ربط الفروع في السعودية: تجهيز فرع آمن بتقنية SD-WAN

عند افتتاح فرع جديد في جدة أو الدمام، أو عند توحيد سياسة الشبكة لعشرين منفذ بيع، تظهر المشكلة نفسها عادةً: كل موقع رُبط بطريقة مختلفة وعلى يد من كان متاحاً وقتها. فرع يعمل بموجّه سلّمه مزوّد الاتصالات، وآخر بجهاز واي فاي منزلي، وثالث بجدار حماية لم يدخل إليه أحد منذ عام. وحين تطلب الإدارة العامة سياسة أمنية موحّدة، وشبكة ضيوف معزولة عن شبكة نقاط البيع، ورؤية واحدة لحالة الروابط، يصبح هذا التفاوت هو العائق الأكبر. يوضح هذا الدليل منهجيتنا في ربط الفروع للجهات السعودية: ما الذي يوضع على طرف الشبكة، وكيف تبقى الشبكة المحلية قابلة للإدارة، وأين يأتي دور الاتصالات الصوتية، وما الذي تعنيه متطلبات الهيئة الوطنية للأمن السيبراني للتصميم.

ما الذي يجب أن يحققه اتصال كل فرع

قبل اختيار الأجهزة، حدّد خمسة أمور لكل موقع: عدد المستخدمين والأجهزة، والتطبيقات التي يجب أن تستمر في العمل عند انقطاع أحد الروابط، ومدى توفر رابط إنترنت ثانٍ أو اتصال عبر شبكة الجوال، والجهة التي ستتولى إدارة الأجهزة يومياً، وما يلزم تسجيله لأغراض التدقيق. هذه الإجابات تحدد معظم قائمة المواد. فمكتب مبيعات من عشرة موظفين يعتمد على تطبيقات سحابية يحتاج تجهيزات مختلفة تماماً عن فرع يستضيف بوابة صوتية محلية أو يتصل بمركز البيانات عبر دائرة من مزوّد الاتصالات.

القرار الأول: جدار حماية بتقنية SD-WAN أم موجّه فرعي على طرف الشبكة

في أغلب مشاريع الفروع الجديدة نبدأ بجهاز FortiGate. فتقنية SD-WAN مدمجة في نظام FortiOS، أي أن الجهاز نفسه الذي يؤدي وظيفة جدار الحماية وشبكة VPN بتقنية IPsec وخدمات الحماية ضمن حزمة UTP يستطيع أيضاً توجيه الحركة عبر رابطي إنترنت أو أكثر بحسب التطبيق وجودة الرابط. والنتيجة جهاز واحد يُشترى ويُرخَّص ويُصان في كل فرع، وسياسة موحّدة يمكن تكرارها في جميع المواقع. كما يعمل FortiGate وحدةَ تحكم لمحولات FortiSwitch ونقاط FortiAP، وهو ما تظهر أهميته عند تصميم الشبكة المحلية.

يبقى موجّه Cisco من فئة Integrated Services Router الخيار الأنسب عندما يكون الفرع جزءاً من بنية توجيه قائمة على Cisco، أو عندما يسلّم مزوّد الاتصالات دائرة يديرها الفريق أصلاً بنظام IOS XE، أو عندما يُطلب من الموجّه أن يحمل الخدمات الصوتية أيضاً. يضم الكتالوج الطراز ISR4221/K9 للمواقع الصغيرة، والطرازين ISR4321/K9 وISR4331/K9 للفروع الأكبر. ويمكن لموجّهات ISR 4000 تشغيل برمجيات SD-WAN من Cisco، لكن حين يحتاج الفرع إلى فحص كامل للحركة يُقرن الموجّه عادةً بجدار حماية مخصص مثل Cisco Firepower FPR1120 NGFW (FPR1120-NGFW-K9).

اختيار حجم FortiGate المناسب للفرع

يتناول دليل تحديد الأحجام المنفصل لدينا تفاصيل الأداء، وهنا نعرض الصورة من منظور الفروع. يناسب FortiGate 40F (FG-40F) والطراز الأحدث 50G (FG-50G) المكاتب الصغيرة ذات العدد المحدود من المستخدمين. أما 60F (FG-60F) و70G (FG-70G) فهما الخيار الشائع للفرع المعتاد، بينما يوفّر 80F (FG-80F) و90G (FG-90G) هامشاً أكبر للمواقع الأوسع أو لأحمال الفحص الأثقل. والطرازات المنتهية بالرقم 1، مثل 61F (FG-61F) و71G (FG-71G) و81F (FG-81F)، تتضمن وحدة تخزين داخلية لحفظ السجلات محلياً، وهو أمر مفيد حين يتعيّن الاحتفاظ بالسجلات داخل الفرع. ولمحلات التجزئة الصغيرة جداً، يجمع FortiWiFi 40F (FWF-40F-E-BDL-950-12) بين جدار الحماية ونقطة الوصول في جهاز واحد. ويضمن شراء الحزم المتضمنة لخدمات UTP، مثل FG-60F-BDL-950-12، توحيد اشتراكات الحماية منذ اليوم الأول، ثم يمكن تجديدها لكل جهاز لاحقاً عبر تراخيص FortiCare مثل FC-10-0060F-950-02-12.

