هستند تا ایمیل‌های شرکت‌ها را جعل کنند یا با استفاده از روش‌های مهندسی اجتماعی اطلاعات مربوط به هویت مدیرعامل، وکیل شرکت یا فروشندگان قابل اعتماد را به سرقت ببرند یا جعل کنند.

پلیس فدرال تاکنون شکایت‌های متعددی از قربانیانی که ساکن ایالت‌های مختلف بوده‌اند، دریافت کرده است. حداقل ۷۹ شرکت قربانی این مدل از حملات شده‌اند. از اکتبر سال ۲۰۱۳ تا فوریه سال جاری، چیزی نزدیک به ۱۷۶۴۲ مورد گزارش در این خصوص به ثبت رسیده است. این قربانیان در مجموع چیزی در حدود ۲٫۳ میلیارد دلار را از دست داده‌اند. بدتر آنکه از ژانویه سال ۲۰۱۵ تا امروز این مدل از حملات، رشدی ۲۷۰ درصدی را تجربه کرده‌اند. تنها در ایالت آریزونا حجم پول ازدست‌رفته قربانیان در هر حمله ۲۵٫۰۰۰ تا ۷۵٫۰۰۰ دلار برآورد شده است.»

فرایند انتقال سریع از فیشینگ به والینگ آغاز شده است

امروزه کلاهبرداری‌های مبتنی بر فیشینگ به‌سرعت در حال گسترش است. متأسفانه در برابر این مدل از حملات تنها باید بر ذکاوت و هوشمندی خود تکیه کرده و همواره به اصول امنیتی توجه کنیم. امروزه انشعاب‌های مختلفی از فیشینگ رخ داده است که هر یک از آن‌ها بر مبنای قاعده خاص خود عمل می‌کنند. در این قسمت نگاه کوتاهی به این انشعاب‌ها می‌اندازیم.

روش اول فیشینگ استاندارد
امروزه بسیاری از هکرها به‌طور مداوم و روزانه، ایمیل‌ها، توییت‌ها، پیام‌های متنی، پست‌های منتشرشده در فیسبوک و تماس‌های کاربران را بررسی می‌کنند تا با استفاده از آن‌ها یک حمله فیشینگ را پیاده‌سازی کنند. در این موارد هکرها درخواست می‌کنند روی لینکی کلیک کرده یا با شماره تلفنی تماس برقرار کنید یا یک تراکنش به‌ظاهر عادی را انجام دهید. این سازوکار دقیقاً همانند ماهی‌گیری است. با این تفاوت که کاربر ماهی و هکر ماهی‌گیر و طعمه پیامی است که کاربر را به دام می‌اندازد. در این مدل حملات هکرها سعی می‌کنند طعمه‌ای را پیش روی کاربر قرار دهند که متناسب با سلایق وی باشد و حس کنجکاوی او را برانگیزد. در این روش فیشینگ هکرها به شبکه‌ای گسترده نیاز دارند تا به‌راحتی بتوانند افراد بیشتری را به دام افکنند. این روش به‌طور معمول بر مبنای جعل نام شرکت‌های معروفی همچون مایکروسافت، گوگل، پی‌بال و مانند این‌ها انجام می‌شود.

فیشینگ‌ هدف‌دار
فیشینگ هدف‌دار همانند حالت قبل به شبکه گسترده‌ای نیاز دارد، با این تفاوت که معمولاً کمپین‌های فیشینگی را نیز در دل خود جای می‌دهد. فیشینگ هدف‌دار در مقایسه با حالت اول پیچیده‌تر و البته هدفمند‌تر است. در ظاهر این‌گونه نشان می‌دهد که طرف شما، فردی است که به‌خوبی با او آشنایی دارید. این فرد می‌تواند به ظاهر همکار، یکی از اعضا خانواده یا یکی از دوستان شما باشد. در این مدل پیام‌ها، با اطلاعات شخصی خودتان همچون نام و نام خانوادگی، محل کار، شماره تلفن یا هرگونه اطلاعات شخصی که درباره شما وجود دارد، روبه‌رو می‌شوید. این مدل حملات با توجه به اینکه شخص خاصی را هدف قرار می‌دهند، خطرناک‌تر است و کوچک‌ترین اشتباهی باعث خواهد شد تا در‌های یک شرکت بزرگ یا حتی یک سازمان جهانی به روی هکرها و بدافزارها باز شود. این نفوذ نه تنها به معنای از دست رفتن اطلاعات هویتی و دیگر اطلاعات مهم خواهد بود، بلکه ممکن است زمینه‌ساز ورود باج‌افزارها به یک سازمان و قفل شدن اطلاعات شود. نزدیک به ۳۸ درصد حملات سایبری که به کشورهای ایالات متحده و انگلستان انجام شده است، حملات فیشینگ قلاب‌دار بوده‌اند.

