المحور والأذرع أم الشبكة الكاملة: أي طوبولوجيا VPN تناسب مواقعك

يتحدث مكتبان فرعيان مع بعضهما طوال اليوم، والنفق بينهما يلتف عبر مركز بيانات في منطقة أخرى. كل طلب يدفع ثمن هذا الالتفاف مرتين، ولا يلاحظ أحد ذلك حتى تبدأ مزامنة الملفات في الشعور بالخطأ. هنا يبدأ سؤال الطوبولوجيا حقًا: لا بأي رسم يبدو أكثر مرونة، بل بأي نمط مرور تدفع مقابله. كلا التصميمين يعمل، وكلاهما يفشل بطرق مختلفة وبكلف مختلفة.

عُدّ علاقات النظير قبل أي شيء آخر

مع N من المواقع، تحتاج الشبكة الكاملة إلى N ضرب N ناقص واحد، مقسومًا على اثنين، من الأنفاق؛ ويحتاج المحور إلى N. عند خمسة مواقع يكون العدد عشرة مقابل خمسة، وهو ما يبدو ما زال قابلًا للإدارة. عند خمسة عشر يصبح 105 مقابل خمسة عشر، ولم يعد الفرق حسابيًا بل يتعلق بالكوادر.

كل واحدة من تلك العلاقات تحمل حالة عليك امتلاكها. في IPsec يعني ذلك ارتباط أمان وهوية ومفتاحًا أو شهادة وكشف النظير الميت ومسارًا واحدًا على الأقل لكل بادئة بعيدة. أما في WireGuard فيعني مفتاحًا عامًا و AllowedIPs كتلة لكل نظير، وهي أرخص لكل نظير لكنها تأتي بلا اكتشاف على الإطلاق: الموقع الجديد تغيير في الإعدادات على كل موقع قائم في كل الأحوال.

دع مزيج المرور يقرر، لا الرسم

إذا كان مرور الفروع في معظمه طلبات إلى نظام ERP مركزي أو عنقود ملفات، فالمحور ليس حلًا وسطًا، بل هو الشكل الصحيح: المرور أراد الذهاب إلى هناك أصلًا، ونقطة سياسة واحدة أسهل في التدقيق من شبكة قواعد ثنائية. الشبكة الكاملة تستحق تعقيدها عندما تتبادل الفروع البيانات فيما بينها — نسخ متماثل بين مكتبين، وصوت بين المواقع، ومشاركة CAD يفتحها عشرات المهندسين طوال اليوم.

الحالات المحرجة تقع في المنتصف، وهي الأغلبية. قِس قبل أن تجادل بدلًا من التخمين من مخطط تنظيمي.

اقرأ الجدول كعامل ترجيح، لا كقاعدة. ثلاثة من أربعة صفوف تشير إلى اتجاه واحد تحسم التصميم عادة؛ والانقسام يعني تصميمًا هجينًا، وهو ما تنتهي إليه معظم الشبكات الناضجة على أي حال.

المحور يجب أن يُطلب منه التوجيه

نفقان عاملان بين الأذرع والمحور لا يخلقان وصولًا بين الأذرع. يحتاج المحور إلى تمكين توجيه IP، ومسار إلى شبكة كل ذراع، وقاعدة جدار ناري تسمح بالعبور، والمسار العائد محسوبًا؛ ويحتاج كل ذراع إلى مسار لبادئات الموقع الآخر. على محور Linux يكون الأمر net.ipv4.ip_forward=1 إلى جانب سلسلة FORWARD لا تُسقط الزوج بصمت، وعلى IPsec القائم على السياسات تكون محددات المرور التي تدرج شبكة الذراع البعيدة على الطرفين. وفي strongSwan ملاحظات التوجيه تغطي جانب النواة وجدار الحماية عندما تكون هذه هي الطبقة الناقصة. الاختبار الرخيص هو إرسال مرور من ذراع إلى خدمة على الذراع الآخر مع مراقبة عدادات المحور؛ القاعدة التي لا تزداد أبدًا تعني أن الترتيب خطأ، لا المسار.

السياسة المركزية هي أيضًا الجزء المفيد. يمكن السماح للفروع بالوصول إلى الخدمات المشتركة دون الوصول إلى بعضها، ومصفوفة الوصول تلك تستحق أن تُكتب صراحة. المسارات الناقصة بديل رديء لقاعدة يستطيع أحدهم قراءتها.

احترس من النسخة نصف المنجزة: الذراع A يوجّه إلى الذراع B عبر المحور، والمحور يوجّه في الاتجاهين، وجدار الحماية على المحور يسمح باتصالات جديدة من A لا من B. الاتجاه الأول يُختبر جيدًا والثاني يتعلق، وهو ما يبدو عطل توجيه وليس كذلك.

صمّم الفشل أولًا، ثم المسار الطبيعي

المحور الواحد تبعية مشتركة وعنق زجاجة للعبور، والتكرار هو ما تخطئ فيه تصاميم المحور عادة. محورَان يعنيان أن كل ذراع يحمل نفقين، وعلى المسار العائد أن يتفق مع المسار الصادر؛ وعندما لا يحدث ذلك، يُسقط جدار حماية ذو حالة الردود ويصبح العَرَض اتصالًا يُفتح ثم يموت. النشرات الأكبر تحل هذا ببروتوكول توجيه فوق الأنفاق بدلًا من بادئات ثابتة، وهو آلات أكثر لكنه يزيل التخمين. أيًّا كان اختيارك، اكتب المسار العائد بجوار الصادر، لأن النصف العائد هو الذي لا يختبره أحد.

الشبكة الكاملة تنشر ذلك الخطر: سقوط وصلة موقع واحد لا يعزل الباقي. لكنها أيضًا تضاعف المواضع التي يمكن أن تفاجئك فيها اختيارات المسار، وجلسات التطبيقات ما زالت لا تنجو من تغيير المسار دون مساعدة.

لا أحد من التصميمين يُبقي جلسة TCP حية عبر تجاوز الفشل من تلقاء نفسه. إذا لم يستطع التطبيق إعادة الاتصال، فالطوبولوجيا ليست مشكلتك.

اختر بكلفة التغيير، ثم تحقق من المسارات

ابدأ بالمحور، لأنه الشيء الأرخص في أن تكون مخطئًا بشأنه، ثم أضف أنفاقًا مباشرة للأزواج التي يبرر مرورها ذلك. هذا الهجين ليس فشلًا في القرار؛ إنه التصميم الذي تلتقي عليه معظم المؤسسات خلال عام. المهم أن يكون لكل وصلة مباشرة سبب معلن ومالك.

ثم تحقق من الرسمين لا من رسم واحد. للمسار الطبيعي، traceroute من كل موقع إلى كل بادئة خدمة وتأكد من أن القفزات تطابق المخطط. ولمسار الفشل، أغلق نفقًا وأعد الاختبار، لأن مسارًا يعمل فقط ما دام كل شيء يعمل لم يُصمَّم، بل ضُبط فقط.

احفظ الرسمين مع مصفوفة الوصول، وراجعهما عند إضافة موقع؛ فالكلفة التي تديرها هي كلفة التغيير التالي، لا أناقة الصورة الحالية.