دليل إعداد وتقسيم الشبكات المتقدمة للمبتدئين
يُعد تقسيم الشبكات من المهارات الأساسية التي يحتاج إليها كل من يريد تعلم إدارة الشبكات أو العمل في مجال تقنية المعلومات والأمن السيبراني. فمع زيادة عدد الأجهزة المتصلة بالشبكات، لم يعد الاعتماد على شبكة واحدة لجميع الحواسيب والطابعات والخوادم والأجهزة اللاسلكية هو الخيار الأفضل، سواء من ناحية الأداء أو التنظيم أو الأمان.
هنا تظهر أهمية تقنيتين أساسيتين هما Subnetting وVLANs. تساعد تقنية Subnetting على تقسيم نطاق عناوين IP إلى شبكات فرعية أصغر، بينما تتيح VLANs تقسيم الشبكة المحلية إلى شبكات منطقية منفصلة حتى لو كانت الأجهزة متصلة بالمحول الفيزيائي نفسه.
في هذا الدليل على موقع nusurtech.ca، سنتعرف على مفهوم تقسيم الشبكات، وكيفية حساب الشبكات الفرعية، والفرق بين Subnetting وVLANs، ثم سنطبق مثالًا عمليًا على أجهزة Cisco باستخدام أوامر الإعداد والتحقق، مع شرح طريقة السماح بالاتصال بين الشبكات المختلفة واستكشاف الأخطاء الشائعة.
1. ما هو Subnetting؟
يشير مصطلح Subnetting إلى تقسيم شبكة IP كبيرة إلى عدة شبكات فرعية أصغر، بحيث تحصل كل شبكة فرعية على نطاق محدد من عناوين IP.
على سبيل المثال، يمكن تقسيم الشبكة التالية:
192.168.1.0/24
إلى أربع شبكات فرعية أصغر، لكل واحدة منها نطاق عناوين مستقل.
يساعد هذا التقسيم على:
- تنظيم عناوين IP وتوزيعها على الأجهزة.
- تقليل نطاق بث الرسائل داخل الشبكة الفرعية.
- تسهيل إدارة الشبكات الكبيرة.
- فصل مجموعات الأجهزة وفق احتياجاتها.
- الاستفادة من عناوين IP بطريقة أكثر تنظيمًا.
- تسهيل تطبيق سياسات التوجيه والتحكم في الوصول.
من المهم أن تعرف أن Subnetting لا يوفر حماية كاملة بمفرده، لكنه يساعد على بناء تصميم شبكي أكثر تنظيمًا، ويمكن دمجه مع VLANs وقواعد الجدار الناري وقوائم التحكم بالوصول لتحسين الأمان.
2. فهم عنوان IP وقناع الشبكة Subnet Mask
يتكون عنوان IPv4 من 32 بت، ويُكتب عادةً على شكل أربعة أرقام مفصولة بنقاط، مثل:
192.168.1.10
يحدد قناع الشبكة (Subnet Mask) أي أجزاء من عنوان IP تمثل الشبكة وأي أجزاء تمثل الأجهزة داخلها.
من أقنعة الشبكات الشائعة:
| CIDR | Subnet Mask | عدد العناوين الكلي |
|---|---|---|
/24 | 255.255.255.0 | 256 |
/25 | 255.255.255.128 | 128 |
/26 | 255.255.255.192 | 64 |
/27 | 255.255.255.224 | 32 |
/28 | 255.255.255.240 | 16 |
/29 | 255.255.255.248 | 8 |
/30 | 255.255.255.252 | 4 |
يشير الرقم بعد الشرطة المائلة في صيغة CIDR إلى عدد البتات المخصصة لجزء الشبكة. فمثلًا، /24 يعني أن 24 بت مخصصة للشبكة، وتبقى 8 بتات لجزء الأجهزة.
في الشبكات التقليدية التي تستخدم IPv4، يكون عدد عناوين الأجهزة القابلة للاستخدام غالبًا أقل من العدد الكلي بعنوانين، لأن أحدهما يمثل عنوان الشبكة والآخر عنوان البث (Broadcast). توجد استثناءات، مثل بعض روابط /31، لذلك ينبغي مراعاة نوع الشبكة عند التصميم.
