تتطلب الشبكات الأساسية للمؤسسات وشبكات Anycast VPN الموزعة قدرات توجيه ديناميكية للحركة واستعادة فورية للمسارات في أجزاء من الثانية. وعلى مدى عقدين كاملين، شكّل بروتوكول تبديل الوسوم متعدد البروتوكولات (MPLS) الركيزة التقنية الأساسية لهندسة المرور وخدمات الشبكات الافتراضية الخاصة من الطبقة الثالثة (L3VPN).

ومع ذلك، فرض بروتوكول MPLS تعقيدات تشغيلية بالغة الصعوبة. حيث تطلبت إدارة الشبكات تشغيل بروتوكول توزيع الوسوم (LDP)، وبروتوكول حجز الموارد مع هندسة المرور (RSVP-TE)، بالإضافة إلى جلسات BGP المتخصصة، مما أجبر الموجهات الوسيطة على تخزين آلاف الحالات اللحظية في الذاكرة العتادية.

ولإزالة هذا العبء المعماري، قامت هيئة IETF بتوحيد معايير توجيه المقاطع عبر بروتوكول الإنترنت من الإصدار السادس (SRv6) بموجب الوثائق RFC 8402 وRFC 8754 وRFC 8986. ومن خلال توحيد مسار التحكم ومسار معالجة البيانات بالكامل داخل حزم IPv6 القياسية، يوفر SRv6 توجيها مجردا من الحالة انطلاقا من المصدر، وقابلية كاملة لبرمجة الشبكة، مع حماية فائقة للتحويل التلقائي في أقل من 50 ميلي ثانية بفضل تقنية TI-LFA (Topology-Independent Loop-Free Alternate).

أزمة تعقيد بروتوكول MPLS: ضرورة توحيد مسار بيانات IPv6

تعمل شبكات MPLS التقليدية على فصل تمرير الوسوم عن التوجيه الأساسي لـ IP. وفي بيئات الحوسبة السحابية الحديثة والمتعددة، يفرز هذا الفصل عوائق تشغيلية متزايدة:

  1. تضخم طبقات البروتوكولات: يتعين على مديري الشبكات تشغيل بروتوكول التوجيه الداخلي (OSPF/IS-IS)، وبروتوكول LDP لربط الوسوم، وRSVP-TE لحماية المسارات، وMP-BGP لنقل مسارات العملاء.
  2. استنزاف ذاكرة الموجهات الوسيطة: عند استخدام RSVP-TE، يحتفظ كل موجه على طول المسار بحالة مستقلة لكل نفق. وعندما تتوسع الشبكة لتشمل عشرات الآلاف من الأنفاق، تستنزف الذاكرة العتادية وتتباطأ سرعة التقارب عند الأعطال.
  3. تجزؤ آليات التغليف: تعجز حزم MPLS عن العبور عبر شبكات النقل العامة لـ IP دون تغليف إضافي عبر GRE أو UDP، مما يؤدي إلى تشتيت الرؤية التحليلية للبيانات.

يقوم SRv6 باستبدال هذه الطبقات المتراكمة ببروتوكول قياسي أصيل واحد: IPv6. وتحمل الحزم تعليمات مسارها الخاصة داخل ترويسة تمديد موجزة، مما يتيح للموجهات تمرير حركة المرور بالاعتماد على خوارزمية التطابق الأطول للبادئة (LPM) المعتادة في IPv6.

معمارية برمجة الشبكات عبر SRv6: الركائز الأساسية لمعيار RFC 8986

يرسي معيار RFC 8986 مبادئ برمجة الشبكات: حيث يتم التعبير عن المسار ووظائفه البرمجية كسلسلة مرتبة من التعليمات المشفرة مباشرة داخل عنوان IPv6 قياسي بطول 128 بت.

بدلا من فرض جداول أنفاق معقدة على الموجهات، يقوم موجه الدخول بترميز كامل مسار الحزمة في تسلسل من معرفات المقاطع (Segment Identifiers - SIDs). ومع تدفق الحزمة عبر المسار الرئيسي، يقرأ كل موجه يدعم SRv6 المعرف النشط، وينفذ التعليمة المرتبطة به، ثم يوجه الحزمة إلى المقطع التالي.