الشبكة المحلية المُدارة: محولات وواي فاي يتحكم بها طرف الشبكة

الشبكة المحلية في الفرع هي الموضع الذي يضيع فيه التوحيد غالباً. فعند وجود FortiGate على الطرف، تُدار محولات FortiSwitch ونقاط FortiAP من خلاله عبر FortiLink، فتُعرَّف شبكات VLAN وإعدادات المنافذ وأسماء الشبكات اللاسلكية مرة واحدة على جدار الحماية. قد يكفي الموقع الصغير محول FortiSwitch 108F-FPOE (FS-108F-FPOE) مع نقطة FortiAP 231F (FAP-231F-E) أو 231K (FAP-231K-E)، بينما تنتقل الفروع الأكبر إلى FortiSwitch 124F-FPOE (FS-124F-FPOE) أو 148F-FPOE (FS-148F-FPOE) مع تغذية PoE للهواتف والكاميرات ونقاط الوصول. وإذا فضّل العميل شبكة محلية بسيطة تُدار سحابياً بمعزل عن جدار الحماية، فإن محولات Aruba Instant On 1930 مثل JL683A مع نقطة الوصول AP25 (R9B28A) تُدار من تطبيق Instant On وبوابته. أما الجهات المعتمدة على Cisco فيمكنها استخدام نقاط وصول Catalyst مثل C9115AXI-E وC9120AXI-E مع وحدة تحكم لاسلكية من فئة Catalyst 9800.

الاتصالات الصوتية في الفرع

إذا كانت هواتف الفرع تُسجَّل على خادم اتصالات مركزي، فخطّط مسبقاً لما يحدث عند انقطاع رابط الشبكة الواسعة. في بيئة Cisco، يحافظ موجّه ISR العامل بخاصية Survivable Remote Site Telephony على استمرار المكالمات المحلية، والترخيص الإضافي لذلك هو A-FLEX-SRST-ADD. وفي بيئة Avaya IP Office، يمكن أن يعمل الفرع بوحدة تحكم مستقلة من طراز IP500 Version 2A Control Unit (700514867) مع بطاقة وسائط مثل VCM 32 V2 (700504031)، وتُربط بالمقر الرئيسي عبر ترخيص Avaya IP Office R10+ IP500 Voice Networking 4 License. وفي الحالتين، أضف قاعدة جودة خدمة QoS ضمن سياسة SD-WAN لمنح الحركة الصوتية أولوية على عمليات النقل الكبيرة والنسخ الاحتياطي.

من يتولى الإدارة: ثلاثة نماذج تشغيل

كثيراً ما تخلط عمليات البحث عن خدمات الموجّهات المُدارة أو الشبكات المُدارة بين ثلاثة ترتيبات مختلفة. في الأول يوفّر مزوّد الاتصالات الموجّه ويديره ضمن خدمة الدائرة، فتحصل على جهة اتصال واحدة لكن برؤية محدودة وتحكم ضئيل في السياسة الأمنية. وفي الثاني يملك فريق تقنية المعلومات لديك الأجهزة والسياسات، ويشتري خدمات التركيب والإعداد من جهة تكامل أنظمة عند التنفيذ. وفي الثالث تملك الأجهزة والتراخيص بينما تقدّم جهة التكامل دعماً مستمراً ضمن نطاق متفق عليه. تورّد شبكات الأجهزة بضمان الشركة المصنّعة وتقدّم خدمات التركيب والإعداد والدعم، لذا فإن دورنا يقع في النموذجين الثاني والثالث. وأياً كان النموذج، تأكد أن بيانات دخول المسؤول ونسخ الإعدادات الاحتياطية وتسجيلات التراخيص محفوظة باسم جهتك.

ضوابط NCA الأساسية: ما يجب إدراجه من البداية

بالنسبة للجهات الحكومية والجهات الملزمة بالضوابط الأساسية للأمن السيبراني الصادرة عن الهيئة الوطنية للأمن السيبراني، فإن تصميم الفروع جزء من الامتثال وليس أمراً منفصلاً عنه. تشمل الضوابط مجالات منها إدارة أمن الشبكات، والوصول الآمن عن بُعد، والتحقق متعدد العوامل، وتسجيل الأحداث ومراقبتها، والنسخ الاحتياطي. ويعني ذلك عملياً فصل شبكات المستخدمين والضيوف والصوت والمدفوعات في شبكات VLAN تُطبَّق على FortiGate، واستخدام تراخيص FortiToken Mobile مثل FTM-ELIC-25 للتحقق متعدد العوامل عند الدخول عبر VPN وعند دخول المسؤولين، وإرسال السجلات إلى نظام تجميع مركزي أو حفظها على طراز مزوّد بوحدة تخزين، مع توثيق الإعدادات وتحديثها باستمرار. ويغطي دليلنا الخاص بالضوابط الأساسية للأمن السيبراني مجموعة الضوابط كاملة.

طلب عرض سعر من شبكات

أرسل إلينا عدد الفروع، وعدد المستخدمين في كل موقع، وروابط الإنترنت الحالية، وأي أجهزة تنوي الإبقاء عليها. وسنعدّ لك قائمة مواد بأرقام القطع الدقيقة لجهاز الطرف والمحولات والواي فاي والتراخيص، مع عرض سعر في اليوم نفسه للأصناف المتوفرة في المخزون. ويشمل التوصيل الرياض وجدة والدمام وسائر مدن المملكة. تواصل معنا عبر واتساب أو الهاتف على الرقم ‎+966 55 826 9606، أو من خلال نموذج طلب عرض السعر على موقع shabackat.sa.