تجزئة VLAN هي طريقة في تصميم الشبكات تقسم بنية التحويل المادية إلى عدة أجزاء شبكية منطقية. وبدلاً من أن تشترك كل الأجهزة المتصلة في نطاق بث واحد، يستطيع المسؤولون إسناد الأجهزة أو المنافذ أو المستخدمين أو الأقسام أو الأنظمة أو أنواع الحركة إلى شبكات LAN افتراضية منفصلة.
يستخدم هذا الأسلوب على نطاق واسع في شبكات المؤسسات، والمواقع الصناعية، والحرم الجامعية، والمستشفيات، ومراكز البيانات، وسلاسل التجزئة، والمباني الذكية، وبيئات الخدمات المدارة. والغرض الرئيسي منه هو تنظيم الحركة، وتقليل التعرض غير الضروري لحزم البث، وفصل الأنظمة الحساسة، ودعم التحكم بالسياسات، وتسهيل تشغيل الشبكات الكبيرة.
من شبكة LAN كبيرة واحدة إلى مناطق منطقية مضبوطة
في الشبكة المسطحة، توجد أجهزة كثيرة داخل نطاق الطبقة الثانية نفسه. قد يبدو ذلك بسيطاً في البداية، لكنه يصبح صعب الإدارة مع زيادة عدد المستخدمين والأجهزة والتطبيقات ومتطلبات الأمان. تزداد حركة البث، ويصبح استكشاف الأعطال أصعب، ويمكن أن تؤثر مشكلة في منطقة واحدة في أنظمة لا علاقة لها بها.
تغير التجزئة المنطقية هذا البناء. فالمبدل الواحد يمكنه حمل عدة شبكات افتراضية منفصلة في الوقت نفسه. يستطيع مستخدمو المكاتب، وهواتف IP، والكاميرات، والخوادم، وشبكات Wi-Fi للضيوف، ووحدات التحكم الصناعية، وواجهات الإدارة، وأجهزة الأمن مشاركة البنية المادية نفسها مع بقائها منفصلة وفق التصميم.
يتجه القطاع نحو شبكات أكثر ضبطاً واعتماداً على السياسات. فمعمارية الثقة الصفرية، ونمو إنترنت الأشياء، وأمن التقنيات التشغيلية، والعمل الهجين، والوصول إلى السحابة، وضغط الامتثال تجعل التجزئة أكثر أهمية من مجرد توفير الاتصال.
آلية العمل الأساسية
الإسناد حسب المنفذ
أبسط تصميم هو إسناد منافذ المبدل إلى أجزاء محددة. فقد ينتمي منفذ متصل بحاسوب مكتبي إلى شبكة منطقية، بينما ينتمي منفذ متصل بكاميرا إلى شبكة أخرى. ولا تستطيع الأجهزة الموجودة في أجزاء مختلفة الاتصال مباشرة في الطبقة الثانية إلا إذا سمح التوجيه أو السياسة بذلك.
يسهل فهم الإسناد حسب المنفذ، وهو شائع في البيئات الثابتة. ويناسب المكاتب، والكاميرات، والطابعات، ونقاط الوصول، والأجهزة الصناعية، وغيرها من نقاط النهاية التي لا تتحرك كثيراً.
الحركة الموسومة عبر الوصلات الجذعية
عندما يجب أن تنتقل حركة عدة شبكات منطقية بين المبدلات، تستخدم الوصلات الجذعية. تحمل وصلة جذعية عدة أجزاء عبر اتصال مادي واحد عن طريق إضافة وسم إلى إطارات Ethernet. يحدد هذا الوسم الشبكة المنطقية التي ينتمي إليها الإطار.
يتيح ذلك للمبدلات والموجهات والجدران النارية ووحدات التحكم اللاسلكية والخوادم معالجة الحركة بشكل صحيح دون الحاجة إلى كابل مستقل لكل جزء.
وصلات الوصول لأجهزة النهاية
تتصل معظم نقاط النهاية العادية عبر منافذ وصول. وينتمي منفذ الوصول عادة إلى جزء واحد ويرسل حركة غير موسومة إلى نقطة النهاية. ويربط المبدل داخلياً تلك الحركة بالجزء المكوّن.
يحافظ ذلك على بساطة إعداد نقطة النهاية. فكثير من الحواسيب والطابعات والكاميرات والهواتف لا تحتاج إلى فهم الوسوم عندما يتولى المبدل التصنيف في طبقة الوصول.
