ب3 · Infrastructure services

الخدمة غير المرئية هي التي تُبقي المؤسسة تعمل

المستخدم يرى الصفحة والبريد. تحتهما أسماء تتحول إلى أرقام، وعناوين تُوزَّع، ودليل يعرف من هو الموظف، وموجّه يختار الطريق. تعطّل الخدمة أو تزويرها يغيّر أثر الشبكة كلها.

ب3 · TCP/IP

أربع طبقات حتى لا يختلط الكيبل بالمتصفح

بروتوكول التحكم في الإرسال / بروتوكول الإنترنت يقسم العمل. في الأسفل كهرباء ووسط، وفي الأعلى البرنامج الذي نلمسه.

لماذا الطبقات أمن أيضًا؟

عطل الكيبل يُرى في الطبقة السفلى ولا يُعالج بتغيير كلمة البريد.
عنوان خاطئ مشكلة طبقة الإنترنت.
تطبيق يتحدث على منفذ لا نحتاجه مشكلة تُغلق في النقل والجدار.
في النقل يُستخدم TCP كثيرًا، وفي الإنترنت يُستخدم IP، وتوجد بروتوكولات أخرى لمهام محددة.

ب3 · المنافذ

المنفذ يميّز التطبيق على الجهاز نفسه

رقم المنفذ نقطة نهاية الاتصال. الجهاز يشغّل البريد والمتصفح معًا، فطبقة النقل تعطي كل محادثة رقمًا. المنافذ الشائعة ثابتة حتى يعرف الطرفان أين يطرقان.

التطبيق	المنفذ	لماذا يهم الأمان؟
FTP نقل ملفات · البيانات، والتحكم غالبًا 21	20	نقل قديم كثيرًا ما يكون بلا تشفير. لا يُترك مفتوحًا بلا حاجة.
SMTP بريد صادر	25	خادم البريد إن نُشر للعالم بلا ضبط يُستغل للإرسال العشوائي.
HTTP صفحات غير مشفرة	80	النص قابل للقراءة على المسار. للمواقع العامة يُحوَّل الزائر إلى النسخة الآمنة.
POP جلب بريد	110	خدمة بريد قديمة. تُغلق إن انتقلت المؤسسة إلى بريد أحدث.
HTTPS صفحات مشفرة	443	الخدمة التي نريد إظهارها للزائر. التشفير يحمي المحتوى في الطريق.
DNS	53	إن كُسر الاسم، وصل المستخدم إلى المكان الخطأ.
DHCP	67 و68	من يوزع العناوين يقدر أن يوجّه الأجهزة.

قاعدة

المنفذ المفتوح بلا خدمة تحتاجها المؤسسة مساحة زائدة. الجدار يسمح بما يلزم العمل فقط. لا نطلب من الطلاب البحث عن منافذ شبكة لا يملكونها.

ب3 · الحزم

الرسالة تُقطَّع حتى لا يحتكر تطبيق واحد السلك

طبقة النقل تقسم الإرسال إلى مقاطع وتعيد جمعها. بلا ذلك، بث فيديو طويل يمنع البريد من المرور. كل مقطع يحمل منفذ المصدر والوجهة ورقم تسلسل، لأن القطع قد تصل بترتيب مختلف فيعيد TCP ترتيبها.

الكبسلة

طبقة الإنترنت تأخذ مقطع النقل وتضيف عنوان IP للمصدر والوجهة. عندها يصبح اسمه حزمة. الموجّه يقرأ هذا العنوان ليختار الطريق، ولا يحتاج أن يفهم إن كانت الرسالة بريدًا أو صفحة.

الأثر: من يرى الحزمة على مسار غير مشفّر قد يرى العناوين دائمًا، والمحتوى إن لم يحمه التطبيق. لذلك HTTPS قرار في طبقة التطبيق يكمل عمل الطبقات السفلى.

ب3 · IPv4

العنوان من 32 بتًا يسمي الشبكة ثم الجهاز

الإصدار الرابع يُكتب أربع خانات من 0 إلى 255، مثل 192.168.10.5. أوله يدل الموجّهات على المبنى، وآخره يدل المحلية على الجهاز. النظام من الثمانينيات وما زال واسع الاستخدام داخل الشبكات رغم نفاد العناوين العامة الفريدة.

