چرا ایجاد نمودار شبکه بسیار مفید است؟ ایجاد نمودار شبکه نه تنها مفید است، بلکه نگاهی حیاتی به توپولوژی شبکه آرامش خاطر شما به همراه دارد دارد. حالا ما در این مقاله می خواهیم در رابطه با نمودار شبکه و مزایای آن صحبت کنیم.

نمودار شبکه چیست؟

به عبارت ساده تر، نمودار شبکه ای یک طرح کلی یا نقشه از شبکه موجود شما است که گره ها و اتصالات آنها را نشان می دهد. نمودارهای شبکه در ترسیم عناصر و تعاملات دستگاه شما و همچنین نشان دادن انواع توپولوژی شبکه بسیار مفید هستند. شما می توانید شبکه خود را به صورت دستی با استفاده از مداد و کاغذ یا با یک برنامه طراحی مانند Visio ترسیم کنید.

ابزارهای نرم افزاری مانند Auvik ، که می تواند توپولوژی های شبکه قدرتمندی را ارائه دهد که در زمان واقعی به روز می شوند، بسیار ساده تر است.

اگر تازه وارد حوزه شبکه شده اید، احتمالاً از یک شبکه موجود که قبلاً مستقر شده است استفاده می کنید و متوجه شده اید که این شبکه برای اتصال کاربران نهایی شما به برنامه ها و منابع مورد نیاز برای بهره وری وجود دارد. ممکن است شبکه شما شامل اتصال به اینترنت ، فایروال ، سوئیچ ها و دستگاه های مرتبط با کاربر نهایی باشد. در بسیاری از سازمانها، ممکن است یک فرد جداگانه مسئول هر یک از این بخش ها باشد.

نمودارهای شبکه فیزیکی در مقابل نمودارهای شبکه منطقی: تفاوت چیست؟

نمودارهای شبکه در اشکال و اندازه های مختلفی وجود دارد، اما به طور کلی می توان آنها را به دو نمودار شبکه فیزیکی یا نمودار شبکه منطقی طبقه بندی کرد. دانستن تفاوت بین این دو نوع نمودار بسیار مهم است، زیرا آنها اطلاعات متفاوتی را منتقل می کنند. وقتی در مورد توپولوژی شبکه صحبت می کنیم، ما بیشتر به لایه های پایینی مدل OSI علاقه داریم.

لایه 1، لایه فیزیکی مدل OSI است. برای اهداف طراحی شبکه، این به معنی چیزهایی است که می توانید لمس کنید: کابل های شبکه و سایر تجهیزات شبکه. اما از نظر فنی شامل خواص سیگنالینگ الکتریکی و نوری نیز می شود. لایه 1 ویژگی های کابل هایی را که برای حمل سیگنال ها ضروری هستند تعریف می کند.

به عنوان یک طراح شبکه، ما باید مطمئن شویم که کابل های مناسب را به مکان های مناسب می رسانیم و مراقب محدودیت های فاصله باشیم. و البته، ما باید مطمئن شویم که دستگاه های مناسب از نظر فیزیکی به یکدیگر متصل هستند. بنابراین هنگام مشاهده نمودارهای فیزیکی شبکه، اغلب دستگاه هایی مانند فایروال ، سوئیچ ها ، روترها و نقاط دسترسی را به همراه نمایشی از ارتباطات فیزیکی بین آنها مشاهده خواهید کرد.

لایه 2، لایه منطقی مدل OSI است. نمودارهای منطقی شبکه نشان دهنده توپولوژی شبکه در سطوح بالاتر است.

به عنوان مثال، نمودارهای لایه 3 مسیریابی، از جمله مسیرهای ایستا را نشان می دهد و ممکن است نشانگر همتایان BGP باشد. در حالی که برخی از نمودارهای منطقی شامل ویژگی های فیزیکی هستند، این یک الزام نیست و بسیاری از نمودارهای منطقی شبکه مواردی مانند جزئیات پیوند فیزیکی و گاهی اوقات حتی گروه های کاملی از دستگاه ها، مانند زیرساخت اصلی سوئیچ را حذف می کنند.

اهمیت نمودارهای شبکه:

به عنوان یک مدیر که مسئول شبکه است، بسیار مهم است که شما درک دقیقی از توپولوژی شبکه خود داشته باشید. بدون این اطلاعات، حتی عیب یابی اولیه نیز می تواند بی جهت دشوار باشد. اگر مستندات دقیق و به روز شبکه را داشته باشید، عیب یابی بسیار آسان تر می شود. نکته مهم این است که در مورد آنچه که سعی در انتقال اطلاعات دارید در ذهن خودتان روشن باشد.

بهتر است چندین نمودار که جنبه های مختلف یک شبکه را نشان می دهند ترسیم کنید تا اینکه سعی کنید همه چیز را روی یک ورق کاغذ قرار دهید.

درک نمادهای نمودار شبکه:

نمادهای مختصر مفیدی وجود دارد که می توانید هنگام ایجاد نمودارهای شبکه استفاده کنید. در حالی که هیچ قانون جهانی وجود ندارد، در اینجا لیستی از بهترین شیوه های کلی برای کمک به شما در برقراری ارتباط دقیق ایده های شبکه با همکاران، به ویژه برای ترسیم توپولوژی شبکه، فراهم آمده است:

ـ دستگاه های لایه 3 را به صورت حلقه ترسیم کنید.

ـ دستگاه های لایه 2 را به صورت مستطیل ترسیم کنید.

ـ مثلث ها نشان دهنده دستگاه های چند پلکسر هستند که قبلاً در نمودارهای شبکه رایج تر بودند. بنابراین، در عوض سعی کنید از مثلث برای تلفن های IP استفاده کنید.

ـ سایر موارد را می توان به صورت یک مربع یا یک مستطیل نشان داد که برای نشان دادن یک جعبه عمومی در نظر گرفته شده است.

ـ هر نماد همچنین می تواند یک علامت خاص در خود داشته باشد که دقیقاً نشان می دهد نوع دستگاه چیست. اگر با استفاده از یک برنامه ترسیم، نمودار شبکه را ایجاد می کنید یا نقشه شما به طور خودکار توسط یک ابزار نرم افزاری تولید می شود، نمادها بسیار پیچیده تر خواهند بود. اما وقتی این ارقام روی یک تخته سفید کشیده می شوند، می توانید از نمادهای ساده مانند X برای روتر یا> برای فایروال استفاده کنید.

در اینجا جدولی وجود دارد که برخی از پرکاربردترین نمادها را نشان می دهد:

نمادهای رایج نمودار شبکه: 

ـ Cloud: از Clouds برای خلاصه کردن بخشهایی از شبکه که برای نمودار مهم نیستند استفاده می شود. این می تواند به معنای اینترنت یا WAN یا حتی مجموعه ای از بخش های داخلی شبکه مانند VLAN های کاربر باشد.

ـ Firewall: در نمودارهای تهیه شده توسط نرم افزار بسیار دقیق، یک فایروال معمولاً با یک دیوار آجری نشان داده می شود تا یک ایستگاه یا ایست بازرسی در جریان داده را ایجاد کند.

