تنقل شبكات الاتصالات الحديثة ومراكز البيانات السحابية حركة المرور لمئات المؤسسات المستقلة عبر بنية تحتية مادية مشتركة. في التوجيه التقليدي لبروتوكول الإنترنت، يحتفظ كل موجه بجدول توجيه عام واحد. وإذا اتصلت مؤسستان مختلفتان بنفس الموجه مع استخدام نفس نطاقات العناوين الخاصة وفق RFC 1918، تحدث تصادمات في التوجيه تؤدي إلى فقدان الحزم وتسريب البيانات.

ولحل أزمة التوجيه متعدد المستأجرين، قامت مجموعة IETF بتوحيد معايير الشبكات الخاصة الافتراضية BGP/MPLS IP في الوثيقة RFC 4364 (المعروفة سابقاً بـ RFC 2547). تعزل هذه المعمارية، المعروفة في قطاع الاتصالات باسم BGP L3VPN، نطاقات التوجيه الخاصة بالعملاء في الطبقة الثالثة باستخدام مثيلات التوجيه والتمرير الافتراضي (VRF)، وامتدادات البروتوكول متعدد البروتوكولات MP-BGP (RFC 4760)، ومسار تبديل التسميات ثنائي الطبقات لبروتوكول MPLS.

معضلة التوجيه متعدد المستأجرين في شبكات المؤسسات

عندما تبني المؤسسات شبكات واسعة النطاق لربط الفروع، أو تتصل ببيئات الحوسبة السحابية، تمر حركة بياناتها بالضرورة عبر شبكات النواة المشتركة.

قد يعتمد النهج البدائي على الفصل المادي للوصلات أو بناء أنفاق تشفير نقطة لنقطة بين كل موقعين. إلا أن ربط مئات الفروع ينشئ اختناقاً يتسع بصورة تصاعدية $O(N^2)$، مسبباً تعقيدات تشغيلية بالغة: ١. تضطر موجهات النواة إلى تخزين ملايين المسارات، مما يستنزف سعة ذاكرة العتاد TCAM. ٢. تتصادم نطاقات العناوين عند استخدام مساحات متطابقة مثل 10.0.0.0/8 أو 192.168.1.0/24. ٣. تتضاعف أعباء التهيئة والإدارة مع إضافة كل فرع جديد للمؤسسة.

يقضي المعيار RFC 4364 على هذه القيود الهيكلية. فمن خلال حصر منطق معالجة الشبكات الافتراضية في موجهات حافة المزود (Provider Edge أو PE) والإبقاء على موجهات النواة (Provider أو P) مخصصة فقط لتبديل التسميات السريع، يوفر BGP L3VPN تواصلاً مرناً بين الفروع مع عزل حسابي صارم.

+-----------------------------------------------------------------------------+
|                      طوبولوجيا شبكة BGP L3VPN وفق RFC 4364                  |
+-----------------------------------------------------------------------------+
[ CE-A1 ] ---> [ PE 1 ] ======================== [ PE 2 ] ---> [ CE-A2 ] (المستأجر A)
                  ||        (النواة P: تبديل التسميات)      ||
[ CE-B1 ] ---> [ PE 1 ] ======================== [ PE 2 ] ---> [ CE-B2 ] (المستأجر B)

جدول التوجيه والتمرير الافتراضي (VRF): تجزئة الجداول والذاكرة

يعد التوجيه والتمرير الافتراضي (VRF) حجر الزاوية في عزل المستأجرين في الطبقة الثالثة. فبدلاً من تشغيل جدول توجيه موحد، يقسم موجه PE مستويات التحكم والبيانات إلى عدة موجهات افتراضية معزولة تماماً.

يمتلك كل مثيل VRF قاعدة معلومات توجيه مستقلة (RIB) وقاعدة معلومات تمرير خاصة (FIB). وترتبط المنافذ المادية أو الواجهات المنطقية المقسمة عبر وسوم VLAN مباشرة بمثيل VRF محدد.

