شبکه خصوصی سرور مجازی چیست؟ کاربردها، مزایا و راه‌اندازی در تراست هاست

شبکه خصوصی تراست هاست به سرورهای مجازی شما یک مسیر ارتباطی جداگانه می‌دهد که فقط بین سرورهای خودتان برقرار است؛ نه از اینترنت دیده می‌شود و نه سرورهای مشتریان دیگر به آن دسترسی دارند. با چند کلیک در پنل کاربری، بدون خاموش‌کردن سرور و بدون تیکت، یک کارت شبکه‌ی دوم به سرور اضافه می‌شود و دیتابیس، بک‌اند، نودهای Docker و سرویس‌های مانیتورینگ‌تان می‌توانند با هم، امن و با تأخیر بسیار کم، گفتگو کنند.

شبکه خصوصی سرور مجازی چیست؟

شبکه خصوصی سرور مجازی یک شبکه‌ی لایه‌ی ۲ مجزا است که سرورهای شما را از طریق یک کارت شبکه‌ی دوم به هم وصل می‌کند. کارت شبکه‌ی اول همان کارت معمول سرور با IP عمومی است و اینترنت را به سرور می‌رساند؛ کارت دوم فقط به شبکه‌ی خصوصی شما وصل است و آدرسی از یک محدوده‌ی خصوصی (Private IP) می‌گیرد.

در تراست هاست هر مشتری شبکه‌ی خصوصی مخصوص خودش را دارد: یک زیرشبکه‌ی /24 از محدوده‌ی 10.200.X.0/24 که فقط سرورهای همان حساب کاربری عضو آن می‌شوند. ترافیک این شبکه از شبکه‌ی سرورهای دیگر مشتریان جدا است و در مسیر اینترنت عمومی هم قرار نمی‌گیرد.

چرا به شبکه خصوصی نیاز دارید؟

• کاهش سطح حمله: سرویسی مثل MySQL، PostgreSQL، Redis یا Elasticsearch لازم نیست روی IP عمومی گوش بدهد. وقتی فقط روی آدرس خصوصی در دسترس باشد، از بیرون اصلاً دیده نمی‌شود و حملات اسکن و Brute Force به آن نمی‌رسد.
• تأخیر کم: در آزمایش داخلی ما، پینگ بین دو سرور مجازی روی شبکه‌ی خصوصی حدود ۰٫۶ میلی‌ثانیه بود. عدد واقعی به بار و نوع سرویس بستگی دارد، اما ارتباط بین سرورها از مسیر کوتاه داخلی انجام می‌شود، نه از میان اینترنت.
• سادگی در معماری: آدرس‌های خصوصی ثابت‌اند و تغییر نمی‌کنند؛ پس در تنظیمات برنامه‌ها، Load Balancer و کلاسترها به‌راحتی از آن‌ها استفاده می‌کنید.
• کنترل دسترسی ساده‌تر: قانون فایروال را می‌توانید روی کل زیرشبکه‌ی خصوصی بنویسید، به‌جای اینکه IP عمومی هر سرور را جداگانه مجاز کنید.
• بدون وابستگی به نرم‌افزار: نیازی به نصب VPN، تونل یا پیکربندی پیچیده نیست؛ شبکه در سطح زیرساخت ساخته می‌شود.

کارهایی که با شبکه خصوصی ساده‌تر می‌شوند

جداسازی دیتابیس از وب‌سرور

رایج‌ترین استفاده: وب‌سرور (Nginx، Apache یا برنامه‌ی Node.js، Laravel، Django) روی یک سرور و دیتابیس روی سرور دیگر. برنامه از آدرس خصوصی به دیتابیس وصل می‌شود و پورت دیتابیس هیچ‌وقت به اینترنت باز نمی‌شود. حتی اگر وب‌سرور هدف حمله شود، مهاجم یک مسیر مستقیم از اینترنت به دیتابیس ندارد.

کلاستر Docker، Swarm و Kubernetes

نودهای یک کلاستر برای هماهنگی، ارتباط Overlay و ذخیره‌ی داده نیاز به ارتباط پایدار و سریع دارند. با قرار دادن این ارتباط‌ها روی شبکه‌ی خصوصی، پورت‌های داخلی کلاستر (مثل پورت‌های etcd یا Swarm) در معرض اینترنت قرار نمی‌گیرند.