3. كيف نحسب عدد الأجهزة في الشبكة الفرعية؟
لحساب عدد العناوين الكلي في شبكة IPv4، نستخدم المعادلة التالية:
عدد العناوين الكلي = 2^(عدد بتات الأجهزة)
وفي الشبكات الفرعية المعتادة التي تحتاج إلى عنوان شبكة وعنوان بث:
عدد عناوين الأجهزة القابلة للاستخدام = 2^(عدد بتات الأجهزة) − 2
لنفترض أن لدينا الشبكة 192.168.1.0/26.
بما أن عنوان IPv4 يتكون من 32 بت، فإن عدد بتات الأجهزة هو:
32 − 26 = 6
إذًا عدد العناوين الكلي:
2^6 = 64
وعدد عناوين الأجهزة القابلة للاستخدام في هذه الحالة:
64 − 2 = 62
وهذا يعني أن شبكة /26 توفر عادةً 62 عنوانًا للأجهزة.
مثال عملي: تقسيم شبكة /24 إلى أربع شبكات /26
لنفترض أنك تريد تقسيم شبكة 192.168.1.0/24 إلى أربع شبكات فرعية متساوية.
يمكنك استخدام قناع /26، الذي يوفر 64 عنوانًا لكل شبكة. وتكون الشبكات كالتالي:
| الشبكة الفرعية | نطاق عناوين الأجهزة | عنوان البث |
|---|---|---|
192.168.1.0/26 | 192.168.1.1 – 192.168.1.62 | 192.168.1.63 |
192.168.1.64/26 | 192.168.1.65 – 192.168.1.126 | 192.168.1.127 |
192.168.1.128/26 | 192.168.1.129 – 192.168.1.190 | 192.168.1.191 |
192.168.1.192/26 | 192.168.1.193 – 192.168.1.254 | 192.168.1.255 |
بهذا الأسلوب، أصبحت لدينا أربع شبكات منفصلة بدلًا من شبكة واحدة، مع إمكانية تخصيص كل شبكة لقسم معين داخل المؤسسة.
على سبيل المثال، يمكن تخصيص الشبكة الأولى للموظفين، والثانية لأجهزة الإدارة، والثالثة للخوادم، والرابعة للأجهزة الأخرى، مع مراعاة احتياجات كل قسم الفعلية.
4. ما هي VLANs؟
مصطلح VLAN هو اختصار لعبارة Virtual Local Area Network، أي الشبكة المحلية الافتراضية.
تتيح VLAN تقسيم شبكة محلية إلى مجموعات منطقية منفصلة على مستوى الطبقة الثانية (Layer 2)، حتى عندما تكون الأجهزة متصلة بالمحول الفيزيائي نفسه.
على سبيل المثال، يمكن إنشاء ثلاث شبكات افتراضية داخل محول Cisco واحد:
- VLAN 10: أجهزة الموظفين.
- VLAN 20: أجهزة الإدارة.
- VLAN 30: الخوادم.
يمكن أن تكون الأجهزة متصلة بالمحول نفسه، لكن حركة البث الخاصة بكل VLAN تبقى ضمن نطاقها المنطقي، ولا تتواصل الأجهزة بين VLANs المختلفة تلقائيًا دون وجود توجيه مناسب.
من أهم فوائد VLANs:
- تحسين التنظيم: فصل الأجهزة وفق الأقسام أو الوظائف.
- تقليل نطاق البث: الحد من انتشار رسائل البث داخل جميع أجزاء الشبكة.
- دعم الأمان: تسهيل تطبيق سياسات مختلفة على مجموعات الأجهزة.
- مرونة الإدارة: نقل جهاز من مجموعة منطقية إلى أخرى عبر تعديل إعداد المنفذ بدلًا من تغيير التوصيلات الفيزيائية بالضرورة.
- تسهيل التوسع: توزيع الشبكات الافتراضية عبر المحولات المتصلة بروابط Trunk عند الحاجة.