ـ Terminal: می تواند توسط انواع سیستم های کاربر نهایی نمایش داده شود، اما معمولاً به وسیله یک کامپیوتر نشان داده می شود.

ـ Switch: در سطح لایه 2، سوئیچ ها با فلش های متقاطع نشان داده می شوند که جریان داده ها و “تغییر” بین دستگاه ها را نشان می دهد.

توجه: در حالی که یک روتر و یک سوئیچ لایه 3 می توانند عملکردهای مشابهی را انجام دهند ، تشخیص دستگاهی که مسیریابی لایه 3 را انجام می دهد، بسیار مهم است، بنابراین با نماد سوئیچ نشان داده نمی شود.

ـ Bridge : Bridge شبیه به یک پل جاده ای است که اغلب برای نشان دادن یک پل شبکه استفاده می شود.

ـ Server: توسط یک برج کامپیوتری نشان داده می شود، یک سرور روی نمودار به عنوان یک گره با داده هایی که به سمت سایر منابع شبکه جریان می یابد ، نشان داده می شود.

ـ Router: روترها می توانند با اشیاء مختلف نمایش داده شوند، اما معمولاً به صورت جعبه هایی نمایش داده می شوند که داده ها در آنها وارد شده و در چندین مقصد توزیع می شوند. سوئیچ لایه 3 همچنین می تواند از نماد مشابهی استفاده کند که عملکرد مشابهی را به عنوان روتر ارائه می دهد.

ـ Peripheral device: اصطلاح دستگاه جانبی به تمام اجزای سخت افزاری که به رایانه متصل شده اند مانند ماوس ، صفحه کلید یا درایو USB اشاره دارد و با نمادی که با عملکرد خاص آنها مطابقت دارد نشان داده می شود.

ـ Mainframe: فریم اصلی یک رایانه اصلی معماری قدیمی است که عمدتا توسط سازمانهای بزرگ برای خطوط مهم برنامه های تجاری و پردازش داده های انبوه استفاده می شود

ـ Hub: شبیه به یک سوئیچ است و می تواند به عنوان هر دستگاه سخت افزاری شبکه برای اتصال چندین دستگاه اترنت به یکدیگر و ایجاد آنها به عنوان یک بخش شبکه واحد نمایش داده شود.

5 نوع توپولوژی شبکه:

اگر در شبکه اطلاعات کافی دارید احتمالاً با بسیاری از توپولوژی های شبکه آشنا هستید. در این میان برخی از آنها دیگر کارآمد نبوده و استفاده نمی شوند.

ـ توپولوژی حلقه:

دارای سه یا چند کلید متصل به هم. هر سوئیچ در توپولوژی حلقه به دو کلید مجاور متصل است، یکی در بالادست، دیگری در پایین دست. آخرین سوئیچ به اولین متصل می شود تا یک دایره (یا حلقه) ایجاد کند. هر یک از دستگاه ها یا پیوندها می توانند بدون ایجاد اختلال در اتصال سایر دستگاه ها خراب شوند.

ـ توپولوژی اتوبوس:

با یک خط انتقال واحد برای همه گره ها ، توپولوژی اتوبوس ساده ترین نوع توپولوژی است که در آن از یک کانال (یا گذرگاه) مشترک برای ارتباط در شبکه استفاده می شود.

ـ توپولوژی ستاره:

توپولوژی ستاره که در آن تمام گره ها به یک هاب متمرکز متصل می شوند. این شبکه ها بسیار خوب مقیاس بندی می شوند زیرا می توانید با ایجاد یک حلقه روتر هاب به عنوان هسته مسیریابی ، اندازه هاب را افزایش دهید.

ـ توپولوژی مش:

توپولوژی مش که در آن گره ها به طور مستقیم، پویا و غیر سلسله مراتبی به بیشتر گره های دیگر متصل می شوند و برای مسیریابی موثر داده ها همکاری می کنند. شبکه های مش به صورت پویا خود سازماندهی و خود پیکربندی می شوند، که می تواند هزینه نصب را کاهش دهد.

جهت آشنایی بیشتر با این نوع تکنولوژی به لینک زیر مراجعه نمایید:

آموزش شبکه وایرلس MESH

ـ توپولوژی درخت:

ترکیبی از توپولوژی های اتوبوس و ستاره است که در آن تمام گره ها به طور مستقیم یا غیر مستقیم به کابل اصلی متصل هستند.

نمونه هایی از نمودارهای شبکه:

ـ نمودار شبکه ساخته شده با Auvik:

ـ نمودار شبکه ساخته شده با Visio:

ـ نمودار شبکه ای که با دست کشیده شده است:

مزیت وجود نمودار های شبکه:

استفاده از نمودارهای شبکه مزیت های زیادی دارد:

ـ نمودارهای شبکه بخش مهمی از فرایند مدیریت تغییر به شمار می روند. اگر نیاز به تغییر دارید، مانند افزودن یک سوئیچ شبکه جدید یا ایجاد یک پیوند جدید به یک دفتر از راه دور دارید باید درک کنید که چگونه ترافیک از طریق این دستگاه های جدید شبکه جریان می یابد. این عامل به ایجاد اطمینان از پایداری و کارآیی شبکه جدید کمک می کند.

ـ نمودارهای شبکه یک قطعه کلیدی از اسناد مورد نیاز برای شبکه محسوب می شود. مدیران IT همواره باید بدانند فایروال ها ، سوئیچ ها و منابع سرور کجا هستند و چگونه می توانند از طریق شبکه وارد آن شوند.

در نهایت، نمودارهای شبکه جزء ارزشمندی از هرگونه عیب یابی شبکه هستند. وقتی با مشکل “شبکه کند است” یا “شبکه خراب است” روبرو هستید، چه توسط کاربر گزارش شده باشد و چه نرم افزار مدیریت شبکه شما متوجه آن شده باشد، داشتن نمودارهای شبکه به روز شده به شما این امکان را می دهد که بلافاصله مشکل را درک کنید.

این شامل سرورها ، برنامه ها و کاربران است که ممکن است تحت تأثیر قرار گیرند، همراه با دستگاه های شبکه مربوطه در مسیرهای منطقی و فیزیکی که به شما کمک می کند تا عیب یابی را هدایت و تسریع کنید.تهیه نمودارهای شبکه ای خوب، کار سختی نیست اما به دلیل تعهد لازم برای کشف و موجودی همه دارایی های شبکه می تواند زمان بر باشد. به همین دلیل، نمودارهای شبکه به روز و دقیق یک یافته نادر است.

Auvik یک ابزار بسیار مفید برای نقشه برداری خودکار شبکه است. این یک کار جامع برای ارائه توپولوژی شبکه شما با قابلیت مشاهده در سطح نهایی، بسیار عمیق تر از سایر سیستم ها و نقشه های توپولوژی دستی است. نقشه های توپولوژی شبکه Auvik در واکنش به تغییرات شبکه ، به شما اطمینان می دهند که همیشه توپولوژی شبکه به روز را در نوک انگشتان خود دارید.