کلاستر دیتابیس و Replication

همگام‌سازی بین Primary و Replica در MySQL یا PostgreSQL، یا Galera و Redis Sentinel، ترافیک پیوسته و حساس به تأخیر دارد. شبکه‌ی خصوصی این ترافیک را از ترافیک کاربران جدا می‌کند.

پشتیبان‌گیری بین سرورها

اگر یک سرور را برای نگهداری بکاپ‌های سرورهای دیگر در نظر گرفته‌اید، rsync، restic، Borg یا اتصال NFS را از مسیر خصوصی انجام دهید تا حجم بکاپ با ترافیک سایت و کاربران شما قاطی نشود. درباره‌ی تفاوت Snapshot و Backup هم می‌توانید این مقاله را بخوانید.

مانیتورینگ و لاگ مرکزی

Agentهای Zabbix، Prometheus Node Exporter یا ارسال لاگ به یک سرور مرکزی می‌توانند فقط روی آدرس خصوصی گوش بدهند. نتیجه این است که پورت‌های مانیتورینگ به اینترنت باز نمی‌شوند.

محیط توسعه، تست و Production

سرورهای Staging و Production خودتان را کنار هم داشته باشید و برای انتقال داده، دیپلوی و تست یکپارچگی از مسیر خصوصی استفاده کنید. سرورهای تست هم لازم نیست خدمات داخلی را به اینترنت نشان بدهند.

سرورهای AI و GPU

اگر مدل‌ها را روی یک سرور GPU اجرا می‌کنید و برنامه یا n8n روی سرور دیگری است، API مدل (مثلاً Ollama یا vLLM) را فقط روی آدرس خصوصی بدهید. این‌طور API بدون کلید و بدون احراز هویت اضافه در اینترنت باز نمی‌ماند. راهنمای مدل‌های هوش مصنوعی لوکال و GPU Server را هم ببینید.

VPN و Gateway شخصی

می‌توانید یک سرور را به‌عنوان نقطه‌ی ورود (Bastion یا WireGuard) نگه دارید و دسترسی به بقیه‌ی سرورها را فقط از طریق شبکه‌ی خصوصی انجام دهید. SSH سرورهای دیگر دیگر نیازی به باز بودن روی اینترنت ندارد.

شبکه خصوصی تراست هاست چگونه کار می‌کند؟

• اختصاصی هر مشتری: هر حساب کاربری زیرشبکه‌ی خودش را دارد. سرورهای شما فقط با سرورهای خودتان روی این شبکه ارتباط دارند.
• کارت شبکه‌ی دوم: هنگام عضویت، یک کارت شبکه‌ی جدید به سرور اضافه می‌شود. سرور روشن می‌ماند و نیازی به ری‌استارت نیست.
• آدرس مشخص از پنل: آدرس هر سرور در پنل نمایش داده می‌شود (از .11 تا .250 در زیرشبکه‌ی شما، یعنی تا ۲۴۰ آدرس).
• بدون Gateway: این شبکه فقط برای ارتباط بین سرورهای شما است و مسیر خروج به اینترنت نیست. اینترنت سرور همچنان از کارت شبکه‌ی اول انجام می‌شود و تنظیمات عمومی سرور تغییر نمی‌کند.
• ایزوله از دیگران: شنود ترافیک و جعل آدرس MAC روی این شبکه غیرفعال است و شبکه‌ی هر مشتری از بقیه جدا نگه داشته می‌شود.
• مدیریت از پنل کاربری: عضویت و خروج از تب «شبکه خصوصی» در صفحه‌ی مدیریت سرویس انجام می‌شود.

شبکه‌ی خصوصی برای سرورهای مجازی (VPS و VDS) تراست هاست در پنل کاربری فعال است. اگر هنوز درباره‌ی تفاوت این دو مطمئن نیستید، مقاله‌ی تفاوت VPS و VDS را بخوانید.