تشريح معرف المقطع 128 بت: بنية Locator وFunction وArguments

يطابق معرف المقطع SID في SRv6 تماما بنية عنوان IPv6 القياسي بطول 128 بت، وينقسم وظيفيا إلى الأجزاء التالية:

$$ ext{SRv6 SID (128 bits)} = ext{Locator} ,|, ext{Function} ,|, ext{Arguments}$$

  • المحدد Locator ($L$ بت): بادئة IPv6 مخصصة لعقدة محددة في الشبكة. تقوم الموجهات الوسيطة بتوجيه الحزمة إلى هذه العقدة عبر أقصر مسار IGP تقليدي، دون الحاجة إلى دعم SRv6 في تلك الموجهات.
  • الوظيفة Function ($F$ بت): رمز تشغيلي (opcode) يحدد الإجراء المطلوب تنفيذه (مثل التوجيه إلى منفذ محدد، أو فك التغليف وإرسال البيانات إلى جدول VRF، أو التمرير إلى جدار حماية).
  • المعاملات Arguments ($A$ بت): معطيات اختيارية للتعليمة، مثل معرف تدفق البيانات أو مؤشرات جودة الخدمة.

على سبيل المثال، عند استخدام بادئة محدد /64 ووظيفة بطول 16 بت، يشير العنوان 2001:db8:acad:1:: إلى بوابة الدخول، بينما يوجه العنوان 2001:db8:acad:1:0042:: البوابة إلى تنفيذ الأمر 0x0042 (كتوجيه البيانات إلى جدول شبكة افتراضية خاص).

ترويسة توجيه المقاطع (SRH): فحص بنية الحزمة وفق معيار RFC 8754

لحمل قائمة متعددة المقاطع، حدد معيار RFC 8754 ترويسة توجيه المقاطع لـ IPv6 والمعروفة باسم Segment Routing Header (Routing Type 4):

+-------------------------------------------------------------------+
| Next Header (8) | Hdr Ext Len (8) | Routing Type (4) | Segments Left (8) |
+-------------------------------------------------------------------+
| Last Entry (8)  | Flags (8)       | Tag (16)                             |
+-------------------------------------------------------------------+
| Segment List[0] (128 بت - معرف المقطع للوجهة النهائية)            |
+-------------------------------------------------------------------+
| Segment List[1] (128 بت - معرف مقطع التعليمة الوسيطة)             |
+-------------------------------------------------------------------+
| Segment List[2] (128 بت - معرف مقطع العبور الأولي)                |
+-------------------------------------------------------------------+

تشمل الحقول الرئيسية للتحكم ما يلي:

  • المقاطع المتبقية Segments Left (SL): مؤشر يحدد رقم المقطع النشط الحالي في القائمة.
  • قائمة المقاطع Segment List: مصفوفة عكسية من عناوين IPv6 بطول 128 بت (تتم معالجة المقطع عند Last Entry أولا، بينما ينفذ المقطع ذو الفهرس 0 في النهاية).

أثناء انتقال الحزمة، يحتوي عنوان الوجهة الخارجي في IPv6 دائما على المعرف النشط. وعند وصول الحزمة إلى العقدة المعنية، يقلل الموجه قيمة Segments Left بمقدار واحد، وينسخ العنوان التالي من Segment List[SL] إلى حقل الوجهة في IPv6، ثم يعيد توجيه الحزمة.

نمط التوجيه من المصدر: التخلص من حالات التوجيه المؤقتة في شبكات العبور

ينقل بروتوكول SRv6 الذكاء البرمجي كاملا إلى حواف الشبكة. وتحدد بوابة الدخول السياسة الشاملة لتمرير الحزم — بناء على قياسات الأداء، ومستويات التأخير، واتفاقيات الخدمة — وتقوم بحقن قائمة المقاطع المناسبة مباشرة في الحزمة.

