هر سازمانی که ایستگاه‌های کاری‌اش را مستقیماً به اینترنت وصل می‌کند، عملاً مرز شبکه داخلی خود را به مرورگر کاربران سپرده است. جداسازی شبکه از اینترنت دقیقاً برای بستن همین مرز طراحی شده است — و در سال‌های اخیر، معماری مبتنی بر کانتینر به گزینه غالب این حوزه تبدیل شده است.
چرا لایه کاربر، پرریسک‌ترین لایه شبکه است؟
در معماری‌های سنتی، تیم امنیت بیشترین سرمایه‌گذاری را روی لبه شبکه انجام می‌دهد: فایروال، IPS، وب‌گیت‌وی و سندباکس. اما مسیر ورود بسیاری از حوادث امنیتی، نه از لبه شبکه، بلکه از مرورگر یک کاربر عادی آغاز می‌شود؛ کاربری که یک پیوست آلوده را باز می‌کند، روی یک لینک فیشینگ کلیک می‌کند یا فایلی را از یک سایت ناشناس دانلود می‌کند.
در ادبیات امنیت به این وضعیت «تهدید مهاجم داخلی» گفته می‌شود: کارمندی که خواسته یا ناخواسته، نقش واسط نفوذ را بازی می‌کند. ویژگی مهم این تهدید آن است که بسیار رایج و در عین حال بسیار سخت برای رفع کردن است؛ چون ریشه آن در رفتار انسانی است، نه در یک آسیب‌پذیری قابل وصله‌کردن.
وقتی این واقعیت را بپذیریم، یک نتیجه‌گیری منطقی به‌دست می‌آید: به‌جای تلاش برای کنترل همه رفتارهای کاربر، بهتر است مسیر اجرای کد وب را از ایستگاه کاری سازمان جدا کنیم. این دقیقاً همان چیزی است که جداسازی شبکه (Network Isolation) انجام می‌دهد.
جداسازی شبکه از اینترنت یعنی چه؟
در راهکار جداسازی، اینترنت به‌صورت مستقیم در اختیار رایانه کاربر قرار نمی‌گیرد. کاربر همچنان به تمام وب دسترسی دارد، اما این دسترسی از طریق یک واسط انجام می‌شود که در شبکه‌ای مجزا اجرا می‌شود. کد صفحات وب در آن واسط اجرا و رندر می‌شود و آنچه به دستگاه کاربر می‌رسد، فقط یک جریان تصویری کنترل‌شده است.
نتیجه عملی این معماری سه چیز است:
- هیچ کد وبی (JavaScript، اسکریپت‌های مخرب، اکسپلویت‌های مرورگر) روی ایستگاه کاری اجرا نمی‌شود.
- مسیر مستقیم شبکه داخلی به اینترنت حذف می‌شود و در نتیجه سطح حمله به‌شدت کوچک می‌شود.
- تمام رفت‌وبرگشت داده — از جمله آپلود و دانلود فایل — از یک نقطه کنترل و ثبت عبور می‌کند.
سه رویکرد رایج و تفاوت واقعی آن‌ها
۱) جداسازی فیزیکی (Air Gap)
ساده‌ترین و در عین حال پرهزینه‌ترین رویکرد: دو شبکه کاملاً مجزا و اغلب دو دستگاه مجزا برای هر کاربر. از نظر امنیتی بسیار قوی است، اما انعطاف‌پذیری، سرعت دسترسی و مقیاس‌پذیری آن پایین است و تجربه کاربری کارکنان را به‌شدت تحت تأثیر قرار می‌دهد. برای بخش کوچکی از سازمان قابل دفاع است؛ برای کل سازمان معمولاً نه.
۲) راهکارهای مبتنی بر VDI
در این رویکرد، یک دسکتاپ مجازی کامل برای کاربر ساخته می‌شود و کاربر از طریق آن به اینترنت می‌رود. VDI فناوری بالغی است، اما وقتی صرفاً برای «دسترسی امن به اینترنت» استفاده شود، چند مشکل ساختاری دارد:
- مصرف منابع بالا: هر کاربر یک سیستم‌عامل کامل می‌گیرد؛ CPU، RAM و Storage به‌سرعت گران می‌شود.
