طراحی شبکه شرکت‌های چندشعبه؛ VPN سایت‌به‌سایت، مانیتورینگ مرکزی و تلفن شعب

وقتی یک شرکت از یک دفتر به سه، پنج یا بیست شعبه می‌رسد، شبکه دیگر «چند سوئیچ و یک مودم» نیست. هر شعبه باید به سرور حسابداری، نرم‌افزار فروش و تلفن داخلی دفتر مرکزی برسد، اگر اینترنتش قطع شد کار نخوابد، و اگر مشکلی پیش آمد، تیم IT بتواند از راه دور ببیند چه اتفاقی افتاده است. طراحی شبکه شرکت‌های چندشعبه یعنی همین سه چیز را از روز اول در نقشه دیدن: اتصال امن، پایداری، و دید مرکزی.

این مقاله توضیح می‌دهد شعبه‌ها چطور به هم وصل می‌شوند، آدرس‌دهی را چطور بچینید که با شعبه بیستم هم به‌هم نریزد، مانیتورینگ مرکزی چه چیزهایی را باید ببیند، تلفن شعب چطور یکپارچه می‌شود، و یک «استاندارد شعبه» چه اجزایی دارد.

چرا شبکه چندشعبه با شبکه یک دفتر فرق دارد

در یک دفتر، سرورها و کاربران در یک ساختمان‌اند و مشکل را می‌شود حضوری دید. در شبکه چندشعبه سه چیز عوض می‌شود:

• اتصال بین شعبه‌ها از اینترنت عبور می‌کند. پس باید رمزنگاری شود و قطعی اینترنت یک شعبه نباید کل کسب‌وکار آن شعبه را متوقف کند.
• هر شعبه کارشناس IT ندارد. عیب‌یابی باید از راه دور ممکن باشد و تجهیزات شعبه باید طوری نصب شوند که یک فرد غیرفنی بتواند به دستور تلفنی، کابلی را جابه‌جا یا دستگاهی را خاموش و روشن کند.
• هر تفاوت کوچک، چندبرابر می‌شود. اگر هر شعبه با یک مدل روتر، یک طرح آدرس و یک نوع تنظیم راه‌اندازی شود، با رسیدن به ده شعبه، عیب‌یابی و به‌روزرسانی تقریباً غیرممکن می‌شود.

به همین دلیل مهم‌ترین تصمیم در این پروژه‌ها، «یکسان‌سازی» است: یک الگوی ثابت که برای هر شعبه تکرار شود.

اتصال شعبه‌ها: VPN سایت‌به‌سایت

رایج‌ترین روش اتصال شعبه‌ها، VPN سایت‌به‌سایت روی اینترنت است. روتر یا فایروال هر شعبه یک تونل رمزنگاری‌شده به دفتر مرکزی می‌سازد و از دید کاربران، شبکه شعبه و مرکز یک شبکه واحد است.

توپولوژی ستاره‌ای یا تمام‌مش؟

ستاره‌ای (Hub-and-Spoke): همه شعبه‌ها فقط به مرکز وصل‌اند. ساده است، مدیریتش آسان است و برای بیشتر کسب‌وکارهایی که سرورهایشان در مرکز است کافی است. عیبش این است که اگر مرکز قطع شود، شعبه‌ها هم به هم دسترسی ندارند.

تمام‌مش (Full Mesh): هر شعبه به همه شعبه‌ها تونل دارد. وقتی لازم است که شعبه‌ها مستقیم با هم کار کنند (مثلاً تماس تلفنی بین دو شعبه یا انبار مشترک) مفید است، اما تعداد تونل‌ها با افزایش شعبه‌ها سریع زیاد می‌شود و مدیریت دستی آن سخت است.