الفئة	أول خانة	جزء الشبكة	جزء الجهاز	الصورة بالقناع
A	1 إلى 127	الخانة الأولى	الثانية والثالثة والرابعة	/8 مثل 88.100.35.88/8
B	128 إلى 191	الأولى والثانية	الثالثة والرابعة	/16 مثل 129.10.30.16/16
C	192 إلى 223	الثلاث الأولى	الرابعة فقط	/24 مثل 200.20.15.68/24

الفئات فكرة قديمة، والقناع هو لغة اليوم

الفئة A كانت تُتخيل لمؤسسات قليلة بأجهزة هائلة (نحو 16 مليون عنوان جهاز، و126 شبكة). والفئة B لشركات وسطى (نحو 65 ألف جهاز و16 ألف شبكة). والفئة C لشبكات كثيرة كل منها حتى 254 جهازًا. اليوم نكتب عدد بتات الشبكة بعد شرطة: CIDR. التقسيم الفرعي Subnetting يضع الحد بين الشبكة والجهاز حيث نحتاج، لا حيث أملت الفئة.

مثال الكلية: 192.168.1.0/24 يعني أن الخانات الثلاث شبكة المختبر، والخانة الأخيرة جهاز. قناع 255.255.255.0 يقول الشيء نفسه.

ب3 · خاص وعام وNAT وIPv6

داخل المبنى نعيد استخدام العناوين، وعلى الإنترنت نحتاج عنوانًا فريدًا

كل جهاز على الإنترنت يحتاج عنوانًا عامًا فريدًا. أجهزة البيت تكتفي بعنوان فريد داخل البيت. هذه العناوين الخاصة من المعيار RFC 1918 ولا تُستخدم على الإنترنت العام.

البداية	النهاية	القناع المعتاد
10.0.0.0	10.255.255.255	/8
172.16.0.0	172.31.255.255	/12
192.168.0.0	192.168.255.255	/16

ترجمة عناوين الشبكة

الموجّه يحوّل بين العنوان العام الذي يعطيه المزود والعناوين الخاصة في الداخل. غالبًا يوزع الخاصة عبر DHCP. البوابة هي عنوان الموجّه من جهة البيت، وكثيرًا ما تكون أول عنوان في المدى أو آخره.

NAT يخفي الأجهزة عن الظهور المباشر بعنوان عام، وهو ليس بديلًا عن التحديث والصلاحيات. جهاز داخلي مصاب ما زال يستطيع أن يبدأ اتصالًا إلى الخارج.

IPv6 جاء لأن العناوين العامة في الإصدار الرابع نفدت. طوله 128 بتًا، والكمية 2 أس 128. أول 64 بتًا بادئة الشبكة وآخر 64 للجهاز. يُكتب ثماني مجموعات ست عشرية، والأصفار المتتالية تُختصر بـ :: مثل FE80::B6F7:A1FF:FEA4:E211.

ب3 · كما في الكتاب

العنوان على الهاتف يروي قصة الشبكة

نقطة اتصال عامة

الجهاز أخذ 10.0.0.158 والقناع 255.255.255.0 والبوابة 10.0.0.1. هذا مدى خاص /8، والخانة الأخيرة فقط هي الجهاز. البوابة أول عنوان في الشبكة المحلية لتلك النقطة، وخادم DHCP غالبًا داخل نقطة الوصول نفسها. عنوان MAC يبقى للجهاز حين يغيّر الشبكة.

بيت

الجهاز نفسه أصبح 192.168.1.141 والبوابة 192.168.1.254، أي آخر عنوان في مدى /24. DNS في المثالين يشير إلى البوابة، فطلبات الأسماء تمر عبر الموجّه. العنوان العام مختلف عن الاثنين ويظهر بالبحث عن «ما عنوان بروتوكول الإنترنت الخاص بي».

اعملوها الآن إن سمح المختبر

من موجه الأوامر: ipconfig. في الهاتف: تفاصيل الواي فاي. صنّفوا العنوان: خاص أم عام؟ أي فئة أو أي قناع؟ ما البوابة؟ بعض الكليات تقفل موجه الأوامر، فالهاتف يكفي. الخطوات الكاملة في صفحة العملي.