لكن يجب الانتباه إلى أن إنشاء VLAN لا يكفي وحده لحماية الأجهزة. فإذا سمح جهاز التوجيه أو الجدار الناري بالاتصال بين VLANs دون قيود، فقد تستطيع الأجهزة الوصول إلى بعضها وفق قواعد التوجيه والسياسات المطبقة.
5. الفرق بين Subnetting وVLANs
على الرغم من ارتباط التقنيتين ببعضهما، فإن كل واحدة منهما تؤدي وظيفة مختلفة.
| وجه المقارنة | Subnetting | VLANs |
|---|---|---|
| الوظيفة الأساسية | تقسيم نطاق عناوين IP إلى شبكات فرعية | تقسيم الشبكة المحلية منطقيًا على الطبقة الثانية |
| الطبقة الأساسية | الطبقة الثالثة Layer 3 | الطبقة الثانية Layer 2 |
| يعتمد على | عنوان IP وقناع الشبكة | رقم VLAN وإعدادات المحولات |
| يفصل نطاقات البث؟ | نعم، عند التعامل مع شبكات IP منفصلة | نعم، لكل VLAN نطاق بث مستقل |
| الاتصال بين الشبكات | يحتاج إلى توجيه بين الشبكات | يحتاج إلى توجيه بين VLANs المختلفة |
| الاستخدام | تنظيم عناوين IP وتخطيط الشبكات | فصل مجموعات الأجهزة داخل البنية المحلية |
في التصميم الشائع للشبكات، يتم تخصيص شبكة IP فرعية مستقلة لكل VLAN. فمثلًا، يمكن ربط VLAN 10 بالشبكة 192.168.10.0/24، وربط VLAN 20 بالشبكة 192.168.20.0/24.
هذا الربط يسهل الإدارة، لكنه لا يعني أن VLAN وSubnet هما الشيء نفسه؛ إذ إن VLAN تمثل تقسيمًا منطقيًا للطبقة الثانية، بينما تمثل Subnet تقسيمًا لعناوين الطبقة الثالثة.
6. التطبيق العملي: إعداد VLANs على محول Cisco
سنستخدم محول Cisco يدعم أوامر VLAN التقليدية، وننشئ شبكتين افتراضيتين:
| VLAN ID | الاسم | الشبكة المقترحة |
|---|---|---|
| 10 | SALES | 192.168.10.0/24 |
| 20 | IT | 192.168.20.0/24 |
لنفترض أن أجهزة القسم الأول متصلة بالمنفذين FastEthernet0/1 وFastEthernet0/2، بينما يتصل جهاز من قسم تقنية المعلومات بالمنفذ FastEthernet0/3.
قد تختلف أسماء المنافذ بين المحولات، لذلك استخدم أسماء الواجهات التي يدعمها جهازك.
الخطوة الأولى: الدخول إلى وضع الإعداد
افتح واجهة سطر الأوامر CLI ونفذ:
enable configure terminal
الخطوة الثانية: إنشاء VLAN 10 وVLAN 20
نفذ الأوامر التالية:
vlan 10 name SALES exit vlan 20 name IT exit
أنشأنا الآن شبكتين افتراضيتين بأرقام وأسماء واضحة، ويمكننا ربط منافذ المحول بهما.
الخطوة الثالثة: تعيين منافذ الأجهزة إلى VLAN 10
سنخصص المنفذين الأول والثاني للقسم الأول:
interface range FastEthernet0/1 - 2 switchport mode access switchport access vlan 10 exit
يعمل المنفذ من نوع Access عادةً على حمل حركة مرور VLAN واحدة غير موسومة للأجهزة الطرفية، مثل الحواسيب والطابعات.
الخطوة الرابعة: تعيين منفذ إلى VLAN 20
لربط جهاز القسم الثاني بـ VLAN 20، نفذ:
interface FastEthernet0/3 switchport mode access switchport access vlan 20 exit
أصبح المنفذ الثالث تابعًا إلى VLAN 20.
الخطوة الخامسة: التحقق من إعداد VLANs
استخدم الأمر:
show vlan brief
ينبغي أن ترى VLAN 10 وVLAN 20 ضمن القائمة، وأن تظهر المنافذ التي خصصتها لكل واحدة.