این سازوکار دقیقاً همانند ماهی‌گیری است. با این تفاوت که کاربر ماهی و هکر ماهی‌گیر و طعمه پیامی است که کاربر را به دام می‌اندازد. 

والینگ، ماهی بزرگ را به دام بینداز
جدیدترین گونه فیشینگ، والینگ (Whaling) است. همان‌گونه که از نامش مشخص است، به دنبال صید بسیار بزرگی است. این مکانیزم حمله بر مبنای جعل هویت مدیرعامل، وکیل شرکت یا فروشنده معتبر عمل می‌کند. این مکانیزم حمله هم به صورت برون‌سازمانی و هم به صورت درون‌سازمانی انجام می‌گیرد. در حالت درون‌سازمانی اطلاعات از سوی افراد داخل شرکت که به بسیاری از منابع دسترسی دارند، برای هکرها فرستاده می‌شود.

سازمان‌ها در برابر این مدل حملات چه تدابیری باید اتخاذ کنند؟

پیشنهاد می‌کنیم در برابر حملات والینگ به این نکات توجه کنید:
۱٫ به کارکنان خود آموزش‌های امنیتی لازم را ارائه کنید و به آن‌ها هشدار دهید: همواره به دنبال برنامه آموزشی هوشمند و به‌روز در زمینه حملات سایبری باشید. این برنامه آموزشی باید این ظرفیت را داشته باشد تا انواع مختلفی از حملات فیشنگ را شناسایی کند.
۲٫ والینگ و مکانیزم‌های جدید مهندسی معکوس را برای کارکنان خود تشریح کنید: در حملات والینگ سعی کنید به غیر از مسئولان ارشد، به کارکنان سطوح پایین نیز آموزش‌های لازم را ارائه دهید. کارکنان پایین‌مرتبه همواره با مشاهده ایمیلی‌ که از طرف مدیرعامل ارسال شده است، این‌گونه استنباط می‌کنند که مدیرشان کاری را از آن‌ها درخواست کرده است که باید در اسرع وقت انجام دهند.
۳٫ همواره فرایندهایی را که  مربوط به نقل‌وانتقال وجوه و دیگر تراکنش‌های مالی در جریان هستند، بررسی کنید: پیوسته به این نکته توجه کنید که ممکن است خطر درون خود سازمان باشد. در نتیجه سعی کنید نقاطی را که در زمینه تراکنش‌های برون‌سازمانی فعالیت می‌کنند، به دقت بررسی کنید.
۴٫ با گروه واکنش سریع سازمان خود در تعامل باشید: همواره سعی کنید به صورت دوره‌ای با اعضای گروه واکنش سریع امنیتی سازمان خود، مانورهای تمرینی انجام دهید. گلوگاه‌هایی را که آسیب‌پذیر به نظر می‌رسند، با روش مهندسی معکوس آزمایش کنید. در این حالت بهتر است کارکنان خود را با حملات فیشینگی که خود ترتیب داده‌اید، آزمایش کنید. در این مانور ضمن آنکه تکنیک‌های کلیک روی لینک‌ها یا بازدید سایت‌های متفرقه کارکنان خود را آزمایش می‌کنید، سعی کنید از تکنیک‌های ترکیبی نیز استفاده کنید. برای مثال از کارکنان خود سؤال کنید: «اگر هکر بودید سعی می‌کردید با چه روشی به اطلاعات دست پیدا کنید؟»

همه چیز در مورد VPN – قسمت دوم

در مقاله پیشین به مبانی VPN و معرفی این پروتکل اشاره کردیم. امروز میخواهیم در مورد این پروتکل بیشتر بدانیم.