يوفر هذا النمط فوائد تشغيلية بارزة:

  • قلب شبكة خال تماما من الحالات: تحتفظ الموجهات الوسيطة بمسارات IPv6 العادية للمحددات فقط. ولا تحتاج لتسجيل أي معلومات عن الأنفاق أو حجز السعات أو جداول تبديل الوسوم.
  • تطبيق مرن للسياسات: يمكن توجيه حركة المرور للمرور عبر مسارات ألياف ضوئية منخفضة التأخير أو محطات فحص محددة بمجرد إضافة المعرفات المقابلة.
  • توافق انسيابي مع البنية التحتية: تواصل الموجهات التي لا تدعم SRv6 تمرير الحزم بشكل طبيعي اعتمادا على بادئة الوجهة في IPv6، مما يسمح بالترقية التدريجية دون تعطيل الشبكة.

إعادة التوجيه السريع TI-LFA: مسارات بديلة حتمية دون 50 ميلي ثانية بلا RSVP-TE

تتسبب انقطاعات الروابط المادية في المسارات الأساسية في تعطيل الاتصالات اللحظية. ويستغرق تقارب شبكات IP التقليدية مئات الميلي ثوان لاكتشاف الانقطاع وتحديث قواعد بيانات التوجيه وإعادة الحسابات.

توفر تقنية Topology-Independent Loop-Free Alternate (TI-LFA) استجابة آلية حتمية في أقل من 50 ميلي ثانية لكافة الهياكل الشبكية:

  1. الحساب المسبق للمسارات الاحتياطية: تحسب الموجهات مسارات الطوارئ مسبقا بالاعتماد على خوارزمية ديكسترا وفقا لنمط الشبكة بعد التقارب.
  2. منع الحلقات الشبكية المؤقتة: على النقيض من تقنية LFA التقليدية (RFC 5286) التي قد تفشل في الشبكات المعقدة لاحتمال ارتداد الحزم، تحدد TI-LFA بدقة عقدة الأمان التالية ($Q$-node).
  3. التوجيه باستخدام المقاطع: عند تعطل الرابط، يدرج الموجه مقاطع SRv6 إضافية لتوجيه التدفق حول الرابط المقطوع نحو العقدة $Q$ لتصل الحزم بسلاسة إلى غايتها.

في اللحظة التي ترصد فيها اللوحة العتادية انقطاع الرابط، تقوم فورا بتغليف الحزم ضمن قائمة مقاطع TI-LFA المحسوبة سلفا. ويتم التحويل عتاديا في زمن يقل عن 50 ميلي ثانية دون تشكل حلقات أو فقدان للبيانات.

ربط خدمات SRv6: تغليف شبكات L3VPN وتراكبات Anycast

تحدد الوثيقة RFC 9252 كيفية إعلان خدمات VPN المتراكبة عبر بروتوكول MP-BGP فوق بنية SRv6. وعوضا عن تبادل وسوم MPLS بطول 32 بت، ترسل رسائل BGP معرفات SRv6 الدالة على بيئات العمل المستقلة:

  • أوامر End.DT4 و End.DT6: تقوم بوابة الاستقبال بإزالة ترويسة IPv6 الخارجية وتمرير البيانات الداخلية إلى جدول التوجيه الافتراضي (VRF) المطلوب.
  • أوامر End.DX4 و End.DX6: تفك التغليف وتوجه التدفق مباشرة إلى منفذ عميل مخصص من نقطة إلى نقطة.
  • معرفات Anycast SID: بادئة محدد موحدة يتم إعلانها بالتزامن من عدة مراكز بيانات Anycast، ليتجه الاتصال تلقائيا إلى البوابة الأقرب شبكيا.

تلغي هذه المنظومة الحاجة لبروتوكولات التوزيع الإضافية، وتضمن عزلا تاما وآمنا لحركة مرور المستخدمين.

