تمت ترجمة هذا المقال آليًا من الفرنسية وهو قيد المراجعة. الأسعار بالدينار الجزائري دون ضريبة.
VLAN (شبكة محلية افتراضية) هي شبكة داخلية افتراضية. يُعرّف معيار IEEE 802.1Q، ويقسم نفس المفاتيح والكابلات إلى عدة شبكات منطقية منفصلة: واحدة للمكاتب، واحدة للكاميرات، واحدة للضيوف. لا تتواصل الأجهزة في VLAN مختلفة إلا عبر راوتر أو جدار حماية، الذي يمكنه تصفية المرور. بشرط وجود مفاتيح قابلة للإدارة، فهو وسيلة فعالة لتعزيز الأمان دون مضاعفة الأسلاك.
باختصار
- يُنشئ VLAN شبكات منفصلة على نفس الجهاز: لا تتحدث جهازان في VLAN مختلفين إلا عبر راوتر أو جدار ناري، حيث يمكن للقاعدة تصفية.
- خطة مثال: VLAN 10 (مكاتب)، VLAN 20 (سيرفر)، VLAN 30 (كاميرات)، VLAN 40 (Wi‑Fi ضيف).
- التنفيذ: منافذ وصول (بدون علامة) للأجهزة، منافذ trunk (موسومة 802.1Q) إلى الجدار الناري وأجهزة Wi‑Fi، ثم قواعد تصفية بين VLAN.
لماذا تقسم شبكتك؟
أمان بالانعزال
إذا أصيب جهاز مكتبي بالبرمجيات الخبيثة، لا يمكن للبرنامج الضار الوصول مباشرة إلى الكاميرات أو السيرفر إذا كانوا في VLAN آخر. للوصول إليهما، يجب أن يمر عبر الجدار الناري الذي قد يرفضه. التقسيم يحدّ من أضرار الحادث؛ لا يحل محل مضاد الفيروسات أو التحديثات.
التحكم في المرور
تقرّر من يتحدث مع من:
- لا تتواصل الكاميرات إلا مع مسجل الفيديو، ولا مع أجهزة الكمبيوتر.
- يصل الضيوف إلى الإنترنت، وليس إلى بياناتك الداخلية.
- لا يملك السيرفر وصولاً خارجيًا إلى الإنترنت، إلا ما تسمح به (مثلاً تحديثاته).
تقليل الأسلاك
بدلاً من سحب شبكة مادية لكل استخدام، تستخدم نفس السويتشات والأسلاك، وتفصل الاستخدامات عبر VLAN. للأسلاك نفسها، راجع سعر نقطة RJ45 وCat6 أو Cat6A.
كيف يعمل VLAN
- منفذ وصول (access): ينتمي المنفذ إلى VLAN واحد فقط. الجهاز المتصل (كمبيوتر، كاميرا، طابعة) لا يحتاج لتكوين، يتجاهل وجود VLAN.
- منفذ trunk: ينقل المنفذ عدة VLAN في آن واحد، مثلاً بين سويتشين، إلى الجدار الناري أو جهاز Wi‑Fi. كل إطار يحمل علامة (tag) 802.1Q مكوّنة من 4 بايت، تحتوي على رقم VLAN بـ12 بت. الأرقام القابلة للاستخدام تتراوح من 1 إلى 4094.
- VLAN أصلي: على trunk، هو VLAN الذي تمرر إطاراته بدون علامة. يجب أن تتفق الطرفان على trunk. تجنّب وضع VLAN 1 أو أي VLAN مستخدم: احجز VLAN غير مستخدم (راجع الحدود أدناه).
- التوجيه بين VLAN: فقط جهاز مستوى 3 يمرر حركة المرور من VLAN إلى آخر. إما الجدار الناري، الذي يستقبل جميع VLAN عبر trunk ويملك عنوان بوابة لكل VLAN. أو سويتش مستوى 3، لكن إذا كان يوجه بدون قواعد تصفية، لا يحمي التقسيم أي شيء.