منبع : https://mrshabake.com/network-diagram/

وجود یک ناسازگاری IP در شبکه شما می تواند مشکلات مختلفی را به دنبال داشته باشد و تشخیص تداخل آدرس IP اغلب به همان اندازه خود عیب یابی مشکل و زمان بر است. اگر در فکر این هستید که چگونه تداخل آدرس IP را برطرف کنید، در ادامه همراه ما باشید. در این مقاله، ما روش هایی را برای تشخیص، حل و جلوگیری از تعارض IP در شبکه خود بحث خواهیم کرد.

آدرس IP چیست؟

آدرس IP (“پروتکل اینترنت”) شماره شناسایی داده شده به یک دستگاه خاص در شبکه مانند کامپیوتر، تلفن همراه، روتر، سوئیچ شبکه و غیره است. این کد به دستگاه ها اجازه می دهد در سراسر شبکه شما ارتباط برقرار کنند، این یک رشته ی منحصر به فرد از اعداد است که به جریان صحیح اطلاعات کمک می کند. آدرس IP یک دستگاه از 32 عدد تشکیل شده است. بدون آدرس IP، داده ها نمی دانند از کجا به اینترنت سفر کنند.

می توانید یک آدرس IP را به عنوان کد پستی دستگاه در یک شبکه در نظر بگیرید. آدرس IP به دستگاه های شبکه شما کمک می کند تا داده ها را سریع و دقیق ارسال و دریافت کنند. اما، اگر بیش از یک آدرس IP در حال استفاده باشد، ممکن است مشکلاتی در انتقال داده های مناسب به مکان های مناسب وجود داشته باشد.

تقریباً هر سیستمی در یک شبکه معین، دارای آدرس IP عمومی و آدرس IP خصوصی است. همانطور که از نامها مشخص است، یک آدرس IP عمومی شما را به دنیای خارج پیوند می دهد در حالی که یک آدرس IP خصوصی فعالیت های محلی را در شبکه شما مدیریت می کند. علاوه بر خصوصی و عمومی، دو دسته اصلی آدرس IP وجود دارد:  آدرس IP پویا و آدرس IP ثابت.

 آدرس های IP پویا به طور خودکار در طول زمان تغییر می کنند، پردازش آن برای سرور ISP ساده ترین است و معمولاً با استفاده از DHCP ایجاد می شود. آدرس های IP ثابت با گذشت زمان ثابت می مانند، برای مدیریت و شناسایی ساده ترین هستند و معمولاً به صورت دستی تعیین می شوند.

زمانی که صحبت از شبکه های وسیع مشاغل و سازمان ها می شود، آدرس IP می تواند پویا و ثابت باشد. متأسفانه، اگر به طور دستی آدرس های IP را همراه با استفاده از DHCP ایجاد کنید، به طور تصادفی باعث ایجاد تداخل آدرس IP می شود. همچنین هنگام استفاده از بیش از یک سرور DHCP، داشتن آدرس های IP تکراری رایج است، به همین دلیل است که هرگز نباید این کار را انجام دهید.

IP Address Conflict چیست؟

 تداخل آدرس IP زمانی رخ می دهد که دو یا چند دستگاه در یک شبکه، آدرس IP را به اشتراک بگذارند. این برخورد باعث می شود که یک یا هر دو دستگاه ارتباط خود را با بقیه شبکه متوقف کنند، که می تواند منجر به مشکلات عدیده ای شود. پی بردن به چگونگی یافتن Conflict IP یا تداخل آدرس IP، و همچنین چگونگی رفع آن در هنگام وقوع، برای سلامت شبکه و دستگاه های آن بسیار مهم است.

نحوه تشخیص IP Address Conflict در شبکه ها:

معمولاً سیستم عامل شبکه شما در صورت برخورد با تداخل آدرس IP به شما اطلاع می دهد. بسته به سیستم عامل، این ممکن است به شکل یک پیام خطا باشد که به شما اطلاع می دهد یک آدرس IP تکراری در شبکه وجود دارد. هنگامی که سیستم شما یک IP Conflict پیدا می کند، رابط شبکه در هر دو طرف غیرفعال می شود. با این کار هر دستگاهی که دارای آدرس IP آسیب دیده است خاموش می شود و تا زمانی که  IP Conflict برطرف نشود، عملکردها غیرفعال می شوند. برای مثال ویندوز چنین پیغامی می دهد:

گاهی اوقات، شبکه شما تداخل آدرس IP را تشخیص نمی دهد و هیچ اعلانی وجود نخواهد داشت، که باعث می شود مشکل مورد توجه قرار نگیرد. هنگامی که این اتفاق می افتد، آدرس های IP معتبری را در شبکه خود مشاهده خواهید کرد، اما اتصال به درستی کار نمی کند یا متناوب است. همچنین ممکن است پیام های خطای “شبکه در دسترس نیست” دریافت کنید، که شما را از علت واقعی مشکل آگاه نمی کند.

ممکن است شنیده باشید که اختلافات آدرس IP خود به خود اصلاح می شود. اما عدم دستکاری Conflict IP می تواند منجر به عوارض بیشتری در شبکه شما شود. و وقتی تعارض آدرس IP به خودی خود برطرف می شود، معمولاً زمان کمی طول می کشد و باعث می شود مشکلات بیشتری در زیر سطح ظاهر شود. بهتر است بلافاصله پس از بروز مشکل، راه حل های تعارض IP را جستجو کنید.

اگر در سیستم عامل ویندوز به چنین مشکلی برخورد کردید می توانید با چند مرحله مسئله را حل کنید:

قبل از هر کاری سیستم خود را مجدداً راه اندازی کنید. گاهی اوقات ریستارت کردن، اغلب این مسئله را حل می کند.

اگر مشکل حل نشد مراحل زیر را انجام دهید:

1. روی Start کلیک کنید و Run را انتخاب کنید.
2. “cmd” را در کادر تایپ کرده و روی OK کلیک کنید.

3. “ipconfig /release” را تایپ کرده و Enter را فشار دهید. با این کار آدرس IP فعلی سیستم شما آزاد می شود.

4. “ipconfig /Renew” را تایپ کرده و Enter را فشار دهید. این مجموعه جدیدی از آدرس های IP را به رایانه شما اختصاص می دهد.

5. Exit را تایپ کرده و Enter را فشار دهید تا آن پنجره بسته شود.

اگر باز هم کار نکرد، یک روش دیگر تغییر تنظیمات TCP/IP است. این تنظیمات اساساً به رایانه شما نحوه برقراری ارتباط با دیگران را آموزش می دهد. برای انجام این کار، مایکروسافت توصیه می کند از پروتکل DHCP استفاده کنید، که به طور خودکار آدرس های IP را به سیستم های شبکه شما اختصاص می دهد.

برای فعال کردن DHCP یا تغییر تنظیمات TCP/IP:

1. Start را انتخاب کنید و وارد مسیر مقابل Settings > Network & Internet شوید.

2. در صورت داشتن شبکه Wi-Fi ، Wi-Fi > Manage known networks را انتخاب کنید. شبکه موردنظر را برای تغییر تنظیمات انتخاب کرده و Properties را انتخاب کنید. (برای شبکه اترنت، اترنت را انتخاب کنید).
3. در بخش اختصاص IP ، Edit را انتخاب کنید.