احفظ الإعدادات:
end copy running-config startup-config
تختلف بعض الأوامر والخصائص حسب طراز المحول وإصدار نظام التشغيل، لذا راجع وثائق الجهاز قبل تطبيقها في شبكة فعلية.
7. ما هو Access Port وما هو Trunk Port؟
عند العمل مع VLANs، ستحتاج إلى فهم نوعين مهمين من منافذ المحولات.
Access Port: منفذ مخصص عادةً لجهاز طرفي ضمن VLAN واحدة، مثل حاسوب أو طابعة.
Trunk Port: منفذ يسمح بمرور حركة مرور عدة VLANs عبر رابط واحد، مثل الرابط بين محولين أو الرابط بين محول وجهاز توجيه يدعم هذا التصميم.
تستخدم روابط Trunk عادةً معيار IEEE 802.1Q لتمييز حركة مرور VLANs المختلفة. وتحتاج الأجهزة المتصلة بطرفي الرابط إلى إعدادات متوافقة حتى تعمل الشبكات الافتراضية بصورة صحيحة. راجع دليل Cisco الرسمي حول إعداد VLAN Trunking.
مثال على إعداد منفذ Trunk
لنفترض أن المنفذ GigabitEthernet0/1 يربط محولين، وأننا نريد السماح بمرور VLAN 10 وVLAN 20 فقط.
على المحول الأول، يمكن استخدام الإعداد التالي إذا كان الجهاز يدعم هذه الأوامر:
enable configure terminal interface GigabitEthernet0/1 switchport mode trunk switchport trunk allowed vlan 10,20 exit end copy running-config startup-config
يجب إعداد الطرف الآخر للرابط بصورة متوافقة، والتأكد من أن VLANs المطلوبة موجودة ونشطة على المحولات المعنية.
لا تفترض أن جميع المحولات تستخدم الأوامر نفسها؛ فبعض المنصات لها متطلبات مختلفة، وبعضها يدعم خصائص Trunking بصورة مختلفة.
للتحقق من حالة الرابط، استخدم:
show interfaces trunk
يساعدك هذا الأمر على معرفة المنافذ العاملة بوضع Trunk والشبكات الافتراضية المسموح بمرورها، وفقًا لإمكانات النظام.
8. كيف نجعل VLAN 10 تتواصل مع VLAN 20؟
بعد إعداد VLANs، قد تلاحظ أن الأجهزة الموجودة في VLAN 10 لا تستطيع التواصل مباشرةً مع الأجهزة الموجودة في VLAN 20. وهذا أمر متوقع؛ لأن VLANs المختلفة تمثل نطاقات منفصلة على الطبقة الثانية.
إذا أردنا السماح بالاتصال بينهما، نحتاج إلى Inter-VLAN Routing، أي التوجيه بين الشبكات الافتراضية.
توجد طريقتان شائعتان لتنفيذ ذلك:
- استخدام جهاز توجيه Router مع رابط Trunk وتقنية Router-on-a-Stick.
- استخدام محول من الطبقة الثالثة Layer 3 Switch مع واجهات VLAN افتراضية (SVIs).
في المثال التالي سنستخدم Router-on-a-Stick. افترض أن جهاز التوجيه متصل بالمحول عبر منفذ يدعم Trunk، وأن عنوان الواجهة الفيزيائية المتصلة بالمحول هو GigabitEthernet0/0.
الخطوة الأولى: إعداد منفذ المحول المتصل بالراوتر
افترض أن منفذ المحول المتصل بالراوتر هو GigabitEthernet0/1:
configure terminal interface GigabitEthernet0/1 switchport mode trunk switchport trunk allowed vlan 10,20 exit
الخطوة الثانية: إنشاء واجهات فرعية على الراوتر
على جهاز توجيه يدعم هذا الأسلوب، نفذ:
enable configure terminal interface GigabitEthernet0/0 no shutdown exit interface GigabitEthernet0/0.10 encapsulation dot1Q 10 ip address 192.168.10.1 255.255.255.0 exit interface GigabitEthernet0/0.20 encapsulation dot1Q 20 ip address 192.168.20.1 255.255.255.0 exit end copy running-config startup-config
تمثل العناوين 192.168.10.1 و192.168.20.1 البوابات الافتراضية المقترحة للأجهزة في الشبكتين.