فصل مستوى التحكم وقاعدة معلومات التمرير (FIB)

عندما يعلن موجه حافة العميل (Customer Edge أو CE) عن مسار IP لموجه المزود PE 1 عبر BGP أو OSPF أو التوجيه الثابت:

  • تسجل التحديثات حصرياً في قاعدة التوجيه RIB الخاصة بذلك الـ VRF.
  • لا تملك البروتوكولات العاملة داخل VRF معين أي رؤية للمثيلات الأخرى على نفس الجهاز.
  • تبحث الحزم الواردة عبر منفذ العميل في جدول التمرير FIB المخصص فقط لذلك المستأجر.

ونظراً لأن عملية التحقق تقتصر تماماً على مثيل التوجيه الافتراضي المحدد، لا يمكن بأي حال تحويل حزمة قادمة من المستأجر A إلى المستأجر B، حتى لو كان عنوان الوجهة يطابق مساراً مسجلاً في جدول المستأجر B.

معالجة تداخل نطاقات العناوين الخاصة وفق RFC 1918

نظراً لأن تقنية VRF تفصل حالات التوجيه على مستوى النواة، يمكن لعدة عملاء استخدام نفس النطاقات الفرعية لـ IPv4 دون أي تضارب.

على سبيل المثال، يستطيع المستأجران A وB استخدام النطاق 10.50.0.0/24 في نفس الوقت:

  • تبحث بيانات المستأجر A في جدول VRF-Alpha لتصل إلى CE-A2.
  • تبحث بيانات المستأجر B في جدول VRF-Beta لتصل إلى CE-B2.

ومع ذلك، بمجرد مغادرة المسارات لموجه PE وانتقالها عبر النواة بواسطة MP-BGP، يعجز توجيه IPv4 العادي عن التمييز بين مسار المستأجر A ومسار المستأجر B. ويعالج المعيار RFC 4364 هذا اللبس بإضافة مميزات المسار.

مميز المسار (RD): إضفاء الفرادة العالمية على بادئات الشبكة

مميز المسار (Route Distinguisher أو RD) هو محدد رقمي بحجم 8 بايت (64 بت) يخصص لكل VRF. وعندما يعيد موجه PE توزيع بادئة IPv4 من جدول العميل إلى بروتوكول MP-BGP، فإنه يسبق عنوان IPv4 المكون من 4 بايت بهذا المحدد ذي الـ 8 بايت.

يسمى الهيكل الناتج والمكون من 12 بايت (96 بت) بادئة VPN-IPv4 (AFI=1, SAFI=128):

+-----------------------------------------------------------------------------+
|                بنية عنوان بادئة VPN-IPV4 وفق المعيار RFC 4364               |
+-----------------------------------------------------------------------------+
|     مميز المسار RD (64 بت)          |           بادئة IPv4 (32 بت)          |
+-------------------------------------+---------------------------------------+

يحدد المعيار RFC 4364 ثلاثة تنسيقات قياسية لمميز المسار:

  • النوع 0: رقم النظام المستقل (ASN) بحجم 2 بايت مع رقم مخصص بحجم 4 بايت (مثل 65001:100).
  • النوع 1: عنوان IPv4 بحجم 4 بايت مع رقم مخصص بحجم 2 بايت (مثل 198.51.100.1:100).
  • النوع 2: رقم ASN بحجم 4 بايت مع رقم مخصص بحجم 2 بايت (مثل 4200000001:100).

بإضافة 65001:100 لمسار المستأجر A و65001:200 لمسار المستأجر B، يتحول العنوانان إلى 65001:100:10.50.0.0/24 و65001:200:10.50.0.0/24. ويصبحان في مستوى تحكم MP-BGP عنوانين منفصلين تماماً، مما يتيح لهما التعايش في نفس جدول BGP دون أي تعارض.