التوجيه بين الأجزاء
تحتاج الأجهزة في مناطق منطقية مختلفة عادة إلى جهاز من الطبقة الثالثة كي تتواصل. قد يكون ذلك موجهاً، أو مبدلاً من الطبقة الثالثة، أو جداراً نارياً، أو جهاز SD-WAN، أو بوابة. يتحكم التوجيه في ما إذا كانت الحركة تستطيع العبور بين الأجزاء.
هنا تصبح سياسة الأمان مهمة. ففصل الحركة في الطبقة الثانية ليس سوى الخطوة الأولى. ويجب على المسؤولين أيضاً تحديد الحركة المسموح بها بين المناطق.
الخصائص الرئيسية
التحكم في نطاق البث
إحدى الخصائص المهمة هي احتواء البث. تبقى حزم البث داخل الجزء المخصص لها بدلاً من الانتشار في بيئة التحويل كلها.
يحسن ذلك الكفاءة في الشبكات الكبيرة لأن الحركة غير الضرورية لا تصل إلى أجهزة لا علاقة لها بها. كما يقلل الضوضاء التي يحتاج المسؤولون إلى تحليلها أثناء استكشاف الأعطال.
العزل المنطقي
توفر التجزئة فصلاً منطقياً بين مجموعات الأجهزة أو الخدمات المختلفة. يمكن فصل الضيوف عن الأنظمة الداخلية، وفصل الكاميرات عن أجهزة المكتب، وفصل وحدات التحكم الصناعية عن حواسيب الشركة.
لا يحل ذلك محل الجدران النارية أو التحكم في الوصول، لكنه ينشئ بنية أوضح لفرض السياسات.
تصميم مادي مرن
لا تحتاج الأجهزة إلى مبدلات مادية مختلفة كي تنفصل. يستطيع مبدل مدار واحد دعم عدة شبكات منطقية. وهذا يوفر الكابلات ومساحة الرفوف وتكلفة المعدات مع الحفاظ على الفصل.
هذه المرونة مفيدة خصوصاً في الحرم الجامعية، والمباني متعددة الطوابق، والمصانع، والمستودعات، والمرافق متعددة الاستخدام.
تصنيف الحركة
يمكن تصنيف أنواع مختلفة من الحركة في مناطق مختلفة. يمكن التعامل مع الصوت والفيديو والإدارة ووصول الضيوف وأنظمة الإنتاج وأجهزة الأمن وحركة المستخدمين بشكل منفصل.
يدعم ذلك سياسات QoS أوضح، ومراقبة أسهل، وسلوكاً شبكياً أكثر قابلية للتنبؤ.
التوسع المعتمد على السياسات
مع نمو المؤسسة، يمكن إضافة أقسام أو مستأجرين أو مناطق إنتاج أو أنواع خدمات جديدة باستخدام ترقيم وتسمية منظمين. وهذا يجعل التوسع أكثر ترتيباً من مجرد إضافة الأجهزة إلى شبكة مشتركة واحدة.
تساعد خطة تسمية وترقيم جيدة المسؤولين على فهم الغرض من كل جزء بسرعة.
القيمة الأمنية في الشبكات الحديثة
الأمان من أقوى أسباب التجزئة. فإذا وضعت كل الأجهزة في الشبكة نفسها، قد يحصل جهاز مخترق على وصول أسهل إلى أنظمة كثيرة أخرى. وفصل الأجهزة يقلل مساحة الهجوم المتاحة.
على سبيل المثال، يجب ألا تصل شبكة Wi-Fi للضيوف إلى الخوادم الداخلية. ويجب ألا تتمكن كاميرات IP من الوصول بحرية إلى الأنظمة المالية. وينبغي ألا تشارك وحدات أتمتة المباني المنطقة نفسها مع حواسيب المكاتب العادية. كما يجب حماية واجهات الإدارة من حركة المستخدمين العامة.
تدعم التجزئة أيضاً احتواء الحوادث. فإذا ظهرت برمجيات خبيثة أو حركة مشبوهة في منطقة واحدة، يستطيع المسؤولون عزل تلك المنطقة أو مراقبتها أو تقييدها دون تعطيل الشبكة بأكملها فوراً.
الأداء وإدارة الحركة
يمكن للتجزئة تحسين الأداء من خلال تقليل انتشار البث وتنظيم تدفقات الحركة. وهي لا تجعل كل تطبيق أسرع تلقائياً، لكنها تنشئ بنية شبكية أنظف يمكن التحكم في الحركة داخلها بفعالية أكبر.