انواع تونل 
تونل‌ها به دو نوع اصلی تقسیم می‌گردند: اختیاری و اجباری.

تونل اختیاری 
تونل اختیاری به‌وسیله کاربر و از سمت کامپیوتر کلاینت طی یک عملیات هوشمند، پیکربندی و ساخته می‌شود. کامپیوتر کاربر نقطه انتهایی تونل بوده و به‌عنوان تونل کلاینت عمل می‌کند. تونل اختیاری زمانی تشکیل می‌شود که کلاینت برای ساخت تونل به سمت تونل سرور مقصد داوطلب شود.

هنگامی‌که کلاینت به‌عنوان تونل کلاینت قصد انجام عملیات دارد، پروتکل Tunneling موردنظر باید بر روی سیستم کلاینت نصب گردد. تونل اختیاری می‌تواند در هریک از حالت‌های زیر اتفاق بیفتد:

– کلاینت ارتباطی داشته باشد که بتواند ارسال اطلاعات پوشش گذاری شده را از طریق مسیریابی به سرور منتخب خود انجام دهد .

– کلاینت ممکن است قبل از این‌که بتواند تونل را پیکربندی کند، ارتباطی را از طریق DialUp برای تبادل اطلاعات برقرار کرده باشد. این معمول‌ترین حالت ممکن است. بهترین مثال از این حالت، کاربران اینترنت هستند. قبل از این‌که یک تونل برای کاربران بر روی اینترنت ساخته شود، آن‌ها باید به ISP خود شماره‌گیری کنند و یک ارتباط اینترنتی را تشکیل دهند.

تونل اجباری 
تونل اجباری برای کاربرانی پیکر بندی و ساخته می شود که دانش لازم را نداشته و یا دخالتی در ساخت تونل نخواهند داشت. در تونل اختیاری، کاربر، نقطه نهایی تونل نیست. بلکه یک Device دیگر بین سیستم کاربر و تونل سرور، نقطه نهایی تونل است که به‌عنوان تونل کلاینت عمل می‌نماید.

اگر پروتکل Tunneling بر روی کامپیوترکلاینت نصب و راه اندازی نشده و در عین حال تونل هنوز مورد نیاز و درخواست باشد، این امکان وجود دارد که یک کامپیوتر دیگر و یا یک Device شبکه دیگر، تونلی از جانب کامپیوتر کلاینت ایجاد نماید.

این وظیفه‌ای است که به یک متمرکزکننده دسترسی (AC) به تونل، ارجاع داده شده است. در مرحله تکمیل این وظیفه، متمرکزکننده دسترسی یا همان AC باید پروتکل Tunneling مناسب را ایجاد کرده و قابلیت برقراری تونل را در هنگام اتصال کامپیوتر کلاینت داشته باشد. هنگامی‌که ارتباط از طریق اینترنت برقرار می شود، کامپیوتر کلاینت یک تونل تأمین شده (NAS (Network Access Service را از طریق ISP احضار می‌کند.

به‌عنوان مثال یک سازمان ممکن است قراردادی با یک ISP داشته باشد تا بتواند کل کشور را توسط یک متمرکزکننده دسترسی به‌هم پیوند دهد. این AC می‌تواند تونل‌هایی را از طریق اینترنت برقرار کند که به یک تونل سرور متصل باشند و از آن طریق به شبکه خصوصی مستقر در سازمان مذکور دسترسی پیدا کنند.

این پیکربندی به‌عنوان تونل اجباری شناخته می‌شود، به‌دلیل این‌که کلاینت مجبور به استفاده از تونل ساخته شده به‌وسیله AC شده است. یک‌بار که این تونل ساخته شد، تمام ترافیک شبکه از سمت کلاینت و نیز از جانب سرور به‌صورت خودکار از طریق تونل مذکور ارسال خواهد شد.

به‌وسیله این تونل اجباری، کامپیوتر کلاینت یک ارتباط PPP می‌سازد و هنگامی‌که کلاینت به NAS، از طریق شماره‌گیری متصل می‌شود، تونل ساخته می‌شود و تمام ترافیک به‌طور خودکار از طریق تونل، مسیریابی و ارسال می‌گردد. تونل اجباری می تواند به‌طور ایستا و یا خودکار و پویا پیکربندی شود.

