۱. معرفی سامانه

۱.۱ خلاصه

این سامانه یک دروازه امنیتی (Gateway) است که دسترسی کاربران به صفحه وضعیت شبکه را منوط به اتصال موفق از طریق VPN سازمانی می‌کند. کاربرانی که از طریق VPN متصل شده باشند، به صفحه اصلی سامانه هدایت می‌شوند و سایر کاربران، صفحه هشدار دریافت می‌کنند.

۱.۲ قابلیت‌های اصلی

• بررسی خودکار اتصال VPN بر اساس آدرس IP
• هدایت خودکار کاربران VPN به آدرس مقصد قابل تنظیم
• پشتیبانی از IP شناخته‌شده برای هدایت
• ثبت تمام اتصالات (مجاز و غیرمجاز) در فایل لاگ
• پنل مدیریت با رمز عبور برای مشاهده لاگ‌ها و تنظیمات
• طراحی واکنش‌گرا (Responsive) برای موبایل و دسکتاپ
• تمام منابع (CSS, JS) داخل کد — بدون وابستگی خارجی

۱.۳ فناوری‌های استفاده شده

۲. ساختار فایل‌ها

توضیح فایل‌ها

۳. نصب و راه‌اندازی

۳.۱ پیش‌نیازها

• وب‌سرور (Apache یا Nginx) با پشتیبانی PHP 7.4+
• دسترسی خواندن/نوشتن به پوشه وب‌سرور برای PHP

۳.۲ مراحل نصب

فایل‌های زیر را در پوشه روت وب‌سرور کپی کنید:

1. فایل‌های بالا را در پوشه روت وب‌سرور کپی کنید
2. اطمینان حاصل کنید پوشه مبدأ قابل نوشتن باشد (برای ایجاد خودکار logs.csv)
3. آدرس وب‌سایت را در مرورگر باز کنید
4. صفحه اصلی باید IP شما را نمایش دهد
5. با VPN متصل شوید و مجدداً بررسی کنید — باید به آدرس مقصد هدایت شوید

۳.۳ تنظیم رمز عبور ادمین

در اولین ورود به پنل مدیریت، می‌توانید رمز عبور تعیین کنید یا از تعیین رمز صرف نظر کنید. در صورت تعیین رمز، فایل auth.dat ایجاد شده و رمز عبور به صورت هش ذخیره می‌شود.

۳.۴ تنظیمات config.json

{
    "redirect_url": "http://172.16.87.1",
    "known_ip": "80.75.3.42"
}

۴. راهنمای کاربر (صفحه اصلی)

۴.۱ سناریوهای نمایش

۴.۲ اطلاعات نمایشی

صفحه اصلی پس از تأیید VPN، اطلاعات اتصال را نمایش داده و پس از ۲ ثانیه به آدرس مقصد ریدایرکت می‌شود.

۴.۳ دسترسی به پنل مدیریت

برای ورود به پنل مدیریت، ۷ بار پشت سر هم روی متن «زیرساخت ایران برنا» در فوتر کلیک کنید. دکمه پنل مدیریت به صورت موقت نمایش داده می‌شود و پس از ۳ ثانیه محو می‌شود.

۵. راهنمای مدیریت (پنل ادمین)

۵.۱ ورود به پنل

آدرس: admin.php — در اولین ورود امکان تعیین یا صرف نظر از رمز عبور وجود دارد.

۵.۲ بخش‌های پنل

• آمار: کل بازدیدها، بازدید امروز، حجم فایل لاگ
• تنظیمات: قاعده هدایت (IP مبدأ → مقصد)
• تغییر رمز عبور: تغییر رمز عبور ادمین از داخل پنل
• لاگ‌ها: جدول کامل بازدیدکنندگان با قابلیت جستجو و خروجی CSV

۵.۳ عملیات

۵.۴ نمایش لاگ‌ها

هر ردیف شامل: زمان، آی‌پی، نام کامپیوتر، مرورگر و وضعیت است. ردیف‌های «عدم اتصال VPN» با پس‌زمینه قرمز مشخص می‌شوند.

۶. مستندات امنیتی

۶.۱ اقدامات امنیتی اعمال شده

۶.۲ حفاظت فایل‌های حساس

فایل .htaccess دسترسی مستقیم کاربران به فایل‌های حساس را از طریق مرورگر مسدود می‌کند.

۶.۳ سیستم احراز هویت

ورود به پنل مدیریت از سه لایه امنیتی بهره می‌برد:

1. رمز عبور bcrypt: مقاوم در برابر حملات Brute-Force و Rainbow Table
2. محدودیت تلاش: پس از ۵ بار رمز اشتباه، حساب برای ۵ دقیقه قفل می‌شود
3. Session Regeneration: پس از ورود موفق، شناسه نشست تغییر می‌کند (جلوگیری ا Session Fixation)

۶.۳ محافظت CSRF

هر عملیات تغییردهنده (ذخیره تنظیمات، پاک‌سازی لاگ، خروج) نیاز به توکن CSRF دارد. توکن با random_bytes(32) تولید و با hash_equals() مقایسه می‌شود.

۷. تهدیدات و آسیب‌پذیری‌ها

۷.۱ تهدیدات شناسایی شده و اقدامات انجام شده

۷.۲ تهدیدات باقیمانده (Risk Accepted)

۸. توصیه‌های امنیتی

۸.۱ الزامی

1. فایل config.json را با دسترسی 644 تنظیم کنید
2. فایل logs.csv را با دسترسی 644 تنظیم کنید
3. فایل auth.dat (در صورت ایجاد) را با دسترسی 600 تنظیم کنید
4. HTTPS را فعال کنید (SSL/TLS)
5. فایروال سرور را طوری تنظیم کنید که فقط IP‌های مجاز بتوانند به پورت وب‌سرور متصل شوند

۸.۲ توصیه شده

1. از php-fpm به جای mod_php استفاده کنید
2. Error reporting را در production غیرفعال کنید: display_errors = Off
3. لاگ‌ها را به صورت دوره‌ای بکاپ بگیرید
4. از ابزارهای مانیتورینگ مثل Fail2Ban برای نظارت بر تلاش‌های ناموفق استفاده کنید
5. نسخه PHP را به روز نگه دارید

۸.۳ ساختار فایروال پیشنهادی (iptables)

# فقط اجازه دسترسی به پورت 80 از شبکه داخلی
iptables -A INPUT -p tcp --dport 80 -s 192.168.0.0/16 -j ACCEPT
iptables -A INPUT -p tcp --dport 80 -j DROP

۹. عیب‌یابی