أهداف المسار (RT): المجتمعات الموسعة لبروتوكول BGP وسياسات التوزيع

من الأخطاء الشائعة الاعتقاد بأن مميز المسار هو الذي يحدد جدول الـ VRF المستقبل. في الواقع، لا يحمل الـ RD أي دلالات لسياسة التوجيه، ووظيفته الوحيدة هي جعل العناوين فريدة عالمياً.

أما توزيع المسارات وتصفيتها عبر مثيلات الـ VRF، فيخضع لـ أهداف المسار (Route Targets أو RT)، والتي تنفذ في صورة مجتمعات BGP موسعة (BGP Extended Communities وفق RFC 4360).

[ VRF Alpha PE 1 ] ---> تصدير RT 65001:101 ---> [ نواة MP-BGP ]
                                                       |
[ VRF Alpha PE 2 ] <--- استيراد RT 65001:101 <---------+

يحدد كل مثيل VRF قائمتين مستقلتين من المجتمعات:

  • أهداف المسار المصدرة (Export RT): ترفق بمسارات العميل عند ضخها في MP-BGP.
  • أهداف المسار المستوردة (Import RT): تفحص عند استلام تحديثات VPN-IPv4. فإذا تضمن التحديث هدف مسار يطابق قائمة الاستيراد، يُجرد المسار من الـ RD ويُثبت في جدول RIB المحلي للـ VRF.

التحكم في طوبولوجيا الربط: الهيكل المحوري المتشعب مقابل الشبكي الكامل

يتيح فصل أهداف الاستيراد والتصدير لمهندسي الشبكات بناء مخططات اتصال مرنة دون تعديل في الكابلات المادية:

  • طوبولوجيا الربط الشبكي الكامل (Full-Mesh): تصدر كافة المواقع وتستورد نفس الهدف (export 65001:100 وimport 65001:100)، مما يتيح الاتصال المباشر بين جميع الفروع.
  • طوبولوجيا الهيكل المحوري (Hub-and-Spoke): تصدر الفروع RT-Spoke وتستورد RT-Hub. ويصدر المحور المركزي RT-Hub ويستورد RT-Spoke. ولا يمكن للفروع الاتصال ببعضها مباشرة، بل تمر البيانات عبر جدار حماية المحور المركزي.
  • الخدمات المشتركة الخارجية (Extranet): يستورد مثيل المؤسسة هدفاً صادراً من مثيل الخدمات العامة (مثل خوادم DNS ودليل الحسابات)، مما يتيح النفاذ للخدمات المشتركة مع صيانة عزل البيانات العامة.

مكدس التسميات ثنائي الطبقات: آلية تمرير حزم MPLS وVPN

بعد توزيع المسارات عبر مستوى التحكم MP-BGP، تعتمد عملية التمرير الفعلي للحزم عبر النواة على مكدس تسميات MPLS ثنائي الطبقات.

وعندما يغلف موجه PE الدخول بيانات العميل، فإنه يدرج تسميتي MPLS منفصلتين بحجم 32 بت (RFC 3031):

+-----------------------------------------------------------------------------+
|                     مكدس تسميات التمرير ثنائي الطبقات لـ MPLS               |
+-----------------------------------------------------------------------------+
| إطار الطبقة 2 | تسمية النقل الخارجية | تسمية VPN الداخلية | حمولة بيانات IP |
+-----------------------------------------------------------------------------+

١. التسمية الداخلية (تسمية VPN أو الخدمة): يخصصها موجه الخروج PE عبر MP-BGP، وهي تخبر موجه الخروج بالـ VRF أو المنفذ المستهدف بعد فك التغليف. ٢. التسمية الخارجية (تسمية النقل أو IGP): تخصص عبر بروتوكولات LDP أو RSVP-TE أو Segment Routing، وتتولى توجيه الحزمة عبر موجهات النواة P إلى موجه الخروج.