- التبديل القابل للإدارة إلزامي : لا يدير مفتاح غير قابل للإدارة (بدون واجهة تكوين) VLANs.
مثال على شركة صغيرة متوسطة
دعونا نفترض وكالة تتألف من 15 شخصًا. كل VLAN له شبكة فرعية، مع الجدار الناري بوابة المرور:
| VLAN | الاسم | الشبكة الفرعية | البوابة (الجدار الناري) | الأجهزة |
|---|---|---|---|---|
| 10 | المكاتب | 192.168.10.0/24 | 192.168.10.1 | 10 حواسيب، طابعة |
| 20 | خادم | 192.168.20.0/24 | 192.168.20.1 | 1 خادم (ملفات، قاعدة بيانات، نسخ احتياطي) |
| 30 | الكاميرات | 192.168.30.0/24 | 192.168.30.1 | 4 كاميرات IP، 1 مسجل (192.168.30.10) |
| 40 | الضيوف | 192.168.40.0/24 | 192.168.40.1 | Wi‑Fi للضيوف |
على مفتاح قابل للإدارة بـ24 منفذًا مع PoE، قد تكون تخصيص المنافذ كما يلي:
| المنافذ | وضع | VLAN | الأجهزة |
|---|---|---|---|
| 1 à 10 | الوصول | 10 | حواسيب العمل |
| 11 | الوصول | 10 | الطابعة |
| 12 | الوصول | 20 | خادم |
| 13 à 16 | وصول (PoE) | 30 | 4 كاميرات IP |
| 17 | الوصول | 30 | مسجل (NVR) |
| 22 | trunk | 10 و40، مُوسّط | نقطة وصول Wi‑Fi |
| 24 | trunk | 10 و20 و30 و40، مُوسّط | جدار حماية |
يبعث نقطة الوصول شبكة Wi‑Fi داخلية مرتبطة بـ VLAN 10 وشبكة ضيوف مرتبطة بـ VLAN 40. بعض المحطات تحتاج إلى عنوان إدارة غير مُوسَّم: راجع وثائق جهازك. تتطلب كاميرات PoE مفتاحًا يغطي استهلاكها: انظر كاميرا Wi‑Fi أو سلكية PoE وسعر تثبيت IP في PoE.
بالنسبة للكاميرات التناظرية أو HDCVI المتصلة بـ XVR عبر كابل coaxial، لا حاجة لوضعها في VLAN على جانب الكاميرات: يهم فقط منفذ الشبكة الخاص بـ XVR (انظر كاميرا IP أو تناظرية). بعض مسجلات ذات منافذ PoE مدمجة تضع الكاميرات بالفعل على شبكة داخلية منفصلة.
قواعد الجدار الناري بين VLANs
تُقرأ القواعد بالترتيب: أول قاعدة مطابقة تنطبق. يتيح جدار الحماية ذو الحالة عودة ردود الاتصالات المصرح بها، لذا لا حاجة لإنشاء القاعدة العكسية.
| مصدر | Destination | خدمة | Action |
|---|---|---|---|
| VLAN 10 | VLAN 20 | مشاركة الملفات (SMB، TCP 445) ومنافذ تطبيق العمل | Autoriser |
| محطات إدارة VLAN 10 | مسجل (192.168.30.10) | واجهة ويب وعملاء فيديو، المنافذ حسب العلامة التجارية | Autoriser |
| VLAN 30 | الإنترنت | Tous | Bloquer |
| VLAN 30 | VLAN 10 وVLAN 20 | Tous | Bloquer |
| VLAN 40 | VLAN 10، 20 و30 | Tous | Bloquer |
| VLAN 40 | الإنترنت | DNS والويب | Autoriser |
| VLAN 10 | الإنترنت | جميعها، أو قائمة محدودة | Autoriser |
إذا كان المسجل يحتاج إلى مزامنة مع ساعة الإنترنت أو أن يُستعرض عن بُعد، اسمح له بالوصول إلى الإنترنت بمفرده أو، أفضل، استخدم VPN (انظر أيضًا الوصول عن بُعد إلى الكاميرات). تنص اللوائح على حظر الاتصال بالإنترنت لأنظمة المراقبة بالكاميرات في المنشآت العامة وفي تلك التي تُصوّر المساحات المفتوحة للعموم (المرسوم التنفيذي رقم 09-410 المعدل بالمرسوم رقم 16-61، المادة 20 bis)؛ تحقق من وضعك قبل فتح الوصول عن بُعد.