تأكد من أن اسم الواجهة الفيزيائية صحيح، وأنها متصلة بمنفذ Trunk، وأن الجهاز يدعم إنشاء الواجهات الفرعية باستخدام encapsulation dot1Q.
الخطوة الثالثة: ضبط أجهزة الحاسوب
يمكنك استخدام الإعدادات التالية في المختبر:
- جهاز في VLAN 10: عنوان IP هو
192.168.10.10، وقناع الشبكة255.255.255.0، والبوابة الافتراضية192.168.10.1. - جهاز في VLAN 20: عنوان IP هو
192.168.20.10، وقناع الشبكة255.255.255.0، والبوابة الافتراضية192.168.20.1.
بعد ذلك، اختبر الاتصال بين الجهازين باستخدام الأمر:
ping 192.168.20.10
إذا كانت جميع الإعدادات صحيحة، وكان الاتصال بين VLANs مسموحًا ولا توجد قواعد تمنعه، فيُفترض أن ينجح الاختبار.
تذكر أن التوجيه بين VLANs لا يعني السماح بكل أنواع الاتصال تلقائيًا في جميع البيئات؛ فقد توجد قوائم تحكم بالوصول أو جدران نارية أو إعدادات أخرى تقيد حركة المرور.
9. أهم أوامر التحقق واستكشاف الأخطاء
عند إعداد الشبكات الفرعية وVLANs، لا يكفي إدخال الأوامر فقط. يجب التحقق من حالة المنافذ والشبكات وعناوين IP.
| الأمر | الوظيفة |
|---|---|
show vlan brief | عرض VLANs والمنافذ التابعة لها |
show interfaces trunk | عرض روابط Trunk وحالة الشبكات المسموح بمرورها |
show interfaces status | مراجعة حالة المنافذ |
show running-config | مراجعة الإعدادات الحالية |
show ip interface brief | عرض عناوين IP وحالة الواجهات |
show ip route | عرض جدول التوجيه على جهاز يدعم التوجيه |
ping | اختبار إمكانية الوصول إلى عنوان آخر |
traceroute أو tracert | تتبع مسار الحزم وفق نظام التشغيل المستخدم |
مشكلة عدم اتصال الأجهزة داخل VLAN نفسها
تحقق من أن المنافذ مخصصة إلى VLAN الصحيحة، وأن الكابلات والواجهات تعمل، وأن عناوين IP وقناع الشبكة متوافقان.
مشكلة عدم اتصال VLAN 10 مع VLAN 20
تحقق من وجود جهاز توجيه أو محول Layer 3، ومن صحة عناوين البوابات الافتراضية، ومن إعدادات الواجهات الفرعية أو واجهات SVI. افحص أيضًا رابط Trunk وتأكد من السماح بمرور VLANs المطلوبة.
مشكلة عدم مرور VLAN عبر Trunk
تحقق من أن منفذي الرابط مضبوطان بصورة متوافقة، وأن VLAN موجودة ونشطة، وأنها مسموح بها على الرابط. وإذا كان الرابط يستخدم Native VLAN مخصصة، فتأكد من تطابق إعدادها على الطرفين.
مشكلة عدم عمل عنوان IP
تأكد من أن عنوان IP ينتمي إلى الشبكة الصحيحة، وأنه لا يتكرر مع جهاز آخر، وأن قناع الشبكة والبوابة الافتراضية مضبوطون بصورة سليمة.
10. أفضل الممارسات الأمنية عند استخدام Subnetting وVLANs
يساعد التصميم الجيد للشبكة على تحسين الإدارة وتقليل المخاطر، لكن يجب دمج التقسيم مع إعدادات أمنية مناسبة.
من أهم الممارسات:
- تخصيص VLAN منفصلة للأقسام ذات الاحتياجات المختلفة، مثل الموظفين والخوادم والضيوف والإدارة.
- عدم السماح بالاتصال بين جميع الشبكات دون مراجعة متطلبات العمل.
