מה זה VPN, ולמה הוא לפעמים פוגע בשיחות?

מה זה VPN

VPN (Virtual Private Network — רשת פרטית וירטואלית) יוצר חיבור מוצפן בין המחשב שלכם לבין שרת מסוים, ומעביר דרכו את התעבורה. מבחוץ רואים רק "צינור" מוצפן; מה שעובר בתוכו מוסתר.

אפשר לדמות את זה לשליח שלוקח את כל המכתבים שלכם בתיק נעול, נוסע איתם לסניף הדואר של המשרד, ושם הם נשלחים ליעדם. המכתבים מוגנים בדרך — אבל כל מכתב עושה עכשיו מסלול ארוך יותר.

יש שני שימושים עיקריים: VPN ארגוני — כדי שעובד בבית יוכל לגשת לשרתים ולתיקיות של המשרד כאילו הוא יושב שם; וVPN מסחרי — שירות שמעביר את הגלישה דרך שרת במדינה אחרת, בשם פרטיות.

חשוב להבחין: VPN לא הופך את החיבור למהיר יותר, ולא משפר את איכות הקו. הוא מוסיף שכבת הגנה ומשנה את הדרך שהמידע עובר. לפעמים זה בדיוק מה שצריך — ולפעמים, בשיחות, זה מחיר מיותר.

למה שיחה וVPN לא תמיד מסתדרים

• דרך ארוכה יותר — במקום ללכת מהבית ישר לשרת המרכזייה, כל חבילת קול הולכת קודם לשרת ה-VPN ורק משם ליעד. אם שרת ה-VPN במדינה רחוקה, הפינג יכול לקפוץ בעשרות ואף מאות אלפיות שנייה.
• תקורה — כל חבילה עטופה בעוד שכבה של הצפנה וכותרות. לחבילות קול, שהן קטנות מאוד, זו תוספת יחסית גדולה.
• צוואר בקבוק — כל התעבורה של העובד, כולל עדכונים והורדות, עוברת באותה מנהרה. שרת VPN עמוס מעכב גם את הקול.
• חיבורים שנסגרים — חלק משירותי ה-VPN וחומות האש בדרך סוגרים חיבורים שקטים מהר מדי. הטלפון מאבד את הרישום, ושיחות נכנסות לא מגיעות.
• מנהרה בתוך מנהרה — מרכזיות רבות כבר מצפינות את השיחה בעצמן. VPN נוסף מוסיף עבודה בלי להוסיף הרבה הגנה.

מרכזייה בענן: למה בדרך כלל לא צריך VPN לשיחות

במרכזייה ישנה שיושבת בארון במשרד, עובד מהבית היה חייב "להיכנס" לרשת המשרד כדי לדבר — ולכן VPN היה הדרך היחידה. במרכזייה בענן המצב הפוך: השרת לא נמצא במשרד בכלל, אלא באינטרנט. הטלפון במשרד והסופטפון בבית מתחברים לאותו שרת בענן, כל אחד מהרשת שלו.

לכן עובד מהבית צריך רק חיבור אינטרנט סביר. אם יש לו VPN ארגוני בשביל קבצים ותוכנות של המשרד, עדיף שהשיחות לא יעברו דרכו, אלא ישירות לשרת המרכזייה.

Split Tunneling — רק מה שצריך בתוך המנהרה

רוב מערכות ה-VPN הארגוניות מאפשרות לקבוע מה עובר במנהרה ומה לא. ההגדרה נקראת Split Tunneling — "פיצול המנהרה". למשל: כל מה שמיועד לשרתים של המשרד עובר ב-VPN, וכל השאר — כולל השיחות — יוצא ישירות לאינטרנט.

זו בדרך כלל הדרך הטובה לשלב VPN וטלפוניה: העובד מקבל גישה מאובטחת לקבצים, והשיחות שלו לא מסתובבות בדרך ארוכה. את ההגדרה עושה מנהל הרשת של הארגון, לפי מדיניות האבטחה שלו.

יש ארגונים שמעדיפים, מטעמי אבטחה, שכל התעבורה תעבור במנהרה. זו החלטה לגיטימית, ובמקרה כזה כדאי שהשרת של ה-VPN יהיה קרוב ויציב, ושיהיה בו מספיק רוחב פס בשביל השיחות של כל העובדים.

VPN מסחרי בנייד — הבעיה שלא רואים

אפליקציות VPN מסחריות מותקנות היום בהרבה ניידים, לפעמים בלי שבעל הנייד זוכר בכלל. הן מעבירות את כל התעבורה — כולל הסופטפון — דרך שרת שנבחר לפעמים במדינה רחוקה.

הסימנים: השיחות בסופטפון מתעכבות ("דריכה" זה על זה), הקול נקטע, או שהסופטפון מתחבר ומתנתק לסירוגין. כשמכבים את ה-VPN, הכל חוזר לתקין.

עוד בעיה: חלק משירותי ה-VPN משנים את כתובת היציאה של הנייד בכל חיבור. אם בארגון מוגדרת הגבלת כניסה לפי כתובת IP, שינוי כזה עלול לחסום את העובד מלהתחבר.

אם חייבים VPN בנייד, כדאי לבחור שרת קרוב, ולבדוק אם האפליקציה מאפשרת להחריג את הסופטפון מהמנהרה.

VPN וסינון

בקהילה שעובדת עם אינטרנט מסונן, חשוב לדעת שהתקנת VPN מסחרי עלולה להעביר את הגלישה מחוץ לסינון, ולכן ספקי סינון רבים חוסמים אותו או מבקשים לא להשתמש בו. זה לא רק עניין טכני — זה עניין של מדיניות הבית והארגון.

