هذا نص مترجم آليًا وقد يحتوي على أخطاء!
VLAN وتجزئة الشبكة
هنا ستقوم بتقسيم الشبكة إلى مقاطع وتحديد مبررات المرور المسموح به للزوار. أنت بحاجة إلى عنوان، بادئ، بوابة افتراضية ومنفذ من العنوان IP والشبكة الفرعية والبوابة الافتراضية و[[Protokoller Level 1 - Nettverksprotokolls|بروتوكولات الشبكة]].
ابدأ بمثال VLAN والمهمة 1 وتمارين الجدار الناري. المسار الأساسي هو خطة وصول تتضمن الزيارات المتوقعة المسموحة والمحظورة. يتطلب التغيير العملي بيئة اختبار منفصلة ومعتمدة ومسارًا للعودة إلى الإعداد السابق. بدون هذا الوصول، استخدم المثال للتخطيط؛ يجب ألا تقوم بتغيير شبكة المدرسة. حساب الشبكات الفرعية وإعداد DHCP اختياري إضافي.
لماذا التجزئة؟
تُقسّم التجزئة الشبكة إلى أجزاء أصغر. تفصل شبكات LAN المحلية (VLAN) الحركة على المستوى الثاني. لا يزال بإمكان الموجّه أو مبدّل المستوى الثالث تمرير الحركة بينها؛ وتحدد جدران الحماية أو قواعد الوصول ما يُسمح به فعليًا.
| الفائدة | الشرح |
|---|---|
| الأمان | يمكن لقواعد الوصول تقييد الخدمات التي يصل إليها كاميرا إنترنت الأشياء |
| الأداء | حركة بث أقل لكل قسم |
| التحكم | قواعد مختلفة لمجموعات مستخدمين مختلفة |
| استكشاف الأعطال | يسهل عزل المشكلات في قسم محدد |
مثال عملي
هذا تقسيم افتراضي، وليس الترتيب الفعلي للمدرسة أو قواعد جدار الناري المكتملة:
- VLAN 10: الإدارة - الرواتب، الموارد البشرية، القيادة. وصول مقيد بشكل صارم.
- VLAN 20: الموظفون - المعلمون والموظفون الآخرون. الوصول إلى المجلدات المشتركة والطابعات.
- VLAN 30: الطلاب - فقط الوصول إلى الإنترنت ومنصات التعلم.
- VLAN 40: إنترنت الأشياء (IoT) - الطابعات، الشاشات الذكية، الكاميرات. لا يوجد وصول إلى الإنترنت (أو محدود جدًا).
- VLAN 50: الخوادم - خوادم داخلية. الوصول من شبكات VLAN الأخرى فقط للخدمات المتفق عليها.
ما هو VLAN؟
يقوم الشبكة المحلية الافتراضية (Virtual Local Area Network، VLAN) بتقسيم المبدّل الفيزيائي إلى شبكات منطقية. يحدد معرّف VLAN الشبكة التي تنتمي إليها حركة المرور. يجب التحكم في الوصول بين الشبكات المحلية الافتراضية بشكل منفصل.
فيديو: كيف يقسم الـ VLAN الشبكة الفيزيائية
تشرح الفيديو كيفية تقسيم الـ VLAN لشبكة فيزيائية واحدة إلى عدة شبكات منطقية وعزل حركة المرور بينها.
في هذا المثال، يستخدم كل VLAN شبكة فرعية IPv4 خاصة به:
| VLAN | الاسم | الشبكة الفرعية | البوابة |
|---|---|---|---|
| 10 | الإدارة | 10.0.10.0/24 | 10.0.10.1 |
| 20 | الموظفون | 10.0.20.0/24 | 10.0.20.1 |
| 30 | الطلاب | 10.0.30.0/24 | 10.0.30.1 |
| 40 | إنترنت الأشياء | 10.0.40.0/24 | 10.0.40.1 |
| 50 | الخوادم | 10.0.50.0/24 | 10.0.50.1 |
شرح موجز لتقسيم الشبكة الفرعية
يحتوي تقسيم الشبكة الفرعي /24 في المثال على 254 عنوان مضيف عاديًا (من .1 إلى .254)، بما في ذلك العنوان الذي يستخدمه البوابة الافتراضية. يشرح مقال [[البروتوكولات من المستوى الثالث - IP والشبكات الفرعية والبوابة الافتراضية | IP والشبكات الفرعية]] الحساب؛ لا تحتاج إلى إعادة حسابه لتمارين جدار الحماية.