4. در زیر ویرایش تنظیماتIP ، Automatic (DHCP) یا Manual را انتخاب کنید.

برای تنظیم دستی تنظیمات IPv4:

1. در زیر ویرایش تنظیمات IP ، Manual را انتخاب کنید، سپس IPv4 را روشن کنید.

2. برای تعیین آدرس IP، آدرس IP، طول Subnet و Gateway را تایپ کنید.
3. برای تعیین آدرس سرور DNS ، در کادرهای Preferred DNS و Alternate DNS ، آدرس سرورهای DNS اصلی و ثانویه را تایپ کنید.

برای تنظیم دستی تنظیمات IPv6:

1. در زیر ویرایش تنظیمات IP، Manual را انتخاب کنید، سپس IPv6 را روشن کنید.

2. برای تعیین آدرس IP، آدرس IP، طول Subnet و Gateway را تایپ کنید.
3. برای تعیین آدرس سرور DNS ، در کادرهای Preferred DNS و Alternate DNS ، آدرس سرورهای DNS اصلی و ثانویه را تایپ کنید.
4. وقتی Automatic (DHCP) را انتخاب می کنید، تنظیمات آدرس IP و تنظیم آدرس سرور DNS به طور خودکار توسط روتر یا نقطه دسترسی دیگرتنظیم می شوند.
5. وقتی Manual را انتخاب می کنید، می توانید تنظیمات آدرس IP و آدرس سرور DNS خود را به صورت دستی تنظیم کنید.
6. Save را انتخاب کنید.

عوامل بوجود آمدن تداخل آدرس IP:

چند علت وجود دارد که ممکن است ناسازگاری آدرس IP رخ دهد، که برخی از آنها را در زیر شرح داده ایم:

ـ DHCP Errors:

خطاهای طبیعی ممکن است در سرور DHCP شما رخ دهد و باعث شود DHCP از آدرس IP یکسانی برای چندین دستگاه استفاده کند. گاهی اوقات DHCP به یک سیستم جدید آدرس IP پویا می دهد که قبلاً به عنوان آدرس IP ثابت استفاده می شده است. DHCP همچنین می تواند شماره آدرس IP تولید شده را از دست بدهد.

یکی از راه های پیشگیرانه برای جلوگیری از درگیری آدرس IP، تعریف محدوده DHCP است. دامنه DHCP، به DHCP مجموعه ای از آدرس های IP برای انتخاب می دهد، بنابراین می توانید شانس ایجاد آدرس های IP تکراری از DHCP را کاهش دهید. گرچه همه سرورهای DHCP، این کار را انجام نمی دهند. به عنوان مثال، ادمین شبکه ممکن است آدرس IP 192.168.1.10 را به دستگاه A (تخصیص IP ثابت) اختصاص داده باشد و سرورDHCP که در آن شبکه کار می کند، ممکن است همان آدرس IP را به دستگاه شبکه درخواست کننده اختصاص دهد. (تخصیص IP پویا) ؛ این می تواند باعث شود که دو دستگاه مختلف آدرس IP یکسانی داشته باشند و باعث ایجاد ناسازگاری IP در شبکه شود.

ـ خطای تکرار IP ثابت:

گاهی اوقات ادمین ممکن است به طور تصادفی دو آدرس IP ثابت یکسان ایجاد کند. در این شرایط با اختصاص مجدد یک آدرس IP ثابت به سیستم آسیب دیده، به راحتی می توان آن را اصلاح کرد.

ـ خطاهای حالت (standby) آماده به کار:

ناسازگاری آدرس IP می تواند بعد از ” standby” دستگاه از عدم استفاده برای مدتی رخ دهد. اگر به مدت زیادی دستگاه خاوش باشد، ممکن است آدرس IP آن فراخوانده شده و به دستگاه دیگری اختصاص داده شود، بنابراین وقتی دستگاه دیگری روشن می شود، از همان آدرس IP استفاده می کند.

ـ آدرس IP 0.0.0.0:

یک آدرس IP حاوی مقادیر فقط صفر، یک آدرس IP مشکل دار است. این بدان معناست که دستگاه شما می تواند شبکه را ببیند، اما چیزی در توانایی دریافت آدرس IP مناسب اختلال ایجاد می کند. چند راه برای رفع احتمالی این مشکل وجود دارد: به طور موقت فایروال دستگاه را غیرفعال کنید، سرور DHCP متصل را مجددا پیکربندی کرده و از فعال بودن آن اطمینان حاصل کنید و آداپتور شبکه خود را به درستی نصب کنید.

ـ تنظیمات شبکه معیوب:

خطاهای انسانی و پیکربندی در راه اندازی و مدیریت زیرساخت های شبکه پیچیده شامل چندین روتر، آداپتور و مودم می تواند باعث درگیری IP شود.

ـ خستگی روتر یا مودم:

استفاده بیش از حد از روترها و مودم های شبکه در شبکه های خانگی می تواند به دلیل لغزش های عملیاتی باعث ایجاد ناسازگاری آدرس IP شود.

چگونه از تداخل آدرس IP در شبکه ها جلوگیری کنیم:

رفع Conflict IP بستگی به این دارد که در وهله اول چه چیزی باعث ایجاد آن شده است. به عنوان مثال، اگر علت درگیری IP بین دو دستگاه، تنظیم دستی IP های استاتیک باشد، می توان با تغییر آدرس IP یکی از دستگاه ها و راه اندازی مجدد آن، این تعارض را برطرف کرد.

سه نوع رایج ناسازگاری آدرس IP وجود دارد که ممکن است در شبکه های سازمانی رخ دهد:

1. ناسازگاری IP توسط سرورهای DHCP ایجاد شده است
2. ناسازگاری IP بین سرور DHCP و تخصیص IP
3. تعارض IP بین رزرو IP و تخصیص IP

1ـ ناسازگاری IP توسط سرورهای DHCP ایجاد شده است:

سرورهای DHCP مسئول تنظیم خودکار پیکربندی آدرس IP به دستگاه هایی هستند که تحت عنوان لیزینگ IP شناخته می شوند ، برای فعال کردن اتصال به شبکه. آنها یک گزارش از اطلاعات اجاره نامه را که آدرس IP را به آدرس MAC دستگاهی که در حال دسترسی به آن است ترسیم می کنند. هرگونه خطا یا لغزش در این سوابق ممکن است منجر به تضاد آدرس IP در شبکه شود.

مورد 1: اطلاعات اجاره سرور

هنگامی که محدوده آدرس IP یک Subnet توسط بیش از یک سرور DHCP مدیریت می شود، مهم است که اطمینان حاصل کنید که اطلاعات اجاره IP-MAC در همه سرورهای DHCP درون Subnet یکسان است. ناسازگاری با آدرس MAC که از اطلاعات اجاره دو سرور DHCP بازیابی شده است نشان دهنده تضاد آدرس IP در شبکه است.