كيف تُنشئ VLANs
الخطوة 1: تدقيق الموجود
ملاحظات:
- هل مفاتيحك وموجهك أو جدار الحماية قابلة للإدارة وتدعم 802.1Q؟ هذا نقطة في ورقة المنتج. يراجع المتجر مثلاً GENATA GNT-P5428GC، مفتاح 24 منفذ Gigabit PoE يُوصف بـ «manageable L2+»، بسعر 65,000 DA HT (سعر المتجر asloitech.com في 06/11/2026 حسب التوفر). تحقق من دعم 802.1Q قبل الشراء، وابحث عن الأجهزة الأخرى في قسم الشبكة بالمتجر.
- ما يُوصل بالشبكة: حواسيب، خوادم، كاميرات، طابعات، محطات Wi‑Fi.
- البيانات أو الأجهزة الحساسة التي تستدعي العزل.
الخطوة 2: تخطيط VLANs
- VLAN واحد لكل استخدام فعلي متميز (مكاتب، خوادم، كاميرات، ضيوف).
- رقم لكل VLAN. اتفاقية بسيطة: 10، 20، 30، 40، مع شبكة فرعية حيث الرقم الثالث هو رقم VLAN (192.168.10.0/24 لـ VLAN 10).
- VLAN إدارة (مثلاً VLAN 99) لإدارة المفاتيح والمحطات، قابل للوصول فقط من محطة المسؤول.
الخطوة 3: تكوين المفتاح
إليكم مثالين، يُنصح بتكييفهما مع معداتك واختباره قبل الإنتاج. الأول يتعلق بـ MikroTik، أحد علامتي جدار الحماية التي نوفرها؛ والثاني هو Cisco IOS كمرجع للمقارنة.
MikroTik RouterOS 7 (switch مع تصفية VLAN)، وفقاً لوثائق MikroTik. ether1 هو trunk إلى الجدار الناري، ether2 و ether3 هما منافذ وصول لـ VLAN 10، ether4 هو منفذ وصول لـ VLAN 20، و VLAN 99 يُستخدم للإدارة:
``` /interface bridge add name=bridge1 frame-types=admit-only-vlan-tagged
/interface bridge port add bridge=bridge1 interface=ether1 frame-types=admit-only-vlan-tagged add bridge=bridge1 interface=ether2 pvid=10 frame-types=admit-only-untagged-and-priority-tagged add bridge=bridge1 interface=ether3 pvid=10 frame-types=admit-only-untagged-and-priority-tagged add bridge=bridge1 interface=ether4 pvid=20 frame-types=admit-only-untagged-and-priority-tagged
/interface bridge vlan add bridge=bridge1 tagged=ether1 vlan-ids=10 add bridge=bridge1 tagged=ether1 vlan-ids=20 add bridge=bridge1 tagged=ether1,bridge1 vlan-ids=99
/interface vlan add interface=bridge1 vlan-id=99 name=MGMT /ip address add address=192.168.99.2/24 interface=MGMT
# في النهاية: تفعيل تصفية VLAN /interface bridge set bridge1 vlan-filtering=yes ```
فعّل تصفية VLAN في النهاية، من خلال وصول احتياطي: خطأ على VLAN الإدارة أو trunk يقطع الوصول إلى السويتش.