تونل‌های اجباری ایستا 
پیکربندی تونل‌های Static معمولاً به تجهیزات خاص برای تونل‌های خودکار نیاز دارند. سیستم Tunneling خودکار به‌گونه‌ای اعمال می‌شود که کلاینت‌ها به AC از طریق شماره‌گیری (Dialup) متصل می‌شوند. این مسأله احتیاج به خطوط دسترسی محلی اختصاصی و نیز تجهیزات دسترسی شبکه دارد که به این‌ها هزینه‌های جانبی نیز اضافه می‌گردد.

برای مثال کاربران احتیاج دارند که با یک شماره تلفن خاص تماس بگیرند، تا به یک AC متصل شوند که تمام ارتباطات را به‌طور خودکار به یک تونل سرور خاص متصل می‌کند. در طرح‌های Tunneling ناحیه‌ای، متمرکزکننده دسترسی بخشی از User Name را که Realm خوانده می‌شود بازرسی می‌کند تا تصمیم بگیرد در چه موقعیتی از لحاظ ترافیک شبکه، تونل را تشکیل دهد.

تونل‌های اجباری پویا 
در این سیستم انتخاب مقصد تونل براساس زمانی که کاربر به AC متصل می شود، ساخته می‌شود. کاربران دارای Realm یکسان، ممکن است تونل‌هایی با مقصدهای مختلف تشکیل بدهند. البته این امر به پارامترهای مختلف آن‌ها مانند UserName، شماره تماس، محل فیزیکی و زمان بستگی دارد.

تونل‌های Dynamic، دارای قابلیت انعطاف عالی هستند. همچنین تونل‌های پویا اجازه می‌دهند که AC به‌عنوان یک سیستم Multi-NAS عمل کند، یعنی اینکه همزمان هم ارتباطات Tunneling را قبول می کند و هم ارتباطات کلاینت‌های عادی و بدون تونل را. در صورتی که متمرکزکننده دسترسی بخواهد نوع کلاینت تماس‌گیرنده را مبنی بر دارای تونل بودن یا نبودن از قبل تشخیص بدهد، باید از همکاری یک بانک اطلاعاتی سود ببرد.

برای این‌کار باید AC اطلاعات کاربران را در بانک اطلاعاتی خود ذخیره کند که بزرگترین عیب این مسأله این است که این بانک اطلاعاتی به خوبی قابل مدیریت نیست.

بهترین راه‌حل این موضوع، راه‌اندازی یک سرور RADIUS است، سروری که اجازه می‌دهد که تعداد نامحدودی سرور، عمل شناسایی Userهای خود را بر روی یک سرور خاص یعنی همین سرور RADIUS انجام دهند، به‌عبارت بهتر این سرور مرکزی برای ذخیره و شناسایی و احراز هویت نمودن کلیه کاربران شبکه خواهد بود.

پروتکل‌های VPN 
عمده‌ترین پروتکل‌هایی که به‌وسیله ویندوز ۲۰۰۰ برای دسترسی به VPN استفاده می شوند
عبارتند از: L2TP ،Ipsec ،PPTP ،IP-IP

البته پروتکل امنیتی SSL نیز جزء پروتکل‌های مورد استفاده در VPN به شمار می‌آید، ولی به‌علت این‌که SSL بیشتر بر روی پروتکل‌های HTTP ،LDAP ،POP3 ،SMTP و … مورد استفاده قرار می‌گیرد، بحث در مورد آن را به فرصتی دیگر موکول می‌کنیم.

پروتکلPPTP 
پروتکل Tunneling نقطه به نقطه، بخش توسعه یافته‌ای از پروتکل PPP است که فریم‌های پروتکل PPP را به‌صورت
IP برای تبادل آن‌ها از طریق یک شبکه IP مانند اینترنت توسط یک سرایند، کپسوله می‌کند. این پروتکل می‌تواند در شبکه‌های خصوصی از نوع LAN-to-LAN نیز استفاده گردد.

پروتکل PPTP به‌وسیله انجمنی از شرکت‌های مایکروسافت، Ascend Communications ،۳com ،ESI و US Robotics ساخته شد.