مورد 2: محدوده سرور همپوشانی دارد

هنگامی که بیش از یک سرور DHCP محدوده آدرس IP یک Subnet را مدیریت می کند، ممکن است همپوشانی دامنه آدرس بین سرورهای DHCP ایجاد شود و در نتیجه آدرس IP با هم در تضاد باشد.

راه حل:

برای شروع حل تداخل آدرس IP، آدرس MAC را بررسی کنید. اگر آدرس MAC مرتبط با آدرس IP متناقض مربوط به یک دستگاه شبکه یا میزبان است، با پیکربندی یک آدرس IP ثابت، اجاره DHCP خود را آزاد کنید، دامنه سرورهای DHCP را برای جلوگیری از همپوشانی تنظیم کنید و سپس دستگاه یا میزبان را برای استفاده پیکربندی کنید. یک آدرس IP اختصاص داده شده برای اتصال با شبکه.

2ـ ناسازگاری IP بین سرور DHCP و تخصیص IP

رزرو آدرس های IP به شما امکان می دهد یک IP خاص را در فضای آدرس خود به طور خاص کنار بگذارید. این IP های رزرو شده با آدرس MAC دستگاه پیکربندی می شوند. وقتی یک سرور DHCP این آدرس IP را به یک دستگاه شبکه دیگر اختصاص می دهد، نقض رزرواسیون منجر به تداخل آدرس IP می شود.

راه حل:

اگر آدرس MAC مرتبط با آدرس IP متناقض مربوط به دستگاه یا میزبان است، آدرس IP فعلی آن را رها کرد و دستگاه را با آدرس IP موجود پیکربندی کنید.

3ـ تعارض IP بین رزرو IP و تخصیص IP

IP های رزرو شده معمولاً با آدرس MAC ای مرتبط هستند که در سیستم مدیریت آدرس IP ذخیره شده اند. تعارض آدرس IP زمانی رخ می دهد که مخاطبین MAC با آدرس های MAC رزرو شده که توسط سیستم مدیریت آدرس IP، ردیابی می شود، تفاوت داشته باشد.

راه حل:

بررسی کنید آیا آدرس IP ثابت به MAC متعارض اختصاص داده شده است یا خیر. اگر بله، MAC را پیکربندی کنید تا آدرس IP را به صورت پویا از سرورهای DHCP دریافت کند. گزارشات سرور DHCP را برای وجود مغایرت بررسی کنید.

اگر آدرس MAC مرتبط با آدرس IP متضاد به یک پورت سوئیچ متصل است ، پورت سوئیچ را به طور موقت مسدود کنید.محدوده سرورهای DHCP را برای جلوگیری از همپوشانی تنظیم کنید، سپس پورت سوئیچ را مسدود کنید.

یکی از راه ها برای جلوگیری از Conflict IP در شبکه شما استفاده از نرم افزار های Conflict IP است که می تواند به تشخیص و حل بسیاری از اشکال Conflict IP کمک کند. یک اسکنر Conflict IP برای یافتن Conflict IP طراحی شده است و به شما امکان می دهد تمام آدرس های IP خود را از دستگاه های اصلی خود پیگیری کنید. این امر نه تنها در وقت و منابع شما صرفه جویی می کند بلکه به شما کمک می کند تا آدرس های IP شبکه خود را سازماندهی کنید تا از درگیری های آدرس IP در آینده جلوگیری کنید.

با کمک نرم افزارهای IP Conflict  چه کاری می توانید انجام دهید:

1. به طور مداوم تخصیص آدرس IP را کنترل کنید: با پیگیری اینکه کدام آدرس IP در کدام دستگاه استفاده می شود، نرم افزار شما به گونه ای طراحی شده است که از درگیری IP در شبکه شما جلوگیری می کند.
2. موجودی آدرس IP را در زمان واقعی نگه دارید: پیگیری مستمر آدرس های IP فعال به شما کمک می کند تا آدرس های IP قبلاً مورد استفاده را مجدداً اختصاص ندهید. بسیاری از برنامه های تشخیص ناسازگاری IP، موجودی آدرس های IP استفاده شده را ایجاد و به طور مداوم به روز می کنند تا از احتمال تغییر مکان بیشتر جلوگیری شود.
3. یک نمای منسجم از شبکه خود دریافت کنید: در جزئیات آدرس های IP در حال استفاده ، مواردی مانند Subnet ها، نام هاست و دستگاههای مرتبط، و وضعیت ها و هشدارهای گذشته و حال را مشاهده کنید.
4. تشخیص رفتار غیر عادی: علاوه بر مدیریت آدرس IP، نرم افزار ها می توانند سایر فعالیت های غیرقابل توضیح را که می تواند برای شبکه شما خطرناک یا مشکل ساز باشد، اشکار کنند.
5. کاهش زمان مدیریت: مدیریت و نظارت بر آدرس های IP شما، برنامه و قدرت مغز شما را آزاد می کند و به شما این امکان را می دهد تا بر موارد مهم تمرکز کنید.
6. تنظیمات IP خود را مستقیماً ویرایش کنید: شما می توانید به تنظیمات همه آدرس های IP خود در یک لحظه دسترسی داشته باشید و به شما این امکان را می دهد که هنگام مشاهده آدرس های IP و دستگاه های مربوطه، Conflict IP را برطرف کنید.

یکی از ابزار های توصیه شده برای تشخیص و حل Conflict IP، نرم افزار SolarWinds است.

بسته ی نرم افزاری IP SolarWinds (IPCB) را که حاوی SolarWinds IP Address Manager (IPAM) و SolarWinds User Device Tracker (UDT) است. IPCB می تواند به شما این امکان را بدهد که در چه زمانی یک ناسازگاری IP شناسایی شده است، همه Subnet ها تحت تأثیر این تعارض قرار گرفته اند و حتی چه نوع مشکلی ممکن است ایجاد شود – همه اینها به سادگی با حرکت دادن روی یک آدرس IP معین. IPCB برای حل Conflict IP با غیرفعال کردن خودکار پورت آسیب دیده طراحی شده است، که به شبکه شما اجازه می دهد تا زمانی که نتوانید Conflict IP را برطرف کنید، به طور عادی کار کند. همچنین می توانید آدرس های IP خود را سازماندهی کرده و دامین ، سوئیچ ها و پورت های DHCP خود را مدیریت کنید.

منبع : https://mrshabake.com/ip-address-conflict/

هنگامی که می خواهید ترافیک VLAN را بین دو سوئیچ انتقال دهید یک مشکل وجود دارد. ایا فیلدی وجود دارد که مشخص کند فریم اترنت ما به کدام VLAN تعلق دارد؟ چگونه یک سوییچ شبکه هنگام دریافت فریم متوجه می شود که ان به کدام  VLAN تعلق دارد؟ بنابراین به پروتکلی نیاز داریم که این اطلاعات را به ما بدهد.

