موظفون عن بعد عبر WireGuard على MikroTik

المحاسبة تعمل من البيت يوم الجمعة، والمدير يتابع من السفر، والمهندس يحتاج إلى سيرفر داخلي. بدل فتح منافذ الشركة للإنترنت، يتصل كل واحد بنفق مشفر إلى راوتر MikroTik، ويصل إلى ما يخصه فقط. هذا ما يسمى إعداد Road Warrior.

الفكرة أن الموظف يصبح كأنه داخل الشبكة، لكن ضمن حدود تضعها أنت. وسنبني ذلك بأوامر RouterOS v7، مع الأهم من الأوامر: كيف تعطي صلاحيات ضيقة، وكيف تسحبها حين يغادر موظف.

الشرط الأول: عنوان يمكن الوصول إليه

يجب أن يتمكن الموظف من الوصول إلى الراوتر، وهذا يتطلب عنواناً عاماً ثابتاً مثل 203.0.113.10، أو نطاقاً يشير إليه. فإن كان خط الشركة خلف NAT بلا عنوان عام، فلا يصل إليه أحد مباشرة.

الحل حينها سيرفر خارجي بعنوان ثابت، يتصل به الراوتر والموظفون معاً. وقد يكون هذا السيرفر CHR أو لينكس. وفي الحالتين تبقى الفكرة نفسها.

إعداد الراوتر

خصص شبكة مستقلة للموظفين، مثل 10.66.66.0/24، حتى تعرف من يتصل وتطبق عليه قواعد خاصة:

/interface wireguard add name=wg-staff listen-port=51820 mtu=1420
/ip address add address=10.66.66.1/24 interface=wg-staff
/interface wireguard print

/ip firewall filter add chain=input protocol=udp dst-port=51820 \
    action=accept comment="allow-wg-staff" place-before=0

لاحظ أن كل مستخدم يجب أن يملك مفتاحاً خاصاً به. لا تشارك إعداداً واحداً بين عدة أجهزة، فهذا يكسر الاتصال، ويمنعك من سحب صلاحية شخص واحد.

إضافة موظف جديد

أفضل طريقة أن يولّد الموظف مفاتيحه على جهازه، بتطبيق WireGuard الرسمي، ويعطيك المفتاح العام فقط. وبهذا لا يمر المفتاح الخاص بأي شخص آخر.

/interface wireguard peers add interface=wg-staff \
    public-key="<EMPLOYEE_PUBLIC_KEY>" \
    allowed-address=10.66.66.11/32 comment="staff-laptop-01"

عنوان /32 لكل جهاز هو ما يربط المفتاح بعنوان واحد. وفي comment اكتب رقم جهاز لا اسماً شخصياً، واحتفظ بجدول مرجعي في مكان آمن. ثم يضع الموظف هذا الإعداد على جهازه:

[Interface]
PrivateKey = <CLIENT_PRIVATE_KEY>
Address = 10.66.66.11/32
DNS = 192.168.88.1
MTU = 1420

[Peer]
PublicKey = <SERVER_PUBLIC_KEY>
Endpoint = 203.0.113.10:51820
AllowedIPs = 10.66.66.0/24, 192.168.88.0/24
PersistentKeepalive = 25

إن حددت DNS بعنوان الراوتر، فتأكد أن الراوتر يستقبل طلبات DNS بإعداد allow-remote-requests=yes، وأن قواعد الجدار تسمح لشبكة النفق بالوصول إلى المنفذ 53. أما AllowedIPs فتقرر ما يدخل النفق من جهاز الموظف.

صلاحيات ضيقة لا وصولاً كاملاً

لا تفتح الشبكة كلها لكل موظف. فمحاسب يصل إلى برنامج الحسابات لا يحتاج إلى كاميرات المخزن. استعمل قوائم عناوين بحسب الدور:

/ip firewall address-list
add list=staff-accounting address=10.66.66.11
add list=staff-accounting address=10.66.66.12
add list=staff-it address=10.66.66.20

/ip firewall filter
add chain=forward src-address-list=staff-accounting \
    dst-address=192.168.88.10 protocol=tcp dst-port=443 \
    action=accept comment="accounting-to-app" place-before=0
add chain=forward src-address-list=staff-it \
    dst-address=192.168.88.0/24 action=accept \
    comment="it-to-lan" place-before=1
add chain=forward src-address=10.66.66.0/24 action=drop \
    comment="drop-other-staff" place-before=2

القاعدة الأخيرة ترفض كل ما لم يُسمح به صراحة. وهذا المبدأ يسمى أقل صلاحية، ويقلل الضرر إن ضاع جهاز موظف. وضع هذه القواعد في موقعها المناسب من جدارك، مع مراجعة رقم place-before، وتأكد أنها قبل أي قاعدة قبول أوسع، وأن قاعدة established لا تزال تعمل.