راه‌اندازی قدم‌به‌قدم

1. وارد پنل کاربری تراست هاست شوید و صفحه‌ی مدیریت یکی از سرورهای مجازی را باز کنید.
2. به تب «شبکه خصوصی» بروید و عضویت سرور را در شبکه‌ی خصوصی انجام دهید. پنل یک کارت شبکه‌ی جدید به سرور اضافه می‌کند و آدرس خصوصی همان سرور را نشان می‌دهد.
3. همین کار را برای سرورهای بعدی تکرار کنید؛ همه در یک شبکه قرار می‌گیرند.
4. آدرس نمایش‌داده‌شده را داخل سیستم‌عامل هر سرور روی کارت شبکه‌ی جدید تنظیم کنید (راهنما در بخش بعد).
5. ارتباط را با ping بین دو سرور بررسی کنید.

پنل پس از عضویت پیام می‌دهد که آدرس را داخل سرور و بدون Gateway روی کارت جدید تنظیم کنید؛ این قدم را باید خودتان داخل سیستم‌عامل انجام دهید.

تنظیم آدرس داخل سیستم‌عامل

در متن‌های زیر، <PRIVATE_IP> همان آدرس خصوصی نمایش‌داده‌شده در پنل و <INTERFACE> نام کارت شبکه‌ی جدید است. نام کارت را با ip link پیدا کنید؛ کارتی است که آدرس IP ندارد.

Ubuntu و Debian (موقت، برای تست)

ip link
ip addr add <PRIVATE_IP>/24 dev <INTERFACE>
ip link set <INTERFACE> up
ping <OTHER_PRIVATE_IP>

Ubuntu با Netplan (دائمی)

فایل جدیدی مثل /etc/netplan/60-private.yaml بسازید. کارت را با MAC آن مشخص کنید تا نام کارت تغییر نکند، dhcp4 را غیرفعال بگذارید و gateway ننویسید:

network:
  version: 2
  ethernets:
    private0:
      match:
        macaddress: "<PRIVATE_NIC_MAC>"
      dhcp4: false
      optional: true
      addresses:
        - <PRIVATE_IP>/24

سپس netplan generate را اجرا کنید و پس از اطمینان از درست‌بودن فایل، netplan apply را بزنید. فایل را با دسترسی 600 نگه دارید.

Windows Server

در Network Connections، کارت جدید را باز کنید و در تنظیمات IPv4 آدرس را دستی وارد کنید: آدرس خصوصی و Subnet mask برابر 255.255.255.0. فیلد Default gateway را خالی بگذارید.

نکات امنیتی

• شبکه‌ی خصوصی جای فایروال را نمی‌گیرد. هر سرور عضو شبکه به بقیه‌ی اعضا دسترسی دارد؛ پس اگر یکی از سرورها آلوده شود، می‌تواند سرورهای دیگر را اسکن کند. روی هر سرور فقط پورت‌های لازم را از آدرس‌های خصوصی مشخص مجاز کنید. برای انتخاب ابزار فایروال، مقایسه‌ی UFW، iptables و nftables کمک می‌کند.
• سرویس‌های داخلی را فقط روی آدرس خصوصی Bind کنید. مثلاً در MySQL مقدار bind-address را روی آدرس خصوصی بگذارید، نه 0.0.0.0.
• رمزگذاری برنامه را کنار نگذارید. اگر داده‌ی بسیار حساس منتقل می‌کنید، TLS داخلی هم فعال کنید؛ این کار دفاع در لایه‌ی دوم است.
• امن‌سازی پایه‌ی هر سرور همچنان لازم است. تنظیمات امنیتی بعد از خرید VPS و امن‌سازی SSH را انجام دهید.

خروج از شبکه خصوصی

برای خروج یک سرور از شبکه‌ی خصوصی، ابتدا سرور را خاموش کنید و بعد از تب «شبکه خصوصی» گزینه‌ی «خروج از شبکه خصوصی» را بزنید. کارت شبکه‌ی دوم حذف می‌شود. دلیل خاموش‌بودن این است که حذف کارت شبکه از سرور روشن ممکن است باعث گیرکردن سیستم‌عامل شود. پس از خروج، فایل تنظیمات آدرس خصوصی را هم از داخل سیستم‌عامل پاک کنید (مثل فایل Netplan بالا) تا تنظیم بلااستفاده باقی نماند.

اگر سرویسی را لغو کنید، عضویت آن در شبکه‌ی خصوصی هم حذف می‌شود. وقتی آخرین سرور هم خارج شود، خود شبکه نیز پاک می‌شود.

مقایسه: اینترنت عمومی یا شبکه خصوصی؟

سوالات متداول