قد توضع حركة الصوت في منطقة مخصصة لدعم QoS وتسهيل استكشاف الأعطال. وقد تفصل حركة المراقبة بالفيديو لأن تدفقات الكاميرات تستهلك عرض نطاق كبيراً. وقد توضع حركة الإدارة في منطقة مقيدة لتقليل التعرض غير الضروري.
من خلال فهم مكان انتماء كل حركة، يستطيع المسؤولون تصميم الوصلات الصاعدة ومسارات التوجيه وقواعد الجدار الناري وطرق المراقبة وتخطيط السعة بدقة أكبر.
التطبيقات في مكاتب المؤسسات
تفصل مكاتب المؤسسات غالباً بين الأقسام، وشبكات Wi-Fi للضيوف، وأجهزة الصوت، والطابعات، وواجهات الإدارة، وكاميرات الأمن، والوصول إلى الخوادم. ويساعد ذلك في إبقاء الشبكة منظمة وتقليل التفاعل غير الضروري بين الأنظمة غير المرتبطة.
في بيئات العمل الهجين، تساعد التجزئة أيضاً على فصل وصول الموظفين، ووصول المتعاقدين، وأجهزة غرف الاجتماعات، وأنظمة التعاون، وخدمات المبنى.
في الشركات الكبيرة، يمكن للتجزئة دعم متطلبات الامتثال والتدقيق عبر فصل الأنظمة التي تعالج بيانات الأعمال الحساسة عن حركة المكتب العادية.
التطبيقات في البيئات الصناعية وبيئات OT
قد تحتوي الشبكات الصناعية على PLC وHMI وحساسات وبوابات ومحطات هندسية وأنظمة سلامة وخوادم إنتاج وCCTV وأجهزة لاسلكية ومحطات صيانة. إن وضع كل ذلك في شبكة مسطحة واحدة قد يخلق مخاطر تشغيلية وأمنية.
تساعد التجزئة المنطقية على فصل مناطق الإنتاج وأنظمة التحكم وأجهزة المراقبة ومسارات الوصول البعيد وأنظمة IT المؤسسية. وهذا يقلل احتمال أن تؤثر مشكلة في شبكة المكتب في معدات الإنتاج.
ومع ذلك، تحتاج البيئات الصناعية إلى تخطيط دقيق. فقد لا تدعم بعض الأجهزة القديمة ضوابط الأمان الحديثة، وقد يكون التوقف غير مقبول. لذلك ينبغي اختبار التجزئة مع اتصالات العملية الحقيقية قبل النشر الكامل.
التطبيقات في المباني الذكية
تحتوي المباني الذكية على أنظمة كثيرة متصلة، منها التحكم في الوصول، والمصاعد، وHVAC، والإضاءة، وعدادات الطاقة، وأنظمة المواقف، وأجهزة الزوار، وكاميرات المراقبة، وWi-Fi، وشبكات المستأجرين، ومنصات الإدارة.
يساعد الفصل المنطقي على منع نظام فرعي من التأثير في آخر. فمثلاً، يجب ألا يصل إنترنت الضيوف إلى وحدات التحكم في الوصول. وينبغي فصل الكاميرات عن أجهزة مكاتب المستأجرين. كما يجب أن تكون حركة إدارة المبنى مرئية فقط لمنصات الصيانة المصرح لها.
يجعل ذلك شبكة المبنى أسهل في التشغيل ويحسن الوضع الأمني مع تحول المزيد من أجهزة المرافق إلى أجهزة قائمة على IP.
التطبيقات في الرعاية الصحية والتعليم
تضم المستشفيات والمؤسسات التعليمية أنواعاً كثيرة من الأجهزة ومجموعات المستخدمين. ولا ينبغي أن تشترك الأنظمة السريرية والحواسيب الإدارية وWi-Fi للضيوف والأجهزة الطبية وأنظمة الأمن وأجهزة الطلاب ومعدات المختبر وشبكات الموظفين في مساحة واحدة غير مضبوطة.
في الرعاية الصحية، تساعد التجزئة على حماية الأنظمة الحساسة ودعم إدارة أجهزة أكثر أماناً. وفي التعليم، تساعد على فصل الطلاب والموظفين والمختبرات والوصول العام والخدمات الإدارية.
تتطلب البيئتان تسمية قوية وتوثيقاً وسياسات وصول واضحة لأن عدد المستخدمين والأجهزة يمكن أن يتغير كثيراً.
