تخيل شركة في مبنى واحد بلا أبواب داخلية. الزائر الذي يدخل الاستقبال يستطيع أن يمشي إلى مكتب الحسابات، ثم إلى غرفة السيرفر، ثم إلى خزانة الملفات. لن يقبل أحد ذلك في المبنى، لكن هذا بالضبط حال الشبكة في أغلب المكاتب التي نزورها: كل جهاز يرى كل جهاز آخر. هاتف الضيف المتصل بالواي فاي، والكاميرا الرخيصة على الباب، وحاسوب المحاسب، وسيرفر الملفات، كلها في الغرفة نفسها.
تقسيم الشبكة إلى شبكات افتراضية منفصلة، وهو ما يسمى تقنيًا VLAN، هو تركيب الأبواب الداخلية.
الفكرة ببساطة
السويتش المُدار يستطيع أن يقسم منافذه إلى مجموعات منفصلة، كأنها سويتشات مختلفة رغم أنها جهاز واحد. المنافذ المخصصة للكاميرات تكوّن شبكة، ومنافذ الموظفين شبكة أخرى، والطابعات شبكة ثالثة. ونقاط الوصول اللاسلكية تبث أكثر من اسم شبكة، كل اسم مرتبط بمجموعة. والأجهزة في مجموعة لا ترى الأجهزة في مجموعة أخرى إلا إذا سمح جدار الحماية بذلك صراحة، وبالقدر المسموح فقط. شرحنا السويتشات المُدارة في مقال السويتش المدار.
التقسيم الذي نستخدمه عادة
- الموظفون: الحواسيب والأجهزة الموثوقة.
- الضيوف: إنترنت فقط، دون رؤية أي جهاز داخلي.
- الكاميرات وأجهزة الأمن: الكاميرات وجهاز التسجيل وأجهزة البصمة، بلا إنترنت مباشر.
- الطابعات والأجهزة المشتركة: يصل إليها الموظفون للطباعة فقط.
- السيرفرات: يصل إليها الموظفون عبر الخدمات المسموحة فقط.
- الإدارة: لإدارة السويتشات ونقاط الوصول وجدار الحماية، لا يصل إليها إلا المسؤول.
لماذا يهم ذلك أمنيًا؟
الكاميرات وأجهزة التسجيل والطابعات والأجهزة الذكية من أضعف الأجهزة أمنيًا. تحديثاتها نادرة، وبرامجها بسيطة. إذا اختُرقت كاميرا على شبكة واحدة مع الحواسيب، أصبحت نقطة انطلاق للوصول إلى كل شيء. أما إذا كانت في شبكة معزولة لا ترى إلا جهاز التسجيل، فالاختراق يبقى محصورًا في مكانه. وكذلك هاتف الضيف الذي قد يحمل برنامجًا خبيثًا دون علم صاحبه، لا يجب أن يصل أبدًا إلى سيرفر الملفات. وقد تناولنا شبكة الضيوف في مقال تأمين واي فاي الضيوف.
وأيضًا للأداء
كل شبكة ترسل أحيانًا رسائل عامة إلى كل الأجهزة فيها. ومع كثرة الأجهزة يزداد هذا الضجيج. والكاميرات تحديدًا ترسل بثًا متواصلًا كثيفًا. فصلها في شبكة خاصة يمنع بثها من مزاحمة حركة الموظفين، ويسمح بإعطاء أولوية لحركة معينة مثل المكالمات الهاتفية عبر الإنترنت.
وللإدارة والتشخيص
حين تكون كل مجموعة في نطاق عناوين خاص، يصبح فهم الشبكة أسهل كثيرًا. نعرف من العنوان فقط أن هذا الجهاز كاميرا وذاك طابعة. وحين تظهر مشكلة في حركة غريبة، نعرف من أي مجموعة تأتي. وحين يُضاف جهاز جديد، يُوصل بالمنفذ المخصص لمجموعته فيأخذ إعداداته تلقائيًا.
هل يحتاج المكتب الصغير إلى كل هذا؟
المكتب الذي فيه خمسة حواسيب وطابعة وراوتر المزود فقط قد يكتفي بفصل الضيوف عن الموظفين، وهذا متاح في كثير من الراوترات الجيدة. لكن بمجرد إضافة كاميرات أو سيرفر أو أجهزة بصمة أو عدد أكبر من الموظفين، يصبح التقسيم الكامل استثمارًا منطقيًا، خاصة أن تكلفة السويتش المُدار لم تعد بعيدة عن غير المُدار.
أخطاء في التنفيذ
- إنشاء الشبكات المنفصلة ثم السماح بكل الحركة بينها، فلا يتغير شيء فعليًا.
- نسيان شبكة الإدارة، فيستطيع أي موظف فتح صفحة إعدادات السويتش.
- عدم توثيق أي منفذ ينتمي إلى أي شبكة، فيتحول الأمر إلى لغز بعد سنة.
- ترك منافذ غير مستخدمة مفعلة على شبكة الموظفين في أماكن عامة.
أسئلة شائعة
هل يتطلب التقسيم تغيير الكابلات؟
لا، يتم على مستوى الإعدادات في السويتشات وجدار الحماية ونقاط الوصول، والكابلات تبقى كما هي.
هل ستتوقف الشبكة أثناء التنفيذ؟
ننفذ التقسيم على مراحل وفي أوقات خارج العمل غالبًا، فلا يكاد يلاحظ الموظفون أي توقف.
مثال من شركة استيراد في دمياط
شركة استيراد وتوزيع لديها مكتب ومخزن ملحق، وعلى شبكتها نحو ثلاثين حاسوبًا، واثنتا عشرة كاميرا، وجهازا بصمة، وأربع طابعات، وسيرفر للمحاسبة، وواي فاي يستخدمه الموظفون والسائقون والزوار بكلمة مرور واحدة يعرفها الجميع. كانت الشبكة بطيئة في الصباح، وكانت الطابعات تطبع أحيانًا أوراقًا غريبة لا يعرف أحد مصدرها. بعد التقسيم صار للزوار والسائقين شبكة لاسلكية خاصة بالإنترنت فقط، وللكاميرات وأجهزة البصمة شبكة معزولة، ولا يصل إلى السيرفر إلا حواسيب قسم الحسابات وعبر برنامج المحاسبة فقط. تحسنت السرعة بوضوح، واختفت الطباعة المجهولة، وصار المسؤول يعرف بنظرة واحدة إلى لوحة الإدارة أي جهاز يستهلك الشبكة. ولم يتطلب ذلك تغيير كابل واحد، بل سويتشين مُدارين وجدار حماية وإعدادات مدروسة.
والأهم أن التوثيق الذي سلمناه جعل أي فني يستطيع فهم الشبكة في دقائق.
لتقسيم شبكة شركتك بطريقة صحيحة، اطّلع على خدمة السويتشات والتوجيه أو تواصل معنا.