العبء الإضافي لوحدة الإرسال القصوى ومقاطع uSID: تفادي تضخم ترويسات IPv6

يضيف كل معرف مقطع بطول 128 بت في ترويسة SRH عبئا مقداره 16 بايتا. وتؤدي سياسة تتطلب 4 مقاطع إلى زيادة حجم الحزمة بمقدار 72 بايتا مع احتساب الترويسة الأساسية.

ولتجنب تجزئة الحزم ولضمان استغلال السعة بأعلى فاعلية، تطبق الشبكات إجراءين هندسيين رئيسيين:

  1. اعتماد المقاطع المصغرة (uSID): تتيح معايير ضغط الترويسة تجميع تعليمات قصيرة بطول 16 أو 32 بت داخل عنوان IPv6 واحد بطول 128 بت. ويمكن حمل ما يصل إلى 6 تعليمات في ترويسة واحدة، مما يقلص العبء الإضافي بنسبة تتجاوز 75%.
  2. الضبط الآلي لـ TCP MSS: تعدل البوابات تلقائيا قيمة الحجم الأقصى للقطعة في مصافحة TCP SYN لضمان عدم تجاوز الحزم للحد الأقصى لوحدة الإرسال على المسار.

الاعتبارات الأمنية: تقييد نطاق SRv6 الموثوق عند منافذ الدخول

نظرا لأن تعليمات التوجيه مدمجة داخل عنوان الوجهة، فإن الحزم الخارجية غير المعتمدة التي تحمل معرفات داخلية قد تستغل لتنفيذ تعليمات غير مصرح بها.

يحدد المعياران RFC 8754 وRFC 8986 بدقة مفهوم نطاق SRv6 الموثوق (SRv6 Trusted Domain): وهو محيط شبكي خاضع لإدارة موحدة ومحمي بسياسات أمان مشددة.

التحقق من توقيع HMAC والحماية من التلاعب بترويسة SRH

تتيح الفقرة 2.1 من RFC 8754 تضمين حقل HMAC TLV اختياري داخل ترويسة SRH. وتستخدم البوابات مفاتيح تشفير مشتركة لتوقيع تعليمات التوجيه:

  • تولد عقدة الدخول قيمة HMAC رقمية تشمل قائمة المقاطع وحقول IPv6 الأساسية.
  • تتحقق عقد التوجيه من صحة التوقيع قبل تنفيذ التعليمات الحساسة.
  • يتم إسقاط أي حزمة تحتوي على معرفات معدلة أو تفتقر إلى توقيع صالح فورا على مستوى العتاد.

التصفية الحدودية عبر BCP 38 لمنع حقن معرفات SID الخارجية

تطبق الموجهات الحدودية وجدران الحماية قواعد تصفية صارمة:

  1. تصفية الدخول: إسقاط أي حزمة واردة من الإنترنت العام تحتوي على ترويسة SRH أو تستهدف بادئات المحددات الداخلية.
  2. التنقية عند الخروج: التجريد الكامل لترويسات SRH قبل خروج الحزم من النطاق الموثوق تفاديا لتسريب الهيكل الداخلي للشبكة.
  3. منع انتحال العناوين: تطبيق معايير BCP 38 / RFC 2827 للتأكد من صحة العناوين المصدرية ومنع محاولات انتحال عناوين البوابات الداخلية.

شبكة Anycast المركزية في RiceGuard: هندسة شبكية حتمية عبر SRv6

تعتمد منصة VPNRice على معمارية RiceGuard في الطبقة الثالثة لربط مواقع Anycast العالمية عبر كبار مزودي خدمات العبور Tier-1. وفي الشبكات الموزعة ذات الكثافات العالية، قد تؤدي الاضطرابات الطارئة إلى انقطاع الاتصالات وتذبذب الأداء.