برای بیشتر شرکت‌ها، ستاره‌ای با یک مرکز قابل‌اتکا نقطه شروع درستی است. اگر سرویس حیاتی در مرکز است، روی پایداری خود مرکز (اینترنت دوم، برق پشتیبان، سخت‌افزار رزرو) سرمایه‌گذاری کنید، نه روی پیچیده‌تر کردن توپولوژی.

کدام پروتکل VPN؟

IPsec استاندارد رایج و پشتیبانی‌شده در بیشتر تجهیزات است. WireGuard ساده‌تر و سبک‌تر است و روی تجهیزات و نسخه‌های جدیدتر در دسترس است. انتخاب به تجهیزات موجود، توان پردازشی روتر شعبه و مهارت تیمی بستگی دارد که قرار است آن را نگه دارد. مهم‌تر از نام پروتکل این است که کلیدها و گواهی‌ها مستند باشند، تونل‌ها پایش شوند و تنظیمات همه شعبه‌ها از یک الگو ساخته شوند.

آدرس‌دهی: طرحی که با شعبه بیستم هم کار کند

شایع‌ترین اشتباهی که بعدها گران تمام می‌شود، آدرس‌دهی تکراری است: چند شعبه همگی با همان محدوده پیش‌فرض مودم راه‌اندازی شده‌اند و حالا که باید به هم وصل شوند، آدرس‌ها با هم تداخل دارند. اصلاح این وضعیت یعنی تغییر آدرس همه دستگاه‌های یک شعبه.

قاعده ساده این است: به هر شعبه یک بلوک آدرس مستقل بدهید و شماره شعبه را در خود آدرس بگذارید. یک نمونه:

با این طرح، از روی یک آدرس IP بلافاصله معلوم است دستگاه در کدام شعبه و کدام بخش شبکه است، قوانین فایروال برای همه شعبه‌ها یکسان نوشته می‌شود و اضافه کردن شعبه جدید فقط یعنی انتخاب شماره بعدی. همین الگو، تفکیک کاربران، تلفن، دوربین و مدیریت را هم در هر شعبه تکرار می‌کند؛ موضوعی که در راهنمای VLAN در شبکه سازمانی با جزئیات آمده است.

اینترنت و پایداری هر شعبه

شعبه‌ای که فقط یک خط اینترنت دارد، با قطع همان خط، هم دسترسی به اینترنت و هم دسترسی به سرورهای مرکز را از دست می‌دهد. برای شعبه‌هایی که فروش یا خدمت‌رسانی‌شان به شبکه وابسته است، یک مسیر دوم منطقی است:

• خط دوم از اپراتور دیگر، تا خرابی یک اپراتور هر دو خط را با هم از کار نیندازد.
• اینترنت همراه (LTE) به‌عنوان مسیر پشتیبان، برای شعبه‌های کوچک که خط ثابت دوم صرفه ندارد.
• سوئیچ خودکار مسیر (Failover) روی روتر شعبه، تا بدون دخالت کسی، تونل VPN روی مسیر دوم دوباره برقرار شود.

پایداری فقط اینترنت نیست. یک یو‌پی‌اس کوچک برای روتر، سوئیچ و مودم شعبه، جلوی بخش بزرگی از قطعی‌های کوتاه و ریست‌شدن‌های ناخواسته را می‌گیرد.

مانیتورینگ مرکزی: مشکل را قبل از تماس شعبه ببینید

در شبکه چندشعبه، اگر تنها راه فهمیدن مشکل تماس تلفنی شعبه باشد، همیشه دیر رسیده‌اید. یک سامانه مانیتورینگ زیرساخت در مرکز، باید دست‌کم این‌ها را برای هر شعبه ببیند:

• وضعیت تونل VPN و زمان آخرین قطعی
• وضعیت هر خط اینترنت و اینکه شعبه الان روی مسیر اصلی است یا پشتیبان
• بار پردازنده و حافظه روتر، و دمای تجهیزات
• وضعیت پورت‌های سوئیچ و دستگاه‌های حیاتی مثل صندوق فروش، چاپگر و ضبط دوربین
• هشدار پیامکی یا ایمیلی برای رویدادهای مهم، نه فقط داشبوردی که کسی نگاهش نمی‌کند

مانیتورینگ وقتی ارزش دارد که پشتش یک فرایند باشد: چه کسی هشدار را می‌بیند، در چه زمانی پاسخ می‌دهد و اگر مشکل حل نشد، چه کسی به شعبه می‌رود. این همان چیزی است که در یک SLA پشتیبانی مکتوب می‌شود.