PPTP یک ارتباط TCP را (که یک ارتباط Connection Oriented بوده و پس از ارسال پکت منتظر Acknowledgment آن می‌ماند) برای نگهداری تونل و فریم‌های PPP کپسوله شده توسط (GRE (Generic Routing Encapsulation که به معنی کپسوله کردن مسیریابی عمومی است،

برای Tunneling کردن اطلاعات استفاده می‌کند. ضمناً اطلاعات کپسوله‌شده PPP قابلیت رمزنگاری و فشرده شدن را نیز دارا هستند.

تونل‌های PPTP باید به‌وسیله مکانیسم گواهی همان پروتکل PPP که شامل (EAP ،CHAP ،MS-CHAP ،PAP)می‌شوند، گواهی شوند. در ویندوز ۲۰۰۰ رمزنگاری پروتکل PPP فقط زمانی استفاده می‌گردد که پروتکل احراز هویت یکی از پروتکل‌های EAP ،TLS و یا MS-CHAP باشد.

باید توجه شود که رمزنگاری PPP، محرمانگی اطلاعات را فقط بین دو نقطه نهایی یک تونل تأمین می‌کند و در صورتی‌که به امنیت بیشتری نیاز باشد، باید از پروتکل Ipsec استفاده شود.

پروتکل L2TP 
پروتکل L2TP ترکیبی است از پروتکل‌های PPTP و (L2F (Layer 2 Forwarding که توسط شرکت سیسکو توسعه یافته است. این پروتکل ترکیبی است از بهترین خصوصیات موجود در L2F و PPTP.

L2TP نوعی پروتکل شبکه است که فریم‌های PPP را برای ارسال بر روی شبکه‌های IP مانند اینترنت و علاوه بر این برای شبکه‌های مبتنی بر X.25 ،Frame Relay و یا ATM کپسوله می‌کند.

هنگامی‌که اینترنت به‌عنوان زیرساخت تبادل اطلاعات استفاده می‌گردد، L2TP می‌تواند به‌عنوان پروتکل
Tunneling از طریق اینترنت مورد استفاده قرار گیرد.

L2TP برای نگهداری تونل از یک سری پیغام‌های L2TP و نیز از پروتکل UDP (پروتکل تبادل اطلاعات به‌صورتConnection Less که پس از ارسال اطلاعات منتظر دریافت Acknowledgment نمی‌شود و اطلاعات را، به مقصد رسیده فرض می‌کند) استفاده می‌کند.

در L2TP نیز فریم‌های PPP کپسوله شده می‌توانند همزمان علاوه بر رمزنگاری شدن، فشرده نیز شوند. البته مایکروسافت پروتکل امنیتی Ipsec (که به‌طور مفصل در شماره ۴۷ ماهنامه شبکه تحت عنوان “امنیت اطلاعات در حین انتقال به‌وسیله IPsec ” معرفی شده) را به‌جای رمزنگاری PPP توصیه می کند. ساخت تونل L2TP نیز باید همانند PPTP توسط مکانیسم (PPP EAP ،CHAP ،MS-CHAP ،PAP) بررسی و تأیید شود.

PPTP در مقابلL2TP 
هر دو پروتکل PPTP و L2TP از پروتکل PPP برای ارتباطات WAN استفاده می کنند تا نوعی اطلاعات ابتدایی برای دیتا را فراهم کنند و سپس یک سرایند اضافه برای انتقال اطلاعات از طریق یک شبکه انتقالی به پکت الحاق بنمایند. هرچند این دو پروتکل در برخی موارد نیز با هم تفاوت دارند. برخی از این تفاوت‌ها عبارتند از:

۱- شبکه انتقال که PPTP احتیاج دارد، باید یک شبکه IP باشد. ولی L2TP فقط به یک تونل احتیاج دارد تا بتواند ارتباط Point-to-Point را برقرار کند. حال این تونل می تواند بر روی یک شبکه IP باشد و یا بر روی شبکه‌های دیگر مانند X.25 و یا ATM ،Frame Relay.