مبدّل Cisco IOS (مثال على الصياغة، للمقارنة) :
`` vlan 10 اسم BUREAUX vlan 20 اسم SERVEUR vlan 30 اسم CAMERAS vlan 40 اسم INVITES vlan 999 اسم NATIF-INUTILISE ! interface GigabitEthernet0/1 وضع المنفذ للوصول switchport access vlan 10 ! interface GigabitEthernet0/24 وصف Vers le pare-feu switchport trunk allowed vlan 10,20,30,40 switchport trunk native vlan 999 switchport mode trunk switchport nonegotiate ``
في بعض النماذج، يجب إدخال switchport trunk encapsulation dot1q قبل switchport mode trunk. تُكوَّن سوّيتشات D-Link و GENATA عبر واجهتهما الويب، مع نفس المفاهيم: VLAN، منافذ وصول، منافذ trunk.
الخطوة 4 : عناوين IP و DHCP
لكل VLAN شبكة فرعية خاصة به، ويحتوي جدار الحماية على عنوان البوابة الخاصة بكل منها. يمكن أن يكون هذا الجدار حماًـة MikroTik أو Fortinet FortiGate، العلامتين اللتين نوفرهما ونثبتهما. بالنسبة لـ DHCP، خياران: خادم DHCP لكل VLAN على الجدار الحماية، أو خادم مركزي مع وكيل DHCP لكل واجهة VLAN. أعط عناوين ثابتة للمعدات التي يجب التعرف عليها (الخادم، المسجل، الطابعة، نقاط الوصول).
الخطوة 5 : كتابة قواعد الجدار الناري
استأنف جدول القواعد أعلاه. اختتم برفض كل ما تبقى، وسجّل الرفض في الأيام الأولى لاكتشاف تدفق مشروع نُسِيت.
الخطوة 6 : اختبار
قم بهذه الاختبارات عند التشغيل؛ تقوم AsloTech بإجرائها ضمن اختبارات التسليم:
- هل يمكن لكمبيوتر من VLAN 10 الوصول إلى الخادم في VLAN 20؟ نعم، فقط على الخدمات المصرح بها.
- هل يمكن لكمبيوتر غير مصرح به من VLAN 10 الوصول إلى المسجل؟ لا.
- هل تصل كاميرا إلى الإنترنت؟ لا. اربط هاتفًا محمولًا مؤقتًا بمنفذ الكاميرا للتحقق.
- هل يصل هاتف على Wi‑Fi الضيف إلى الإنترنت، لكن لا توجد عنوان داخلي ولا واجهة إدارة الجدار الناري؟ نعم للإنترنت، لا لباقي.
أفضل الممارسات
- وثّق : جدول مع رقم، اسم، شبكة فرعية، بوابة ومنافذ لكل VLAN.
- أطلق اسمًا : « VLAN 10 - المكاتب » مفهوم، « VLAN 10 » وحده غير واضح.
- ابدأ ببساطة : VLAN واحد لكل استخدام مميز. كل VLAN جديد يضيف قواعد يجب كتابتها واختبارها وصيانتها.
- لا تستخدم VLAN 1 لأجهزتك واختر VLAN أساسي غير مستخدم.
- عطل المنافذ غير المستخدمة في السويتش.
- احفظ إعدادات السويتش والجدار الناري بعد كل تعديل (انظر القاعدة 3‑2‑1).
- احتفظ بوصول احتياطي قبل تعديل trunk الذي تتصل به.
- هواتف IP : VLAN صوتي مع أولوية حركة المرور شائع (انظر المعيار الهاتف IP أو التناظري).
حدود VLANs
VLAN ليس حلاً سحريًا:
- لا تشفر : حركة مرور VLAN تسافر بنص عادي على الكابل. شخص يوصّل فعليًا يمكنه الاستماع.