تلفن شعب: یک مرکز تلفن برای همه

وقتی شعبه‌ها با VPN به مرکز وصل‌اند، لازم نیست هر شعبه سانترال جداگانه داشته باشد. یک مرکز تلفن VoIP در دفتر مرکزی می‌تواند به همه شعبه‌ها داخلی بدهد: تماس بین شعبه‌ها داخلی و رایگان می‌شود، منشی گویا (IVR) تماس مشتری را به شعبه درست می‌فرستد و گزارش تماس همه شعبه‌ها یک‌جا دیده می‌شود.

دو نکته فنی این طرح را قابل‌اتکا می‌کند:

• VLAN جدا و اولویت صدا (QoS): اگر ترافیک تلفن با دانلود و به‌روزرسانی رایانه‌ها رقابت کند، صدا بریده‌بریده می‌شود.
• برنامه برای قطعی: اگر تونل شعبه قطع شود، تماس‌های آن شعبه چه می‌شود؟ گاهی یک خط شهری محلی در شعبه یا مسیر جایگزین در مرکز تلفن، جواب این سؤال است.

جزئیات انتخاب بین مرکز تلفن و مرکز تماس، در صفحه مرکز تلفن VoIP و مرکز تماس آمده است.

امنیت در شبکه چندشعبه

هر شعبه یک درِ ورودی به شبکه سازمان است. اگر یک رایانه در شعبه آلوده شود و شبکه تخت باشد، آلودگی از راه تونل به مرکز می‌رسد. چند قاعده پایه:

• شعبه‌ها فقط به سرویس‌هایی در مرکز دسترسی داشته باشند که لازم دارند، نه به کل شبکه مرکز.
• وای‌فای مهمان شعبه (اگر هست) هیچ مسیری به شبکه داخلی و تونل نداشته باشد.
• دسترسی مدیریتی به روترها و سوئیچ‌های شعبه فقط از شبکه مدیریت مرکز باشد، نه از اینترنت.
• رمزهای پیش‌فرض تجهیزات در روز نصب عوض شوند و در یک مخزن امن نگه داشته شوند.
• لاگ تجهیزات شعبه‌ها به یک نقطه مرکزی ارسال شود تا رخدادها قابل پیگیری باشند.

برای ارزیابی و سخت‌سازی کامل، صفحه امنیت سایبری سازمان مسیر کار را توضیح می‌دهد.

استاندارد شعبه: یک چک‌لیست برای هر شعبه جدید

ارزان‌ترین زمان برای یکسان‌سازی، قبل از افتتاح شعبه است. این چک‌لیست را برای هر شعبه جدید تکرار کنید:

اگر بعداً لازم شد کسی در شعبه به دستور تلفنی کاری انجام دهد، برچسب‌گذاری و عکس از رک شعبه در مستندات، زمان عیب‌یابی را به‌شدت کم می‌کند. پایه فیزیکی این استاندارد در مقاله کابل‌کشی ساخت‌یافته آمده است.