ب3 · أنظمة تشغيل الشبكة

النطاق يجمع الناس والأجهزة تحت سياسة واحدة

في ويندوز سيرفر يُقسَّم العمل إلى نطاق: مستخدمون وحواسيب وطابعات لمؤسسة واحدة. التفاصيل في الدليل النشط، ومنه تُطبق الصلاحيات وسياسة الأمان.

نطاق فرعي

جزء من النطاق الرئيس لفرع له شبكة منفصلة، مثل مبنى ثاني للكلية. السياسة العامة تنزل من الأصل، والفرع يدير ما يخصه. الخلط بين «نطاق ويندوز» و«اسم موقع» شائع: هنا المقصود حدود الإدارة والثقة داخل الشبكة، لا عنوان الصفحة فقط.

أثر على المؤسسة

حساب واحد يُغلق فيُغلق دخول صاحبه في كل الأجهزة. هذا نفع. وحساب مدير النطاق إن سُرق فالسياسات كلها بيد غيركم. لذلك حساب المدير نادر، والعمل اليومي بحساب عادي، والتغييرات تُسجَّل.

ب3 · تجزئة

الشبكة الكبيرة تُقطَّع حتى لا تعبر كل حزمة كل المبنى

الموجّه يقف دائمًا بين شبكتين على الأقل. يقرأ عنوان الوجهة ويستخدم جدول التوجيه. هذا هو تطبيق الهيكل الهرمي بأرقام.

الأثر

التجزئة تخفف الازدحام وتحد من انتشار العطل والجهاز المصاب. طالب في المختبر لا يصل إلى مجلد الرواتب لأن العنوان ليس في شبكته والموجّه لا يفتح ذلك المسار. التجزئة بلا قواعد على الموجّه مجرد رسم.

ب3 · DNS

الاسم الذي نحفظه يتحول إلى عنوان لا نحفظه

المواقع نفسها لم تحترق. الذي انطفأ هو تحويل الاسم إلى رقم، فتبدو الشبكة متوقفة.

نظام أسماء النطاقات خدمة دليل لعناوين المواقع. الكتابة dutchnews.nl أو amazon.ae أسهل من حفظ أرقام.

تكتب الاسم في المتصفح، فيسأل المتصفح عن عنوان الخادم.
يصل السؤال إلى محلّل تكراري، غالبًا عند مزود الإنترنت.
المحلّل يسأل خادمًا جذريًا يعرف أين نطاقات المستوى الأعلى مثل .com و.org و.jo.
خادم المستوى الأعلى يعطي عنوان خادم الأسماء المسؤول عن ذلك النطاق.
خادم الأسماء يعيد عنوان IP الخاص بالخادم الذي يستضيف الموقع.
المتصفح يتصل بذلك العنوان ويطلب الصفحة ببروتوكول HTTP أو HTTPS.

Dyn · 2016

حين ضُغط على شركة تقدم DNS، بقيت الخوادم تعمل عند أصحاب المواقع، لكن الناس عجزوا عن تحويل الاسم إلى رقم. الأثر: توقف ظاهر لخدمات كبرى سببه خدمة بنية تحتية لا يراها المستخدم. الكلية التي يعتمد دوامها على بريد سحابي تتوقف بالطريقة نفسها إن تعطلت الأسماء.

إن كذب الاسم

من يسمم الإجابة يرسل الموظف إلى صفحة تشبه بريد الكلية. الحماية المؤسسية: خوادم DNS داخلية موثوقة، وتحديث، وانتباه لتغيّر مفاجئ في العنوان. لا نعرض طريقة تزوير الإجابة.

ب3 · دليل ومصادقة

الدليل يعرف من أنت، والمصادقة تتثبت قبل أن تُفتح الموارد

خدمة دليل

تخزن المستخدمين والأجهزة والخدمات بأسماء يفهمها الناس. البروتوكول الشائع LDAP. DNS نوع من الدليل للمواقع. ويندوز يستخدم الدليل النشط. أبل لها Open Directory. والنسخة الحرة OpenLDAP تعمل على ويندوز ولينكس وماك وأندرويد.