- هزینه اولیه بالا: لایسنس، زیرساخت مجازی‌سازی و ذخیره‌سازی سریع.
- پیچیدگی پیاده‌سازی و نگهداری: نیاز به تخصص فنی بالا و تیم اختصاصی.
- وابستگی به زیرساخت مجازی‌سازی: قفل‌شدن روی یک پلتفرم و انعطاف کم در برابر نیازهای جدید.
به همین دلیل، تعدادی از سازمان‌ها که پیش‌تر VDI را برای این کاربرد انتخاب کرده بودند، در حال مهاجرت به رویکرد سبک‌تر مبتنی بر کانتینر هستند.
۳) جداسازی مبتنی بر کانتینر
در این رویکرد به‌جای یک دسکتاپ کامل، فقط همان چیزی که لازم است ایزوله می‌شود: خودِ مرورگر. هر جلسه کاربری در یک کانتینر سبک و کوتاه‌عمر اجرا می‌شود و پس از پایان جلسه از بین می‌رود. سربار منابع به‌مراتب کمتر است، زمان راه‌اندازی کوتاه‌تر است و چون کانتینر با هر جلسه بازسازی می‌شود، آلودگی احتمالی ماندگار نمی‌شود.
مقایسه سه راهکار در یک نگاه
| معیار | مبتنی بر کانتینر | مبتنی بر VDI | جداسازی فیزیکی |
|---|---|---|---|
| هزینه اولیه پیاده‌سازی | متوسط | بالا | بالا |
| هزینه نگهداری | متوسط | بالا | پایین |
| انعطاف‌پذیری | بالا | متوسط | پایین |
| سادگی کاربری برای کارکنان | بالا | بالا | پایین |
| امنیت | بالا | بالا | بسیار بالا |
| سرعت دسترسی کاربران | بالا | متوسط | پایین |
| پیچیدگی پیاده‌سازی | متوسط | بالا | پایین |
| امکان مقیاس‌پذیری | بالا | بالا | محدود |
| نیاز به تخصص فنی | متوسط | بالا | پایین |
| قابلیت مدیریت از راه دور | بالا | بالا | محدود |
| تطبیق با نیازهای خاص سازمانی | بالا | متوسط | محدود |
نکته انطباقی: در سال ۱۴۰۴، مرکز راهبردی افتای ریاست جمهوری در سند راهکارهای جداسازی شبکه داخلی از اینترنت، پس از بررسی راهکارهای مختلف و به‌جز جداسازی فیزیکی، تنها راهکار مبتنی بر کانتینر را به‌عنوان راهکار منطقی قابل پذیرش معرفی کرده است. برای سازمان‌هایی که ملزم به رعایت الزامات افتا هستند، این نکته انتخاب معماری را تا حد زیادی مشخص می‌کند.
معماری کانتینری در عمل چگونه کار می‌کند؟
جریان کار یک سامانه جداساز مبتنی بر کانتینر معمولاً چهار مرحله دارد:
- درخواست کاربر: کاربر از ایستگاه کاری سازمانی درخواست دسترسی به یک آدرس وب را ارسال می‌کند.
- اجرا در محیط ایزوله: یک نشست مرورگر داخل کانتینر در شبکه جداشده بالا می‌آید و صفحه را واکشی و رندر می‌کند.
- ارسال تصویر جلسه: فقط تصویر کنترل‌شده جلسه — روی بستر HTML5 و WebSocket و از طریق HTTPS/TLS — به کاربر می‌رسد. کاربر تعامل می‌کند، اما کدی روی دستگاهش اجرا نمی‌شود.
- کنترل فایل: هر فایل دانلودی یا آپلودی از کانال کنترل‌شده عبور و با موتور چند‌آنتی‌ویروسی (Multi-AV) بررسی می‌شود.