التطبيقات في مراكز البيانات والأنظمة المتصلة بالسحابة
تستخدم مراكز البيانات التجزئة لفصل طبقات التطبيقات، وحركة التخزين، وشبكات الإدارة، وأنظمة النسخ الاحتياطي، وأحمال عمل المستأجرين، ومناطق الخدمات الخارجية. وهذا يخلق أساساً منظماً للتوجيه والجدران النارية والمراقبة والامتثال.
وقد تربط البنى المتصلة بالسحابة أيضاً المناطق المنطقية المحلية بمجموعات أمان سحابية أو شبكات افتراضية أو سياسات جدار ناري. ويجعل منطق التجزئة المتسق البنية الهجينة أسهل في الفهم.
مع ازدياد ديناميكية أحمال العمل، تجمع مؤسسات كثيرة بين التجزئة التقليدية والشبكات المعرفة بالبرمجيات، والتجزئة الدقيقة، والتحكم في الوصول المعتمد على الهوية.
مبادئ التصميم
تحديد مناطق العمل أولاً
قبل تكوين المبدلات، يجب على المسؤولين تحديد غرض كل جزء. وينبغي أن يتبع التصميم وظيفة العمل ومستوى المخاطر ونوع الجهاز ونمط الحركة، لا الترقيم العشوائي.
من الأمثلة منطقة المستخدمين، ومنطقة الصوت، ومنطقة الكاميرات، ومنطقة الضيوف، ومنطقة الخوادم، ومنطقة الإدارة، ومنطقة OT، ومنطقة الخدمات المقيدة.
استخدام تسمية وتوثيق واضحين
التوثيق الجيد ضروري. يجب أن يكون لكل جزء اسم ومعرف وشبكة فرعية وبوابة وغرض وسياسة حركة مسموح بها ومالك ونطاق موقع.
من دون التوثيق، تصبح التجزئة صعبة الصيانة. وقد لا يعرف المهندسون مستقبلاً سبب وجود جزء ما أو الأنظمة التي تعتمد عليه.
التحكم في التوجيه بين المناطق
تكون التجزئة غير مكتملة إذا تمكنت كل منطقة من التواصل بحرية مع كل منطقة أخرى. يجب أن تمر الحركة بين المناطق عبر توجيه مضبوط أو سياسة جدار ناري أو قوائم تحكم في الوصول.
النهج الأكثر أماناً هو السماح فقط بالاتصال المطلوب ورفض المسارات غير الضرورية.
التخطيط للنمو
يجب أن يسمح الترقيم وعنونة IP بالتوسع المستقبلي. فإذا خصص كل معرف وكل شبكة فرعية بلا هيكل، يصبح التوسع صعباً.
يساعد التصميم المخطط على إضافة أقسام أو فروع أو أنواع أجهزة أو مستأجرين أو مناطق أمنية جديدة لاحقاً دون إعادة تصميم كبيرة.
مشكلات التكوين الشائعة
من المشكلات الشائعة التكوين غير الصحيح لالوصلات الجذعية. فإذا لم يسمح بجزء مطلوب على وصلة جذعية، قد تفقد الأجهزة الاتصال. وإذا سمح بعدد كبير جداً من الأجزاء في كل مكان، يزداد التعرض وتصبح معالجة الأعطال أصعب.
توجد مشكلة أخرى هي عدم تطابق الوسوم. فقد ترسل نقطة نهاية حركة موسومة بينما يتوقع المبدل حركة غير موسومة، أو قد يحتاج هاتف إلى جزء صوتي لا يتم الإعلان عنه بشكل صحيح.
قد يسبب سوء تكوين البوابة مشكلات أيضاً. فإذا كانت البوابة الافتراضية لجزء ما خاطئة، قد تتواصل الأجهزة محلياً لكنها تفشل في الوصول إلى الشبكات الأخرى.
تظهر ثغرات أمنية عندما توجد التجزئة على مستوى المبدل لكن سياسة التوجيه تبقى مفتوحة أكثر مما ينبغي. في هذه الحالة تبدو الشبكة مفصولة لكنها ما زالت تسمح باتصالات زائدة.
التشغيل والمراقبة
بعد النشر، يجب أن تشمل المراقبة إسنادات المنافذ، وحالة الوصلات الجذعية، وأخطاء الواجهات، ومستويات البث، واستخدام عناوين IP، ونطاقات DHCP، والحركة بين المناطق، وسجلات الجدار الناري، وأحداث الأجهزة غير المصرح بها.
التحكم في التغيير مهم. فقد يؤدي نقل جهاز إلى منفذ خاطئ أو إسناد ملف تعريف غير صحيح إلى تعطيل الخدمة أو تجاوز السياسة.