۲- L2TP قابلیت فشرده‌سازی سرایند را داراست. هنگامی‌که فشرده‌سازی سرایند انجام می‌گیرد، L2TP با حجم ۴ بایت عمل می‌کند، در حالی‌که PPTP با حجم ۶ بایت عمل می‌نماید.

۳- L2TP متد احراز هویت را تأمین می‌کند، در حالی‌که PPTP این‌گونه عمل نمی‌کند، هرچند وقتی‌که PPTP یا L2TP از طریق پروتکل امنیتی IPsec اجرا می‌شوند، هر دو، متد احراز هویت را تأمین می‌نمایند.

۴- PPTP رمزنگاری مربوط به PPP را استفاده می‌کند، ولی L2TP از پروتکل Ipsec برای رمزنگاری استفاده می‌نماید.

پروتکل Ipsec 
Ipsec یک پروتکل Tunneling لایه سوم است که از متد ESP برای کپسوله کردن و رمزنگاری اطلاعات IP برای تبادل امن اطلاعات از طریق یک شبکه کاری IP عمومی یا خصوصی پشتیبانی می‌کند. IPsec به‌وسیله متد ESP می‌تواند اطلاعات IP را به‌صورت کامل کپسوله کرده و نیز رمزنگاری کند.

به محض دریافت اطلاعات رمزگذاری شده، تونل سرور، سرایند اضافه‌شده به IP را پردازش کرده و سپس کنار می‌گذارد و بعد از آن رمزهای ESP و پکت را باز می‌کند. بعد از این مراحل است که پکت IP به‌صورت عادی پردازش می‌شود. پردازش عادی ممکن است شامل مسیریابی و ارسال پکت به مقصد نهایی آن باشد.

پروتکل IP-IP 
این پروتکل که با نام IP-in-IP نیز شناخته می‌شود، یک پروتکل لایه سوم یعنی لایه شبکه است. مهمترین استفاده پروتکل IP-IP برای ایجاد سیستم Tunneling به‌صورت Multicast است که در شبکه‌هایی که سیستم مسیریابی Multicast را پشتیبانی نمی‌کنند کاربرد دارد. ساختار پکت IP-IP تشکیل شده است از: سرایند IP خارجی، سرایند تونل، سرایند IP داخلی و اطلاعات IP. اطلاعات IP می‌تواند شامل هر چیزی در محدوه IP مانند TCP ،UDP ،ICMP و اطلاعات اصلی پکت باشد.

مدیریت VPN 
در بیشتر موارد مدیریت یک VPN مانند مدیریت یک RAS سرور (به‌طور خلاصه، سروری که ارتباط‌ها و Connection های برقرار شده از طریق راه دور را کنترل و مدیریت می‌کند)، می‌باشد. البته امنیت VPN باید به دقت توسط ارتباطات اینترنتی مدیریت گردد.

مدیریت کاربران VPN 
بیشتر مدیران شبکه برای مدیریت کاربران خود از یک پایگاه داده مدیریت کننده اکانت‌ها بر روی کامپیوتر DC و یا از سرور RADIUS استفاده می‌نمایند. این کار به سرور VPN اجازه می‌دهد تا اعتبارنامه احراز هویت کاربران را به یک سیستم احراز هویت مرکزی ارسال کند.

مدیریت آدرس‌ها و Name Serverها 
سرور VPN باید رشته‌ای از آدرس‌های IP فعال را در خود داشته باشد تا بتواند آن‌ها را در طول مرحله پردازش ارتباط از طریق پروتکل کنترل IP به‌نام IPCP به درگاه‌های VPN Server و یا Clientها اختصاص دهد.

در VPNهایی که مبتنی بر ویندوز ۲۰۰۰ پیکربندی می‌شوند، به‌صورت پیش‌فرض، IP آدرس‌هایی که به Clientهای VPN اختصاص داده می‌شود، از طریق سرور DHCP گرفته می‌شوند.

البته همان‌طور که قبلاً گفته شد شما می‌توانید یک رشته IP را به‌صورت دستی یعنی ایستا به‌جای استفاده از DHCP اعمال کنید. ضمنا ًVPN Server باید توسط یک سیستم تأمین‌کننده نام مانند DNS و یا WINS نیز پشتیبانی شود تا بتواند سیستم IPCP را به مورد اجرا بگذارد.