تسميات النقل الخارجية وقابلية توسع شبكة النواة P

يوفر هذا الفصل التام بين التسميات قدرة استثنائية على التوسع:

  • تفحص موجهات النواة P التسمية الخارجية فقط وتقوم بتبديلها بسرعة.
  • لا تحتاج أجهزة النواة لمعرفة عناوين IP الداخلية للعملاء أو تسميات الخدمة.
  • تظل النواة خالية من ملايين المسارات الخاصة بالمشتركين ولا تتعامل إلا مع عناوين الموجهات.

وقبل خطوة واحدة من موجه الخروج، تزيل آلية نزع التسمية قبل الأخيرة (PHP) التسمية الخارجية. ويستلم موجه الخروج الحزمة بالتسمية الداخلية فقط، ليجري فحصاً سريعاً ويوجه حزمة IP النقية مباشرة إلى منفذ العميل المستهدف.

أمان مستوى البيانات ومخاطر تسريب VRF في الربط السحابي

على الرغم من قوة العزل التي يوفرها BGP L3VPN، إلا أن أخطاء التهيئة قد تؤدي إلى ثغرات تشغيلية:

١. تلوث أهداف المسار العرضي: يؤدي أي خطأ في سياسات الاستيراد (مثل إدراج 65001:200 في VRF-Alpha) إلى تسريب المسارات بين شركتين مختلفتين، فاتحاً قنوات اتصال غير مصرح بها. ٢. حجب الخدمة عبر إغراق المسارات: يمكن لأجهزة العميل إغراق الموجه بآلاف المسارات العشوائية، مما يستنزف سعة الذاكرة في بطاقات المعالجة. ٣. تسريب المسارات في البيئات السحابية: عند الربط السحابي مع بوابات AWS Direct Connect أو Azure ExpressRoute، قد تتسبب القواعد الآلية في تسريب المسارات الافتراضية خارج النطاق المحدد.

يمكن للمهندسين اختبار مسارات التوجيه الخارجية باستخدام أداة معرفة عنوان IP.

تحصين بروتوكول MP-BGP وأجهزة توجيه الحافة في بيئات الإنتاج

يتطلب تأمين البنية التحتية لـ L3VPN فرض سياسات صارمة على كافة موجهات الحافة PE.

وفي أنظمة التشغيل الشبكية الحديثة (مثل FRRouting وCisco IOS-XR وJunos)، يفرض المهندسون قيوداً صارمة على حجم المسارات. وفيما يلي نموذج تهيئة لحزمة FRRouting لإنشاء VRF وتوزيع المسارات:

# إنشاء مثيل VRF وربطه بالواجهة المادية
ip link add dev vrf-tenant-a type vrf table 1001
ip link set dev eth2 master vrf-tenant-a
ip link set dev vrf-tenant-a up

# مقتطف تهيئة محرك التوجيه FRR
router bgp 65001
 address-family ipv4 vpn
  neighbor 198.51.100.2 activate
 exit-address-family
 !
 router bgp 65001 vrf vrf-tenant-a
  rd 65001:100
  address-family ipv4 unicast
   route-target export 65001:100
   route-target import 65001:100
   maximum-prefix 5000 80 warning-only
  exit-address-family

وتشمل إجراءات التحصين الأساسية ما يلي:

  • تحديد سقف البادئات: تفعيل خاصية maximum-prefix لجميع جلسات BGP مع العملاء لقطع الاتصال تلقائياً عند تجاوز الحدود المتفق عليها.
  • تصفية مسار الأنظمة المستقلة AS-path: تطبيق قوائم حظر لاستبعاد الأرقام المستقلة الخاصة أو غير المصرح بها الصادرة من شبكات المشتركين.
  • المصادقة على جلسات TCP: تأمين اتصالات MP-BGP الداخلية بين موجهات PE بواسطة بروتوكول TCP-AO (RFC 5925) أو بصمات MD5 (RFC 2385) لمنع تزوير بيانات التوجيه.