پروتکل 802.1Q چیست؟

پروتکل 802.1Q از quality of service (QoS) و Virtual LAN (VLAN) در هنگام حرکت ترافیک در شبکه اترنت پشتیبانی می کند. پروتکل 802.1Q یکی از پروتکل های برچسب گذاری(تگ گذاری) VLAN است که توسط سوئیچ های سیسکو پشتیبانی می شود. این استاندارد توسط موسسه مهندسان برق و الکترونیک (IEEE) ایجاد شده است، بنابراین یک استاندارد عمومی است و می تواند در سوئیچ های غیر سیسکو نیز استفاده شود.

 VLAN ها برای تقسیم broadcast domain در لایه 2(Data Link) استفاده می شوند. یک شبکه محلی  مجازی است که برای انتقال داده ها به جای شبکه فیزیکی خود از LAN دیگری استفاده می کند. پروتکل 802.1Q به اندازه فریم اترنت اجازه می دهد تا چهار بایت به محدوده 68 تا 1522 بایت اضافه کند. این افزایش اندازه، به دلیل درج یک برچسب VLAN چهار بایتی در فریم است. برچسب ها، که شامل شناسه VLAN (VID) است، توسط آدرس MAC به هر فریم اترنت متصل می شوند. این VID 12 بیتی به هر VLAN اختصاص داده شده است و 4094 شناسه برای استفاده در دسترس است.

از trunk برای رد و بدل کردن ترافیک VLAN بین سوئیچ ها استفاده می شود. سوئیچ ها را می توان از طریق پورت trunk به یکدیگر متصل کرد. هنگامی که از ترانک استفاده می شود، دستگاه متصل فریم های اترنت دارای برچسب را دریافت می کند. استاندارد 802.1Q از پیکربندی منحصر به فرد VLAN های جداگانه پشتیبانی می کند.

فریم نرمال:

فریم 802.1:

از بین 4 بایت، یک VLAN، 12 بیتی وجود دارد که بیشترین اهمیت را دارد. این فیلد در مورد شماره VLAN که فریم به آن تعلق دارد می گوید. VLAN، می تواند از 1 تا 4094 متغیر باشد، یعنی برای 4094 VLAN پشتیبانی می شود. زیرا 0  و4095  VLAN های رزرو شده هستند. استاندارد 802.1Q از مفهوم Vlan Native پشتیبانی می کند(Vlan 1 که به صورت پیش فرض تعریف شده است)، یعنی ترافیک برای این Vlan بدون تگ باقی می ماند.

فریم tagging:

در بین دو سوئیچ، از فرایندی به نام VLAN trunking استفاده می شود. فرض می کنیم که کامپیوتر A یک فریم برودکست ارسال می کند. SW1 قبل از ارسال فریم به SW2، با قرار دادن ID VLAN در header، برچسب گذاری می کند. SW2 فریم را دریافت می کند و می داند که فریم متعلق به VLAN 3 است، بنابراین فریم را فقط برای کامپیوتر D ارسال می کند، زیرا این کامپیوتر در VLAN 3 است.

ISL چیست؟

ISL مخفف Inter-Switch Link است که یکی از پروتکل های VLAN است. ISL اختصاصی Cisco است و فقط بین سوئیچ های Cisco استفاده می شود. این برنامه در یک محیط VLAN، point-to-point کار می کند و تا 1000 VLAN را پشتیبانی می کند و فقط می تواند از طریق لینک های Fast Ethernet و Gigabit Ethernet استفاده شود.

ISL در لایه Data-Link مدل OSI (لایه 2) عمل می کند. اندازه فریم های ISL محصور شده از 94 بایت شروع می شود و به دلیل زمینه های اضافی که پروتکل در حین کپسوله سازی ایجاد می کند، می تواند تا 1548 افزایش یابد. VLAN ID یک مقدار 15 بیتی است که در یک سربرگ 26 بایتی از فریم یافت می شود. ISL همچنین 4 بایت CRC را در چارچوب تصحیح و کنترل خطا اضافه می کند.

ISL با قرار دادن یک هدر 26 بایت و 4 بایت CRC بین یک فریم اترنت کار می کند. CRC یک Frame Check Sequence (FCS) روی بسته ISL است تا از خراب بودن آن اطمینان حاصل شود.اندازه فریم ISL از 94 بایت تا 1548 بایت متغیر است. فریم محصور شده در سراسر بدون تغییر باقی می ماند. آدرس مبدا و آدرس مقصد در سرصفحه ISL از فریم محصور شده به ارث نمی رسد. آدرس مبدا در هدر ISL، کلید ارسال بسته ISL است. آدرس مقصد یکی از دو آدرس MAC multicast مخصوص ISL است.

وقتی دو سوئیچ متصل سیسکو به طور خودکار با DTP یک ترانک را مورد مذاکره قرار می دهند، ISL را بیشتر از 802.1Q انتخاب می کنند مگر اینکه یک سوئیچ آن را پشتیبانی نکند یا به طور خاص پیکربندی نشده باشد که از ISL استفاده کند.

قالب فریم ISL به صورت زیر است:

فیلد های ISL به شرح زیر است:

• DA (آدرس مقصد یا Destination Address): آدرس مقصد از آدرس MAC چندپخشی 01-00-0C-00-00-00 استفاده می کند. 40 بیت اول فیلد DA به گیرنده نشان می دهد که بسته در قالب Inter- Switch Link (ISL) ارسال شده است.
• Type: نوع فریم محصور شده: Ethernet (0000) ، Token Ring (0001) ، FDDI (0010) و ATM (0011).
• User: قسمت USER شامل یک کد 4 بیتی است. بیت های USER برای گسترش معنای میدان TYPE استفاده می شوند. مقدار فیلد USER پیش فرض “0000” است. برای فریم های اترنت، بیت های USER 0”” و “1” اولویت بسته را هنگام عبور از سوئیچ نشان می دهد.
• SA (آدرس مبدا یا Source Address): آدرس مبدا سوئیچ که فریم Inter-Switch Link (ISL) را منتقل می کند.
• Len: طول بسته.
• SNAP: پروتکل دسترسی به Subnet(SNAP) و Logical Link Control(LLC). فیلدAAAA03 SNAP یک مقدار ثابت 24 بیتی “AAAA03” است.
• HSA (High Bits of Source Address): فیلد HSA یک مقدار 24 بیتی است که 3 بایت بالایی (بخش شناسه سازنده) قسمت SA را نشان می دهد.
• VLAN (مقصد VLAN ID): ID VLAN بسته را نشان می دهد. VLAN ID یک مقدار 15 بیتی است که برای تشخیص فریم ها در VLAN های مختلف استفاده می شود. VLAN ID همچنین به عنوان “رنگ” فریم شناخته می شود.
• BPDU: نشان می دهد که یک فریم BPDU، یا CDP یا VTP است
• Index: فهرست پورت مبدا بسته.
• Res: فیلد رزرو شده برای اطلاعات بیشتر، به عنوان مثال Token Ring یا FDDI Frame Check Sequence. برای اترنت، این فیلد باید صفر باشد.
• Encapsulated Ethernet Frame: فریم اترنت واقعی.
• CRC: بررسی چهار بایتی بسته ISL برای اطمینان از خراب بودن آن.