خطاهای رایج در شبکه چندشعبه

• هر شعبه با هر تجهیزی که در دسترس بود. تنوع مدل و نسخه، هر به‌روزرسانی و عیب‌یابی را جداگانه و کند می‌کند.
• آدرس‌دهی پیش‌فرض مودم در همه شعبه‌ها. تا روزی که بخواهید شعبه‌ها را به هم وصل کنید مشکلی دیده نمی‌شود.
• بدون مسیر پشتیبان. قطعی یک خط، کل فروش شعبه را متوقف می‌کند.
• بدون مانیتورینگ. مشکل وقتی کشف می‌شود که مشتری پشت صندوق منتظر مانده است.
• بدون مستندات. وقتی کارشناسی که شعبه را راه‌انداخته در دسترس نباشد، هیچ‌کس نمی‌داند چه چیزی کجا تنظیم شده است.

پشتیبانی شبکه چندشعبه: داخلی یا قراردادی؟

نگهداری شبکه‌ای که در چند نقطه شهر پخش است، به دو چیز نیاز دارد: دسترسی ریموت و تیمی که بتواند به‌موقع به محل برسد. برای بسیاری از شرکت‌ها، ترکیب یک مسئول IT داخلی با یک قرارداد پشتیبانی بیرونی جواب می‌دهد؛ موضوعی که در مقاله تیم داخلی یا برون‌سپاری بررسی شده است.

نصیر ارتباط از سال ۱۳۸۵ شبکه و زیرساخت کسب‌وکارها را اجرا و پشتیبانی می‌کند و امروز بیش از ۱۰۰ شعبه، شامل ۴ مجموعه زنجیره‌ای و ۲۰ شرکت و فروشگاه، تحت پشتیبانی آن است؛ با پاسخ ریموت در حدود ۱۰ دقیقه و حضور در محل در کمتر از ۲ ساعت در تهران. جزئیات قرارداد در صفحه پشتیبانی شبکه سازمانی آمده است. برای رستوران‌ها و فروشگاه‌های چندشعبه، راهکار ویژه در صفحه مدیریت هوشمند رستوران‌ها معرفی شده است.

پرسش‌های متداول

برای دو یا سه شعبه هم VPN سایت‌به‌سایت لازم است؟

اگر شعبه‌ها باید به سرور یا نرم‌افزار مشترکی در مرکز دسترسی داشته باشند، بله. برای تعداد کم شعبه، پیاده‌سازی ساده است و همان الگو بعداً برای شعبه‌های جدید تکرار می‌شود.

آیا با میکروتیک می‌شود شبکه چندشعبه ساخت؟

بله. روترهای میکروتیک VPN سایت‌به‌سایت، مسیر پشتیبان و تفکیک شبکه را پشتیبانی می‌کنند و در ایران رایج‌اند. شرط موفقیت، تنظیم یکسان، به‌روزرسانی منظم و مستندسازی است. نکات قرارداد در مقاله پشتیبانی شبکه میکروتیک آمده است.

اگر اینترنت شعبه قطع شود، صندوق فروش کار می‌کند؟

بستگی به نرم‌افزار فروش دارد. نرم‌افزارهایی که حالت آفلاین دارند، به کار ادامه می‌دهند و بعداً همگام می‌شوند؛ بقیه بدون اتصال به سرور مرکزی متوقف می‌شوند. به همین دلیل مسیر اینترنت پشتیبان برای این شعبه‌ها مهم است.

هزینه اتصال یک شعبه جدید به چه چیزی بستگی دارد؟

به تعداد کاربر و دستگاه، تجهیزاتی که از قبل موجود است، وضعیت کابل‌کشی محل، نیاز به مسیر اینترنت دوم و تلفن. عوامل هزینه شبکه در مقاله هزینه راه‌اندازی شبکه سازمانی توضیح داده شده است.

قدم بعدی

اگر شعبه جدید راه‌اندازی می‌کنید یا شعبه‌های فعلی‌تان هر کدام به سبک خودشان کار می‌کنند، اولین قدم یک نقشه یکسان است. برای بررسی شبکه شعب و پیشنهاد استاندارد، با 021-74903 (داخلی فنی ۳) تماس بگیرید یا صفحه پشتیبانی شبکه سازمانی را ببینید.