לטלפוניה אין צורך ב-VPN כזה. מרכזייה שמותאמת לסינון עובדת דרך החיבור המסונן הרגיל, וזה המצב הפשוט והיציב. VPN ארגוני לגישה לשרתי המשרד הוא נושא אחר, שעליו מחליטים מנהל הרשת וספק הסינון יחד.

איך בודקים אם ה-VPN הוא הבעיה

1. לכבות את ה-VPN לרגע ולעשות שיחת ניסיון. אם השיחה נשמעת טוב יותר — מצאתם.
2. פינג לשרת מוכר עם ה-VPN ובלעדיו, ולהשוות. הפרש של עשרות אלפיות שנייה הוא סימן ברור.
3. tracert עם ה-VPN מראה רק את שרת ה-VPN — בלעדיו רואים את הדרך האמיתית.
4. לבדוק הגדרות פיצול — אם יש Split Tunneling, לוודא שהסופטפון לא נכנס למנהרה.
5. לשאול את מנהל הרשת — אם ה-VPN ארגוני, הוא יודע מה עובר בו ולמה.

דוגמה מהשטח: הנציג שנשמע "מהחלל"

בעסק לשירותי ביטוח (שם בדוי: "מגן ביטוחים") נציג בשם יוסף עבר לעבוד יומיים בשבוע מהבית, עם סופטפון במחשב הנייד. הלקוחות התלוננו שיש עיכוב מוזר בשיחה, "כמו בשידור מהחלל".

במחשב הנייד היה מותקן VPN ארגוני ישן, שהוגדר להעביר את כל התעבורה דרך שרת של חברת אם בחו"ל. הפינג משם הגיע ל-280 מ"ש. מנהל הרשת הגדיר פיצול מנהרה, כך שהשיחות יוצאות ישירות, והפינג ירד ל-30. הלקוחות הפסיקו להרגיש שמשהו שונה.

עבודה מהבית בלי VPN — מה כן צריך

כדי שעובד ידבר מהבית כשלוחה רגילה של המשרד, ברוב המקרים מספיק:

• חיבור אינטרנט יציב — עדיף בכבל, עם העלאה של לפחות כמה מגה.
• שלוחה — סופטפון במחשב או בנייד, או טלפון שולחני שמחובר לראוטר הביתי.
• אוזניות — כדי שבני הבית לא יישמעו ברקע, ושהקול יהיה ברור.
• ראוטר מוגדר נכון — SIP ALG כבוי, וזמן החזקת חיבורי UDP מספיק ארוך.

מי שזקוק גם לגישה לקבצים ולתוכנות של המשרד ישתמש ב-VPN בשביל אלה — ועדיף שהשיחות ייצאו בנפרד. פירוט נוסף בכתבה על עבודה מרחוק.

איך VPN עובד, קצת יותר לעומק

כשה-VPN מופעל, המחשב מקבל כתובת נוספת — כתובת "פנימית" ברשת של שרת ה-VPN — ומעתה הוא מתנהג כאילו הוא יושב ברשת ההיא. כל חבילה שהוא שולח נארזת בתוך חבילה אחרת, מוצפנת, ונשלחת לשרת ה-VPN. שם היא נפתחת ויוצאת לדרכה, כאילו נשלחה משם.

מבחינת שרת המרכזייה, השיחה לא מגיעה מהבית של העובד אלא מהכתובת של שרת ה-VPN. לכן כל הגבלה או הגדרה לפי כתובת — רואה את שרת ה-VPN ולא את העובד.

בנוסף, בתוך המנהרה יש לפעמים מגבלה על גודל החבילה (MTU). חבילות שגדולות מדי מתפרקות לשניים או נזרקות. בשיחה עצמה החבילות קטנות, אבל הודעות הרישום והחיוג של הטלפון גדולות יותר — ולפעמים דווקא הן נתקעות, והתוצאה היא טלפון ש"לא נרשם" רק כשה-VPN פועל.

VPN בין סניפים

ארגונים עם כמה סניפים מחברים לפעמים את הרשתות של הסניפים ב-VPN קבוע בין הראוטרים (Site-to-Site), כדי שכולם יעבדו על אותם שרתים. במרכזייה בענן אין צורך בזה בשביל הטלפונים: כל סניף מתחבר לשרת בענן בנפרד, והשלוחות של כל הסניפים מדברות זו עם זו דרך המרכזייה כאילו ישבו באותו בניין.

אם ה-VPN בין הסניפים כבר קיים בשביל דברים אחרים, כדאי לוודא שהטלפונים של כל סניף יוצאים ישירות לאינטרנט, ולא דרך הסניף הראשי. אחרת, נפילה של הקו בסניף הראשי עלולה להשבית את הטלפונים בכל הסניפים.

מה לבקש ממנהל הרשת

• שהשיחות (או אפליקציית הסופטפון) ייצאו מחוץ למנהרה, אם המדיניות מאפשרת.
• אם לא — ששרת ה-VPN יהיה קרוב, יציב, עם רוחב פס פנוי לשיחות.
• שזמן החזקת החיבורים בחומת האש לא יהיה קצר מדי, כדי שהטלפון לא יאבד רישום.
• לבדוק שאין בעיה של גודל חבילות (MTU) במנהרה.
• שיחת ניסיון אחרי כל שינוי בהגדרות ה-VPN — נכנסת ויוצאת.