مزایای ISL:

1. ISL برای برچسب گذاری اطلاعات استفاده می شود. این بدان معناست که ما می توانیم چندین VLAN را روی یک لینک trunk عبوردهیم و این به نوبه خود به سوئیچ کمک می کند تا به راحتی عضویت فریم VLAN را بر روی لینک ترانک شده تعیین کند.
2. این اتصال چند سوئیچ را همزمان با یکدیگر تسهیل می کند و در نتیجه اطلاعات مربوط به VLAN را حفظ می کند.
3. در مقایسه با اتصال سریع اترنت، عملکرد کامل سرعت سیم و تأخیر کم را ارائه می دهد.
4. در ISL نیازی به روتر برای تعامل/ارتباط نیست و بنابراین کاربران می توانند به طور موثر و سریع بدون هیچ تأخیری به سرورها دسترسی پیدا کنند.

معایب ISL:

1. ISL فقط بین سوئیچ های Cisco سازگار است. اگر کاربر می خواهد بین دو لینک ترانک متفاوت قرار بگیرد، ممکن است مجبور باشد از q1 استفاده کند.
2. ISL سربار زیادی در مقایسه با استاندارد 802.1Q دارد.
3. ISL فقط تا 1000 VLAN پشتیبانی می کند در حالی که q1 تا 4096 VLAN پشتیبانی می کند.
4. امروزه ISL به دلایل مختلف و مشکلات مرتبط با سوئیچینگ، به ویژه در VLAN Trunking، دیگر مورد استفاده قرار نمی گیرد. سیسکو ISL را منسوخ کرده است و برخی از سوئیچ های جدیدتر تولید شده توسط سیسکو حتی از آنها پشتیبانی نمی کنند. q1 معمولاً به جای آن استفاده می شود و حتی Cisco استفاده از آن را ترویج می کند. اکثر سوئیچ های امروزی از این پروتکل سوئیچینگ VLAN 802.1q استفاده می کنند.

آموزش پیکربندی پروتکل 802.1Q و ISL:

ابتدا باید طبق سناریوی مورد نظر خود Vlan بندی را انجام دهید.

سپس با توجه به پروتکل مورد استفاده ی خود می توانید ISL  یا 802.1q را پیکربندی کنید.

نحوه ی کانفیگ ISL:

Switch(config)#interface Fa0/1

Switch(config-if)#switchport mode trunk

Switch(config-if)#switchport trunk encapsulation isl

نحوه ی کانفیگ استاندارد 802.1Q:

Switch(config)#interface Fa 0/1

Switch(config-if)#switchport mode trunk

Switch(config-if)#switchport trunk encapsulation 802.1q

از دستور زیر می توانید برای بررسی وضعیت پورت، ترانک یا اکسس بودن پورت و نوع پروتکل به کار رفته شده استفاده کنید.

show interfaces {fastethernet | gigabitethernet} module/port switchport

#show interfaces fastethernet 0/1 switchport

Name: Fa0/1

Switchport: Enabled

Administrative mode: trunk

Operational Mode: trunk

Administrative Trunking Encapsulation: isl

Operational Trunking Encapsulation: isl

Negotiation of Trunking: Disabled

Access Mode VLAN: 0 ((Inactive))

Trunking Native Mode VLAN: 1 (default)

Trunking VLANs Enabled: ALL

Trunking VLANs Active: 1,2

Pruning VLANs Enabled: 2-1001

Priority for untagged frames: 0

Override vlan tag priority: FALSE

Voice VLAN: none

Appliance trust: none

Self Loopback: No

از دستور زیر برای بررسی پورت ها استفاده می شود. به عنوان مثال اینکه پورت موردنظر اجازه ی عبور ترافیک کدام vlan ها را دارد. در زیر اینترفیس 1/0 ترافیک های vlan10و20  را دریافت می کند.

#show interfaces trunk
Port   Mode  Encapsulation  Status    Native vlan
Fa0/1  on    802.1q         trunking  20
Port Vlans allowed on trunk
Fa0/1  10,20

منبع : https://mrshabake.com/802-1q-and-isl-protocol-differences/

فایروال یک سیستم امنیتی شبکه است که بسته های ورودی یا خروجی را بر اساس قوانین تعریف شده نظارت و اقدام لازم را انجام می دهد. فایروال می تواند یک دستگاه سخت افزاری یا یک نرم افزار باشد.

Zone-Based Firewall چیست؟

این فایروال، جانشین Firewall Legacy Cisco IOS به نام (CBAC) Context-Based Access Control است. اولین چیزی که هنگام اجرای فایروال Zone-Based باید درک شود این است که پیکربندی آن با پیکربندی های فایروال CBAC که در گذشته استفاده می شد متفاوت است.

در پیکربندی فایروال CBAC، هر اینترفیس به صورت جداگانه با یک سیاست خاص پیکربندی شده بود که در ترکیب با لیست دسترسی (ACL) کار می کرد. ترافیک برای پروتکل های خاص پیکربندی شده، بازرسی می شد و براساس پیکربندی مجاز یا غیر مجاز بودند. یکی از اصلی ترین مشکلاتی که مردم با CBAC داشتند این بود که به تعداد زیادی دستور پیکربندی برای ورود به هر اینترفیس مرتبط نیاز داشت. این پیکربندی را بسیار زمانبر ساخته و تغییرات جزئی را نیز زمانبر می کرد.

مفهوم ZBF منطقه ای است که رابط های مختلف را با ویژگی های امنیتی یکسان یا سطح اطمینان یکسانی گروه بندی می کند. مجوزها برای انتقال ترافیک بین مناطق (ZONE) یا داخل یک منطقه است، نه بین رابط (اینترفیس) های فیزیکی.

با استفاده از فایروال Zone-Based، مناطقی برای هر قسمت از شبکه ایجاد می شوند که به سیاست های کنترل دسترسی / ترافیک متفاوتی نیاز دارند. متداول ترین پیکربندی در این مدل فایروال، داشتن مناطق خصوصی (داخل)، عمومی (خارج) و DMZ (غیرنظامی) است.

منطقه خصوصی برای رابط هایی است که ترافیک را به سمت داخل شبکه سازمانی هدایت می کنند ، منطقه عمومی برای رابط هایی است که ترافیک را به سمت یک شبکه عمومی (به عنوان مثال اینترنت) می فرستند و منطقه DMZ (در صورت نیاز) برای رابط هایی است که ترافیک را به سمت یک شبکه DMZ می فرستند (به عنوان مثال سرورهای وب و ایمیل). هنگام پیکربندی این فایروال، رابط های موجود در روتر می توانند همزمان فقط بخشی از یک منطقه باشند. البته تعداد مناطق به این پیکربندی نمونه محدود نمی شود.

فایروال Zone-Based یک روش پیشرفته از فایروال stateful است. این نوع فایروال یک پایگاه داده حاکم دارد که در آن آدرس IP مبدا ، آدرس IP مقصد، شماره پورت مبدا و  شماره پورت مقصد ثبت و نگهداری می شود. به همین دلیل، فقط پاسخ های مربوط به این آدرس ها مجاز هستند.