كيف تحقق تقنية RiceGuard عزلاً مشفراً للمستأجرين بسرعة الخط

تدمج شبكة VPNRice محرك التسريع المتطور RiceGuard في جميع خوادم الحافة العالمية. وبدلاً من الاعتماد على تسميات MPLS غير المشفرة عبر شبكات الترانزيت العامة، يجمع RiceGuard بين العزل المنطقي لمعيار RFC 4364 والتشفير القوي المباشر.

[ جهاز المشترك ] ---> [ بوابة حافة RiceGuard الذكية ]
                                     |
    +--------------------------------+--------------------------------+
    | تجزئة VRF المنطقية والتوجيه الديناميكي للتدفق                    |
    | تمييز مشفر داخلي (عزل بالمفاتيح المتناظرة الخاصة بكل مستأجر)    |
    +--------------------------------+--------------------------------+
                                     |
                   [ شبكة النواة العالمية الآمنة بتقنية Anycast ]
                                     |
                                     v
                  [ بوابة الخروج: تسليم موثوق بدون تسريب ]

١. العزل التشفيري لمثيلات VRF: يربط RiceGuard مسارات المستخدم بسياقات تشفير عتادية مخصصة، مما يضمن حماية بيانات كل مشترك بمفاتيح متناظرة مؤقتة تمنع التطفل المتبادل. ٢. معالجة التسميات بسرعة الخط: تنفذ عمليات تصنيف الحزم ومطابقة الأهداف في مسارات خالية من الأقفال داخل نواة النظام، مما يحافظ على أعلى سرعات النقل دون استنزاف المعالجات. 3. حماية الترانزيت من الاعتراض: على خلاف مسارات MPLS التقليدية التي تنقل البيانات مكشوفة بين موجهات P، يغلف RiceGuard كافة البيانات العابرة للمناطق داخل أنفاق WireGuard الموثقة لمنع التنصت على الألياف الضوئية العامة.

لتأمين اتصالاتكم والحصول على اتصال ثابت عبر أجهزة الحاسوب والهواتف، يمكنكم تثبيت التطبيق الرسمي.

تحميل VPNRice.

يمكن لمهندسي الشبكات مراجعة دراستنا حول تقنية BGP EVPN متعددة المسارات النشطة ESI والاطلاع على تفاصيل رصد الأعطال في أجزاء من الثانية عبر BFD. كما نوصي باستكشاف تحليل نوافذ منع إعادة الإرسال في IPsec RFC 4303.

قائمة التحقق الهندسية لنشر شبكات BGP L3VPN عالية المرونة

يتطلب نشر شبكات BGP L3VPN في البيئات الحساسة الالتزام بالخطوات التالية:

  • توحيد معايير تسمية RD وRT: وضع قواعد واضحة للتسمية (مثل ASN:TenantID للـ RD وASN:ServiceProfile للـ RT) لتجنب التضارب.
  • ضبط قيود المسارات المسموحة: تطبيق حدود maximum-prefix على كل واجهة ربط مع المشتركين لحماية ذاكرة موجهات PE.
  • التأكد من مسارات LSP في النواة: التحقق من أن بروتوكولات IGP وLDP/SR تحافظ على مسارات تبديل تسميات مكتملة بين كافة عناوين Loopback.
  • عزل سياسات الخدمات المشتركة: عند مشاركة خدمات بين شبكات VRF، ضع فلاتر دقيقة لاستيراد أهداف المسار لتفادي تسريب المسار الافتراضي.
  • تشفير مسارات النقل الحساسة: عند مرور الحزم عبر شبكات عامة أو سحابية، غلف حركة MPLS داخل أنفاق IPsec أو WireGuard لضمان سرية البيانات.
  • مراقبة تقلبات مستوى التحكم: تتبع معدلات تحديث مسارات VPN-IPv4 في Prometheus لرصد الحلقات أو التذبذبات قبل تعطل الخدمة.