سحب الوصول بسرعة

غادر موظف؟ سُرق حاسوب؟ لا تحتاج إلى تغيير إعداد الجميع. عطّل الطرف المحدد، ثم احذفه بعد التأكد:

/interface wireguard peers disable [find comment="staff-laptop-01"]
/interface wireguard peers remove [find comment="staff-laptop-01"]

وهنا تظهر فائدة المفتاح المستقل لكل جهاز. فسحب وصول شخص لا يؤثر في الآخرين. واجعل هذه الخطوة جزءاً من إجراءات إنهاء خدمة أي موظف، مع حساب البريد وكلمات المرور.

مراقبة بسيطة وتشخيص

راقب الأطراف دورياً. طرف بلا مصافحة منذ شهور هو باب لم يعد له داعٍ.

/interface wireguard peers print detail where interface=wg-staff
/ping 10.66.66.11 count=5

• لا مصافحة: راجع قاعدة UDP 51820 والمفتاح العام.
• مصافحة بلا وصول: راجع القواعد ومسار الرد من الجهاز الداخلي.
• تعلق بعض المواقع الداخلية: راجع MTU وMSS، خاصة على شبكات الهاتف.
• يعمل من البيت ولا يعمل من شبكة أخرى: بعض الشبكات تحجب منافذ UDP، فاسأل مسؤولها.

أين يعمل النفق: الراوتر أم السيرفر؟

الراوتر يكفي لفريق صغير. لكن إن زاد العدد أو زاد حجم الترافيك، فالراوتر يتحمل مع عمله الأصلي عبء التشفير. وسرعة MikroTik لا نذكرها، لأننا لم نقسها، وهي تتوقف على موديلك. جرّب بملف كبير مع عدة موظفين قبل الاعتماد عليه.

أما من ناحية السيرفر، فقد بلغت قدرة تشفير WireGuard داخل VM بأربع أنوية نحو 1.7Gbps على أحد سيرفراتنا. وبلغ التنزيل عبر النفق 57MB/s، بزمن وصول نحو 6ms عبر النفق محلياً. والقرب ليس كل شيء: جودة تجربة موظفيك تتأثر بقوة نقطة التشفير كما تتأثر بالمسافة.

سياسة بسيطة تحميك قبل الأوامر

الأوامر تبني النفق، لكن السياسة هي ما يحفظه آمناً. قبل تسليم أول جهاز، اكتب قواعد قصيرة وواضحة يعرفها الجميع:

• يُستعمل النفق من أجهزة العمل فقط، أو من أجهزة شخصية بقرار مكتوب.
• يجب أن يكون الجهاز محمياً بكلمة مرور، مع تشفير القرص إن أمكن.
• يُبلَّغ عن فقدان الجهاز فوراً، فلا ينتظر الموظف إلى اليوم التالي.
• لا يُنسخ ملف الإعداد إلى جهاز آخر، ولا يُرسل عبر تطبيقات المراسلة.
• يُراجع الجدول المرجعي للأجهزة كل ربع سنة، ويُحذف ما لم يعد مستعملاً.

وفكر في الحالات الخاصة قبل أن تقع. الموظف الذي يملك حاسوباً وهاتفاً يحتاج إلى طرفين مستقلين وعنوانين مختلفين. والمتعاقد المؤقت يحتاج إلى وصول محدد بجهاز واحد، مع موعد سحب مكتوب مسبقاً. ومسؤول الشبكة يستحق قاعدة مستقلة، فلا تمنح الجميع صلاحياته.

أما حساب الراوتر الإداري فيبقى منفصلاً عن النفق. فوصول موظف إلى الشبكة لا يعني وصوله إلى إدارة MikroTik، لذا لا تترك WinBox وSSH مفتوحين لشبكة الموظفين كلها. قيّدهما بعناوين فريق الشبكات فقط، بالأمر /ip service set وبقواعد الجدار.

وخطط لتغيير المفاتيح عند الحاجة. فإن شككت في تسرب مفتاح، فاسحبه وولّد غيره، فهذا الإجراء لا يستغرق سوى دقائق.

واختبر كل جديد من شبكة خارجية فعلية، مثل بيانات الهاتف، لا من شبكة المكتب نفسها. فالنجاح من الداخل لا يثبت أن الموظف سيتصل من بيته. واطلب من أول موظف أن يجرب يوماً كاملاً قبل تعميم الإعداد على الفريق، فملاحظاته أرخص من عطل عام.

ووثّق خطوات التثبيت بصور قصيرة، فهذا يقلل طلبات الدعم عند كل موظف جديد.

الخلاصة

مفتاح لكل جهاز، وعنوان لكل مفتاح، وصلاحيات بحسب الدور، وسحب سريع عند الحاجة. بهذا يصبح العمل عن بعد آمناً ومضبوطاً، لا باباً مفتوحاً.

إذا كان خط شركتك بلا عنوان عام، أو كبر فريقك، فسيرفرات مرام يمكن أن تكون نقطة الاتصال الثابتة لموظفيك. وتتوفر لدينا خيارات منافذ بسرعات أعلى تصل إلى 100 جيجابت حسب التوفر والموقع، ونؤكد التفاصيل قبل الطلب.