- يعطي
10.0.10.0/24عناوين تبدأ بـ10.0.10.1وتنتهي بـ10.0.10.254 - عادةً ما تكون البوابة الافتراضية هي أول عنوان (
.1)
حركة مميّزة مقابل غير مميّزة
لكي تعمل شبكات VLAN عبر عدة مفاتيح (أو بين مفتاح وموجّه)، يُستخدم التأشير (Tagging):
| النوع | الشرح | الاستخدام |
|---|---|---|
| غير مميّز (وصول) | المنفذ ينتمي إلى شبكة VLAN واحدة. الجهاز لا يعرف بوجود VLAN. | أجهزة الكمبيوتر، الطابعات، الهواتف |
| مميّز (جذع) | المنفذ يحمل حركة مرور من عدة شبكات VLAN، مُشارَكَة بمعرّف VLAN. | بين المفاتيح، نحو الموجّهات |
غالبًا ما يتم توصيل جهاز كمبيوتر عادي بمنفذ وصول دون أن يشرِّك هو نفسه حركة المرور بمعرف VLAN. يمكن لجذع واحد حمل عدة شبكات VLAN مسموح بها، وليس بالضرورة جميعها. كما يمكن للجذع أن يحتوي على قناة أصلية (Native VLAN) غير مميّزة. اقرأ الإعداد الفعلي لملف تعريف المنفذ قبل تفسير مسار الحركة.
المهمة 1 - رؤية VLAN في الممارسة العملية
إذا كان لديك إذن بقراءة إعدادات الشبكة في Uni أو أداة أخرى، فقم بالتحقيق دون إجراء أي تغييرات:
- راجع الشبكات الفرعية (VLANs) التي تم تكوينها
- ما هي المنافذ المضبوطة كنوع الوصول (access)، وما هي تلك المضبوطة كجذع (trunk)?
- قارن بين إعدادات عنوان بروتوكول الإنترنت (IP) لجهاز الحاسوب والشبكة الجزئية وملف تعريف المنفذ. لا يحدد عنوان IP بمفرده الانتماء إلى شبكة فرعية (VLAN).
بدون صلاحيات إدارية: استخدم جدول المثال. يمتلك العميل العنوان 10.0.30.10/24 وبوابة افتراضية 10.0.30.1. أي من الشبكات الجزئية المذكورة في المثال ينتمي إليها؟ ونوع المنفذ الذي ستختاره لحاسوب عادي؟ الإجابة المتوقعة هي شبكة الطلاب ومنفذ وصول ضمن الشبكة الفرعية رقم 30 (VLAN 30). هذا تفسير للمثال وليس قياسًا لشبكتك الخاصة.
قواعد جدار الحماية بين شبكات VLAN
حدد أولاً من يجب أن يبدأ الاتصال، وإلى أي وجهة، وعلى بروتوكول/منفذ معين. تسمية عامة مثل «الموظفون إلى الخوادم» تكون خادماً جداً لتكوينها بشكل مباشر. الجدول أدناه هو سياسة نموذجية تتطلب التفصيل:
| من (المرسل) | إلى (الوجهة) | مسموح؟ | المبرر |
|---|---|---|---|
| الطلاب | الإنترنت | ✅ نعم | ضروري للتعليم |
| الطلاب | إدارة الخوادم | لا | وصول الطالب إلى تطبيق لا يمنح حقاً لإدارة الخوادم |
| الموظفون | خدمات الخوادم المتفق عليها | نعم مقيد | افتح فقط الخدمات اللازمة للعمل |
| إنترنت الأشياء | الإنترنت | ❌ لا (أو محدود) | أجهزة إنترنت الأشياء نادراً ما تحتاج إلى الإنترنت |
| إنترنت الأشياء | الطلاب/الموظفون | ❌ لا | يجب عزل شبكة إنترنت الأشياء |
| الخوادم | العميل الذي بدأ اتصالاً مسموحاً به | حركة استجابة | يمكن لجدار حماية قائم على الحالة السماح بالاستجابات لاتصال مُقام بالفعل |
حركة الاستجابة لا تعني أن الخادم يجب أن يُسمح له ببدء اتصالات جديدة مع الجميع. قواعد established/related وترتيب القواعد يجب أن تتوافق مع جدار الحماية. الحركة بين الأجهزة في نفس VLAN عادةً لا تمر عبر جدار التحكم بالتوجيه بين شبكات VLAN.