روتر Cisco IOS را می توان از طریق دو روش فایروال ساخت:

1. با استفاده از CBAC: یک لیست دسترسی(ACL) ایجاد کرده و آن را روی رابط ها اعمال کنید و در نظر داشته باشید که چه ترافیکی باید مجاز یا ممنوع باشد و در چه جهتی.
2. استفاده از فایروال مبتنی بر Zone.

مثال دیگر از انواع پیکربندی فایروال Zone-Based هنگامی استفاده می شود که چندین حوزه اداری در داخل سازمان وجود داشته باشد. به عنوان مثال، در یک محیط دانشگاه، دستگاههایی وجود دارد که اصولاً برای مدیریت و دستگاه هایی که عمدتا برای دانشگاهیان استفاده می شوند. به منظور محافظت از دستگاه های اداری در برابر دستگاه های دانشگاهی، می توان مناطق جداگانه ای ایجاد کرد. نمونه ای از این پیکربندی منطقه در شکل نشان داده شده است.

Zone: یک منطقه است که در آن دستگاه هایی با سطح اعتماد یکسان زندگی می کنند. پس از ایجاد یک منطقه، یک رابط به یک منطقه اختصاص داده می شود. به طور پیش فرض، ترافیک از یک منطقه به منطقه دیگر مجاز نیست.

همانطور که می بینید رابط (اینترفیس) های eth1 و 2 مربوط به منطقه 1 هستند، رابط 1s0 / 0/ متعلق به منطقه 2 است و رابط eth4 متعلق به هیچ رابطی نیست.

اگر جریان ترافیکی بین رابط در منطقه 1 و رابط در منطقه 2 باشد، از خط مشی پیش فرض یا خط مشی سفارشی استفاده می شود.

اگر جریان ترافیکی بین رابط در منطقه 1 و رابط دیگر در همان منظقه وجود داشته باشد ، از هیچ خط مشی (Policy) استفاده نمی شود.

اکنون با درک کامل از مناطق، بیایید ببینیم که چگونه این مناطق مختلف به یکدیگر متصل شده اند. هنگام پیکربندی دسترسی و سیاست بین مناطق، زوج های منطقه برای ایجاد ارتباط یک منطقه با منطقه دیگر ایجاد می شوند. که در ادامه انواع انها را توضیح خواهیم داد:

Zone-pair(زوج منطقه):

خط مشی هایی تعریف می شوند که در آن ترافیک مشخص می شود (چه نوع ترافیکی) و سپس چه اقدامی باید انجام شود (غیر مجاز، مجاز). سپس ما باید این سیاست ها را برای یک زوج منطقه اعمال کنیم. یک Zone-pair همیشه یک جهته است. اگر می خواهیم آن را دو طرفه کنیم، باید یک Zone-pair دیگر ایجاد کنیم.

به عنوان مثال، ما می خواهیم ترافیک از داخل شبکه به خارج شبکه مجاز شود، پس باید یکZone-pair  ایجاد کنیم. در این صورت ایجاد ترافیک از شبکه داخلی و پاسخ از خارج از شبکه مجاز است (stateful filtering).

حال، اگر می خواهیم به ترافیک خارج از شبکه امکان دسترسی به شبکه را بدهیم، باید یک Zone-pair (زوج منطقه) جداگانه بسازیم. اگر ترافیک از شبکه خارج ایجاد شود، این Zone-pair اجازه می دهد تا ترافیک به شبکه داخلی برسد.

Self-zone:

 ترافیکی که به روتر هدایت می شود ، صرف نظر از اینکه دستگاه از چه روشی ارسال کرده باشد، به عنوان self zone شناخته می شود. ترافیکی که از روتر ایجاد می شود به عنوان ترافیکی که از خود منطقه می آید شناخته می شود. ترافیک رفتن به روتر به عنوان ترافیک رفتن به Self-zone در نظر گرفته می شود. به طور پیش فرض، ترافیک به سمت منطقه self zone یا از آن مجاز است، اما می توان آن را با توجه به سیاست های اعمال شده تغییر داد.

Intrazone:

آخرین مورد اساسی که باید درک شود نحوه تعامل فایروال Zone-Based با لیست کنترل دسترسی (ACL) موجود است. از آنجا که ACL ها در پیکربندی فایروال Zone-Based استفاده نمی شوند، توجه به این نکته مهم است که وقتی روی یک رابط که به عنوان بخشی از یک منطقه نیز در نظر گرفته می شود، به طور مشترک ACL نیز وجود داشته باشد، ACL همیشه قبل از هر یک از موارد در نظر گرفته می شود. برای در نظر گرفتن خط مشی Zone-Based، ACL های موجود باید پیکربندی شوند تا از طریق آن برخی از ترافیک ها امکان پذیر باشد.

با نامگذاری مناطق، سیاست هایی ایجاد می شود که  ترافیک شامل چه نوع ترافیکی است که مجاز به ایجاد و اجازه عبور از داخل شبکه به خارج شبکه است یا خیر و چه اقداماتی باید انجام شود.

اقدامات می تواند به صورت زیر باشد:

ـ Inspect(بازرسی): بازرسی از ترافیکی که از مبدأ به مقصد می رود، انجام می شود به طور خودکار اجازه بازگشت ترافیک را می دهد و برای پروتکل هایی که سیاست برای آنها اعمال شده است، در پایگاه داده حاوی اطلاعات ثبت می کند تا پاسخ ها را (برای داخل شبکه) دوباره برگرداند.

ـ drop: اگر ترافیک با خط مشی ها مطابقت نداشته باشد ، اقدام پیش فرض را انجام می دهد.

ـ pass: ترافیک از یک منطقه به منطقه دیگر مجاز است اما ارتباطی برقرار نیست.

ترافیکی که با خط مشی ها مطابقت نداشته باشد وارد خط مشی پیشفرض می شود. این سیاست ها برای یک جهت (مانند داخل به خارج) در یک Zone-pair تعریف می شود.

اگر شرایط، مستلزم اجازه ایجاد ترافیک اولیه در هر دو جهت باشد (داخل به خارج از شبکه و خارج به داخل شبکه) ، دو جفت Zone-pair ایجاد می شود و سیاست های جداگانه اعمال می شود.

مزایای استفاده از Zone-Based Firewall:

1. در این فایروال ترافیک برخلاف CBAC مسدود شده است.
2. هیچ ترافیکی از یک منطقه به منطقه دیگر مجاز نیست، در حالی که در CBAC، اگر هیچ ACL اعمال نشود ، همه ترافیک ها مجاز هستند.
3. برخلاف CBAC، فایروال مبتنی بر Zone به شدت وابسته به ACL نیست.

افزودن رابط دیگر آسان است زیرا فقط باید ناحیه ای که رابط به آن تعلق دارد اعمال شود و تمام سیاست ها همان است که قبلاً برای آن ناحیه اعمال شده است.

منبع : https://mrshabake.com/zone-based-firewall/