يجب على فرق الشبكات أيضاً مراجعة الأجزاء غير المستخدمة، والقواعد القديمة، والوصلات الجذعية غير الموثقة، والتسميات غير المتسقة. ومع مرور الوقت، يمكن أن يحول ضعف الصيانة التصميم النظيف إلى نظام مربك.
اتجاه تطور القطاع
يتجاوز القطاع الفصل الثابت البسيط. تجمع مؤسسات كثيرة بين التصميم المعتمد على VLAN والتحكم في الوصول إلى الشبكة، والسياسات الواعية بالهوية، وتجزئة الثقة الصفرية، وSDN، ومجموعات الأمان السحابية، والتزويد الآلي.
كما يدفع نمو IoT وOT التجزئة إلى الأمام. فالمزيد من الكاميرات والحساسات والأجهزة الذكية ووحدات التحكم وأنظمة المباني تتصل بشبكات IP، ولا يمكن الوثوق بها جميعاً بالدرجة نفسها.
من المرجح أن تستخدم التصاميم المستقبلية نهجاً متعدد الطبقات. ستظل الأجزاء المنطقية التقليدية مفيدة، بينما يضاف تحكم أدق في الوصول عبر الجدران النارية وNAC وفحوص وضعية نقطة النهاية والسياسات الواعية بالتطبيقات.
أفضل ممارسات النشر
ابدأ بجرد المستخدمين والأجهزة والتطبيقات وتدفقات الحركة. يجب أن تستند التجزئة إلى ما يحتاج إلى التواصل، لا إلى الافتراضات.
أنشئ خطة تسمية وترقيم قياسية. استخدم تسميات متسقة عبر المبدلات والموجهات والجدران النارية وأنظمة إدارة عناوين IP والتوثيق.
افصل الأجهزة عالية المخاطر أو غير المدارة عن الأنظمة الحرجة. لا ينبغي وضع وصول الضيوف وأجهزة IoT والكاميرات ووحدات التحكم في المباني في المنطقة نفسها مع خوادم الأعمال أو واجهات الإدارة.
اختبر قواعد ما بين المناطق قبل التشغيل الإنتاجي. قد تعتمد التطبيقات على DNS والمصادقة والوصول إلى قواعد البيانات والتسجيل وخوادم التحديث أو مزامنة الوقت، ويجب السماح بهذه الاعتماديات عن قصد.
راجع التصميم بانتظام. فقد تتطلب تغييرات الأعمال والأجهزة الجديدة وعمليات الدمج والهجرة إلى السحابة والحوادث الأمنية تحديث السياسات.
قيمة تجزئة VLAN أنها تحول بيئة التحويل المشتركة إلى مناطق منطقية منظمة تدعم الأمان والأداء والرؤية والتشغيل الشبكي القابل للتوسع.
الأسئلة الشائعة
هل تستطيع تجزئة VLAN إيقاف كل الهجمات السيبرانية؟
لا. فهي تقلل التعرض وتحد من الاتصال غير الضروري، لكنها يجب أن تقترن بالجدران النارية والمصادقة والمراقبة وأمن نقاط النهاية والتحكم في الوصول.
هل يحتاج كل نوع جهاز إلى جزء خاص به؟
ليس دائماً. يجب أن تبنى الأجزاء على المخاطر والوظيفة وسلوك الحركة واحتياجات الإدارة. فالكثير من الأجزاء غير الضرورية قد يجعل التشغيل صعباً.
لماذا لا يستطيع جهازان في جزأين مختلفين التواصل؟
يحتاجان عادة إلى توجيه من الطبقة الثالثة وسياسة مسموح بها بين شبكتيهما. وإذا غابت إعدادات التوجيه أو البوابة أو الجدار الناري أو ACL، سيفشل الاتصال.
هل التجزئة مفيدة للشبكات الصغيرة؟
نعم، لكن ينبغي أن يبقى التصميم بسيطاً. حتى المكاتب الصغيرة تستفيد غالباً من فصل Wi-Fi للضيوف وواجهات الإدارة وأجهزة المستخدمين الداخلية.
ما الذي يجب توثيقه بعد النشر؟
وثق معرف الجزء، واسمه، وشبكته الفرعية، وبوابته، وغرضه، ومالكه، والحركة المسموح بها، ومسارات الوصلات الجذعية، ونطاق DHCP، وسياسة الجدار الناري، وأنواع الأجهزة المتصلة.