Standard: احظر كل شيء، واسمح فقط بما تحتاجه
تبدأ سياسة جدار الحماية الجيدة بحظر جميع حركة المرور بين شبكات الـ VLAN، ثم تفتح فقط ما هو ضروري. هذا أكثر أماناً بكثير من البدء بكل شيء مفتوح ومحاولة حظر ما لا تريده.
هذه هي السياسة النهائية المطلوبة، وليس إشعارًا ببدء حظر واسع النطاق في شبكة قيد الاستخدام. حافظ على الإدارة الضرورية وDNS وDHCP أثناء تعديل إعداد الاختبار المحدود النطاق.
تمرين: العميل عبر الوكيل، وليس مباشرةً إلى التطبيق
استخدم أدوار المثال هذه أو قيمًا معروفة مماثلة من بيئة الاختبار:
| الوحدة | شبكة VLAN | العنوان والخدمة |
|---|---|---|
| عميل | 30 | 10.0.30.10 |
| وكيل | 50 | 10.0.50.10, HTTP على TCP 80 |
| تطبيق | 50 | 10.0.50.20, HTTP على TCP 5000 |
يجب أن يتمكن العميل من فتح التطبيق عبر الوكيل، ولكن ليس بشكل مباشر على منفذ التطبيق. يُظهر Docker Level 3 كيفية إعداد الوكيل والتطبيق ومراقبتهما. اكتب الخطة في مستند مستقل:
| المصدر | الهدف | البروتوكول/المنفذ | الإجراء | المراقبة المتوقعة |
|---|---|---|---|---|
| عميل-شبكة VLAN 30 | عنوان الوكيل | TCP 80 | السماح | استجابة /status المتوقعة للتطبيق عبر اسم التطبيق |
| عميل-شبكة VLAN 30 | عنوان التطبيق | TCP 5000 | حظر الاتصال الجديد | عدم وجود اتصال HTTP مباشر من العميل |
يقع الوكيل والتطبيق في نفس شبكة VLAN في المثال. يتم اختبار الاتصال بينهما مباشرةً، لكنه لا يخضع لهذه القواعد بين الشبكات. تُظهر الاختبار الناجح عبر الوكيل أن التطبيق كان متاحًا بهذه الطريقة؛ بينما فشل الاختبار المباشر وحده لا يثبت بالضرورة أن جدار الحماية قام بالحظر بشكل صحيح.
اختبار عملي في بيئة اختبار معتمدة
استخدم إعداد وكيل/تطبيق يعمل بالفعل مسبقًا. دوّن الحالة الحالية والقواعد السارية، واحتفظ بالوحدة الطرفية أو أي مسار إداري آخر بحيث يمكن التراجع عن التغيير. تحقق من المصدر والوجه والمنفذ والاتجاه وترتيب القواعد قبل تعديل قاعدة واحدة محددة النطاق.
من العميل تختبر اسم التطبيق عبر الوكيل. للوصول المباشر إلى التطبيق يمكنك استخدام:
curl --fail --show-error --connect-timeout 5 --max-time 10 http://10.0.50.20:5000/status
العنوان من المثال؛ استبدله بعنوان التطبيق في بيئة الاختبار. بعد الحجب، يجب أن لا يتمكن هذا العميل من إنشاء اتصال HTTP. قد يكون لوقت انتهاء المهلة أسباب أخرى؛ قارن النتيجة بسجل جدار الحماية أو عدّاد القواعد عند توفيره بواسطة الأداة، وتحقق أيضًا من أن التطبيق ما زال يستجيب عبر الوسيط (Proxy). يُظهر خطأ HTTP 404 أو 500 من منفذ التطبيق أن اتصال HTTP وصل إلى الوجهة، حتى لو كان أمر curl --fail ينتهي بخطأ.
نقطة فحص: الوصول المخطط والفعلي
اعرض كلا الاختبارين مع المصدر، الهدف، النتيجة المتوقعة والنتيجة الفعلية. اشرح القاعدة وما يؤكده الاختبارات. عند وجود انحراف، افحص قاعدة واحدة أو مسار حركة مرور واحد في كل مرة وأعد الفحص. أعد التراجع إذا كانت التغييرات تكسر وصولًا ضروريًا.