مصادقة

في نطاق ويندوز يتولى متحكم النطاق التحقق، وبالطريقة المسماة Kerberos. تدخل مرة بحساب الشبكة فتُحترم صلاحياتك على الملفات والطابعات. حساب مشترك بين موظفين يلغي معنى السجل: لا نعود نعرف من فعل.

أثر مؤسسي

موظف جديد: حساب واحد فيصل إلى ما يلزم وظيفته فقط. موظف غادر: يُعطل الحساب فيُغلق بابه في كل الخدمات. بلا دليل، تُنسى نسخة من حسابه على جهاز في المختبر.

ب3 · DHCP والتوجيه

العنوان يُعار للجهاز، والطريق يُختار قفزة بعد قفزة

بروتوكول التكوين الديناميكي للمضيف

التعيين اليدوي لكل عنوان ممكن ويحتاج سجلًا صارمًا. مع ضيوف وواي فاي يتكرر التعارض. عند تشغيل الجهاز يطلب عنوانًا، ويرد الخادم — وقد يكون الموجّه — بعنوان من المدى مع البوابة والقناع.

الأثر: خدمة DHCP موثوقة داخل الشبكة نعمة إدارية. إن أجاب جهاز غير مخوّل أولًا فقد يعطي بوابة خاطئة فتمر حركة الناس عبره. لذلك لا يعمل إلا خادم العناوين الذي تعرفه الإدارة، ويُراقب ظهور خادم ثانٍ.

التوجيه

في الإنترنت تمر الحزمة على موجّهات كثيرة. كل عبور اسمه قفزة، من عنوان المصدر حتى الوجهة. الجدول الذي يبنيه المدير يقول: هذه الشبكة من هذه الواجهة، والباقي إلى البوابة الافتراضية.

أثر الخطأ: حلقة توجيه تُضيع الحركة، أو طريق أطول يبطئ الفرع، أو بوابة افتراضية تشير إلى جهاز لا يجب أن يرى بيانات الإدارة.

ب3 · وصول عن بُعد

الفني يرى الشاشة البعيدة، والعالم يجب ألا يراها

سطح المكتب البعيد في ويندوز يتيح للدعم أن يشاهد شاشة المستخدم ويصلح الإعداد. توجد أدوات أخرى تصل أيضًا إلى أجهزة ماك وويندوز من هواتف. النفع في مختبر واسع واضح: لا تمشي إلى كل قاعة.

الحد

الخدمة إن فُتحت على الإنترنت مباشرة أصبح سطح الموظفين بابًا عامًا. الاستخدام السليم داخل الشبكة أو عبر قناة وصول تتحكم فيها الكلية، وبموافقة صاحب الجلسة، وبحساب الدعم لا بكلمة مشتركة تُلصق على الشاشة. انتهت المهمة فأُغلقت الجلسة.

ب3 · موارد التطبيقات

الملف والطابعة والموقع والبريد هي وجه الشبكة للموظف

ملفات وطباعة

في ويندوز يُشارك مجلد من أي جهاز، لا من الخادم فقط، وتُضبط المشاركة بالصلاحيات: من يقرأ، من يعدل. الطابعة المشتركة توفر جهازًا للقاعة كلها. صلاحية «الجميع» على مجلد العلامات تجعل كل حساب على الشبكة قارئًا. الصلاحية الأضيق التي تنجز العمل هي الصواب.

ويب وبريد واتصال

المؤسسات الكبيرة تشغّل خوادمها: موقع داخلي هو الإنترانت، وبريد، وأحيانًا اتصال صوتي. الموقع الداخلي يسهل التعاميم. إن نُشر الخادم نفسه على الإنترنت بلا فصل، أصبحت التعاميم الداخلية صفحة عامة. البريد مسار للبيانات اليومية، فتوقف خادم البريد توقف إداري حتى لو بقيت الحواسيب تعمل.

أثر سمعة وتشغيل

كلية نشرت جدول الاختبارات على خادم داخلي، ثم انكشف المجلد بمشاركة أوسع من قصد الموظف. قبل الامتحان بيوم انتشر الجدول. الخسارة ليست مالًا مباشرًا: عدالة الاختبار وثقة الطلبة. الخدمة كانت مفيدة، والصلاحية هي التي حددت الأثر.