مزیت مهم این معماری آن است که برای کاربر هیچ Agentی نصب نمی‌شود و برای سازمان نیازی به بازطراحی شبکه نیست؛ سامانه به‌عنوان یک لایه واسط اضافه می‌شود، نه به‌عنوان یک پروژه بازسازی زیرساخت.
چک‌لیست انتخاب یک سامانه جداساز شبکه
اگر در حال ارزیابی گزینه‌ها هستید، این موارد را در RFP خود بگنجانید:
- مدل استقرار: آیا سامانه روی زیرساخت موجود شما (Docker/Container) بدون وابستگی به یک پلتفرم مجازی‌سازی خاص اجرا می‌شود؟
- وابستگی سمت کاربر: آیا نصب Agent یا افزونه مرورگر لازم است؟ دسترسی از موبایل و تبلت پشتیبانی می‌شود؟
- هویت و احراز: یکپارچگی با Active Directory، پشتیبانی از SSO و احراز هویت دوعاملی.
- کنترل محتوا: فیلترینگ وب با لیست سفید/سیاه، DNS Filtering و ثبت سایت‌های بازدیدشده.
- کنترل فایل: بررسی فایل‌های دانلودی با چند موتور ضدبدافزار.
- حاکمیت و ممیزی: لاگ کامل، تحلیل فعالیت کاربران، ضبط و به‌اشتراک‌گذاری نشست‌ها.
- مدیریت مصرف: گروه‌بندی کاربران، تعیین سطح دسترسی، سهمیه منابع و اکانتینگ بر مبنای حجم و زمان.
- مسیر ارزیابی: امکان نصب پایلوت در یک محدوده مشخص، پیش از تعهد مالی کامل.
کریدور؛ پیاده‌سازی بومی این معماری
کریدور، سامانه جداساز شبکه و محصول مشترک شرکت فراز آسمان شبکه و شرکت فناوران نوین هوشمند ترنم، دقیقاً بر پایه همین معماری کانتینری ساخته شده است و با قوانین کشور در حوزه افتا انطباق دارد.
کاربرد اصلی کریدور، جداسازی شبکه سازمانی از اینترنت برای ایستگاه‌های کاری کارکنان است؛ اما به دلیل ماهیت ایزوله محیط، در سناریوهای دیگری هم به‌کار می‌آید: سندباکسینگ فایل‌ها و نرم‌افزارهای ناشناخته، دورکاری ایمن، مدیریت دسترسی از راه دور، محیط ایزوله برای توسعه و تست نرم‌افزار، آموزش و شبیه‌سازی حملات سایبری، محافظت از منابع حساس سازمان و جداسازی شبکه مدیریتی از شبکه دیتا.
از نظر زمان‌بندی نیز مسیر ارزیابی کوتاه است: نصب پایلوت پس از هماهنگی حداکثر یک روز کاری زمان می‌برد، پایلوت دو هفته تا یک ماه اجرا می‌شود و استقرار کامل در شرایط عادی حداکثر یک هفته طول می‌کشد. هزینه نیز بر اساس تعداد کاربر همزمان و ماژول‌های جانبی محاسبه می‌شود.
جمع‌بندی
اتصال مستقیم ایستگاه‌های کاری به اینترنت، یک بدهی امنیتی است که دیر یا زود پرداخت می‌شود. جداسازی فیزیکی این بدهی را حذف می‌کند اما بهای سنگینی از بهره‌وری می‌گیرد، و VDI برای این کاربرد خاص معمولاً بیش از حد سنگین و گران است. معماری مبتنی بر کانتینر، نقطه تعادل این سه‌گانه است: امنیت بالا، تجربه کاربری روان و هزینه و پیچیدگی قابل مدیریت — و همان راهکاری است که مراجع ذی‌صلاح کشور نیز آن را به‌عنوان گزینه منطقی قابل پذیرش معرفی کرده‌اند.
می‌خواهید کریدور را در سازمان خودتان ببینید؟
صفحه محصول را ببینید یا برای هماهنگی نصب پایلوت با ما تماس بگیرید: ۰۲۱۴۳۴۶۸۰۰۰