- لا يوجد مصادقة افتراضية : أي شخص يوصّل حاسوبًا بمنفذ وصول VLAN 10 يدخل هذا VLAN. عطل المنافذ الفارغة واستخدم مصادقة 802.1X أو قفل المنافذ (port security) حسب السويتش.
- يعتمد على قواعد التصفية : قاعدة «السماح بكل شيء» بين VLAN تلغي التقسيم. سويتش مستوى 3 يمرّر بدون قواعد كذلك.
- هجمات قفز VLAN (VLAN hopping) : عبر تفاوض trunk (spoofing السويتش) أو التوسيم المزدوج عبر VLAN أساسي. نحميه بتثبيت المنافذ وصول في وضع وصول، تعطيل تفاوض trunk واستخدام VLAN أساسي غير مستخدم.
- لا توجد حماية داخل VLAN : جهاز مصاب يصل إلى أجهزة أخرى في نفس VLAN.
دمج VLAN مع جدار الحماية مضبوط جيداً وجهاز Wi-Fi الضيف الآمن. لاختيار الجهاز الذي سيعمل كبوابة، راجع MikroTik, Fortinet أو Cisco.
الخطوات التالية
استعرض صفحة الأمان الشبكي وجدار الحماية لدراسة شبكتك، وصفحة المراقبة بالكاميرات إذا كانت الكاميرات هي احتياجك الأساسي. يمكنك أيضًا قراءة كيفية تأمين Wi-Fi الضيوف لإضافة VLAN للضيوف، أو لماذا يُعد جدار الحماية ضروريًا لتحديد القواعد بين VLAN. لترتيب المبدّلات وجدار الحماية، راجع خزانة الشبكات.
الأسئلة المتكررة
هل تُبطئ VLAN الشبكة؟
يُعالج ترميز 802.1Q بواسطة معدات السويتش ولا يسبب مشكلة في السرعة. ما يهم هو التوجيه بين VLAN: إذا استقبل الجدار الناري جميع VLAN عبر وصلة trunk واحدة، ينتقل المرور بين VLAN ثم يعود عبر نفس الوصلة، ويشارك سعة هذه الوصلة. حدد حجم الوصلة وقوة الجدار الناري وفقاً لذلك.
هل يمكنني تغيير أرقام VLAN لاحقًا؟
نعم، لكن يجب مراجعة منافذ السويتشات، و trunks، وواجهات الجدار الناري، والقواعد وتوافق شبكات Wi‑Fi. من الأفضل اختيار خطة واضحة منذ البداية.
كم عدد VLAN مطلوب لهيكل صغير؟
حسب الاستخدامات الفعلية المتباينة. للشركة الصغيرة التي تمتلك كاميرات وتستقبل زواراً، الحد الأدنى المعقول هو: شبكة داخلية، كاميرات، ضيوف. لا تنشئ أكثر مما يمكنك توثيقه.
هل تعمل VLAN على Wi‑Fi؟
نعم، إذا كان نقطة الوصول تدير عدة شبكات Wi‑Fi (SSID) مرتبطة بكل منها بـ VLAN. تتصل النقطة على منفذ trunk في السويتش. العديد من أجهزة التوجيه Wi‑Fi للمستهلك لا توفر هذه الميزة. راجع Wi-Fi الضيف الآمن وكم عدد نقاط الوصول Wi‑Fi التي يجب توفيرها.
هل يدير سويتش غير قابل للإدارة VLAN؟
لا. السويتش غير القابل للإدارة يمرر الإطارات دون قراءة وسومها. يمكن أن يعمل خلف منفذ وصول لتكبير عدد المآخذ لنفس VLAN، لكنه لا يدعم حمل عدة VLAN.
هل تحتاج إلى رأي حول موقعك؟ يمكن لتقني المرور لتقييم احتياجك وتقديم المشورة.