ب3 · سيناريو غير مألوف

كلية الأفق: شبكة واحدة تجمع كل نتاج التعلم ب

كلية الأفق: مبنيان، ليف بينهما، وقرار واحد يحدد إن كان عطل الممر يوقف المبنى الثاني.

كلية تقنية في عمّان، مبنيان بينهما ليف. مختبرات طلاب على 192.168.10.0/24، وإدارة وقبول على 192.168.20.0/24، وشبكة ضيوف لاسلكية معزولة. خادم نطاق ويندوز، بريد على خدمة سحابية، موقع عام، ومورد تدريب يدخل بوابة شركاء ليرفع المواد فقط. كاميرات الممرات على شبكة أجهزة مخصصة. الموظفون يحملون هواتفهم.

ما يحدث	نوع الأثر	إلى أي مدى؟	ما يحد الأثر
انقطاع ليف المبنى الثاني	تشغيلي	مبنى كامل بلا خادم العلامات إن كان الخادم في المبنى الأول	خدمة أساسية محلية للطوارئ، ورابط بديل لا يعتمد على المسار نفسه
هاتف موظف فيه بريد القبول ضاع	بيانات شخصية وسمعة	طلبات الطلاب على ذلك الحساب، لا قاعدة البيانات كلها إن كانت الصلاحية ضيقة	قفل، حساب يُعطل من الدليل فور التبليغ، بريد لا يُحفظ كاملًا على الجهاز
مورد التدريب يرى مجلد القبول	خصوصية وثقة	واسع إن كانت شبكته متصلة بالإدارة بلا حاجز	إكسترانت إلى مجلد المواد فقط، كما علّمت قصة الطرف الثالث
كاميرا بكلمة العلبة على شبكة الطلاب	خصوصية ثم قفزة محتملة	من يرى الممر، ثم أي جهاز تسمح له الكاميرا بالوصول إليه	شبكة IoT منفصلة، كلمة جديدة، تحديث
تعطل DNS عند المزود السحابي للبريد	تشغيلي	كل المراسلات حتى يعود الاسم	معرفة الاعتماد، وخطة اتصال بديلة ليوم الاختبار
مشاركة «الجميع» على كشوف	عدالة وسمعة	كل حساب داخل النطاق	صلاحية لمجموعة شؤون الطلاب فقط

تحليل متوازن

السحابة أنقذت البريد من حريق المبنى، وربطت المدرّس ببيته. الثمن اعتماد على المزود وعلى صحة الحساب. التجزئة أبطأت يوم تركيب الطابعة لأن الفني يعبر الموجّه، ومنعت مختبرًا مصابًا من الوصول إلى القبول. التحليل الجيد يذكر الثمن والوقاية معًا.

ب3 · تأمين نظام قائم

لا نهدم الكلية. نغلق ما لا يخدم العمل ونبقي ما يخدمه

قائمة تبرير، لا قائمة أمنيات

ضيوف على SSID منفصل بلا طريق إلى 192.168.20.0.
واي فاي المؤسسة بتشفير حالي وكلمة طويلة، وإخفاء الاسم ليس هو الحماية.
منافذ الإدارة لا تُنشر على الإنترنت. الدعم البعيد من الداخل فقط.
DHCP واحد معروف. حسابات من الدليل. المغادر يُعطل في اليوم نفسه.
مجلدات بالصلاحية الأدنى. قاعدة القبول لا يصلها حساب المختبر.
كاميرات وطابعات على نطاق عناوين خاص بها وبكلمات ليست كلمة المصنع.
فلاشات ممنوعة إلا بجهاز فحص إن انقطع النت.
سجلات الجدار والأحداث تُراجع حين يحدث بطء أو رفض غير مفهوم.
النسخ بعيد عن المبنى أو في خدمة سحابية مضبوطة الصلاحيات، حتى ينجو من عطل محلي.

ماذا يفعل الطالب في الواجب

يرسم مخطط الأفق أو مخطط كليته الحقيقي بعد إذن الإدارة، ثم يكتب لكل جزء: الوظيفة، الأثر إن توقف، الأثر إن انكشفت البيانات، والإجراء. الجملة الجيدة تسمي جهازًا وخدمة ورقم شبكة.

ما لا يكتبه: أوامر لكسر كلمة، أو تجربة حقن على موقع، أو فحص لشبكة لا يملك إذنًا عليها.