- استخدام قوائم التحكم بالوصول (ACLs) أو الجدران النارية لتقييد الاتصالات غير الضرورية.
- تعطيل المنافذ غير المستخدمة أو وضعها في VLAN غير مخصصة للمستخدمين، وفق سياسة المؤسسة.
- تعيين منافذ الأجهزة الطرفية إلى وضع Access صراحةً عند الحاجة، بدل تركها تعتمد على التفاوض التلقائي.
- السماح فقط بـ VLANs المطلوبة على روابط Trunk.
- حماية واجهات إدارة المحولات وأجهزة التوجيه.
- توثيق خطة عناوين IP وأرقام VLANs ومنافذ المحولات.
- الاحتفاظ بنسخة احتياطية من الإعدادات قبل التغييرات المهمة.
- اختبار التعديلات في مختبر قبل تطبيقها على شبكة الإنتاج.
تجنب استخدام VLAN 1 لجميع أجهزة المستخدمين دون تخطيط، ولا تعتبر تغيير رقم VLAN وحده إجراءً أمنيًا كافيًا. فالحماية الفعلية تعتمد على التصميم الكامل، وضبط الوصول، وتحديث الأجهزة، ومراقبة الشبكة.
11. ما الفرق بين Subnetting وVLANs في التصميم العملي؟
لنفترض أن شركة لديها ثلاثة أقسام: المبيعات، وتقنية المعلومات، والضيوف. يمكن تصميم الشبكة على النحو التالي:
| القسم | VLAN | شبكة IP | البوابة الافتراضية |
|---|---|---|---|
| المبيعات | 10 | 192.168.10.0/24 | 192.168.10.1 |
| تقنية المعلومات | 20 | 192.168.20.0/24 | 192.168.20.1 |
| الضيوف | 30 | 192.168.30.0/24 | 192.168.30.1 |
تسمح هذه الخطة بفصل الأجهزة منطقيًا، وتسهّل إدارة عناوين IP، كما توفر أساسًا لتطبيق سياسات مختلفة لكل قسم.
على سبيل المثال، يمكن السماح لأجهزة تقنية المعلومات بالوصول إلى واجهات إدارة الشبكة، بينما تُمنع أجهزة الضيوف من الوصول إلى الشبكات الداخلية ويُسمح لها فقط بالوصول إلى الإنترنت، وفق قواعد الجدار الناري أو قوائم التحكم بالوصول المناسبة.
لا بد من تنفيذ هذه السياسات فعليًا على أجهزة التوجيه أو الجدران النارية؛ فجدول VLAN وحده لا يفرض جميع قيود الاتصال المذكورة.
يُعد كل من Subnetting وVLANs من المهارات الأساسية لتصميم الشبكات الحديثة وإدارتها. يساعد Subnetting على تقسيم عناوين IP إلى شبكات فرعية منظمة، بينما تتيح VLANs فصل الأجهزة منطقيًا داخل الشبكة المحلية حتى عند استخدام المحولات الفيزيائية نفسها.
تعلمنا في هذا الدليل كيفية فهم قناع الشبكة وحساب عدد العناوين، وتقسيم شبكة /24 إلى أربع شبكات /26، وإنشاء VLANs على محول Cisco، وتعيين منافذ Access، وإعداد رابط Trunk، ثم تطبيق التوجيه بين VLANs باستخدام Router-on-a-Stick.
إذا كنت مبتدئًا، فننصحك بتجربة هذه الأوامر في Cisco Packet Tracer أو مختبر تملكه، ثم إضافة VLAN ثالثة وتطبيق سياسة تمنع شبكة الضيوف من الوصول إلى شبكة الإدارة. ستساعدك هذه التجارب على فهم العلاقة بين عناوين IP وتقسيم الطبقة الثانية والتوجيه بين الشبكات.
ملاحظة: قد تختلف الأوامر والخصائص المتاحة بحسب طراز أجهزة Cisco وإصدار نظام التشغيل. اختبر الإعدادات في بيئة غير إنتاجية أولًا، واحفظ نسخة من التكوين قبل إجراء تغييرات على الشبكات الفعلية.
المصادر والمراجع