إذا كنت قد استخدمت المثال فقط، حدد النتائج كمتوقعة واشرح أي اختبارات تبقى. عندها يكون الخطة جاهزة، لكن التنفيذ والتأثير الفعلي لم يُبرهنا بعد. حساب الشبكة الفرعية وDHCP أدناه هما توسعات اختيارية بعد هذا الفحص.
تقسيم الشبكات الفرعية
جديد على بادئات وشبكات الفرع؟
يشرح [[بروتوكولات المستوى الثالث - IP، شبكات الفرع وبوابة الافتراضية|🌐 IP، شبكات الفرع وبوابة الافتراضية]] ما تعنيه البادئة فعليًا، قبل أن تستخدمها لتخطيط شبكات فرعية لـ VLAN هنا.
إعادة الانتخاب: استخدم [[بروتوكولات المستوى الثالث - IP والشبكات الفرعية والبوابة الافتراضية|عنوان IP والشبكة الفرعية]] عند اختيار نطاق عنوان آخر. الأرقام أدناه تنطبق على شبكات IPv4 الفرعية المعتادة وتوضح عدد عناوين الأجهزة بعد عنوان الشبكة وعنوان البث:
| البادئة | قناع الشبكة | عناوين الأجهزة | الاستخدام النموذجي |
|---|---|---|---|
/24 | 255.255.255.0 | 254 | معظم الـ VLAN |
/25 | 255.255.255.128 | 126 | مقاطع أصغر |
/16 | 255.255.0.0 | 65 534 | الشبكات الكبيرة |
المهمة 2 - حساب شبكة فرعية
تمرين اختياري للحساب: استخدم الطريقة من مرجع عناوين IP أو حاسبة الشبكات الفرعية، على سبيل المثال subnet-calculator.com:
- أدخل
10.0.60.0مع القناع/24. كم عدد العناوين التي تحصل عليها؟ - ماذا يحدث إذا قمت بتغييره إلى
/25؟ أو/23؟ - ما الذي كنت ستختاره لفصل دراسي به 30 طالبًا؟
التحقق: يعطي /24 عنوانَي مضيفين قدرهما 254، ويعطي /25 قدرها 126، و/23 قدرها 510. برر اختيارك بناءً على جميع الأجهزة التي تحتاج إلى عنوان، بما في ذلك البوابة والأجهزة الأخرى؛ فعدد الطلاب ليس هو إجمالي الحاجة إلى العناوين.
DHCP لكل نطاق VLAN (VLAN)
بحث اختياري: يحتاج العملاء الذين يجب أن يحصلوا على إعدادات IP تلقائيًا إلى خدمة DHCP توفر الإعداد الصحيح لشبكة الفرع. لا تحتاج العناوين الثابتة إلى DHCP. يوضح قسم [[[بروتوكولات المستوى الثاني - خدمات الشبكة وأدوار الخوادم|خدمات الشبكة وأدوار الخوادم]] تفاصيل بروتوكول DHCP والحجز المسبق.
مثال لنطاق VLAN الخاص بالطلاب:
| الإعداد | القيمة |
|---|---|
| شبكة الفرع | 10.0.30.0/24 |
| البوابة الافتراضية | 10.0.30.1 |
| نطاق DHCP | 10.0.30.100 - 10.0.30.250 |
| خادم DNS | خدمة الأسماء التي تعرف أسماء التطبيقات الداخلية في بيئة الاختبار |
ملخص
- تقوم التقسيم الشبكي (Segmentation) بتقسيم الشبكة إلى أجزاء يمكن التحكم فيها حركة المرور
- شبكات VLAN هي شبكات افتراضية على نفس مفاتيح الشبكة الفيزيائية
- تربط منافذ الوصول (Access ports) الأجهزة بشبكة VLAN واحدة، بينما تحمل منافذ الجذر (Trunk ports) عدة شبكات VLAN
- تحدد قواعد جدار الحماية ما يُسمح به بين شبكات VLAN
- في المثال، لكل شبكة VLAN شبكة فرعية (subnett) خاصة بها؛ وتكون خدمة DHCP ذات صلة عند تخصيص العناوين تلقائيًا
- السياسة النهائية: حظر الحركة غير الضرورية، والسماح بالخدمات المتفق عليها
المصادر: UniFi: قواعد الوصول وحركة الإجابة ومنافذ access/trunk.