توظف منظومة RiceGuard معايير SRv6 لتأكيد الجاهزية العالية وتقليص زمن الاستجابة:

  • حماية TI-LFA دون 35 ميلي ثانية: تحول الموجهات الرئيسية مسارات الاتصال المتعطلة إلى خطوط ألياف ضوئية بديلة في أقل من 35 ميلي ثانية.
  • توجيه حركة المرور بلا حالات: تدرج RiceGuard مقاطع uSID ديناميكيا لتحويل البيانات بعيدا عن الروابط المكتظة دون إثقال ذاكرة الموجهات.
  • انتقال سلس في فترات الصيانة: يتم نقل اتصالات المستخدمين بين مراكز البيانات تدريجيا عبر معرفات تفريغ خاصة دون انقطاع الجلسات.
  • فحص دوري لمؤشرات الاتصال: تراقب أنظمة القياس عن بعد حدود MTU وسلامة المسارات بصورة دائمة. ويمكن للمستخدمين التحقق من خصائص اتصالهم عبر صفحة /what-is-my-ip.

ويمكن للمستخدمين تنزيل التطبيقات الرسمية للحفاظ على استقرار اتصالاتهم عبر صفحة /download. وتتوفر مراجعة تقنية لظاهرة استقطاب تجزئة الحزم في مقال /news/gre-in-udp-rfc-8086-geneve-ecmp-hash-polarization-vpn، بينما تناقش آليات صمود التوجيه أثناء تحديثات BGP في تقرير /news/bgp-graceful-restart-rfc-4724-llgr-anycast-resilience.

التطبيق العملي: إعداد نقاط نهاية SRv6 والتغليف على نظام لينكس

تدعم نواة لينكس برمجة وتغليف مسارات SRv6 قياسيا عبر حزمة أدوات iproute2. ويستطيع مسؤولو الشبكات ضبط المعلمات المطلوبة بأوامر التشغيل المعتادة.

تفعيل التوجيه في IPv6 ونظام Segment Routing:

قم بتفعيل توجيه IPv6 ومعالجة seg6 على البوابة أ:

# تفعيل توجيه IPv6 ودعم حزم seg6 على الواجهات
sysctl -w net.ipv6.conf.all.forwarding=1
sysctl -w net.ipv6.conf.all.seg6_enabled=1
sysctl -w net.ipv6.conf.eth0.seg6_enabled=1

إعداد تغليف مسار SRv6 عند بوابة الدخول:

قم بتوجيه البيانات الصادرة إلى مسار SRv6 بتغليفها داخل ترويسة IPv6 مع قائمة مقاطع SRH:

# تغليف البيانات المتجهة إلى 10.100.0.0/16 ضمن مسار SRv6
ip -6 route add 10.100.0.0/16 encap seg6 mode encap     segs 2001:db8:beef:2::,2001:db8:acad:1::     dev eth0

في هذا الإعداد، تُغلف الحزم الصادرة داخل ترويسة IPv6، ويكون المقطع الأول هو 2001:db8:acad:1:: والوجهة النهائية للمسار هي 2001:db8:beef:2::.

إعداد إجراء End.DT4 عند بوابة الخروج:

على البوابة ب، اربط المحدد بتعليمة فك التغليف لتسليم حمولة IPv4 إلى جدول VRF:

# ربط وظيفة End.DT4 بالمحدد لتسليم الحزم إلى جدول VRF
ip -6 route add 2001:db8:acad:1::/64 encap seg6local action End.DT4     vrftable 100     dev eth0

فحص مسارات SRv6 عبر بيانات القياس عن بعد:

استعرض مسارات التغليف النشطة:

ip -6 route show encap seg6

10.100.0.0/16  encap seg6 mode encap segs 2 [ 2001:db8:beef:2:: 2001:db8:acad:1:: ] dev eth0 metric 1024

افحص الحزم المارة باستخدام tcpdump لمعاينة ترويسة Routing Type 4:

tcpdump -ni eth0 'ip6[6] == 43' -vv

07:18:22.410928 IP6 2001:db8:feed:1:: > 2001:db8:acad:1::: HBH, routing (type 4, segleft 1, [2] 2001:db8:beef:2::, [1] 2001:db8:acad:1::)

تؤكد البيانات الميدانية عمل ترويسة SRH وتوالي معالجة المقاطع، مما يجسد تطبيق التوجيه الحتمي من المصدر بكفاءة عبر بنية النقل.